MDM y MAM: qué gestiona cada uno

La gestión de dispositivos (MDM) trabaja sobre el aparato entero. El móvil se inscribe en una consola de la empresa y, a partir de ahí, la empresa puede configurarlo: exigir cifrado y bloqueo de pantalla, instalar o retirar apps, mantener un inventario con la versión del sistema y, si hace falta, borrarlo. Para que eso sea razonable, el aparato tiene que ser de la empresa o la persona tiene que haber aceptado esa relación.

La gestión de aplicaciones (MAM) trabaja sobre los datos dentro de cada app de la empresa y deja el aparato en paz. La política dice qué puede hacer la app con el dato: si deja copiar y pegar hacia apps personales, si exige su propio PIN, si guarda archivos solo en un espacio protegido. Y permite un borrado selectivo: quitar los datos de la empresa de esas apps sin tocar fotos, mensajes ni apps de la persona. No necesita inscribir el aparato, y por eso encaja con el móvil personal.

La decisión no es de moda ni de herramienta: depende de quién es el aparato y de cuánto control necesita la empresa sobre él. Se pueden combinar, y muchas empresas lo hacen.

Abre el laboratorio y lee la tabla dispositivos. La columna inscripcion dice cómo está cada móvil bajo control de la empresa: con MDM completa, con MDM de un perfil de trabajo, con MDM de usuario, solo con MAM, o de ninguna forma. Para cada modo, la tabla modos resume qué controla la empresa y qué no ve.

Un móvil sin ninguna gestión no es un detalle de inventario: es un aparato desde el cual alguien puede estar entrando a datos de la empresa, por ejemplo por el navegador, sin que ningún control de la empresa lo vea ni lo limite. El primer trabajo de un inventario es saber qué móviles hay y cuáles se escapan.

En el inventario hay móviles personales inscritos solo con MAM y uno sin inscribir. Aunque sus filas traen versión del sistema, cifrado y bloqueo, hay que leer de dónde sale ese dato: en los de solo MAM lo reporta cada app la última vez que se abrió, y en el que no está inscrito lo ve el servicio de identidad cuando la persona entra por el navegador. No es una evaluación del aparato ni una configuración impuesta.

Esa diferencia es la que importa al evaluar: la empresa puede saber que un móvil personal tiene un PIN débil y aun así no tener forma de exigir otro. Lo único que controla es lo que la app deja hacer con sus datos.

Proteger una app con MAM no es activar un interruptor: es una política con varias decisiones, y cada una puede dejar una fuga. La tabla apps_gestionadas recoge, para cada app de la empresa, si la política deja copiar datos a apps personales, si pide su propio PIN y si admite borrado selectivo. Todas están protegidas, pero no todas igual.

La lectura de seguridad es la de siempre: comparar lo que la política promete con lo que la configuración permite. Un aparato personal con una app protegida que deja copiar hacia una app personal tiene el dato de la empresa a un gesto de salir del espacio protegido.