Seguridad y experiencia del usuario

La seguridad es importante para cualquier organización, pero hay que encontrar el equilibrio entre la seguridad y la experiencia del usuario. Por un lado, puede que tenga un entorno muy seguro que sea muy difícil de usar para los usuarios. Por otro lado, su entorno puede ser tan fácil de usar que el control del acceso no sea tan estricto como debiera. Las demás secciones de este manual virtual cubren las características de seguridad en detalle, pero el propósito de este artículo es ofrecer una descripción general de las opciones de seguridad disponibles y hacerle pensar sobre los motivos comunes de preocupación en materia de seguridad en XenMobile.

Estas son algunas consideraciones clave que debe tener en cuenta para cada caso de uso:

  • ¿Quiere proteger determinadas aplicaciones, todo el dispositivo o ambos?
  • ¿Cómo quiere que los usuarios se autentiquen? ¿Utilizará LDAP, la autenticación basada en certificados o una combinación de ambos?
  • ¿Cuánto tiempo debe pasar antes de que se agote el tiempo de la sesión de un usuario? Tenga en cuenta que existen valores de tiempo de espera diferentes para los servicios en segundo plano, NetScaler y para el acceso a aplicaciones sin conexión.
  • ¿Quiere que los usuarios configuren una clave de acceso a nivel de dispositivo y/o aplicación? ¿Cuántos intentos de inicio de sesión quiere permitir a los usuarios? Tenga en cuenta los requisitos adicionales de autenticación por aplicación que se pueden implementar con MAM y cómo los pueden percibir los usuarios.
  • ¿Qué otras restricciones quiere imponer a los usuarios? ¿Deberían poder acceder a servicios en la nube del tipo Siri? ¿Qué pueden hacer con cada aplicación que se ponga a su disposición y qué no pueden hacer? ¿Debería implementar directivas de red inalámbrica en la empresa para impedir que se consuman planes de datos móviles en las oficinas?

Aplicación o Dispositivo

Una de las primeras cuestiones que debe plantearse es si debería proteger solo ciertas aplicaciones (administración de aplicaciones móviles o MAM) o si, en cambio, quiere administrar todo el dispositivo (administración de dispositivos móviles o MDM). Lo más frecuente es que, si no requiere control a nivel de dispositivo, solo necesitará administrar aplicaciones móviles, sobre todo si la organización admite los dispositivos Bring Your Own Device (BYOD).

Con un entorno solo MAM, los usuarios pueden acceder a los recursos disponibles para ellos. Las directivas MAM protegen y administran las aplicaciones.

MDM le permite proteger un dispositivo completo, incluida la capacidad de realizar un inventario de todo el software en un dispositivo o impedir la inscripción si el dispositivo está liberado por jailbreak, rooting o tiene instalado un software no seguro. Sin embargo, asumir este nivel de control hace que los usuarios sean reacios a permitir tanto poder sobre sus dispositivos personales y puede reducir las tasas de inscripción.

Es posible requerir MDM para unos dispositivos y no para otros, pero tenga en cuenta que esta opción puede implicar la configuración de dos entornos dedicados, lo que requiere un mantenimiento y unos recursos adicionales.

Autenticar

La autenticación es donde se lleva a cabo una gran parte de la experiencia del usuario. Si la organización ya ejecuta Active Directory, usar Active Directory es la forma más sencilla de que los usuarios accedan al sistema.

Otra gran parte de la experiencia de autenticación de los usuarios son los tiempos de espera. En un entorno de alta seguridad, los usuarios inician sesión cada vez que acceden al sistema, pero esa opción puede no ajustarse a todas las organizaciones. Por ejemplo, hacer que los usuarios escriban sus credenciales cada vez que quieran acceder al correo electrónico puede ser muy frustrante y puede que no sea necesario.

Entropía de usuario

Para obtener una mayor seguridad, puede habilitar una función llamada entropía de usuario. Citrix Secure Hub y otras aplicaciones a menudo comparten datos comunes (como contraseñas, números PIN y certificados) para garantizar que todo funciona correctamente. Esta información se almacena en una caja fuerte genérica dentro de Secure Hub. Si habilita la entropía de usuario a través de la opción Encrypt Secrets (Cifrar secretos), XenMobile crea una nueva caja fuerte llamada “UserEntropy” y traslada la información desde la caja fuerte genérica a esta nueva caja. Para que Secure Hub u otra aplicación accedan a los datos, los usuarios deben escribir una contraseña o PIN.

Habilitar la entropía de usuario agrega otra capa de autenticación en varios lugares. Eso significa que, cuando una aplicación requiere acceso a datos compartidos en la caja fuerte “UserEntropy” (que contiene contraseñas, números PIN y certificados), los usuarios deben escribir una contraseña o un PIN.

Puede obtener más información sobre la entropía de usuario en Acerca de MDX Toolkit. Para activar la entropía de usuario, dispone de la configuración relacionada en las Propiedades del cliente.

Directivas

Las directivas MDX y MDM ofrecen una gran flexibilidad a las organizaciones, pero también pueden imponer restricciones a los usuarios. Puede que eso le convenga en algunas situaciones, pero las directivas también pueden dar lugar a un sistema que no se pueda usar. Por ejemplo, puede que le interese bloquear el acceso a aplicaciones en la nube (como Siri o iCloud), con las que se pueden enviar datos confidenciales a destinos no pertinentes. Puede configurar una directiva para bloquear el acceso a estos servicios, pero tenga en cuenta que dicha directiva puede tener consecuencias no deseadas. El micrófono de teclado iOS también depende del acceso a la nube, con lo que puede que esa directiva bloquee el acceso a esa función.

Aplicaciones

La administración de movilidad empresarial (EMM) se divide en la administración de dispositivos móviles (MDM) y la administración de aplicaciones móviles (MAM). Si bien MDM permite a las organizaciones proteger y controlar dispositivos móviles, MAM facilita la administración y la entrega de aplicaciones. Con el aumento creciente de dispositivos BYOD, puede implementar una solución MAM, como XenMobile, que le ayude en la entrega de aplicaciones, la gestión de licencias de software, la configuración y la administración del ciclo de vida de las aplicaciones.

Con XenMobile, puede ir más allá y proteger estas aplicaciones mediante directivas MAM y configuraciones de VPN específicas para evitar filtraciones de datos y otras amenazas a la seguridad. XenMobile ofrece a las organizaciones la flexibilidad necesaria para implementar su solución como un entorno solo MAM o solo MDM, o para implementar XenMobile como un entorno unificado de XenMobile Enterprise, que ofrece la funcionalidad MDM y MAM en la misma plataforma.

Además de la capacidad de entregar aplicaciones a los dispositivos móviles, XenMobile ofrece la contenedorización de aplicaciones a través de la tecnología MDX. MDX protege las aplicaciones a través de un cifrado independiente del cifrado a nivel de dispositivo. Con MDX, puede bloquear o borrar las aplicaciones y estas están sujetas a controles exhaustivos basados en directivas. Los proveedores de software independientes (ISV) pueden aplicar estos controles utilizando Worx App SDK.

En un entorno corporativo, los usuarios utilizan una variedad de aplicaciones móviles para desempeñar su trabajo. Las aplicaciones pueden ser: aplicaciones procedentes de la tienda pública, aplicaciones propias desarrolladas internamente o aplicaciones nativas. XenMobile clasifica estas aplicaciones de la siguiente manera:

Aplicaciones públicas: Este grupo contiene las aplicaciones, gratuitas o de pago, disponibles en una tienda pública de aplicaciones, como iTunes o Google Play. Los proveedores externos a la organización suelen poner sus aplicaciones disponibles en las tiendas públicas de aplicaciones. Esta opción permite a sus clientes descargar las aplicaciones directamente desde Internet. Puede utilizar varias aplicaciones públicas en su organización, según las necesidades de los usuarios. GoToMeeting, Salesforce y EpicCare son ejemplos de tales aplicaciones.

Citrix no admite la descarga de archivos binarios de aplicación directamente desde tiendas públicas de aplicaciones y, a continuación, su empaquetado con el MDX Toolkit para la distribución empresarial. Si necesita empaquetar aplicaciones de terceros, debe colaborar con su proveedor de aplicaciones para obtener los archivos binarios de aplicación que se pueden empaquetar con MDX Toolkit.

Aplicaciones internas: Muchas organizaciones tienen desarrolladores internos que crean aplicaciones con una funcionalidad específica y que se desarrollan y distribuyen de manera independiente dentro de la organización. En ciertos casos, algunas organizaciones también pueden tener aplicaciones proporcionadas por los ISV. Puede implementar esas aplicaciones como nativas, o puede colocarlas en un contenedor usando una solución MAM, como XenMobile. Por ejemplo, una organización de cuidados médicos puede crear una aplicación interna que permita a los médicos ver la información del paciente en dispositivos móviles. En ese caso, la organización puede usar el MDX Service o el MDX Toolkit para empaquetar la aplicación a fin de proteger la información del paciente y permitir el acceso por VPN al servidor back-end de la base de datos de pacientes.

Aplicaciones Web y SaaS: Este grupo incluye aquellas aplicaciones a las que se puede acceder a través de una red interna (aplicaciones Web) o a través de una red pública (aplicaciones SaaS). XenMobile también permite crear aplicaciones Web y SaaS personalizadas mediante una lista de conectores de aplicaciones. Esos conectores de aplicaciones pueden facilitar el inicio Single Sign-On (SSO) en las aplicaciones Web existentes. Para obtener más información, consulte Tipos de conectores de aplicaciones. Por ejemplo, puede usar Google Apps SAML para el inicio SSO basado en SAML (Security Assertion Markup Language) en aplicaciones de Google Apps.

Citrix XenMobile Apps: Se trata de aplicaciones desarrolladas por Citrix que se incluyen con la licencia de XenMobile. Para obtener más información, consulte Acerca de XenMobile Apps. Citrix también ofrece otras aplicaciones de negocio que los ISV desarrollan mediante el Worx App SDK.

Aplicaciones HDX: Se trata de aplicaciones alojadas en Windows que se publican con StoreFront. Si dispone de un entorno de Citrix XenApp y XenDesktop, puede integrar las aplicaciones en XenMobile para que estén disponibles a los usuarios inscritos.

La configuración y la arquitectura subyacentes varían según el tipo de aplicaciones móviles a implementar y administrar a través de XenMobile. Por ejemplo, si varios grupos de usuarios con diferentes niveles de permisos van a utilizar una sola aplicación, puede que le convenga crear grupos de entrega independientes para implementar dos versiones separadas de la misma aplicación. Además, deberá asegurarse de que la pertenencia a cada grupo de usuarios se excluya mutuamente, para evitar discrepancias entra las directivas que se apliquen a los dispositivos de los usuarios.

Puede que también quiera administrar las licencias de las aplicaciones iOS a través del Programa de Compras por Volumen (VPP) de Apple. Esta opción requerirá que se registre en el programa VPP y configure los parámetros VPP de XenMobile desde la consola de XenMobile para distribuir las aplicaciones con las licencias VPP. Dada la variedad de estos casos de uso, es importante evaluar y planificar la estrategia de MAM que va a seguir antes de implementar el entorno de XenMobile. Para comenzar a planificar su estrategia de MAM, defina lo siguiente:

Tipos de aplicaciones: Indique los diferentes tipos de aplicaciones que quiere admitir y clasifíquelas por categorías (por ejemplo, aplicaciones públicas, nativas, XenMobile Apps, Web, internas, ISV, etc.). Además, clasifique las aplicaciones según las diferentes plataformas de dispositivo (como iOS y Android). Esta categorización ayudará a encajar los diferentes parámetros de XenMobile que se requieren para cada tipo de aplicación. Por ejemplo, es posible que ciertas aplicaciones no cumplan los requisitos para el empaquetado, o algunas aplicaciones pueden requerir el uso del Worx App SDK a fin de habilitar unas API especiales para la interacción con otras aplicaciones.

Requisitos de red: Las aplicaciones que tengan requisitos específicos de acceso a la red deben configurarse con los parámetros adecuados. Por ejemplo, ciertas aplicaciones pueden necesitar acceder a la red interna por VPN. En cambio, otras aplicaciones pueden requerir el acceso a Internet para enrutar el acceso a través de la zona DMZ. Para permitir que esas aplicaciones se conecten a la red requerida, debe configurar varios parámetros según corresponda. Definir unos requisitos de red por aplicación contribuye a precisar sus decisiones arquitectónicas desde el principio, lo que optimizará el proceso general de implementación.

Requisitos de seguridad: Definir los requisitos de seguridad que se aplicarán a aplicaciones individuales o a todas las aplicaciones es fundamental. Aunque ciertas configuraciones (como las directivas MDX) se aplican a aplicaciones individuales, los parámetros de sesión y autenticación se aplican a todas las aplicaciones. Asimismo, algunas aplicaciones pueden tener requisitos concretos (de cifrado, contenedorización, empaquetado, autenticación, geocerca, código de acceso o uso compartido de datos) que deberá precisar con antelación para simplificar la implementación.

Requisitos de implementación: Puede que le interese una implementación basada en directivas si quiere permitir que solo los usuarios conformes descarguen las aplicaciones publicadas. Por ejemplo, puede convenirle que determinadas aplicaciones requieran que el cifrado del dispositivo esté habilitado, que el dispositivo esté administrado, o que el dispositivo cumpla el requisito de una versión mínima del sistema operativo. También puede interesarle que ciertas aplicaciones estén disponibles solo para usuarios de empresa. Debe describir dichos requisitos con antelación para configurar las acciones o las reglas de implementación apropiadas.

Requisitos de licencia: Debe registrar los requisitos de licencia relacionados con las aplicaciones. Estas notas le ayudarán a administrar de manera efectiva el uso de las licencias y a decidir si necesita configurar funciones específicas en XenMobile para optimizar la gestión de licencias. Por ejemplo, si implementa una aplicación iOS, independientemente de si se trata de una aplicación gratuita o de pago, Apple aplica requisitos de licencia a la aplicación porque obliga a los usuarios a iniciar sesión en su cuenta de iTunes. Puede registrarse en el programa VPP de Apple para distribuir y administrar esas aplicaciones a través de XenMobile. El programa VPP permite a los usuarios descargar las aplicaciones sin tener que iniciar sesión en la cuenta de iTunes. Además, herramientas como Samsung SAFE y Samsung KNOX presentan requisitos especiales de licencia, que debe cumplir antes de implementar esas funciones.

Requisitos de lista blanca o lista negra: Puede que haya aplicaciones que no quiere que los usuarios se instalen o usen. Para empezar, cree una lista negra donde se definirá un evento de incumplimiento. Luego, puede configurar directivas que se desencadenarán si se da ese evento. Por otro lado, puede que acepte el uso de una aplicación, pero esta se incluya en la lista negra por una razón u otra. Si este fuera el caso, puede agregar la aplicación a una lista blanca e indicar que se puede usar, pero no es obligatoria. Además, tenga en cuenta que las aplicaciones ya instaladas en los dispositivos nuevos pueden incluir algunas aplicaciones de uso común que no forman parte del sistema operativo. Eso puede entrar en conflicto con su estrategia de lista negra.

Aplicaciones: caso de uso

Una organización de asistencia sanitaria quiere implementar XenMobile como solución MAM para sus aplicaciones móviles. Las aplicaciones móviles se entregan a usuarios de empresa y usuarios BYOD. El departamento de TI decide entregar y administrar las siguientes aplicaciones:

  • XenMobile Apps: Aplicaciones iOS y Android que proporciona Citrix.
  • Secure Mail: Aplicación de correo electrónico, calendario y contactos.
  • Secure Web: Navegador Web seguro que ofrece acceso a los sitios de Internet e intranet.
  • Secure Notes: Aplicación de toma de notas segura con correo electrónico y calendario integrados.
  • ShareFile: Aplicación para acceder a datos compartidos y para compartir, sincronizar y editar archivos.

Tienda pública de aplicaciones

  • Citrix Secure Hub: Cliente que utilizan todos los dispositivos móviles para comunicarse con XenMobile. El departamento de TI envía los parámetros de seguridad, las configuraciones y las aplicaciones móviles a los dispositivos móviles a través del cliente de Secure Hub. Los dispositivos Android e iOS se inscriben en XenMobile a través de Secure Hub.
  • Citrix Receiver: Aplicación móvil que permite a los usuarios abrir aplicaciones alojadas en XenApp desde los dispositivos móviles.
  • GoToMeeting: Un cliente de reuniones en línea, uso compartido de escritorios y videoconferencias que permite a los usuarios reunirse con clientes, colegas u otros usuarios de equipos a través de Internet en tiempo real.
  • SalesForce1: Permite a los usuarios acceder a Salesforce desde dispositivos móviles, y reúne todos los procesos de negocio y las aplicaciones personalizadas, Chatter y CRM, en una experiencia unificada para cualquier usuario de Salesforce.
  • RSA SecurID: Token basado en software para la autenticación de dos factores.
  • Aplicaciones EpicCare: Estas aplicaciones ofrecen a los profesionales de la salud un acceso seguro y portátil a los gráficos de pacientes, las listas de pacientes, los horarios y los mensajes.
    • Haiku: Aplicación móvil para teléfonos Android y iPhone.
    • Canto: Aplicación móvil para el iPad.
    • Rover: Aplicaciones móviles para iPhone y iPad.

HDX: Estas aplicaciones se entregan a través de Citrix XenApp.

  • Epic Hyperspace: Aplicación cliente de Epic para la administración electrónica de registros de salud.

ISV

  • Vocera: Aplicación móvil de mensajería y VoIP compatible con HIPAA, que extiende las ventajas de la tecnología de voz de Vocera para poder aprovecharlas en cualquier momento y cualquier lugar desde smartphones iPhone y Android.

Aplicaciones internas

  • HCMail: Aplicación que ayuda a redactar mensajes cifrados, buscar en las libretas de direcciones en servidores de correo interno y enviar los mensajes cifrados a los contactos usando un cliente de correo electrónico.

Aplicaciones Web internas

  • PatientRounding: Aplicación Web utilizada para registrar la información sanitaria del paciente por diferentes departamentos.
  • Outlook Web Access: Permite el acceso al correo electrónico a través de un explorador Web.
  • SharePoint: Se usa para compartir archivos y datos por toda la organización.

En la tabla siguiente, se muestra la información básica necesaria para la configuración de MAM.

         
Nombre de la aplicación Tipo de aplicación Empaquetado MDX iOS Android
Secure Mail Aplicación XenMobile No a partir de la versión 10.4.1
Secure Web Aplicación XenMobile No a partir de la versión 10.4.1
Secure Notes Aplicación XenMobile No a partir de la versión 10.4.1
ShareFile Aplicación XenMobile No a partir de la versión 10.4.1
Secure Hub Aplicación pública n/d
Citrix Receiver Aplicación pública n/d
GoToMeeting Aplicación pública n/d
SalesForce1 Aplicación pública n/d
RSA SecurID Aplicación pública n/d
Epic Haiku Aplicación pública n/d
Epic Canto Aplicación pública n/d No
Epic Rover Aplicación pública n/d No
Epic Hyperspace Aplicación HDX n/d
Vocera Aplicación de ISV
HCMail Aplicación interna
PatientRounding Aplicación Web n/d
Outlook Web Access Aplicación Web n/d
SharePoint Aplicación Web n/d

En la siguiente tabla, se ofrece una lista de los requisitos específicos que puede consultar para la configuración de directivas MAM en XenMobile.

Nombre de la aplicación VPN requerida Interacción Interacción Cifrado del dispositivo
    (con aplicaciones fuera del contenedor) (desde aplicaciones fuera del contenedor)  
Secure Mail S Permitida de manera selectiva Permitida No requerido
Secure Web S Permitida Permitida No requerido
Secure Notes S Permitida Permitida No requerido
ShareFile S Permitida Permitida No requerido
Secure Hub S N/D N/D N/D
Citrix Receiver S N/D N/D N/D
GoToMeeting N N/D N/D N/D
SalesForce1 N N/D N/D N/D
RSA SecurID N N/D N/D N/D
Epic Haiku S N/D N/D N/D
Epic Canto S N/D N/D N/D
Epic Rover S N/D N/D N/D
Epic Hyperspace S N/D N/D N/D
Vocera S No se permite No se permite No requerido
HCMail S No se permite No se permite Requerido
PatientRounding S N/D N/D Requerido
Outlook Web Access S N/D N/D No requerido
SharePoint S N/D N/D No requerido
Nombre de la aplicación Filtro de proxy Licencias Geocerca Worx App SDK Versión mínima del sistema operativo
Secure Mail Requerido N/D Requerido de manera selectiva N/D Se aplica
Secure Web Requerido N/D No requerido N/D Se aplica
Secure Notes Requerido N/D No requerido N/D Se aplica
ShareFile Requerido N/D No requerido N/D Se aplica
Secure Hub No requerido VPP No requerido N/D No se aplica
Citrix Receiver No requerido VPP No requerido N/D No se aplica
GoToMeeting No requerido VPP No requerido N/D No se aplica
SalesForce1 No requerido VPP No requerido N/D No se aplica
RSA SecurID No requerido VPP No requerido N/D No se aplica
Epic Haiku No requerido VPP No requerido N/D No se aplica
Epic Canto No requerido VPP No requerido N/D No se aplica
Epic Rover No requerido VPP No requerido N/D No se aplica
Epic Hyperspace No requerido N/D No requerido N/D No se aplica
Vocera Requerido N/D Requerido Requerido Se aplica
HCMail Requerido N/D Requerido Requerido Se aplica
PatientRounding Requerido N/D No requerido N/D No se aplica
Outlook Web Access Requerido N/D No requerido N/D No se aplica
SharePoint Requerido N/D No requerido N/D No se aplica

Comunidades de usuarios

Cada organización consta de diversas comunidades de usuarios que operan en diferentes roles funcionales. Estas comunidades de usuarios realizan diferentes tareas y funciones de oficina utilizando diversos recursos que usted proporciona a través de los dispositivos móviles de esos usuarios. Los usuarios pueden trabajar desde casa o en oficinas remotas utilizando los dispositivos móviles que usted proporciona, o utilizando sus dispositivos móviles personales, lo que les permite acceder a herramientas que están sujetas a reglas de cumplimiento de seguridad.

Con la cantidad creciente de comunidades de usuarios que usan dispositivos móviles para facilitar sus trabajos respectivos, la administración de la movilidad empresarial se ha convertido en un elemento vital para evitar la filtración de datos y para hacer cumplir las restricciones de seguridad de la organización. Para una administración eficiente y más sofisticada de dispositivos móviles, puede categorizar sus comunidades de usuarios. Al hacerlo, se simplifica la asignación de usuarios a los recursos y se garantiza que se apliquen las directivas de seguridad correspondientes a los usuarios indicados.

El siguiente ejemplo ilustra cómo se clasifican para EMM las comunidades de usuarios de una organización de asistencia sanitaria.

Comunidades de usuarios: caso de uso

Esta organización sanitaria de ejemplo ofrece recursos tecnológicos y acceso a varios usuarios, incluidos los voluntarios, los empleados en la red y los empleados asociados). La organización ha decidido aplicar la solución EMM solo para usuarios no ejecutivos.

En esta organización, las funciones y los roles se pueden dividir en estos subgrupos: sanitarios, no sanitarios y contratistas. Un conjunto seleccionado de los usuarios reciben dispositivos móviles de empresa, mientras que otras personas pueden acceder a recursos limitados de la empresa desde sus dispositivos personales. Para hacer cumplir el nivel apropiado de restricciones de seguridad y evitar la filtración de datos, la organización decidió que el departamento de TI corporativo administrara cada dispositivo inscrito, de empresa o BYOD. Además, los usuarios pueden inscribir un solo dispositivo.

La siguiente sección ofrece una descripción general de los roles y las funciones de cada subgrupo:

Sanitarios

  • Enfermeros
  • Médicos (doctores, cirujanos, etc.)
  • Especialistas (dietistas, flebotomistas, anestesiólogos, radiólogos, cardiólogos, oncólogos, etc.)
  • Médicos externos (médicos que no son empleados y empleados de oficina que trabajan desde oficinas remotas)
  • Servicios de cuidados a domicilio (empleados de oficina y móviles que desempeñan tareas de cuidado sanitario en visitas a domicilio de los pacientes)
  • Especialista en investigación (trabajadores intelectuales y usuarios avanzados en seis institutos de investigación que realizan investigaciones clínicas para buscar respuestas a problemas en Medicina)
  • Educación y formación (enfermeros, médicos y especialistas en educación y formación)

No sanitarios

  • Servicios compartidos (empleados de oficina que realizan varias funciones administrativas, entre ellas: recursos humanos, nóminas, contabilidad, servicio de cadena de suministro, etc.)
  • Servicios médicos (empleados de oficina que realizan diversos servicios de administración de cuidados médicos, servicios administrativos y procesos comerciales para proveedores, incluidos: servicios administrativos, análisis e inteligencia empresarial, sistemas de negocio, servicios al cliente, finanzas, gestión de cuidados realizados, soluciones de acceso a pacientes, soluciones de ciclo de ingresos, etc.)
  • Servicios de asistencia técnica (empleados de oficina que realizan varias funciones no clínicas, por ejemplo: gestión de ganancias y beneficios, integración clínica, comunicaciones, compensación y gestión del rendimiento, servicios de instalaciones y propiedades, sistemas de tecnología de recursos humanos, servicios de información, auditoría interna y mejora de procesos, etc.).
  • Programas filantrópicos (empleados de oficina y móviles que realizan diversas funciones en apoyo a programas filantrópicos)

Contratistas

  • Socios de fabricantes y proveedores (in situ y conectados de forma remota a través de la VPN de sitio a sitio, ofrecen varias funciones de asistencia no sanitaria)

En función de la información anterior, la organización crea las siguientes entidades. Para obtener más información acerca de los grupos de entrega en XenMobile, consulte Implementar recursos.

Grupos y unidades organizativas (OU) de Active Directory

Como OU = Recursos de XenMobile:

  • OU = Sanitarios; Groups =
    • XM-Enfermeros
    • XM-Médicos
    • XM-Especialistas
    • XM-Médicos externos
    • XM-Servicios de cuidados a domicilio
    • XM-Especialista en investigación
    • XM-Educación y formación
  • OU = No sanitarios; Groups =
    • XM-Servicios compartidos
    • XM-Servicios médicos
    • XM-Servicios de asistencia técnica
    • XM-Programas filantrópicos

Grupos y usuarios locales de XenMobile

Como Group= Contratistas, Users =

  • Proveedor1
  • Proveedor2
  • Proveedor3
  • … Proveedor10

Grupos de entrega de XenMobile

  • Sanitario-Enfermeros
  • Sanitario-Médicos
  • Sanitario-Especialistas
  • Sanitario-Médicos externos
  • Sanitario-Servicios de cuidados a domicilio
  • Sanitario-Especialista en investigación
  • Sanitario-Educación y formación
  • No-Sanitario-Servicios compartidos
  • No-Sanitario-Servicios médicos
  • No-Sanitario-Servicios de asistencia técnica
  • No-Sanitario-Programas filantrópicos

Asignación de grupos de usuario y grupos de entrega

   
Grupos de Active Directory Grupos de entrega de XenMobile
XM-Enfermeros Sanitario-Enfermeros
XM-Médicos Sanitario-Médicos
XM-Especialistas Sanitario-Especialistas
XM-Médicos externos Sanitario-Médicos externos
XM-Servicios de cuidados a domicilio Sanitario-Servicios de cuidados a domicilio
XM-Especialista en investigación Sanitario-Especialista en investigación
XM-Educación y formación Sanitario-Educación y formación
XM-Servicios compartidos No-Sanitario-Servicios compartidos
XM-Servicios médicos No-Sanitario-Servicios médicos
XM-Servicios de asistencia técnica No-Sanitario-Servicios de asistencia técnica
XM-Programas filantrópicos No-Sanitario-Programas filantrópicos

Asignación de recursos y grupos de entrega

En las siguientes tablas, se indican los recursos asignados a cada grupo de entrega en este caso de uso. En la primera tabla, se muestran las asignaciones de aplicaciones móviles; en la segunda tabla, se muestra la aplicación pública, las aplicaciones HDX y los recursos de administración de dispositivos.

       
Grupos de entrega de XenMobile Aplicaciones móviles Citrix Aplicaciones móviles públicas Aplicaciones móviles HDX
Sanitario-Enfermeros X    
Sanitario-Médicos      
Sanitario-Especialistas      
Sanitario-Médicos externos X    
Sanitario-Servicios de cuidados a domicilio X    
Sanitario-Especialista en investigación X    
Sanitario-Educación y formación   X X
No-Sanitario-Servicios compartidos   X X
No-Sanitario-Servicios médicos   X X
No-Sanitario-Servicios de asistencia técnica X X X
No-Sanitario-Programas filantrópicos X X X
Contratistas X X X
               
Grupos de entrega de XenMobile Aplicación pública: RSA SecurID Aplicación pública: EpicCare Haiku Aplicación HDX: Epic Hyperspace Directiva Código de acceso Restricciones de dispositivo Acciones automatizadas Directiva de WiFi
Sanitario-Enfermeros             X
Sanitario-Médicos         X    
Sanitario-Especialistas              
Sanitario-Médicos externos              
Sanitario-Servicios de cuidados a domicilio              
Sanitario-Especialista en investigación              
Sanitario-Educación y formación   X X        
No-Sanitario-Servicios compartidos   X X        
No-Sanitario-Servicios médicos   X X        
No-Sanitario-Servicios de asistencia técnica   X X        

Notas y consideraciones

  • XenMobile crea un grupo de entrega predeterminado llamado AllUsers (Todos los usuarios) durante la configuración inicial. Si no inhabilita este grupo de entrega, todos los usuarios de Active Directory tendrán derecho a inscribirse en XenMobile.
  • XenMobile sincroniza los grupos y los usuarios de Active Directory a demanda mediante una conexión dinámica al servidor LDAP.
  • Si un usuario forma parte de un grupo que no está asignado en XenMobile, dicho usuario no podrá inscribirse. Del mismo modo, si un usuario es miembro de varios grupos, XenMobile solo clasificará al usuario como perteneciente a los grupos asignados a XenMobile.
  • Para que la inscripción MDM sea obligatoria, establezca la opción “Inscripción requerida” en “Verdadero” en las “Propiedades de servidor” de la consola de XenMobile. Para obtener más información, consulte Propiedades del servidor.
  • Para eliminar un grupo de usuarios de un grupo de entrega de XenMobile, elimine la entrada en la base de datos de SQL Server, en dbo.userlistgrps. Precaución: Antes de realizar esta acción, cree una copia de seguridad de XenMobile y la base de datos.

Acerca de la pertenencia de dispositivos en XenMobile

Puede agrupar a los usuarios en función del propietario de un dispositivo de usuario. La pertenencia de un dispositivo puede ser de la empresa o del usuario; esta última también se conoce como uso de dispositivos personales en el trabajo (bring your own device, BYOD). Puede gestionar la manera en que los dispositivos de los usuarios se conectan a la red desde dos lugares de la consola de XenMobile: la página “Reglas de implementación” y las propiedades del servidor XenMobile en la página Parámetros. Para obtener más información acerca de las reglas de implementación, consulte Configuración de reglas de implementación. Para obtener más información sobre las propiedades de servidor, consulte Propiedades de servidor.

Al configurar las propiedades de servidor, puede requerir que los usuarios con dispositivo propio acepten que la empresa administre sus dispositivos para poder acceder a las aplicaciones, o bien puede permitir a los usuarios acceder a las aplicaciones de empresa sin administrar sus dispositivos.

Si establece la propiedad de servidor wsapi.mdm.required.flag en verdadero, XenMobile administra todos los dispositivos BYOD y niega el acceso a las aplicaciones a todo usuario que rechace la inscripción. Establecer wsapi.mdm.required.flag en verdadero debe plantearse en entornos en que los equipos de TI de la empresa necesitan niveles altos de seguridad y una experiencia de usuario segura, objetivo que se consigue al inscribir dispositivos de usuario en XenMobile.

Si deja wsapi.mdm.required.flag en falso (la configuración predeterminada), los usuarios pueden rechazar la inscripción sin, por ello, perder el acceso a las aplicaciones en sus dispositivos a través de XenMobile Store. Puede establecer wsapi.mdm.required.flag en falso en entornos en que las restricciones de privacidad, legales o normativas no requieren la administración de dispositivos, sino solo la administración de las aplicaciones de empresa.

Los usuarios cuyos dispositivos no administre XenMobile no pueden instalarse aplicaciones a través de XenMobile Store. En lugar de controles a nivel de dispositivo (como el borrado completo o selectivo de datos), se puede controlar el acceso a las aplicaciones a través de directivas de aplicaciones. Las directivas, según los valores que se establezcan, requieren que el dispositivo consulte frecuentemente XenMobile para confirmar que las aplicaciones aún se pueden ejecutar.

Requisitos de seguridad

La cantidad de consideraciones de seguridad al implementar un entorno de XenMobile puede convertirse rápidamente en abrumadora. Hay muchas piezas y configuraciones interconectadas, por lo que no es fácil saber por dónde empezar o qué elegir para garantizar un nivel aceptable de protección. Para simplificar estas opciones, Citrix ofrece recomendaciones para un nivel de seguridad alto, superior y máximo, como se describe en la siguiente tabla.

Tenga en cuenta que la seguridad por sí sola no debería dictar la elección del modo de implementación. También es importante revisar los requisitos del caso de uso y decidir si puede mitigar los problemas de seguridad antes de elegir el modo de implementación.

Alto: Usar estas configuraciones proporciona una experiencia de usuario óptima, al mismo tiempo que se mantiene un nivel básico de seguridad aceptable para la mayoría de las organizaciones.

Superior: Estas configuraciones logran un mayor equilibrio entre seguridad y usabilidad.

Máximo: Seguir estas recomendaciones proporcionará un alto nivel de seguridad a costa de la usabilidad y el aumento de la cantidad de usuarios.

Consideraciones sobre seguridad en el modo de implementación

La siguiente tabla contiene los modos de implementación para cada nivel de seguridad.

     
Nivel alto de seguridad Nivel superior de seguridad Nivel máximo de seguridad
MAM y/o MDM MDM + MAM MDM + MAM

Notas:

  • Dependiendo del caso de uso, una implementación de solo MDM o solo MAM podría cumplir los requisitos de seguridad y proporcionar una buena experiencia de usuario.
  • Si no se necesitan contenedores de aplicaciones, redes micro VPN ni directivas específicas de aplicación, MDM debería ser suficiente para administrar y proteger los dispositivos.
  • Para casos de uso como BYOD, donde todos los requisitos de empresa y de seguridad pueden satisfacerse solo con contenedores de aplicaciones, Citrix recomienda el modo solo MAM.
  • Para entornos de alta seguridad (y dispositivos que distribuyan las empresas), Citrix recomienda MDM + MAM para utilizar todas las capacidades de seguridad disponibles. Aplique la inscripción MDM a través de una propiedad de servidor en la consola de XenMobile.

Consideraciones sobre seguridad para NetScaler y NetScaler Gateway

La siguiente tabla contiene recomendaciones de NetScaler y NetScaler Gateway para cada nivel de seguridad.

     
Nivel alto de seguridad Nivel superior de seguridad Nivel máximo de seguridad
Se recomienda NetScaler. Se requiere NetScaler Gateway para MAM y ENT; se recomienda para MDM. Configuración estándar del asistente de NetScaler para XenMobile con puente SSL si XenMobile está en la DMZ; o descarga SSL si es necesaria para cumplir los estándares de seguridad cuando el servidor XenMobile está en la red interna. Descarga de SSL con cifrado de extremo a extremo

Notas:

  • Exponer el servidor XenMobile a Internet a través de NAT o los proxys/equilibradores de carga de terceros existentes podría ser una opción para MDM, siempre que el tráfico SSL termine en el servidor XenMobile, pero esta opción representa un posible riesgo de seguridad.
  • Para entornos de alta seguridad, NetScaler con la configuración predeterminada de XenMobile debería cumplir o superar los requisitos de seguridad.
  • Para entornos MDM con las necesidades de seguridad máxima, la finalización de SSL en NetScaler ofrece la posibilidad de inspeccionar el tráfico en el perímetro, al mismo tiempo que se mantiene el cifrado SSL de extremo a extremo.
  • Opciones para definir cifrados SSL/TLS.
  • Para obtener más información, consulte Integración con NetScaler Gateway y NetScaler.

Consideraciones sobre seguridad para la inscripción

La siguiente tabla contiene recomendaciones de NetScaler y NetScaler Gateway para cada nivel de seguridad.

     
Nivel alto de seguridad Nivel superior de seguridad Nivel máximo de seguridad
Solo miembros del grupo de Active Directory. Inhabilitado el grupo de entrega Todos los usuarios. Modo de inscripción solo por invitación. Solo miembros del grupo de Active Directory. Inhabilitado el grupo de entrega Todos los usuarios. Modo de inscripción vinculado al ID del dispositivo. Solo miembros del grupo de Active Directory. Inhabilitado el grupo de entrega Todos los usuarios.

Notas:

  • Por regla general, Citrix recomienda que restrinja la inscripción a solamente aquellos usuarios que formen parte de los grupos predefinidos de Active Directory. Lo que requiere inhabilitar el grupo de entrega integrado Todos los usuarios.
  • Puede utilizar las invitaciones de inscripción para restringir la inscripción a los usuarios que tengan una invitación.
  • Puede usar invitaciones de inscripción con PIN de un solo uso (OTP) como una solución de dos factores. Así también puede controlar la cantidad de dispositivos que un usuario puede inscribir.
  • Para entornos que requieran el nivel máximo de seguridad, puede asociar las invitaciones de inscripción a un dispositivo por UDID/SN/EMEI. También hay una opción de dos factores que consiste en solicitar la contraseña de Active Directory y OTP. (Tenga en cuenta que OTP no es actualmente una opción para dispositivos con Windows.)

Consideraciones sobre seguridad para el PIN del dispositivo

La siguiente tabla contiene las recomendaciones de PIN de dispositivo para cada nivel de seguridad.

     
Nivel alto de seguridad Nivel superior de seguridad Nivel máximo de seguridad
Recomendado. Se requiere un nivel alto de seguridad para el cifrado a nivel de dispositivo. Puede aplicarse con MDM. Se puede configurar como obligatorio para solo MAM a través de una directiva MDX. Aplicado mediante directiva MDM y/o MDX. Aplicado mediante directiva MDM y MDX. Directiva MDM “Código de acceso complejo”.

Notas:

  • Citrix recomienda usar un PIN de dispositivo.
  • Puede aplicar un PIN de dispositivo a través de una directiva MDM.
  • Puede usar una directiva MDX para hacer que un PIN de dispositivo sea un requisito para usar aplicaciones administradas; por ejemplo, para casos de uso de BYOD.
  • Citrix recomienda combinar las opciones de directivas MDM y MDX para una mayor seguridad en los entornos MDM + MAM.
  • Para entornos con los requisitos máximos de seguridad, puede configurar directivas “Código de acceso complejo” y aplicarlas con MDM. Puede configurar acciones automáticas que notifiquen a los administradores, o puede emitir borrados selectivos o completos cuando un dispositivo no cumple una directiva de código de acceso.