Resumen
La conformidad responde a dos preguntas:
- ¿Mis dispositivos siguen alineados con nuestras políticas? ¿Está el disco cifrado, está el sistema operativo actualizado, está el antivirus en funcionamiento, sigue el dispositivo inscrito y en línea?
- ¿Qué desviaciones debería conocer? Tú eliges. Cualquier cosa que no señales se ignora.
Cada vez que un dispositivo se sincroniza, se re-evalúa según tus reglas y la lista de alertas se actualiza. No hay un escaneo que lanzar ni una alerta que reconocer manualmente.
Los cuatro términos que vale la pena conocer
Término |
Qué significa |
|---|---|
Tipo de regla |
Una categoría que se audita. El Estado de Inscripción y el Estado en Línea son globales y se aplican a cada dispositivo. Cada otro tipo — cifrado, actualización de SO, política de contraseñas, firewall, Wi-Fi, antivirus, usuarios administradores — está vinculado a un control de MDM y solo se vuelve configurable una vez que ese control existe. |
Estado |
Un valor específico de la regla como Cifrado, No cifrado, Actualizado, Fuera de línea 7+ días. Cada tipo de regla tiene su propio conjunto. |
Regla de alerta |
Tu configuración: qué estados, para un tipo de regla dado, deberían generar una alerta. |
Alerta |
Un dispositivo que actualmente informa un estado que señalaste como no conforme. |
Cómo usar
La conformidad se encuentra en una página:
- Ve a MDM > Alertas de Conformidad para ver la lista en vivo de dispositivos que actualmente están violando tus políticas. Esta es tu cola de triaje diaria.
- Haz clic en Administrar reglas, en la parte superior derecha, para elegir qué estados cuentan como una violación.
Un dispositivo solo aparece en la lista de alertas si su estado actual coincide con uno que señalaste en Administrar reglas. Cambia las reglas y la lista se actualiza en la siguiente sincronización del dispositivo.
Cómo aparece y se elimina una alerta
- El dispositivo se sincroniza. Cada regla de conformidad se vuelve a ejecutar contra él.
- Se calcula un estado por regla — Cifrado para la regla de cifrado, Fuera de línea 7+ días para la regla en línea, y así sucesivamente.
- El estado se compara con tus reglas. Si aparece en la lista de no conformidad que configuraste, el dispositivo se señala. De lo contrario, cuenta como conforme.
- La alerta se elimina automáticamente cuando el estado mejora: se completa el cifrado, se actualiza el sistema operativo, el dispositivo vuelve a estar en línea. No hay que reconocer ni posponer.
Cobertura de la plataforma
La conformidad se ejecuta en cada plataforma gestionada: macOS, Windows, Linux, iOS, iPadOS y Android. Cada regla solo devuelve resultados significativos donde se ejecuta el control subyacente — cifrado FileVault en macOS, BitLocker en Windows, SentinelOne en plataformas de escritorio.
Permisos
Acción |
Permiso |
|---|---|
Ver alertas y reglas |
MDM_READ |
Editar reglas de alerta |
MDM_WRITE |
Consejos y Mejores Prácticas
- Configura las reglas antes de juzgar la función. Hasta que no señales estados, la lista de alertas permanece vacía: se recopila datos de estado, pero no se generan alertas.
- Comienza con las dos reglas globales. El Estado de Inscripción y el Estado en Línea funcionan en cada dispositivo sin ningún control de MDM en su lugar, por lo que te dan una lista útil desde el primer día.
- No señales cada estado que puedas. Una lista de alertas que nadie tría es peor que no tener lista. Señala lo que realmente actuarías.
- Espera una primera semana ruidosa. Los dispositivos recién cifrados y las máquinas que han estado fuera de línea se resuelven por sí solas; ajusta las reglas una vez que hayas visto una semana normal.
Solución de problemas y FAQ
Solución de problemas
La lista de alertas está vacía a pesar de que los dispositivos son claramente no conformes. Aún no se han señalado estados. Se recopila datos de estado de todos modos, pero nada aparece hasta que configures reglas en Administrar reglas.
Una regla que quiero no es configurable. Está vinculada a un control de MDM que aún no existe. Las reglas para cifrado, firewall, antivirus y el resto solo aparecen una vez que el control correspondiente está configurado.
Una alerta no se eliminó después de que arreglamos el dispositivo. Las alertas se recalculan en la sincronización del dispositivo, no inmediatamente. Espera la próxima verificación.
FAQ
-
¿Tenemos que reconocer o cerrar alertas?
No. Se eliminan automáticamente cuando el estado del dispositivo mejora.
-
¿Hay un escaneo que programar?
No. La re-evaluación ocurre en cada sincronización del dispositivo.
-
¿Por qué algunas reglas se aplican a cada dispositivo y otras no?
El Estado de Inscripción y el Estado en Línea son globales. Todo lo demás depende de que primero exista un control de MDM.