Android-werkprofiel: beleidseffecten en BYOD-grenzen controleren

Het Android Enterprise-werkprofielbeleid in Sophos Mobile geldt voor apparaten in de beheermodus Android Enterprise work profile. Het bevat onder meer instellingen voor wachtwoorden, beperkingen, apps, Google Play en e-mail. Het beleid is relevant voor BYOD, maar de naam garandeert niet dat elke instelling alleen het werkprofiel raakt. Dit concept brengt de gedocumenteerde effecten in kaart; het is geen goedgekeurd beleidssjabloon en bevat geen aanbevolen drempelwaarden.

BYOD-stop: Wijs in productie geen wisdrempel voor mislukte aanmeldpogingen toe en sta geen uitwisseling van contacten en gegevens tussen werk- en privégedeelte toe zonder goedkeuring van de verantwoordelijken voor privacy en gegevensverlies. Controleer vooraf back-ups en herstelmogelijkheden, accepteer uitdrukkelijk het resterende risico voor privégegevens en test de effecten op de betrokken Android-versies en apparaten. De Sophos-documentatie garandeert geen terugdraaimogelijkheid en evenmin behoud van privégegevens.

Kort onderscheid: Apparaatvergrendeling (Android 11 en ouder): een daarvoor beschikbare en ingestelde drempel voor mislukte aanmeldpogingen kan het hele apparaat wissen. Werkprofielvergrendeling: een daarvoor beschikbare en ingestelde drempel voor mislukte aanmeldpogingen wist het werkprofiel. Beheeracties voor wissen vormen een afzonderlijke context die van de beheerinterface afhangt; ze zijn geen gevolg van deze drempels voor mislukte aanmeldpogingen.

Apparaat- en werkprofielvergrendeling: wat wordt wanneer gewist?

Password policies – Device: Deze instellingen betreffen de schermvergrendeling van het hele apparaat. Voor Android 12+ beschrijft Sophos de complexiteitsniveaus Low/Medium/High, maar noemt daar geen veld Maximum sign-in attempts. Houd rekening met SMCAND-3170 voordat u op deze apparaatvergrendeling vertrouwt. Het oudere Password policy - Device vraagt op werkprofielapparaten met Android 12 of hoger niet om een apparaatwachtwoord als er nog geen is ingesteld. Sophos noemt de met Sophos Fusion Mobile Release 2024.24 geïntroduceerde vervangende configuratie voor Android 12 en de geïnstalleerde Sophos Mobile Control-versie 9.7.10339 als vereisten. Daaruit volgt geen bevestigde compatibiliteit van alle latere clientversies. Controleer vóór goedkeuring de passende configuratie en clientversie, en de daadwerkelijke wachtwoordvraag en het vergrendelingseffect op het testapparaat; het opgeslagen beleid alleen bewijst die niet. Bij Android 11 en ouder toont Sophos dit veld alleen voor Simple password, PIN or password, Alphanumeric password en Complex password, niet voor Pattern, PIN or password: na het ingestelde aantal onjuiste aanmeldpogingen wordt het apparaat gewist – niet alleen het profiel. Beveel voor privéapparaten geen standaarddrempel voor mislukte aanmeldpogingen aan; bespreek vooraf persoonlijke back-ups, mogelijk gegevensverlies, de precieze effecten per OS en apparaat en de toestemming.

Password policies – Work profile: Het ontgrendelwachtwoord hoort bij het werkprofiel. Maximum sign-in attempts wordt getoond voor Simple password, PIN or password, Alphanumeric password en Complex password, niet voor Pattern, PIN or password of Weak biometric recognition. Na het daar ingestelde aantal onjuiste aanmeldpogingen wordt het werkprofiel gewist, inclusief de apps en gegevens ervan. De daadwerkelijke beschikbaarheid van afzonderlijke instellingen hangt ook af van het apparaat en de Android-versie; Sophos verwijst hiervoor naar de aanduidingen in Mobile Admin. Plan vooraf het herstel van werkgegevens en herregistratie; dit is geen apparaatreset, maar ook geen vergrendeling zonder gevolgen.

Administratieve offboarding:

• Sophos Mobile Admin: Een volledige externe Wipe is niet beschikbaar voor werkprofielapparaten. Wipe Android work profile verwijdert het werkprofiel met de bijbehorende apps en gegevens; daarna toont Mobile Admin het apparaat als Unenrolled. Als de gebruiker het profiel al heeft verwijderd, kan het apparaat de opdracht niet meer ontvangen.
• Sophos Fusion Admin: De actie die daar Wipe heet, verwijdert volgens Sophos bij werkprofielapparaten alleen het profiel. Ook voor Wipe in Android-taskbundels geldt een profielspecifieke uitzondering. Geen van beide is een gevolg van de drempel voor mislukte aanmeldpogingen bij de apparaatvergrendeling.

Bespreek vóór destructieve acties de beheerinterface, beheermodus, het taaktype en het doelapparaat met de verantwoordelijke voor offboarding; de naam van de actie garandeert niet dat privégegevens behouden blijven.

Volledig beheerde Android Enterprise-apparaten vallen onder een andere beheermodus: bij uitschrijving beschrijft Sophos daarvoor een fabrieksreset. Dat is geen standaard voor BYOD-werkprofielen.

Afzonderlijk compliancebeleid: Deze apparaatconfiguratie is geen compliancebeleid. Afzonderlijk toegewezen complianceregels kunnen via Deny email e-mailtoegang weigeren (alleen beschikbaar als een verbinding met de Sophos Mobile EAS-proxy is geconfigureerd) of een taskbundel versturen; Sophos waarschuwt dat verkeerd geconfigureerde bundels apparaten kunnen wissen. Het algemene overzicht van complianceacties beschrijft Lock container voor Android Enterprise als het blokkeren van alle apps met zes uitzonderingen; de afzonderlijke uitspraak over uitgeschakelde apps heeft uitdrukkelijk betrekking op volledig beheerde apparaten. Voor werkprofielapparaten beschrijft Sophos daarentegen bij Set container access / Auto mode dat een overtreding van een regel met Lock container het werkprofiel, de bijbehorende apps en meldingen blokkeert. Daarmee is niet aangetoond of de complianceactie privé-apps op een specifiek BYOD-werkprofielapparaat blokkeert of dat ze bruikbaar blijven. Controleer de effecten op privé-apps van het concrete werkprofielapparaat vóór toestemming en handhaving. Het hierboven beschreven wisgevolg na mislukte aanmeldpogingen is geen algemene compliancemaatregel. Controleer vóór een BYOD-pilot afzonderlijk met de verantwoordelijken welke regels, acties en bundels aan de apparaatgroep zijn toegewezen; leid hieruit geen automatische oplossing of veilige standaardconfiguratie af.

Beperkingen: kijk naar de gegevensstroom, niet naar ‘alleen werk’

Restrictions wordt bij het aanmaken van het werkprofielbeleid automatisch toegevoegd en kan niet worden verwijderd. Leg vóór een wijziging vast in welke richting gegevens stromen, wie daardoor wordt geraakt en hoe de wijziging wordt gevolgd en teruggedraaid.

Overige instellingen en hun grenzen

Vraag vóór elke toewijzing: Wat werkt uitsluitend binnen het werkprofiel en wat moet afzonderlijk worden ingericht of gecontroleerd?

• App Control: Een app-groep (een lijst met geselecteerde apps) bepaalt welke apps niet mogen worden gestart. Dit installeert geen apps en vormt ook geen aangetoonde blokkade van alle privé-apps; controleer de groepsleden en het opstartgedrag op een testapparaat. Controleer vóór het gericht blokkeren van Chrome de WebView-afhankelijkheden van de werk-apps. Sophos beschrijft in SMCAND-2931 een werkprofielscenario vanaf Android 8 waarin de interne WebView-app standaard is uitgeschakeld en pas wordt ingeschakeld als Chrome is ingeschakeld. Afhankelijke apps kunnen anders niet meer werken. Dit foutscenario zegt niets over elk huidig apparaat of elke latere Android-versie; controleer de betrokken apps op het beoogde testapparaat.
• App permissions: Alleen runtime-machtigingen van werk-apps zijn te beheren. Vanaf Android 12 kan het beheer de machtigingen voor locatie, camera, microfoon, lichaamssensoren en fysieke activiteit niet namens de gebruiker verlenen, maar wel weigeren. Auto-accept/Auto-deny voorkomt dat gebruikers die later wijzigen; toegankelijkheidsfuncties en batterijoptimalisatie kunnen nog steeds om actie van de gebruiker vragen. Controleer de standaardinstelling en app-uitzonderingen per OS-versie.
• App Protection: Een gedeeld wachtwoord voor geselecteerde werk-apps is geen volledige toegangsbeveiliging: toegang via andere apps of systeemfuncties en via de modus met meerdere vensters kan plaatsvinden zonder deze wachtwoordvraag. Test vóór ingebruikname de app-groep, de respijtperiode (de tijd zonder nieuwe wachtwoordvraag) en alternatieve toegangsroutes.
• Google Play: Het beleid regelt de toegang tot goedgekeurde apps of alle Google Play-apps in de Play Store van het werkprofiel, en voorkeuren voor automatische updates. Goedkeuring, beschikbaarstelling en verwijdering van apps zijn afzonderlijke processen.
• Password services: Het toestaan of blokkeren van wachtwoordmanagers betreft alleen het werkprofiel; Allow system apps is alleen beschikbaar in de modus voor toestaan en kan de standaardwachtwoordmanager van de fabrikant uitzonderen. Controleer vóór beperkende lijsten de toegang en herstelmogelijkheden.
• Email account: Sophos configureert een Exchange-account in Gmail binnen het werkprofiel. Al bestaande, oudere beheerde Gmail-configuraties krijgen voorrang, ook als ze leeg zijn. Voor placeholders zijn de Exchange-aanmeldnaam en het e-mailadres in Sophos Fusion nodig; voor Gmail met OAuth moet Chrome in het werkprofiel geïnstalleerd zijn. Vergelijk na een wijziging van de Exchange-aanmeldnaam door de ADSync Utility, vóór beschikbaarstelling met $username of %_USERNAME_%, de waarde Exchange login in Sophos Fusion onder People met het gebruikersobject onder Mobile > People. Volgens SMCSRV-15474 kan Mobile de oude waarde behouden en daardoor onjuiste placeholderwaarden versturen. Stop bij afwijkende waarden de beschikbaarstelling en bespreek dit met de verantwoordelijken. Sophos beschrijft een wekelijkse synchronisatie op tenantafhankelijke tijdstippen, geen gegarandeerde termijn voor een oplossing. Ook terugdraaien is beperkt: volgens SMCAND-2929 blijft een overgebracht Exchange-account in het werkprofiel staan als het beleid wordt verwijderd. Een andere Email-configuratie kan de bestaande vervangen; volgens dit foutscenario kan het account zelf alleen worden verwijderd door het hele werkprofiel te verwijderen. Houd daarbij rekening met de hierboven genoemde voorrangsregel voor oudere Gmail-configuraties. Dit is geen toestemming om het profiel te verwijderen; dat blijft een afzonderlijk goedgekeurd, destructief offboardingscenario waarbij de werkprofiel-apps en -gegevens verloren gaan. Bespreek het cloud-eindpunt, EAS-compatibiliteit en certificaatcontrole afzonderlijk met de verantwoordelijke voor e-mail. Exchange Online accepteert geen Basic-verificatie voor EAS; de Sophos-opties Basic en Allow all certificates zijn geen toestemming om die als omweg te gebruiken.

Pas goedkeuren na controle op een testapparaat

Leg de beheermodus, Android-versie, het gedrag van apparaat en fabrikant, de Sophos-editie en tenant, het doelapparaat en de doelgroep, en afzonderlijke complianceregels vast. Leg vóór elke wijziging het bestaande beleid, de instellingen, versie en toewijzing voor de betrokken testgroep vast; controleer back-ups en herstelmogelijkheden. Observeer de levering en het effect op een vervangbaar testapparaat met toestemming van de gebruiker en persoonlijke testgegevens. Een beleid voor Android Enterprise-werkprofielen wordt onder Policies > Android > Create als het passende beleidstype aangemaakt en opgeslagen; wijs het pas na goedkeuring gericht toe aan een geselecteerd testapparaat of een testgroep. Een toewijzing in de console bewijst op zichzelf niet dat het beleid op het apparaat werkt: wacht op verbinding en synchronisatie en controleer beleidsversie en status op het doelapparaat, in Sophos Fusion zo nodig afzonderlijk voor de Google API en de MDM-agent. Plan profielverwijdering uitsluitend als een afzonderlijk destructief offboardingscenario.

Leg vooraf vast hoe u terugdraait: Een werkprofielbeleid kan niet met Uninstall policy worden verwijderd; werk in plaats daarvan het beleid bij aan de hand van de vastgelegde eerdere instellingen of wijs een ander, eerder getest beleid toe. Wijzigingen aan dit beleidstype worden bij de volgende verbinding van het apparaat met Sophos Mobile gesynchroniseerd, niet via het Update devices-proces voor oudere Android-apparaatbeleidsregels. Controleer na die verbinding opnieuw de toewijzing, versie, componentstatus en het daadwerkelijke gedrag op het apparaat. Komt de verbinding niet tot stand, meldt een component een afwijkende status of blijft het effect bestaan, meld het terugdraaien dan niet als voltooid en wijs het beleid niet in productie toe. Een beleidswijziging haalt gegevens die al naar het privégedeelte zijn gekopieerd niet terug en herstelt gewiste werkprofiel- of apparaatgegevens niet.

Niet-destructief voorbeeld: Kopieer bij een goedgekeurde wijziging van de klembordtoestemming testtekst vanuit een werk-app naar een privé-app; alleen de vooraf verwachte gegevensstroom mag optreden. Gebruik daarna de vastgestelde route voor bijwerken of een vervangend beleid en test na bevestigde synchronisatie opnieuw met nieuwe testtekst. Wijkt het gedrag af of blijft de toestemming van kracht, wijs het beleid dan niet in productie toe en bespreek dit met de verantwoordelijken voor privacy en mobiel beheer. Voer geen tests met wisdrempels voor mislukte pogingen uit op privéapparaten.

Zonder aangetoond effect, gecontroleerde herstelmogelijkheden en acceptatie van resterende risico’s op gegevensverlies: geen toewijzing of aanbeveling voor productie. Registratie en BYOD-toestemming, beschikbaarstelling van apps, wifi/VPN/SCEP, Exchange-verificatie, beleidstoewijzing en destructieve offboarding blijven afzonderlijke verantwoordelijkheden.