Seguridad y experiencia del usuario
La seguridad es importante para cualquier organización, pero hay que encontrar el equilibrio entre la seguridad y la experiencia del usuario. Por ejemplo, es posible que tenga un entorno muy seguro que resulte difícil de usar para los usuarios. O, al contrario, es posible que su entorno resulte tan fácil de usar que el control del acceso no sea tan estricto como debiera. En las demás secciones de este manual virtual se tratan detalladamente las funciones de seguridad. El propósito de este artículo es ofrecer una visión general de los problemas de seguridad comunes y las opciones de seguridad disponibles en Citrix Endpoint Management.
Estas son algunas consideraciones clave que debe tener en cuenta para cada caso de uso:
- ¿Quiere proteger determinadas aplicaciones, todo el dispositivo o ambos?
- ¿Cómo quiere que los usuarios se autentiquen? ¿Quiere utilizar LDAP, la autenticación por certificado o una combinación de ambos?
- ¿Cuánto tiempo quiere que dure la sesión de un usuario antes de que se acabe el tiempo? Tenga en cuenta que existen valores de tiempo de espera diferentes para los servicios en segundo plano, Citrix ADC y para el acceso a aplicaciones sin conexión.
- ¿Quiere que los usuarios configuren una clave de acceso a nivel de dispositivo y aplicación? ¿Cuántos intentos de inicio de sesión quiere permitir? Tenga en cuenta los requisitos adicionales de autenticación por aplicación que se pueden implementar con MAM y cómo los pueden percibir los usuarios.
- ¿Qué otras restricciones quiere imponer a los usuarios? ¿Quiere dar a los usuarios acceso a servicios en la nube, como Siri? ¿Qué pueden hacer con cada aplicación que se ponga a su disposición y qué no pueden hacer? ¿Quiere implementar directivas de redes (Wi-Fi) en la empresa para impedir que se consuman planes de datos móviles en las oficinas?
Aplicación y dispositivo
Uno de los primeros aspectos a plantearse es si quiere proteger:
- Solo determinadas aplicaciones (administración de aplicaciones móviles o MAM)
- Todo el dispositivo (administración de dispositivos móviles o MDM).
- MDM+MAM
Lo más frecuente es que, si no requiere control a nivel de dispositivo, solo necesitará administrar aplicaciones móviles, sobre todo si la organización admite los dispositivos Bring Your Own Device (BYOD).
Los usuarios cuyos dispositivos no administre Citrix Endpoint Management pueden instalarse aplicaciones a través del almacén de aplicaciones. En lugar de controles a nivel de dispositivo (como el borrado completo o selectivo de datos), se puede controlar el acceso a las aplicaciones a través de directivas de aplicaciones. Según los valores que se establezcan, las directivas requieren que el dispositivo consulte periódicamente Citrix Endpoint Management para confirmar que las aplicaciones aún se pueden ejecutar.
MDM permite proteger un dispositivo completo, incluida la capacidad de realizar un inventario de todo el software presente en un dispositivo. MDM permite impedir la inscripción si el dispositivo está liberado por jailbreak, rooting o tiene instalado software no seguro. Sin embargo, asumir este nivel de control hace que los usuarios sean reacios a permitir tanto poder sobre sus dispositivos personales, con lo que puede que se reduzcan las tasas de inscripción.
Autenticación
La autenticación es donde se lleva a cabo una gran parte de la experiencia del usuario. Si la organización ya ejecuta Active Directory, usar Active Directory es la forma más sencilla de que los usuarios accedan al sistema.
Otra parte importante de la experiencia de autenticación de los usuarios son los tiempos de espera. Un entorno de alta seguridad puede hacer que los usuarios inicien sesión cada vez que accedan al sistema. Es posible que esa opción no sea ideal para todas las organizaciones o casos de uso.
Entropía de usuario
Para obtener una mayor seguridad, puede habilitar una función llamada entropía de usuario. Citrix Secure Hub y otras aplicaciones a menudo comparten datos comunes (como contraseñas, números PIN y certificados) para garantizar que todo funciona correctamente. Esta información se almacena en una caja fuerte genérica dentro de Citrix Secure Hub. Si habilita la entropía de usuario a través de la opción Encrypt Secrets (cifrar secretos), Citrix Endpoint Management crea una caja fuerte llamada “UserEntropy”. Citrix Endpoint Management traslada la información desde la caja fuerte genérica a esta nueva caja. Para que Citrix Secure Hub u otra aplicación accedan a los datos, los usuarios deben escribir una contraseña o PIN.
Habilitar la entropía de usuario agrega otra capa de autenticación en varios lugares. Por eso, siempre que una aplicación requiera acceso a datos compartidos en la caja fuerte “UserEntropy” (incluidas contraseñas, números PIN y certificados), los usuarios deben autenticarse.
Puede obtener más información sobre la entropía de usuario en Acerca de MDX Toolkit. Para activar la entropía de usuario, dispone de la configuración relacionada en las Propiedades del cliente.
Directivas
Las directivas MDX y MDM ofrecen una gran flexibilidad a las organizaciones, pero también pueden imponer restricciones a los usuarios. Puede que esa restricción le convenga en algunas situaciones, pero las directivas también pueden dar lugar a un sistema que no se pueda usar. Por ejemplo, puede que le interese bloquear el acceso a aplicaciones en la nube (como Siri o iCloud), con las que se pueden enviar datos confidenciales a destinos externos. Puede configurar una directiva para bloquear el acceso a estos servicios, pero tenga en cuenta que dicha directiva puede tener consecuencias no deseadas. Por ejemplo, el micrófono del teclado de iOS depende del acceso a la nube.
Aplicaciones
La administración de movilidad empresarial (EMM) se divide en la administración de dispositivos móviles (MDM) y la administración de aplicaciones móviles (MAM). Si bien MDM permite a las organizaciones proteger y controlar dispositivos móviles, MAM facilita la administración y la entrega de aplicaciones. Con el creciente uso de dispositivos BYOD, generalmente se puede implementar una solución MAM, como Citrix Endpoint Management, para lo siguiente:
- entrega de aplicaciones
- licencias de software
- configuración
- administración del ciclo de vida de las aplicaciones
Con Citrix Endpoint Management, puede agregar más seguridad a esas aplicaciones mediante directivas MAM y configuraciones de VPN específicas para evitar filtraciones de datos y otras amenazas a la seguridad. Citrix Endpoint Management proporciona a las organizaciones la flexibilidad necesaria para incluir la funcionalidad MDM y MAM en un mismo entorno.
Además de la capacidad de entregar aplicaciones a los dispositivos móviles, Citrix Endpoint Management ofrece la contenedorización de aplicaciones a través de la tecnología MDX. MDX protege las aplicaciones mediante un cifrado independiente del cifrado al nivel del dispositivo proporcionado por la plataforma. Puede borrar o bloquear aplicaciones. Las aplicaciones están sujetas a controles concisos basados en directivas. Los proveedores de software independientes (ISV) pueden aplicar estos controles mediante el Mobile Apps SDK.
En un entorno corporativo, los usuarios utilizan una variedad de aplicaciones móviles para desempeñar su trabajo. Las aplicaciones pueden ser: aplicaciones procedentes de la tienda pública, aplicaciones propias desarrolladas internamente o aplicaciones nativas. Citrix Endpoint Management clasifica estas aplicaciones de la siguiente manera:
Aplicaciones públicas: Este grupo contiene las aplicaciones, gratuitas o de pago, disponibles en una tienda pública de aplicaciones, como App Store de Apple o Google Play. Los proveedores externos a la organización suelen poner sus aplicaciones disponibles en las tiendas públicas de aplicaciones. Esta opción permite a sus clientes descargar las aplicaciones directamente desde Internet. Puede utilizar varias aplicaciones públicas en su organización, según las necesidades de los usuarios. GoToMeeting, Salesforce y EpicCare son ejemplos de tales aplicaciones.
Citrix no admite la descarga de archivos binarios de aplicación directamente desde tiendas públicas de aplicaciones y, a continuación, su empaquetado con el MDX Toolkit para la distribución empresarial. Para habilitar para MDX aplicaciones de terceros, póngase en contacto con su proveedor de aplicaciones para obtener los binarios de aplicación. Puede empaquetar los binarios con MDX Toolkit o integrar el SDK de MAM con los binarios.
Aplicaciones internas: Muchas organizaciones tienen desarrolladores internos que crean aplicaciones con una funcionalidad específica y que se desarrollan y distribuyen de manera independiente dentro de la organización. En ciertos casos, algunas organizaciones también pueden tener aplicaciones proporcionadas por los ISV. Puede implementar esas aplicaciones como nativas, o puede colocarlas en un contenedor mediante una solución MAM, como Citrix Endpoint Management. Por ejemplo, una organización de asistencia sanitaria puede crear una aplicación interna que permita a los médicos ver la información del paciente en dispositivos móviles. En ese caso, la organización puede habilitar el SDK de MAM o empaquetar con MDM la aplicación a fin de proteger la información del paciente y permitir el acceso por VPN al servidor back-end de la base de datos de pacientes.
Aplicaciones web y SaaS: Este grupo incluye aquellas aplicaciones a las que se puede acceder a través de una red interna (aplicaciones web) o a través de una red pública (aplicaciones SaaS). Citrix Endpoint Management también permite crear aplicaciones web y SaaS personalizadas mediante una lista de conectores de aplicaciones. Esos conectores de aplicaciones pueden facilitar el inicio Single Sign-On (SSO) en las aplicaciones web existentes. Para obtener más información, consulte Tipos de conectores de aplicaciones. Por ejemplo, puede usar Google Apps SAML para Single Sign-On basado en SAML (Security Assertion Markup Language) en aplicaciones de Google Apps.
Aplicaciones móviles de productividad: Se trata de aplicaciones desarrolladas por Citrix que se incluyen con la licencia de Citrix Endpoint Management. Para obtener más información, consulte Acerca de las aplicaciones móviles de productividad. Citrix también ofrece otras aplicaciones preparadas para empresas. Los ISV desarrollan aplicaciones de negocio con la ayuda de Mobile Apps SDK.
Aplicaciones HDX: Se trata de aplicaciones alojadas en Windows que se publican con StoreFront. Si dispone de un entorno de Citrix Virtual Apps and Desktops, puede integrar las aplicaciones en Citrix Endpoint Management para que estén disponibles a los usuarios inscritos.
La configuración y la arquitectura subyacentes varían según el tipo de aplicaciones móviles a implementar y administrar a través de Citrix Endpoint Management. Por ejemplo, varios grupos de usuarios con diferentes niveles de permisos utilizan una sola aplicación. En ese caso, puede crear grupos de entrega independientes para implementar dos versiones separadas de la misma aplicación. Además, deberá asegurarse de que la pertenencia a cada grupo de usuarios se excluya mutuamente, para evitar discrepancias entra las directivas que se apliquen a los dispositivos de los usuarios.
También sería conveniente administrar las licencias de las aplicaciones iOS a través de las compras por volumen de Apple. Esta opción requiere que se registre en el Programa de compras por volumen de Apple. Además, debe usar la consola de Citrix Endpoint Management para configurar las opciones de compra por volumen. Esta configuración permite distribuir las aplicaciones con las licencias de compras por volumen. Dada la variedad de estos casos de uso, es importante analizar y planificar la estrategia de MAM que va a seguir antes de implementar el entorno de Citrix Endpoint Management. Para comenzar a planificar su estrategia de MAM, defina lo siguiente:
Tipos de aplicaciones: Muestra los diferentes tipos de aplicaciones que estarán disponibles. A continuación, categorice las aplicaciones (web, públicas, nativas, móviles de productividad de Citrix, internas e ISV). Además, clasifique las aplicaciones según las diferentes plataformas de dispositivo (como iOS y Android). Esta categorización ayuda a alinear las configuraciones de Citrix Endpoint Management necesarias para cada tipo de aplicación. Por ejemplo, es posible que algunas aplicaciones no cumplan los requisitos para el empaquetado. O bien, algunas aplicaciones pueden requerir el uso del SDK de aplicaciones móviles para habilitar las API específicas para la interacción con otras aplicaciones.
Requisitos de red: Las aplicaciones que tengan requisitos específicos de acceso a la red deben configurarse con los parámetros adecuados. Por ejemplo, ciertas aplicaciones pueden necesitar acceder a la red interna por VPN. En cambio, otras aplicaciones pueden requerir que el acceso a Internet se enrute a través de la zona DMZ. Para permitir que esas aplicaciones se conecten a la red requerida, debe configurar varios parámetros según corresponda. Defina los requisitos de red por aplicación para adelantarse a la finalización de las decisiones de arquitectura. Esa tarea agiliza el proceso general de implementación.
Requisitos de seguridad: Defina los requisitos de seguridad que se aplicarán a aplicaciones individuales o a todas las aplicaciones. Las configuraciones, como las directivas MDX, se aplican a aplicaciones individuales. Las configuraciones de sesión y autenticación se aplican a todas las aplicaciones. Algunas aplicaciones pueden presentar requisitos específicos de cifrado, contenedorización, empaquetado, autenticación, geocercas, código de acceso o uso compartido de datos. Debe prever esos requisitos para facilitar la implementación.
Requisitos de implementación: Puede que le interese una implementación basada en directivas si quiere permitir que solo los usuarios conformes descarguen las aplicaciones publicadas. Por ejemplo, puede interesarle que ciertas aplicaciones requieran que:
- El cifrado por plataforma de dispositivos está habilitado
- El dispositivo está administrado
- El dispositivo tiene una versión mínima del sistema operativo
- Ciertas aplicaciones están disponibles solo para usuarios de empresa
Debe esbozar dichos requisitos con antelación para configurar las acciones o las reglas de implementación apropiadas.
Requisitos de licencia: Registre los requisitos de licencia relacionados con las aplicaciones. Estas notas le ayudarán a administrar de manera efectiva el uso de las licencias y a decidir si necesita configurar funciones específicas en Citrix Endpoint Management para optimizar la gestión de licencias. Por ejemplo, si implementa una aplicación iOS gratuita o de pago, Apple aplica requisitos de licencia a la aplicación porque obliga a los usuarios a iniciar sesión en su cuenta de App Store. Puede registrarse en el Programa de compras por volumen de Apple para distribuir y administrar esas aplicaciones a través de Citrix Endpoint Management. El Programa de compras por volumen permite a los usuarios descargar las aplicaciones sin tener que iniciar sesión en la cuenta del App Store. Además, las herramientas (como Samsung Knox) presentan requisitos especiales de licencia que debe cumplir antes de implementar esas funciones.
Requisitos de lista de bloqueados o lista de permitidos: Es probable que quiera impedir que los usuarios instalen o utilicen algunas aplicaciones. Cree una lista de aplicaciones bloqueadas que cambian el estado de un dispositivo a no conforme. A continuación, configure las directivas para que se activen cuando un dispositivo pase a ser no conforme. Por otro lado, puede que acepte el uso de una aplicación, pero esta se incluya en la lista de aplicaciones bloqueadas por una razón u otra. En ese caso, puede agregar la aplicación a una lista de aplicaciones permitidas e indicar que se puede usar, pero no es obligatoria. Además, tenga en cuenta que las aplicaciones ya instaladas en los dispositivos nuevos pueden incluir algunas aplicaciones de uso común que no forman parte del sistema operativo. Estas aplicaciones pueden entrar en conflicto con su estrategia de listas de aplicaciones bloqueadas.
Aplicaciones: caso de uso
Una organización de asistencia sanitaria quiere implementar Citrix Endpoint Management como solución MAM para sus aplicaciones móviles. Las aplicaciones móviles se entregan a usuarios de empresa y usuarios BYOD. El departamento de TI decide entregar y administrar las siguientes aplicaciones:
- Aplicaciones móviles de productividad: Aplicaciones iOS y Android que proporciona Citrix.
- Citrix Files: Aplicación para acceder a datos compartidos y para compartir, sincronizar y modificar archivos.
Tienda pública de aplicaciones
- Citrix Secure Hub: Cliente que utilizan todos los dispositivos móviles para comunicarse con Citrix Endpoint Management. El departamento de TI envía los parámetros de seguridad, las configuraciones y las aplicaciones móviles a los dispositivos móviles a través del cliente de Citrix Secure Hub. Los dispositivos Android y iOS se inscriben en Citrix Endpoint Management a través de Citrix Secure Hub.
- Aplicación Citrix Workspace: Aplicación móvil que permite a los usuarios abrir las aplicaciones para móviles alojadas en Citrix Virtual Apps.
- GoToMeeting: Un cliente de reuniones en línea, uso compartido de escritorios y videoconferencias que permite a los usuarios reunirse con clientes, colegas u otros usuarios de equipos a través de Internet en tiempo real.
- SalesForce1: Permite a los usuarios acceder a Salesforce desde dispositivos móviles, y reúne todos los procesos de negocio y las aplicaciones personalizadas, Chatter y CRM, en una experiencia unificada para cualquier usuario de Salesforce.
- RSA SecurID: Token basado en software para la autenticación de dos factores.
-
Aplicaciones EpicCare: Estas aplicaciones ofrecen a los profesionales de la salud un acceso seguro y portátil a los gráficos de pacientes, las listas de pacientes, los horarios y los mensajes.
- Haiku: Aplicación móvil para teléfonos Android y iPhone.
- Canto: Aplicación móvil para el iPad.
- Rover: Aplicaciones móviles para iPhone y iPad.
HDX: Citrix Virtual Apps entrega aplicaciones HDX a Citrix Workspace.
- Epic Hyperspace: Aplicación cliente de Epic para la administración electrónica de registros de salud.
ISV
- Vocera: Aplicación móvil de mensajería y VoIP compatible con HIPAA, que extiende las ventajas de la tecnología de voz de Vocera para poder aprovecharlas en cualquier momento y cualquier lugar desde smartphones iPhone y Android.
Aplicaciones internas
- HCMail: Aplicación que ayuda a redactar mensajes cifrados, buscar en las libretas de direcciones en servidores de correo interno y enviar los mensajes cifrados a los contactos mediante un cliente de correo electrónico.
Aplicaciones web internas
- PatientRounding: Aplicación web utilizada para registrar la información sanitaria del paciente por diferentes departamentos.
- Outlook Web Access: Permite el acceso al correo electrónico a través de un explorador web.
- SharePoint: Se usa para compartir archivos y datos por toda la organización.
En la tabla siguiente, se muestra la información básica necesaria para la configuración de MAM.
| Nombre de la aplicación | Tipo de aplicación | Empaquetado MDX | iOS | Android |
|---|---|---|---|---|
| Citrix Secure Mail | Aplicación móvil de productividad | No a partir de la versión 10.4.1 | Sí | Sí |
| Citrix Secure Web | Aplicación móvil de productividad | No a partir de la versión 10.4.1 | Sí | Sí |
| Citrix Files | Aplicación móvil de productividad | No a partir de la versión 10.4.1 | Sí | Sí |
| Citrix Secure Hub | Aplicación pública | NA | Sí | Sí |
| Aplicación Citrix Workspace | Aplicación pública | NA | Sí | Sí |
| GoToMeeting | Aplicación pública | NA | Sí | Sí |
| SalesForce1 | Aplicación pública | NA | Sí | Sí |
| RSA SecurID | Aplicación pública | NA | Sí | Sí |
| Epic Haiku | Aplicación pública | NA | Sí | Sí |
| Epic Canto | Aplicación pública | NA | Sí | No |
| Epic Rover | Aplicación pública | NA | Sí | No |
| Epic Hyperspace | Aplicación HDX | NA | Sí | Sí |
| Vocera | Aplicación de ISV | Sí | Sí | Sí |
| HCMail | Aplicación interna | Sí | Sí | Sí |
| PatientRounding | Aplicación web | NA | Sí | Sí |
| Outlook Web Access | Aplicación web | NA | Sí | Sí |
| SharePoint | Aplicación web | NA | Sí | Sí |
En la siguiente tabla, se ofrece una lista de los requisitos específicos que puede consultar para la configuración de directivas MAM en Citrix Endpoint Management.
| Nombre de la aplicación | Se requiere VPN | Interacción (con aplicaciones fuera del contenedor) | Interacción (desde aplicaciones fuera del contenedor) | Cifrado por plataforma de dispositivos |
|---|---|---|---|---|
| Citrix Secure Mail | S | Se permite de manera selectiva | Se permite | No se requiere |
| Citrix Secure Web | S | Se permite | Se permite | No se requiere |
| Citrix Files | S | Se permite | Se permite | No se requiere |
| Citrix Secure Hub | S | N/D | N/D | N/D |
| Aplicación Citrix Workspace | S | N/D | N/D | N/D |
| GoToMeeting | N | N/D | N/D | N/D |
| SalesForce1 | N | N/D | N/D | N/D |
| RSA SecurID | N | N/D | N/D | N/D |
| Epic Haiku | S | N/D | N/D | N/D |
| Epic Canto | S | N/D | N/D | N/D |
| Epic Rover | S | N/D | N/D | N/D |
| Epic Hyperspace | S | N/D | N/D | N/D |
| Vocera | S | Bloqueada | Bloqueada | No se requiere |
| HCMail | S | Bloqueada | Bloqueada | Si son necesarias |
| PatientRounding | S | N/D | N/D | Si son necesarias |
| Outlook Web Access | S | N/D | N/D | No se requiere |
| SharePoint | S | N/D | N/D | No se requiere |
| Nombre de la aplicación | Filtrado de proxy | Licencias | Geocerca | Mobile Apps SDK | Versión mínima del sistema operativo |
|---|---|---|---|---|---|
| Citrix Secure Mail | Si son necesarias | N/D | Se requiere de manera selectiva | N/D | Se aplica |
| Citrix Secure Web | Si son necesarias | N/D | No se requiere | N/D | Se aplica |
| Secure Notes | Si son necesarias | N/D | No se requiere | N/D | Se aplica |
| Citrix Files | Si son necesarias | N/D | No se requiere | N/D | Se aplica |
| Citrix Secure Hub | No se requiere | Compras por volumen | No se requiere | N/D | No se aplica |
| Aplicación Citrix Workspace | No se requiere | Compras por volumen | No se requiere | N/D | No se aplica |
| GoToMeeting | No se requiere | Compras por volumen | No se requiere | N/D | No se aplica |
| SalesForce1 | No se requiere | Compras por volumen | No se requiere | N/D | No se aplica |
| RSA SecurID | No se requiere | Compras por volumen | No se requiere | N/D | No se aplica |
| Epic Haiku | No se requiere | Compras por volumen | No se requiere | N/D | No se aplica |
| Epic Canto | No se requiere | Compras por volumen | No se requiere | N/D | No se aplica |
| Epic Rover | No se requiere | Compras por volumen | No se requiere | N/D | No se aplica |
| Epic Hyperspace | No se requiere | N/D | No se requiere | N/D | No se aplica |
| Vocera | Si son necesarias | N/D | Si son necesarias | Si son necesarias | Se aplica |
| HCMail | Si son necesarias | N/D | Si son necesarias | Si son necesarias | Se aplica |
| PatientRounding | Si son necesarias | N/D | No se requiere | N/D | No se aplica |
| Outlook Web Access | Si son necesarias | N/D | No se requiere | N/D | No se aplica |
| SharePoint | Si son necesarias | N/D | No se requiere | N/D | No se aplica |
Comunidades de usuarios
Cada organización consta de diversas comunidades de usuarios que operan en diferentes roles funcionales. Estas comunidades de usuarios realizan diferentes tareas y funciones de oficina mediante diversos recursos que usted proporciona a través de los dispositivos de usuario. Los usuarios pueden trabajar desde casa o en oficinas remotas mediante dispositivos móviles que usted proporcione. O bien, los usuarios pueden usar dispositivos móviles personales, lo que les permite acceder a herramientas que están sujetas a ciertas reglas de seguridad.
A medida que más comunidades de usuarios comienzan a utilizar dispositivos móviles en el trabajo, la administración de la movilidad empresarial (EMM) se vuelve vital para evitar la filtración de datos. EMM también es fundamental para hacer cumplir las restricciones de seguridad de una organización. Para una administración eficiente y más sofisticada de dispositivos móviles, puede categorizar las comunidades de los usuarios. Eso simplifica la asignación de los usuarios a los recursos y garantiza que se apliquen las directivas de seguridad correspondientes a los usuarios indicados.
El siguiente ejemplo ilustra cómo se clasifican para EMM las comunidades de usuarios de una organización de asistencia sanitaria.
Comunidades de usuarios: caso de uso
Esta organización sanitaria de ejemplo ofrece recursos tecnológicos y acceso a varios usuarios, incluidos los voluntarios, los empleados en la red y los empleados asociados. La organización ha decidido aplicar la solución EMM solo para usuarios no ejecutivos.
En esta organización, las funciones y los roles se pueden dividir en estos subgrupos: sanitarios, no sanitarios y contratistas. Unos usuarios concretos reciben dispositivos móviles de empresa, mientras que otras personas pueden acceder a recursos limitados de la empresa desde sus dispositivos personales. Para hacer cumplir el nivel apropiado de restricciones de seguridad y evitar la filtración de datos, la organización decidió que el departamento de TI corporativo administrara cada dispositivo inscrito. Estos dispositivos pueden ser propiedad de la empresa o Bring Your Own Device (BYOD). Además, los usuarios pueden inscribir un solo dispositivo.
La siguiente sección ofrece una descripción general de los roles y las funciones de cada subgrupo:
Sanitarios
- Enfermeros
- Médicos (doctores, cirujanos, etc.)
- Especialistas (dietistas, anestesiólogos, radiólogos, cardiólogos, oncólogos, etc.)
- Médicos externos (médicos que no son empleados y empleados de oficina que trabajan desde oficinas remotas)
- Servicios de cuidados a domicilio (empleados de oficina y móviles que desempeñan tareas de cuidado sanitario en visitas a domicilio de los pacientes)
- Especialista en investigación (trabajadores intelectuales y usuarios avanzados en seis institutos de investigación que realizan investigaciones clínicas para buscar respuestas a problemas en Medicina)
- Educación y formación (enfermeros, médicos y especialistas en educación y formación)
No sanitarios
- Servicios compartidos (empleados de oficina que realizan varias funciones administrativas, entre ellas: recursos humanos, nóminas, contabilidad y servicio de cadena de suministro)
- Servicios médicos (empleados de oficina que realizan diversos servicios de administración de cuidados médicos, servicios administrativos y procesos comerciales para proveedores, incluidos: servicios administrativos, análisis e inteligencia empresarial, sistemas de negocio, servicios al cliente, finanzas, gestión de cuidados realizados, soluciones de acceso a pacientes, soluciones de ciclo de ingresos, etc.)
- Servicios de asistencia técnica (empleados de oficina que realizan varias funciones no clínicas, por ejemplo: gestión de ganancias y beneficios, integración clínica, comunicaciones, compensación y gestión del rendimiento, servicios de instalaciones y propiedades, sistemas de tecnología de recursos humanos, servicios de información, auditoría interna y mejora de procesos, etc.)
- Programas filantrópicos (empleados de oficina y móviles que realizan diversas funciones en apoyo a programas filantrópicos)
Contratistas
- Socios de fabricantes y proveedores (in situ y conectados de forma remota a través de la VPN de sitio a sitio, ofrecen varias funciones de asistencia no sanitaria)
En función de la información anterior, la organización crea las siguientes entidades. Para obtener más información acerca de los grupos de entrega en Citrix Endpoint Management, consulte Implementar recursos.
Grupos y unidades organizativas (OU) de Active Directory
Como OU = Recursos de Citrix Endpoint Management:
- OU = Sanitarios; Groups =
- XM-Enfermería
- XM-Médicos
- XM-Especialistas
- XM-Médicos externos
- XM-Servicios de cuidados a domicilio
- XM-Especialista en investigación
- XM-Educación y formación
- OU = No sanitarios; Groups =
- XM-Servicios compartidos
- XM-Servicios médicos
- XM-Servicios de asistencia técnica
- XM-Programas filantrópicos
Grupos y usuarios locales de Citrix Endpoint Management
Como Group= Contratistas, Users =
- Proveedor1
- Proveedor2
- Proveedor3
- … Proveedor10
Grupos de entrega de Citrix Endpoint Management
- Sanitario-Enfermeros
- Sanitario-Médicos
- Sanitario-Especialistas
- Sanitario-Médicos externos
- Sanitario-Servicios de cuidados a domicilio
- Sanitario-Especialista en investigación
- Sanitario-Educación y formación
- No-Sanitario-Servicios compartidos
- No-Sanitario-Servicios médicos
- No-Sanitario-Servicios de asistencia técnica
- No-Sanitario-Programas filantrópicos
Asignación de grupos de usuario y grupos de entrega
| Usar grupos de Active Directory | Grupos de entrega de Citrix Endpoint Management |
|---|---|
| XM-Enfermería | Sanitario-Enfermeros |
| XM-Médicos | Sanitario-Médicos |
| XM-Especialistas | Sanitario-Especialistas |
| XM-Médicos externos | Sanitario-Médicos externos |
| XM-Servicios de cuidados a domicilio | Sanitario-Servicios de cuidados a domicilio |
| XM-Especialista en investigación | Sanitario-Especialista en investigación |
| XM-Educación y formación | Sanitario-Educación y formación |
| XM-Servicios compartidos | No-Sanitario-Servicios compartidos |
| XM-Servicios médicos | No-Sanitario-Servicios médicos |
| XM-Servicios de asistencia técnica | No-Sanitario-Servicios de asistencia técnica |
| XM-Programas filantrópicos | No-Sanitario-Programas filantrópicos |
Asignación de recursos y grupos de entrega
En las siguientes tablas, se indican los recursos asignados a cada grupo de entrega en este caso de uso. La primera tabla contiene las asignaciones de aplicaciones móviles. La segunda tabla muestra la aplicación pública, las aplicaciones HDX y los recursos de administración de dispositivos.
| Grupos de entrega de Citrix Endpoint Management | Aplicaciones móviles de Citrix | Aplicaciones móviles públicas | Aplicaciones móviles HDX |
|---|---|---|---|
| Sanitario-Enfermeros | X | ||
| Sanitario-Médicos | |||
| Sanitario-Especialistas | |||
| Sanitario-Médicos externos | X | ||
| Sanitario-Servicios de cuidados a domicilio | X | ||
| Sanitario-Especialista en investigación | X | ||
| Sanitario-Educación y formación | X | X | |
| No-Sanitario-Servicios compartidos | X | X | |
| No-Sanitario-Servicios médicos | X | X | |
| No-Sanitario-Servicios de asistencia técnica | X | X | X |
| No-Sanitario-Programas filantrópicos | X | X | X |
| Contratistas | X | X | X |
| Grupos de entrega de Citrix Endpoint Management | Aplicación pública: RSA SecurID | Aplicación pública: EpicCare Haiku | Aplicación HDX: Epic Hyperspace | Directiva de código de acceso | Restricciones de dispositivo | Acciones automatizadas | Directiva de redes |
|---|---|---|---|---|---|---|---|
| Sanitario-Enfermeros | X | ||||||
| Sanitario-Médicos | X | ||||||
| Sanitario-Especialistas | |||||||
| Sanitario-Médicos externos | |||||||
| Sanitario-Servicios de cuidados a domicilio | |||||||
| Sanitario-Especialista en investigación | |||||||
| Sanitario-Educación y formación | X | X | |||||
| No-Sanitario-Servicios compartidos | X | X | |||||
| No-Sanitario-Servicios médicos | X | X | |||||
| No-Sanitario-Servicios de asistencia técnica | X | X |
Notas y consideraciones
- Citrix Endpoint Management crea un grupo de entrega predeterminado llamado AllUsers (Todos los usuarios) durante la configuración inicial. Si no inhabilita este grupo de entrega, todos los usuarios de Active Directory tendrán derecho a inscribirse en Citrix Endpoint Management.
- Citrix Endpoint Management sincroniza los grupos y los usuarios de Active Directory a demanda mediante una conexión dinámica al servidor LDAP.
- Si un usuario forma parte de un grupo que no está asignado en Citrix Endpoint Management, dicho usuario no podrá inscribirse. Del mismo modo, si un usuario es miembro de varios grupos, Citrix Endpoint Management solo clasifica al usuario como perteneciente a los grupos asignados a Citrix Endpoint Management.
Requisitos de seguridad
La cantidad de consideraciones de seguridad al implementar un entorno de Citrix Endpoint Management puede convertirse rápidamente en abrumadora. Hay muchas piezas y parámetros interconectados. Por consiguiente, no es fácil saber por dónde empezar o qué elegir para garantizar un nivel aceptable de protección. Para simplificar estas opciones, Citrix ofrece recomendaciones para un nivel de seguridad alto, superior y máximo, como se describe en la siguiente tabla.
Las cuestiones de seguridad por sí solas no dictan el modo de inscribir los dispositivos: MAM, MDM+MAM con MDM optativo o MDM+MAM con MDM obligatorio. También es importante revisar los requisitos del caso de uso y decidir si puede mitigar los problemas de seguridad antes de elegir el modo de administración.
Alto: Usar estas configuraciones proporciona una experiencia de usuario óptima, al mismo tiempo que se mantiene un nivel básico de seguridad aceptable para la mayoría de las organizaciones.
Superior: Estas configuraciones logran un mayor equilibrio entre seguridad y usabilidad.
Máximo: Seguir estas recomendaciones proporciona un alto nivel de seguridad a costa de la usabilidad y el aumento de la cantidad de usuarios.
Consideraciones sobre seguridad en el modo de administración
La siguiente tabla contiene los modos de administración para cada nivel de seguridad.
| High Security (Nivel alto de seguridad) | Higher Security (Mayor nivel de seguridad) | Highest Security (El mayor nivel de seguridad) |
|---|---|---|
| MAM, MDM+MAM | MDM+MAM | MDM+MAM |
Notas:
- Dependiendo del caso de uso, una implementación de solo MAM podría cumplir los requisitos de seguridad y proporcionar una buena experiencia de usuario.
- Para casos de uso como BYOD, donde todos los requisitos de empresa y de seguridad pueden cumplirse solo con contenedores de aplicaciones, Citrix recomienda el modo solo MAM.
- Para entornos de alta seguridad (y dispositivos que distribuyan las empresas), Citrix recomienda MDM+MAM para utilizar todas las capacidades de seguridad disponibles.
Consideraciones sobre la seguridad de Citrix ADC y NetScaler Gateway
La siguiente tabla contiene recomendaciones de Citrix ADC y NetScaler Gateway para cada nivel de seguridad.
| High Security (Nivel alto de seguridad) | Higher Security (Mayor nivel de seguridad) | Highest Security (El mayor nivel de seguridad) |
|---|---|---|
| Se recomienda Citrix ADC. Se requiere NetScaler Gateway para MAM y MDM+MAM. | Configuración estándar del asistente de NetScaler para XenMobile con puente SSL si Citrix Endpoint Management está en la zona DMZ. | Descarga de SSL con cifrado de extremo a extremo |
Notas:
- Exponer el servidor de Citrix Endpoint Management a Internet a través de NAT o proxies/equilibradores de carga de terceros podría ser una opción para MDM. Sin embargo, en ese caso, el tráfico SSL termina en un servidor de Citrix Endpoint Management, lo que supone un riesgo potencial para la seguridad.
- Para entornos de alta seguridad, NetScaler Gateway con la configuración predeterminada de Citrix Endpoint Management cumple o supera los requisitos de seguridad.
- Para inscripciones en MDM con las necesidades de seguridad máxima, la finalización de SSL en NetScaler Gateway permite inspeccionar el tráfico en el perímetro, al mismo tiempo que se mantiene el cifrado SSL de extremo a extremo.
- Opciones para definir cifrados SSL/TLS.
- Para obtener más información, consulte Integrar en NetScaler Gateway y Citrix ADC.
Consideraciones sobre seguridad para la inscripción
La siguiente tabla contiene recomendaciones de Citrix ADC y NetScaler Gateway para cada nivel de seguridad.
| High Security (Nivel alto de seguridad) | Higher Security (Mayor nivel de seguridad) | Highest Security (El mayor nivel de seguridad) |
|---|---|---|
| Solo miembros del grupo de Active Directory. Inhabilitado el grupo de entrega Todos los usuarios. | Modo de seguridad de inscripción solo por invitación. Solo miembros del grupo de Active Directory. Inhabilitado el grupo de entrega Todos los usuarios. | Modo de seguridad de inscripción vinculado al ID del dispositivo. Solo miembros del grupo de Active Directory. Inhabilitado el grupo de entrega Todos los usuarios. |
Notas:
- Por regla general, Citrix recomienda que restrinja la inscripción a solamente aquellos usuarios que formen parte de los grupos predefinidos de Active Directory. Esta restricción requiere inhabilitar el grupo de entrega integrado Todos los usuarios.
- Puede utilizar las invitaciones de inscripción para restringir la inscripción a los usuarios que tengan una invitación. Las invitaciones de inscripción no están disponibles para dispositivos Windows.
- Puede usar invitaciones de inscripción con PIN de un solo uso (OTP) como una solución de dos factores. Así también puede controlar la cantidad de dispositivos que un usuario puede inscribir (las invitaciones con OTP no están disponibles para dispositivos Windows).
Consideraciones sobre la seguridad de los códigos de acceso de dispositivo
Esta tabla contiene las recomendaciones para el código de acceso de dispositivo en cada nivel de seguridad.
| High Security (Nivel alto de seguridad) | Higher Security (Mayor nivel de seguridad) | Highest Security (El mayor nivel de seguridad) |
|---|---|---|
| Recomendado. Se requiere un nivel alto de seguridad para el cifrado a nivel de dispositivo. Puede aplicarse con MDM. Se puede configurar como obligatorio solo para MAM mediante la directiva MDX Comportamiento de dispositivos no conformes. | Se aplica mediante una directiva MDM, MAM o MDM+MAM. | Aplicado mediante una directiva MDM y MDX. Directiva MDM “Código de acceso complejo”. |
Notas:
- Citrix recomienda usar un código de acceso de dispositivo.
- Puede aplicar un código de acceso de dispositivo a través de una directiva MDM.
- Puede usar una directiva MDX para hacer que un código de acceso de dispositivo sea un requisito para usar aplicaciones administradas; por ejemplo, para casos de uso de BYOD.
- Citrix recomienda combinar las opciones de directivas MDM y MDX para una mayor seguridad en las inscripciones con MDM+MAM.
- Para entornos con los requisitos máximos de seguridad, puede configurar directivas “Código de acceso complejo” y aplicarlas con MDM. Puede configurar acciones automáticas que notifiquen a los administradores, o puede emitir borrados selectivos o completos cuando un dispositivo no sigue una directiva de código de acceso.