PDF de programación - Gestión de dispositivos móviles MDM

SIN CLASIFICAR

GUÍA DE SEGURIDAD DE LAS TIC

(CCN-STIC-457)



Gestión de dispositivos móviles:

MDM (Mobile Device Management)












































NOVIEMBRE 2013

SIN CLASIFICAR

CCN-STIC-457



Gestión de dispositivos móviles: MDM

SIN CLASIFICAR





























Edita:


 Editor y Centro Criptológico Nacional, 2013
NIPO: 002-13-040-7

Fecha de Edición: noviembre de 2013
Raúl Siles, fundador y analista de seguridad de Taddong S.L., ha participado en la elaboración y modificación del
presente documento y sus anexos.

LIMITACIÓN DE RESPONSABILIDAD

El presente documento se proporciona de acuerdo con los términos en él recogidos, rechazando expresamente
cualquier tipo de garantía implícita que se pueda encontrar relacionada. En ningún caso, el Centro Criptológico
Nacional puede ser considerado responsable del daño directo, indirecto, fortuito o extraordinario derivado de la
utilización de la información y software que se indican incluso cuando se advierta de tal posibilidad.

AVISO LEGAL

Quedan rigurosamente prohibidas, sin la autorización escrita del Centro Criptológico Nacional, bajo las sanciones
establecidas en las leyes, la reproducción parcial o total de este documento por cualquier medio o procedimiento,
comprendidos la reprografía y el tratamiento informático, y la distribución de ejemplares del mismo mediante alquiler
o préstamo públicos.




Centro Criptológico Nacional



2



SIN CLASIFICAR

CCN-STIC-457



Gestión de dispositivos móviles: MDM

SIN CLASIFICAR

PRÓLOGO

El uso masivo de las tecnologías de la información y las telecomunicaciones (TIC), en todos los
ámbitos de la sociedad, ha creado un nuevo espacio, el ciberespacio, donde se producirán
conflictos y agresiones, y donde existen ciberamenazas que atentarán contra la seguridad
nacional, el estado de derecho, la prosperidad económica, el estado de bienestar y el normal
funcionamiento de la sociedad y de las administraciones públicas.

La Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, encomienda
al Centro Nacional de Inteligencia el ejercicio de las funciones relativas a la seguridad de las
tecnologías de la información en su artículo 4.e), y de protección de la información clasificada en
su artículo 4.f), a la vez que confiere a su Secretario de Estado Director la responsabilidad de
dirigir el Centro Criptológico Nacional en su artículo 9.2.f).

Partiendo del conocimiento y la experiencia del CNI sobre amenazas y vulnerabilidades en
materia de riesgos emergentes, el Centro realiza, a través de su Centro Criptológico Nacional,
regulado por el Real Decreto 421/2004, de 12 de marzo, diversas actividades directamente
relacionadas con la seguridad de las TIC, orientadas a la formación de personal experto, a la
aplicación de políticas y procedimientos de seguridad, y al empleo de tecnologías de seguridad
adecuadas.

Una de las funciones más destacables del Centro Criptológico Nacional es la de elaborar y difundir
normas, instrucciones, guías y recomendaciones para garantizar la seguridad de los sistemas de las
tecnologías de la información y las comunicaciones de la Administración, materializada en la
existencia de la serie de documentos CCN-STIC.

Disponer de un marco de referencia que establezca las condiciones necesarias de confianza en el uso
de los medios electrónicos es, además, uno de los principios que establece la ley 11/2007, de
22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos, en su artículo
42.2 sobre el Esquema Nacional de Seguridad (ENS).

Precisamente el Real Decreto 3/2010 de 8 de Enero de desarrollo del Esquema Nacional de
Seguridad fija los principios básicos y requisitos mínimos así como las medidas de protección a
implantar en los sistemas de la Administración, y promueve la elaboración y difusión de guías de
seguridad de las tecnologías de la información y las comunicaciones por parte de CCN para
facilitar un mejor cumplimiento de dichos requisitos mínimos.

En definitiva, la serie de documentos CCN-STIC se elabora para dar cumplimiento a los
cometidos del Centro Criptológico Nacional y a lo reflejado en el Esquema Nacional de
Seguridad, conscientes de la importancia que tiene el establecimiento de un marco de referencia en
esta materia que sirva de apoyo para que el personal de la Administración lleve a cabo su difícil, y
en ocasiones, ingrata tarea de proporcionar seguridad a los sistemas de las TIC bajo su
responsabilidad.


Noviembre de 2013



Félix Sanz Roldán
Secretario de Estado

Director del Centro Criptológico Nacional

Centro Criptológico Nacional



3



SIN CLASIFICAR

CCN-STIC-457



Gestión de dispositivos móviles: MDM

SIN CLASIFICAR

ÍNDICE

1

INTRODUCCIÓN .................................................................................................................... 6

2 OBJETO ................................................................................................................................. 7

3 ALCANCE ............................................................................................................................... 8

4 ENTORNO DE APLICACIÓN DE ESTA GUÍA ........................................................................ 9
NORMA DE SEGURIDAD PARA LOS DISPOSITIVOS MÓVILES ................................ 12
4.1
AMENAZAS DE SEGURIDAD SOBRE LOS DISPOSITIVOS MÓVILES ....................... 14
4.2
INVENTARIO Y MONITORIZACIÓN DE LOS DISPOSITIVOS MÓVILES ..................... 15
4.3
BYOD (BRING YOUR OWN DEVICE) Y BYOA (BRING YOUR OWN APP) ................. 17
4.4
4.5 GESTIÓN LOCAL DE DISPOSITIVOS MÓVILES ......................................................... 20
4.6
SOLUCIONES MDM EN LA INDUSTRIA ...................................................................... 21
4.6.1 GOOGLE (ANDROID) ............................................................................................. 21
4.6.2
BLACKBERRY ........................................................................................................ 23
4.6.3
APPLE (IOS) ........................................................................................................... 23
4.6.4 MICROSOFT (WINDOWS PHONE) ........................................................................ 24
SOLUCIONES MDM DE TERCEROS ..................................................................... 24
4.6.5
4.6.6
SOLUCIONES DE GESTIÓN BASADAS EN UN CONTENEDOR .......................... 27

38

5.2.1

5.1
5.2

5 CARACTERÍSTICAS Y CAPACIDADES DE LAS SOLUCIONES MDM ................................ 30
CARACTERÍSTICAS GENERALES Y FORMATO DE LA SOLUCIÓN MDM ................ 30
REGISTRO DE LOS DISPOSITIVOS MÓVILES EN LA SOLUCIÓN MDM ................... 32
SCEP: SIMPLE CERTIFICATE ENROLLMENT PROTOCOL ................................. 34
5.3
INVENTARIO Y MONITORIZACIÓN ............................................................................. 35
5.4 GESTIÓN DE LA(S) POLÍTICA(S) DE SEGURIDAD CORPORATIVA(S) ..................... 37
5.5
CARACTERÍSTICAS DE LA(S) POLÍTICA(S) DE SEGURIDAD CORPORATIVAS ...... 38
5.5.1 RESTRICCIONES EN EL HARDWARE Y SOFTWARE DEL DISPOSITIVO MÓVIL

5.5.2 GESTIÓN DEL CÓDIGO DE ACCESO ................................................................... 39
5.5.3
PROTECCIÓN REMOTA ........................................................................................ 41
5.5.4 GESTIÓN Y BORRADO DE DATOS REMOTO ...................................................... 42
5.5.5
SERVICIOS DE LOCALIZACIÓN ............................................................................ 45
5.5.6 GESTIÓN DE LOS DATOS ALMACENADOS EN EL DISPOSITIVO MÓVIL .......... 46
5.5.7 DETECCIÓN DE JAILBREAK O ROOT .................................................................. 47
5.5.8 GESTIÓN DE CERTIFICADOS DIGITALES ........................................................... 48
5.5.9 GESTIÓN DE LAS COMUNICACIONES ................................................................ 49
5.5.10 GESTIÓN DE VPN .................................................................................................. 52
5.5.11 GESTIÓN DE CORREO ELECTRÓNICO ............................................................... 53
5.5.12 GESTIÓN DE NAVEGACIÓN WEB ........................................................................ 54
5.5.13 GESTIÓN DE APPS ............................................................................................... 55

6.1.1

6 CARACTERÍSTICAS Y CAPACIDADES DE GESTIÓN DE LAS DIFERENTES
PLATAFORMAS MÓVILES ........................................................................................................ 63
6.1 GESTIÓN DE ANDROID ............................................................................................... 63
ARQUITECTURA DE GESTIÓN MDM DE ANDROID ............................................ 64
6.2 GESTIÓN DE BLACKBERRY........................................................................................ 65
ARQUITECTURA DE GESTIÓN MDM DE BLACKBERRY ..................................... 66
BLACKBERRY 10 ................................................................................................... 66
6.3 GESTIÓN DE IOS ......................