Punti chiave
- Applicazione dei confini sui dati: Apple Managed Open In limita il movimento dei dati tra app gestite (aziendali) e non gestite (personali) sugli endpoint iOS e iPadOS.
- Flusso di dati direzionale: i team IT possono consentire o bloccare in modo selettivo i trasferimenti di contenuti in base al fatto che origine e destinazione siano classificate come gestite o non gestite.
- Classificazione in quattro parti: lo stato gestito si estende alle app distribuite tramite MDM, agli account aziendali, alle estensioni delle app e ai domini web designati.
- Controlli su tutti i percorsi di condivisione: regola la condivisione di documenti (menu “Apri in”), i fogli di condivisione, le destinazioni AirDrop e il comportamento di copia e incolla tra confini diversi (Managed Pasteboard).
- Ideale per il BYOD: protegge i dati aziendali senza richiedere la supervisione completa del dispositivo né una gestione invasiva delle app personali.
- Prerequisiti per il successo: richiede una selezione mirata delle app, una distribuzione coerente degli account e un supporto allineato dell’OS su tutti gli endpoint.
- Parte di una strategia di difesa in profondità: riduce al meglio il rischio di fuga di dati se combinato con altri controlli di protezione dei dati e di accesso, perché non impedisce screenshot, registrazioni dello schermo o il reinserimento manuale delle informazioni.
La gestione dei dispositivi mobili (MDM) permette di controllare quali app vengono installate e come sono configurate, ma non può governare del tutto il modo in cui i dati si spostano tra le app una volta che le persone le utilizzano.
Apple ha progettato Managed Open In per iOS e iPadOS limitando il modo in cui documenti e contenuti si spostano tra app, account, estensioni e domini gestiti e non gestiti. È particolarmente indicato dove app aziendali e personali convivono sullo stesso dispositivo, come negli ambienti bring-your-own-device (BYOD) e a uso misto.
Che cosa fa Apple Managed Open In
Apple Managed Open In è una funzionalità applicata tramite MDM che governa il modo in cui i dati si spostano oltre i confini tra app gestite e non gestite sui dispositivi iOS e iPadOS. Si concentra su ciò che accade ai dati aziendali su un dispositivo, in particolare quando gli utenti provano ad aprire, condividere o trasferire contenuti tra le app. Il suo confine gestito consente ai team IT di ridurre l’esposizione accidentale dei dati continuando comunque a supportare flussi di lavoro a uso misto.
I principali flussi di dati controllati da questo confine includono:
- Restrizioni da gestito a non gestito: determina se i documenti provenienti da app o account gestiti possono essere aperti in app non gestite.
- Autorizzazioni da non gestito a gestito: controlla se i contenuti provenienti da app o fonti personali possono essere portati all’interno delle app gestite.
- Comportamento di condivisione e apertura: regola il comportamento dei menu “Condividi con” e “Apri in” quando un contenuto attraversa il confine gestito.
Come Apple distingue tra gestito e non gestito
Managed Open In si basa sulla classificazione interna di Apple delle fonti e delle destinazioni dei contenuti per stabilire come i dati possono spostarsi sul dispositivo. Questa distinzione è il fondamento dell’applicazione delle regole: ogni azione sui dati viene valutata in base al fatto che l’origine e la destinazione prevista siano considerate gestite o non gestite.
Tra gli elementi gestiti più comuni rientrano:
- App gestite (installate e gestite tramite Apple MDM)
- Account gestiti (account aziendali, come le email aziendali, insieme ai relativi allegati)
- Estensioni gestite (estensioni associate alle app gestite)
- Domini gestiti (download da domini contrassegnati esplicitamente come gestiti)
Qualsiasi app, account, estensione o fonte di contenuti non contrassegnata esplicitamente come gestita viene trattata come non gestita.
I controlli principali di Managed Open In
Il meccanismo Managed Open In viene applicato attraverso un piccolo insieme di regole direzionali che stabiliscono come i dati possono spostarsi tra contesti gestiti e non gestiti. Per evitare restrizioni eccessive, questi controlli bloccano gli scenari rischiosi continuando a consentire le azioni legittime legate al lavoro.
I controlli direzionali principali sono i seguenti:
- Consentire o limitare l’apertura o la condivisione di fonti non gestite (contenuti provenienti da app o account personali) in destinazioni gestite.
- Consentire o limitare l’apertura o la condivisione di fonti gestite (documenti aziendali) in destinazioni non gestite.
Esistono inoltre alcuni controlli di protezione dei dati complementari:
- Trattare AirDrop come destinazione non gestita.
- Limitare le azioni sugli appunti (copia e incolla) quando un contenuto attraversa il confine gestito.
Configurazione tecnica del payload:
Nei profili di configurazione standard della gestione dei dispositivi mobili (MDM) di Apple, questi comportamenti sono governati da restrizioni chiave all’interno del payload com.apple.applicationaccess:
- allowOpenFromManagedToUnmanaged (impostato su false per impedire ai dati aziendali di essere aperti in app personali)
- allowOpenFromUnmanagedToManaged (impostato su false o true in base alla possibilità che i file personali entrino nelle app aziendali)
- forceAirDropUnmanaged (impostato su true per trattare AirDrop come destinazione non gestita)
- allowActivityContinuation (controlla le funzioni Handoff tra contesti gestiti e non gestiti)
| Controllo | Che cosa governa |
| Restrizione da non gestito a gestito | Se i contenuti provenienti da app o account personali possono essere portati nelle app gestite |
| AirDrop come destinazione non gestita | Se AirDrop viene trattato come destinazione non gestita |
| Managed pasteboard | Se copia e incolla viene limitato quando un contenuto attraversa il confine gestito |
Nota su Managed Pasteboard: l’OS determina il comportamento di copia e incolla in base alla classificazione dell’app di origine attiva e dell’app di destinazione. Quando incollare oltre i confini è limitato, l’OS svuota il buffer copiato oppure mostra un messaggio di sistema (“Nome app ha incollato dagli Appunti”) impedendo il trasferimento dei dati verso destinazioni non gestite.
Nel loro insieme, questi controlli aiutano a garantire che i dati aziendali restino all’interno di app e account approvati.
Casi d’uso business di Managed Open In
Managed Open In è particolarmente adatto alle organizzazioni con scenari a uso misto e BYOD (Bring Your Own Device), perché aiuta a proteggere i dati sensibili senza imporre blocchi totali del dispositivo che possono peggiorare l’esperienza d’uso. In questo modo è possibile separare in modo concreto l’uso aziendale da quello personale, lasciando più flessibilità agli utenti finali.
Ecco alcuni scenari business ricorrenti:
- Impedire l’apertura di file aziendali in app personali di archiviazione, messaggistica o condivisione file.
- Limitare la possibilità di copiare contenuti dalle app di produttività gestite verso applicazioni consumer.
- Mantenere i dati aziendali all’interno degli strumenti di archiviazione, email e collaborazione approvati.
- Consentire la convivenza di app di lavoro e app personali senza esporre i dati aziendali.
Trovare l’equilibrio tra sicurezza e usabilità
Quando si utilizza questo meccanismo, è fondamentale evitare restrizioni troppo aggressive, che rischiano di interrompere involontariamente i flussi di lavoro business. Applica queste impostazioni con criterio, per ridurre il rischio senza creare attriti.
Tra le pratiche di implementazione efficaci rientrano:
- Limitare il movimento dei dati da gestito a non gestito e poi consentire in modo selettivo le destinazioni approvate.
- Assicurarsi che i visualizzatori, gli strumenti di collaborazione e le app di archiviazione usati abitualmente dagli endpoint siano distribuiti come app gestite.
- Verificare che i download dai domini gestiti vengano trattati in modo coerente come contenuti gestiti.
- Fornire comunicazioni chiare, così che gli utenti capiscano perché determinate azioni di apertura o condivisione vengono bloccate.
Per evitare problemi a livello di intera organizzazione, concentrati sulla mappatura dei flussi di lavoro e su test pilota prima di estendere la policy su larga scala.
Aspetti operativi e di applicazione delle regole
Diversi fattori tecnici e ambientali possono influenzare l’applicazione di Managed Open In e, se non gestiti con attenzione, portare a comportamenti incoerenti.
Ecco alcuni aspetti da considerare:
- Supervisione e registrazione dei dispositivi: l’efficacia dell’applicazione e la disponibilità delle caratteristiche possono variare in base al tipo di registrazione e allo stato di supervisione.
- Comportamento del sistema operativo: le differenze tra le versioni di iOS e iPadOS possono incidere sul modo in cui i confini gestiti vengono interpretati e applicati.
- Declarative Device Management (DDM): le versioni moderne di iOS/iPadOS sfruttano le capacità DDM, che permettono al dispositivo di reagire più rapidamente e applicare localmente in autonomia la logica dei confini sui dati, riducendo i ritardi quando le policy vengono aggiornate.
- Supporto nell’implementazione delle app: non tutte le app rispettano pienamente i flag o le estensioni gestite, il che può incidere sul comportamento atteso.
- Coerenza della distribuzione: app e account gestiti devono essere distribuiti in modo uniforme per garantire una classificazione affidabile.
Ulteriori considerazioni
Da solo, questo meccanismo non è una soluzione completa di prevenzione della perdita di dati: è quindi importante conoscerne limiti e sfumature per avere aspettative realistiche.
- Managed Open In non impedisce screenshot, registrazioni dello schermo o il reinserimento manuale delle informazioni.
- Il comportamento delle app può variare a seconda di come gli sviluppatori implementano il supporto per flag ed estensioni gestite.
- Gli amministratori hanno una visibilità minima sulle singole decisioni di applicazione o sulle azioni bloccate.
- Managed Open In è più efficace se combinato con altri controlli di protezione dei dati e di accesso.
Problemi comuni da valutare
A volte Managed Open In non si comporta come previsto a causa di lacune nella classificazione o di differenze negli ambienti. Esamina gli scenari seguenti per isolare e correggere i problemi di implementazione più comuni.
I documenti aziendali si aprono ancora nelle app personali
Assicurati che l’applicazione o l’account di origine sia contrassegnato come entità gestita e che l’app di destinazione venga correttamente trattata come non gestita.
Copia e incolla funziona quando non dovrebbe
Verifica che i controlli managed pasteboard siano attivi e che sia l’app di origine sia quella di destinazione siano classificate correttamente. Inoltre, le app che non supportano pienamente il comportamento managed pasteboard possono consentire un trasferimento limitato di dati.
I flussi di lavoro degli utenti si interrompono
Restrizioni troppo ampie spesso bloccano destinazioni legittime che dovrebbero essere consentite esplicitamente. Individua quali app o estensioni necessarie non hanno lo stato gestito e modifica con criterio l’ambito della policy.
Comportamento incoerente tra i dispositivi
Controlla eventuali differenze nello stato di supervisione, nelle versioni dell’OS o nei metodi di registrazione che possono incidere sull’applicazione delle regole: anche piccole incoerenze nello stato dei dispositivi possono produrre variazioni evidenti nelle policy.
Integrazione con NinjaOne
NinjaOne MDM gestisce i dispositivi Apple e Android insieme agli endpoint Windows, macOS e Linux da un’unica console. Per iOS e iPadOS, i team IT possono usare le policy di NinjaOne MDM per installare e gestire le app, applicare restrizioni ai dispositivi e imporre impostazioni di sicurezza. Le app installate tramite MDM sono app gestite, quindi una distribuzione coerente delle app favorisce una copertura altrettanto coerente di Managed Open In.
| Caratteristica di NinjaOne MDM | Come supporta Managed Open In |
| Distribuzione e gestione delle app | Installa e gestisce le app iOS e iPadOS tramite policy, così che le app di produttività, collaborazione e archiviazione necessarie siano classificate come gestite |
| Restrizioni dei dispositivi | Applica le restrizioni iOS tramite policy per controllare le funzionalità del dispositivo e proteggere i dati aziendali |
| Registrazione BYOD | Separa i dati personali da quelli di lavoro sui dispositivi registrati, applicando al tempo stesso i requisiti di conformità |
Sicurezza e usabilità nella gestione dei dispositivi Apple
Con Managed Open In le organizzazioni ottengono un controllo più preciso sui dati presenti sui dispositivi Apple. Grazie alla chiara distinzione tra contesti gestiti e non gestiti, i team IT possono ridurre l’esposizione accidentale dei dati lasciando comunque agli utenti una certa flessibilità nei flussi di lavoro sui loro dispositivi. L’importante è conoscerne le varie sfumature e testare le impostazioni prima della distribuzione, per garantire usabilità e sicurezza negli ambienti iOS e iPadOS.
Argomenti correlati:
