Wat betekent Mobile Application Management?
Mobile Application Management is beheer op app- en gegevensniveau. De organisatie bepaalt bijvoorbeeld dat zakelijke bestanden alleen in goedgekeurde apps mogen worden geopend, dat een extra pincode nodig is en dat bedrijfsgegevens niet zomaar naar een privéapp mogen worden gekopieerd.
Bij Microsoft wordt dit doorgaans ingericht met Intune App Protection Policies. De focus ligt op de zakelijke gegevens binnen ondersteunde apps, niet op volledige controle over het privétoestel.
Wat is het verschil tussen MAM en volledig apparaatbeheer?
Bij volledig apparaatbeheer, vaak Mobile Device Management of MDM genoemd, wordt het toestel als apparaat ingeschreven. De organisatie kan dan meer technische eigenschappen en instellingen beheren. Dat is logisch voor een bedrijfstelefoon, maar kan te ver gaan voor een privétoestel.
MAM zonder apparaatinschrijving biedt een beperktere, privacyvriendelijkere vorm. Zakelijke apps en data worden beschermd, terwijl privéapps, privéfoto’s en persoonlijke berichten buiten het beheer blijven.
- MAM: bescherming van zakelijke apps en gegevens.
- MDM: beheer van het apparaat en bredere apparaatinstellingen.
- De juiste keuze hangt af van eigendom, risico, privacy en gebruiksscenario.
Wat kan de organisatie wel en niet zien?
Goede medewerkerscommunicatie is essentieel. MAM geeft een werkgever niet automatisch toegang tot privéfoto’s, privéberichten, de volledige browsergeschiedenis of persoonlijke apps. De organisatie kan wel gegevens verwerken die nodig zijn om zakelijke toegang en beleid toe te passen.
Welke gegevens precies zichtbaar zijn, hangt af van de gekozen configuratie en aanvullende beveiligingsproducten. Leg daarom vooraf in gewone taal uit wat wordt gecontroleerd, waarom dat nodig is en bij wie medewerkers vragen kunnen stellen.
- Wel: status van zakelijke app-beveiliging en zakelijke accountcontext.
- Wel: afdwingen van regels voor bedrijfsgegevens in ondersteunde apps.
- Niet automatisch: privéfoto’s, privéberichten en inhoud van privéapps.
- Niet: het wissen van alle privégegevens via een selectieve MAM-wipe.
Welke regels kan MAM toepassen?
De organisatie kiest regels passend bij risico en gebruikerservaring. Strenger is niet altijd beter. Wanneer beleid dagelijks onnodig blokkeert, zoeken medewerkers omwegen en daalt het draagvlak.
- Extra pincode of biometrie voordat zakelijke gegevens openen.
- Kopiëren en plakken tussen zakelijke en privéapps beperken.
- Zakelijke bestanden alleen in goedgekeurde opslaglocaties bewaren.
- Minimumversie van besturingssysteem of app eisen.
- Zakelijke toegang blokkeren op een gecompromitteerd toestel.
- Zakelijke data selectief verwijderen bij uitdiensttreding.
Praktijkvoorbeeld: Outlook op een eigen telefoon
Een medewerker installeert Outlook en meldt zich aan met het zakelijke account. De app vraagt om een pincode en voorkomt dat een vertrouwelijke bijlage wordt opgeslagen in een onbeheerde privéapp. Teams en OneDrive kunnen de zakelijke gegevens wel onderling delen omdat ze binnen dezelfde beschermde app-groep vallen.
Wanneer de medewerker uit dienst gaat, kan de organisatie de zakelijke gegevens uit de beheerde apps verwijderen. De persoonlijke foto’s, contacten en andere privégegevens blijven op het toestel staan.
Waar moet je vóór invoering over beslissen?
Begin niet met policies, maar met scenario’s. Wie heeft mobiele toegang nodig? Welke apps en gegevens zijn betrokken? Wat is het risico wanneer gegevens buiten de zakelijke app belanden? En hoe ondersteun je medewerkers die niet kunnen of willen deelnemen?
Voer beleid eerst in met een pilotgroep die verschillende typen telefoons en gebruikers vertegenwoordigt. Test niet alleen de ideale route, maar ook vergeten pincodes, oude appversies, nieuwe toestellen, uitdiensttreding en privacyvragen.
- Doelgroepen en uitzonderingen.
- Ondersteunde apps en minimale versies.
- Privacy-uitleg en medewerkerscommunicatie.
- Supportproces en herstelstappen.
- Optionele aanvullende bescherming met Microsoft Defender.
- Evaluatiemoment na de pilot.