En løsning til administration af mobile enheder, ofte kaldet MDM, giver IT kontrol over firmatelefonerne. IT kan udrulle apps, kræve kode på skærmen, spærre en mistet telefon og slette den på afstand. Men MDM er administration, ikke indsigt. I kan typisk ikke læse medarbejderens beskeder, se fotos eller følge med i, hvad telefonen bruges til. Når der opstår en sag, er MDM derfor mest et værktøj til at bevare, ikke til at undersøge.
Artiklen er til IT-ansvarlige og HR, der skal vide, hvad MDM kan bruges til, når en medarbejder stopper i konflikt, eller når der opstår mistanke.
Hvad MDM typisk kan vise
Det varierer mellem løsninger som Microsoft Intune, Jamf og andre, og det afhænger af, hvordan telefonen er tilmeldt. Men groft sagt kan IT se:
- hvilke telefoner der er tilmeldt, med model, serienummer og styresystem,
- hvilken bruger telefonen er knyttet til,
- hvornår telefonen sidst meldte sig til systemet,
- hvilke apps virksomheden har udrullet, og ofte hvilke andre apps der er installeret på en firmaejet telefon,
- om telefonen overholder kravene, for eksempel kode og kryptering,
- en log over administrative handlinger, som spærring og sletning.
Det, MDM typisk ikke viser, er indholdet: sms, iMessage, WhatsApp, fotos, browserhistorik og private apps. Er telefonen en privat telefon med en arbejdsprofil, ser IT endnu mindre.
Spørg jeres IT-leverandør præcis, hvad jeres løsning viser. Svaret er ofte mindre, end ledelsen tror, og mere end medarbejderne tror. Få svaret skriftligt, så det kan bruges, både når I skriver IT-politikken, og når en sag opstår.
Det, MDM er godt til i en sag
MDM’s styrke er, at den kan forhindre, at beviser forsvinder.
- Stop fjernsletning. Er der en planlagt sletning ved fratrædelse, så sæt den på pause for den konkrete telefon.
- Spær telefonen uden at slette den. Mange løsninger kan låse telefonen eller sætte den i en mistet-tilstand. Det kan forhindre, at medarbejderen selv sletter den, hvis den ikke er afleveret.
- Gem oplysningerne om enheden. Eksportér eller tag skærmbilleder af telefonens oplysninger og loggen over handlinger, før kontoen lukkes. Når brugeren slettes, kan historikken forsvinde.
- Find telefonen. Nogle løsninger kan vise placering på firmaejede telefoner. Brug det kun, hvis det er beskrevet i jeres politik, og kun for at få telefonen tilbage.
- Dokumentér, at telefonen er virksomhedens. Registreringen i MDM er et godt bilag til, at telefonen er firmaejet og udleveret til en bestemt person.
→ Medarbejderen vil ikke aflevere computer eller firmatelefon
Fjernsletning: rutine eller tabt bevis
Mange virksomheder har en fast procedure: Når en medarbejder stopper, slettes telefonen på afstand. Det er fornuftigt af hensyn til datasikkerheden. Men hvis der er en sag, kan sletningen fjerne netop det, I skal bruge. Og den kan blive set som om, virksomheden selv har fjernet beviser.
Indfør derfor et enkelt stoppunkt i proceduren: Før IT sletter en telefon ved fratrædelse, spørger IT HR eller nærmeste leder, om der er en konflikt eller mistanke. Er svaret ja, eller er der tvivl, slettes der ikke.
→ Fjernsletning af firmatelefonen: bevisforspildelse eller rutine?
Hvad I ikke må bruge MDM til
MDM giver teknisk adgang til ting, som virksomheden ikke nødvendigvis har lov til at bruge. Reglerne om kontrol med medarbejdere og om persondata gælder også, når teknikken gør det let.
- Følg ikke telefonens placering løbende uden et klart formål og uden, at medarbejderne er orienteret.
- Installér ikke overvågningsapps via MDM for at læse med.
- Slet ikke en privat telefon helt, hvis den kun har en arbejdsprofil. Fjern arbejdsprofilen, ikke medarbejderens private data.
- Brug ikke listen over installerede apps til at drage konklusioner om medarbejderens privatliv.
Tjek jeres IT-politik, eventuel kontrolaftale og overenskomst. Kontrolforanstaltninger skal normalt varsles, og formålet skal være sagligt.
→ Hvad må arbejdsgiveren kontrollere?
Privat telefon med arbejdsprofil
Mange medarbejdere bruger deres egen telefon til arbejdsmail og Teams. Så er det typisk kun en arbejdsprofil eller nogle bestemte apps, der er tilmeldt MDM. Virksomheden styrer arbejdsdelen, men resten af telefonen er privat.
I en sag betyder det, at:
- IT kan fjerne arbejdsprofilen, men ikke sikre telefonens øvrige indhold,
- arbejdsdata i profilen ofte også findes i virksomhedens cloud, for eksempel i postkassen og OneDrive,
- beskeder sendt fra private apps som sms og WhatsApp ligger uden for virksomhedens rækkevidde.
Fjern ikke arbejdsprofilen, før I har sikret de arbejdsdata, der kun ligger lokalt på telefonen, hvis der er en sag. Og bed ikke medarbejderen om at aflevere en privat telefon uden at have talt med en advokat. Det er en helt anden situation end en firmaejet telefon.
Hvem gør hvad?
- HR · Fortæller IT om konflikt eller mistanke før sletning
- IT · Stopper sletning, spærrer og gemmer enhedsoplysninger
- Leder · Beslutter, om telefonen skal sikres
- IT-sagkyndig · Sikrer telefonens indhold, når den er afleveret
Når I skal have indholdet
Skal beskeder, opkaldshistorik eller fotos fra en firmatelefon bruges i en sag, skal telefonen sikres af en IT-sagkyndig. MDM kan ikke lave en forensisk kopi. Den sagkyndige laver et udtræk fra telefonen og dokumenterer, hvordan det er sket.
Indtil da skal telefonen opbevares rigtigt: opladet, uden for netværk hvis muligt, og uden at nogen bladrer i den. → Sådan opbevarer du en telefon, der skal sikres
Om virksomheden må gennemgå indholdet, er en anden sag. Det afhænger blandt andet af, hvad telefonen er brugt til, og hvad jeres politik siger. Sikring og gennemgang er to forskellige trin, og det første kan godt ske, før det andet er afklaret.
Forbered jer, før der sker noget
- ☐ Alle firmatelefoner er tilmeldt MDM, før de udleveres.
- ☐ Telefonerne er registreret til virksomheden, så aktiveringslås ikke kan låse dem til en privat konto. → Aktiveringslås og privat Apple-ID
- ☐ Det står i IT-politikken, hvad MDM bruges til, og hvad den ikke bruges til.
- ☐ Fratrædelsesproceduren har et stoppunkt før fjernsletning.
- ☐ IT ved, hvordan man eksporterer enhedsoplysninger og loggen over handlinger.
- ☐ Det er afklaret, hvem der må beslutte at spærre eller slette en telefon.
Hvornår skal I have hjælp udefra?
Få en IT-sagkyndig ind, når en firmatelefon kan blive et bevis, når den ikke er afleveret, eller når den allerede er slettet, og I skal vide, hvad der stadig kan findes. Den sagkyndige kan også hjælpe med at beskrive, hvad MDM-loggen viser, så den kan bruges som bilag.
Nielco IT er uvildig, sælger ikke MDM-løsninger og har ingen leverandørpartnerskaber. Er der risiko for, at telefonen slettes inden for få timer, så sig, at det haster. Hastesager koster ekstra. → Pris og tilbud
Læs også: Firmatelefonen er låst til medarbejderens private Apple-ID · Karantæne for udstyr fra fratrådte medarbejdere
→ Undersøgelse af firmatelefonen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
