Una solución MDM gestiona móviles, tablets y portátiles desde una sola consola: inscripción, políticas de seguridad, distribución de aplicaciones y control del cumplimiento. La parte técnica lleva años resuelta.
Lo que hunde los proyectos en España casi nunca es el software. Es una política de uso que nadie redactó, una geolocalización activada sin informar a la plantilla o una elección de producto que no encaja con el parque de dispositivos real. Vamos por partes.
Qué hace realmente una solución MDM
MDM son las siglas de Mobile Device Management. El software habla con las interfaces de gestión que Apple y Google han integrado en sus propios sistemas operativos: el protocolo MDM de Apple y Android Enterprise. No se instala un agente pesado que funcione como una aplicación normal con permisos limitados. Los comandos llegan al sistema operativo y es él quien los ejecuta.
Una vez inscrito el dispositivo, el servidor MDM puede desplegar configuraciones, aplicar políticas, instalar y retirar aplicaciones, bloquear el equipo o borrar los datos gestionados. Ese es el núcleo. Todo lo demás que los fabricantes construyen alrededor es comodidad, informes o automatización.
El enfoque nativo tiene una ventaja práctica que solo se aprecia con los meses: sobrevive a las actualizaciones del sistema. Las herramientas basadas en agentes anteriores a Android Enterprise se rompen cada vez que Google recorta permisos.
Lo que exige la ley española antes del despliegue
Aquí es donde las guías traducidas del inglés dejan de servir. En España, gestionar dispositivos de trabajo es tratar datos personales de los empleados, y eso tiene reglas propias.
Artículo 87 de la LOPDGDD. Los trabajadores tienen derecho a la protección de su intimidad en el uso de los dispositivos digitales que la empresa pone a su disposición. La empresa debe fijar los criterios de uso, y en su elaboración deben participar los representantes de los trabajadores. Si se admite el uso privado del dispositivo, la norma exige precisar cuándo y cómo puede acceder la empresa. Sin ese documento, cualquier control posterior queda en el aire.
Artículo 90. Si activa la geolocalización, debe informar de forma expresa, clara e inequívoca a la plantilla y a sus representantes sobre la existencia y las características del sistema. No basta con una cláusula enterrada en el contrato.
Merece la pena conocer el detalle técnico antes de esa conversación. En los dispositivos personales inscritos en modo BYOD, tanto Android como iOS, en nuestra consola no existe ninguna función de localización: ni comando de localización, ni historial, ni ajuste en la configuración. No es una opción desactivada, es una función ausente del modo. En los dispositivos Android propiedad de la empresa la situación es la contraria: existen la localización periódica y el geoperímetro con aviso por correo, y el administrador puede forzar la activación. Diga usted mismo dónde está esa frontera. Es el punto que más desconfianza genera en un comité de empresa.
RGPD. Un MDM es, ante todo, una herramienta para las medidas técnicas del artículo 32: demostrar el cifrado del almacenamiento, exigir bloqueo por código, cerrar el acceso a los recursos corporativos desde equipos con versiones obsoletas. Añada el contrato de encargado de tratamiento del artículo 28 con el proveedor y una evaluación de impacto cuando el sistema permita un seguimiento sistemático, que en la práctica es casi siempre. Lo desarrollamos en nuestro artículo sobre RGPD y gestión de dispositivos móviles.
Sector público y ENS. El Real Decreto 311/2022 convierte al Esquema Nacional de Seguridad en un filtro de hecho para cualquier licitación pública, y el CCN mantiene un catálogo específico de productos aprobados (CPSTIC, guía CCN-STIC 140) donde figuran soluciones de gestión de dispositivos. Si su organización es una administración pública, empiece por ahí antes de mirar funciones. Para el sector privado, las guías del INCIBE sobre movilidad y BYOD son un buen punto de partida para redactar la política de uso.
Sobre NIS2, una advertencia: España todavía no ha completado la transposición, y ningún proveedor de MDM le proporciona el cumplimiento de la directiva. Una herramienta de gestión cubre parte de las medidas del artículo 21 (control de acceso, criptografía, inventario de activos, nivel de parches, doble factor) y no cubre el análisis de riesgos, la seguridad de la cadena de suministro, las obligaciones de notificación ni la formación. La palabra honesta es parcialmente.
Dispositivos personales o de empresa
Esta decisión va antes de elegir producto, porque determina qué métodos de inscripción y qué políticas necesita.
Dispositivos de empresa. El equipo pertenece a la compañía y el uso personal se permite o se prohíbe por política. Usted controla configuración, aplicaciones y restablecimiento. Es lo normal en logística, retail, construcción e industria, a menudo con hardware resistente y modo quiosco para una única aplicación.
Dispositivos personales (BYOD). En un Android personal, las aplicaciones y los datos de trabajo residen en un perfil de trabajo, un espacio separado que impone el propio Android. La consola solo lista las aplicaciones instaladas en ese perfil de trabajo; las del lado personal no aparecen. En un iPhone personal, la inscripción instala un perfil de gestión que limita la herramienta a las aplicaciones y cuentas que distribuye la empresa.
Una matización que conviene conocer antes de que la pregunte el comité: en iOS eso no es un contenedor técnico. Las exigencias de código de acceso y parte de las restricciones actúan sobre el dispositivo entero, no solo sobre las aplicaciones de trabajo. Al salir un empleado, el administrador elimina el perfil de trabajo en Android o los datos gestionados en iOS. En un Android personal, el propio sistema limita el comando de borrado a eliminar el perfil de trabajo: restablecer de fábrica un equipo personal no es posible desde la consola. Lo explicamos con detalle en la página de dispositivos personales en la empresa.
Dos límites que conviene fijar en la planificación: el BYOD se aplica a iOS y Android, mientras que los PC con Windows y los Mac se gestionan como dispositivos de empresa; y el uso del móvil personal para trabajar no se puede imponer, requiere voluntariedad y un acuerdo escrito.
Las funciones que de verdad separan a los productos
Las listas de características de los fabricantes tienen cientos de líneas. Cuatro apartados marcan la diferencia real.
Inscripción
Pregunte por la inscripción zero-touch: Apple Business Manager para iPhone y Mac, Android zero-touch y Knox Mobile Enrollment para Android. El dispositivo va del distribuidor al puesto de trabajo y llega configurado al primer encendido. Sin esa vía, cada equipo se prepara a mano, y eso deja de escalar alrededor de los cincuenta dispositivos. Además necesitará inscripción por código QR para el parque ya en circulación y una vía específica para los equipos personales.
Configuración y políticas de seguridad
Wi-Fi con certificado corporativo, VPN, cuentas de correo, todo sin que el usuario teclee nada. Y las políticas que resisten una auditoría: longitud mínima del código, bloqueo automático, versión mínima del sistema, verificación del cifrado, acceso condicional que aparta a los equipos no conformes de los recursos corporativos. Lo decisivo es la granularidad: políticas por grupo, por sede, por tipo de dispositivo. Un único juego de reglas para todos no le sirve a ninguna empresa con más de dos equipos de trabajo.
Distribución de aplicaciones
Repartir aplicaciones públicas mediante Managed Google Play y Apple Business Manager lo hace cualquier herramienta. La diferencia aparece con las aplicaciones internas: sus propios archivos APK e IPA, con control de versiones, dirigidos a grupos concretos y retirados cuando el empleado se marcha. Ahí es donde suspenden las herramientas ligeras. Revise también la configuración gestionada de aplicaciones, que permite precargar direcciones de servidor e identificadores antes de que el usuario abra la aplicación por primera vez.
Soporte remoto
Cuando la tablet de un técnico se queda bloqueada a trescientos kilómetros, el soporte remoto decide el tiempo de resolución. En varios proveedores la visualización y el control de pantalla son un módulo de pago aparte. Pregúntelo antes de comparar precios.
MDM, EMM y UEM
Tres siglas para el mismo mercado, con distinto alcance. MDM cubre el dispositivo: inscripción, configuración, políticas y comandos remotos. EMM añade la gestión de aplicaciones y de documentos corporativos. UEM extiende todo eso a cualquier endpoint, incluidos PC con Windows, Mac y equipos IoT, desde la misma consola.
En la práctica, casi todas las soluciones MDM actuales ya incluyen funciones EMM y los fabricantes usan los términos de forma intercambiable. Así que no discuta la sigla: pregunte por sistemas operativos y profundidad de gestión. Si macOS o Windows pesan mucho en su parque de dispositivos, pruébelos por separado en lugar de dar por hecho que están al nivel de la parte móvil.
Nube o instalación propia, y la cuestión de la jurisdicción
La nube es la opción normal: el proveedor opera el servidor, usted trabaja en la consola web y la puesta en marcha se mide en horas. La instalación en sus propios servidores solo compensa con redes aisladas o requisitos muy específicos, y consume personal de forma permanente.
En materia de soberanía, la pregunta útil no es dónde están los datos, sino quién puede acceder a ellos. Un centro de datos en Madrid no protege de nada si la matriz del proveedor es estadounidense y queda sujeta a la Cloud Act.
En nuestro caso, para que quede por escrito: Appaloosa es una empresa francesa, con alojamiento en Francia, sin matriz estadounidense y sin transferencias internacionales. Lo que no tenemos: certificación ISO 27001 ni conformidad declarada con el Esquema Nacional de Seguridad. La infraestructura de alojamiento está cualificada SecNumCloud por la ANSSI, la agencia francesa de ciberseguridad, y esa cualificación corresponde a la infraestructura, no al producto. Es la clase de distinción que un pliego serio acaba preguntando.
Cuatro errores que salen caros
- Dejar el terreno legal para el final. La política de uso del artículo 87 y la información sobre geolocalización se preparan a la vez que la prueba técnica, no la semana antes del despliegue.
- Comprar para el parque de hoy. Cien iPad ahora, herramienta orientada a Apple, y seis meses después operaciones despliega lectores Android. Acabará con dos consolas.
- Confundir una demostración con un piloto. Inscriba de quince a veinte equipos reales, distribuya sus propias aplicaciones internas y pruebe los casos límite: un dispositivo una semana sin conexión y de vuelta. Revertir una versión de una aplicación. Cuánto tarda en ejecutarse un borrado.
- Mirar solo el precio de tarifa. La horquilla habitual va de dos a ocho euros por dispositivo y mes. Con doscientos equipos, esa diferencia supera los diez mil euros al año, y los módulos de soporte remoto, modo quiosco o informes vuelven a mover la cuenta.
Por dónde empezar
Cuente primero sus dispositivos por sistema operativo, propiedad y uso. Defina después una base de seguridad deliberadamente corta, que crezca con los incidentes reales y no con los hipotéticos. Dé de alta Apple Business Manager y Android Enterprise, ambos gratuitos y necesarios para gestionar con profundidad. Y redacte la política de uso en paralelo a la selección técnica.
Una solución MDM es hoy tecnología madura. La diferencia entre un despliegue de cuatro semanas y uno de ocho meses casi nunca está en el software.