Belangrijkste punten
- Handhaving van datagrenzen: Apple Managed Open In beperkt het verplaatsen van gegevens tussen beheerde (zakelijke) en onbeheerde (persoonlijke) apps op iOS- en iPadOS-endpoints.
- Richting van de gegevensstroom: IT-teams kunnen de overdracht van content selectief toestaan of blokkeren, afhankelijk van de vraag of de bron en de bestemming als beheerd of onbeheerd zijn geclassificeerd.
- Classificatie in vier delen: de beheerde status geldt voor apps die via MDM zijn uitgerold, zakelijke accounts, app-extensies en aangewezen webdomeinen.
- Controle over alle deelroutes: regelt het delen van documenten (menu’s “Open in”), deelbladen, AirDrop-bestemmingen en kopiëren en plakken over de beheerde grens heen (Managed Pasteboard).
- Ideaal voor BYOD: beschermt zakelijke gegevens zonder dat het device volledig onder supervisie hoeft te staan of persoonlijke apps ingrijpend beheerd moeten worden.
- Voorwaarden voor succes: vereist een doordachte afbakening van apps, een consistente uitrol van accounts en afgestemde OS-ondersteuning op alle endpoints.
- Onderdeel van een defense-in-depth-strategie: het risico op datalekken daalt het sterkst in combinatie met andere maatregelen voor gegevensbescherming en toegangsbeheer, want screenshots, schermopnamen of het handmatig overtypen van informatie worden niet voorkomen.
Beheer van mobiele apparaten (MDM) bepaalt welke apps worden geïnstalleerd en hoe die worden geconfigureerd, maar heeft geen volledige grip op hoe gegevens tussen apps bewegen zodra mensen ermee aan de slag gaan.
Apple ontwierp Managed Open In voor iOS en iPadOS om te beperken hoe documenten en content zich verplaatsen tussen beheerde en onbeheerde apps, accounts, extensies en domeinen. Het komt het best tot zijn recht waar zakelijke en persoonlijke apps één device delen, zoals in bring-your-own-device (BYOD)- en gemengde omgevingen.
Wat Apple Managed Open In doet
Apple Managed Open In is een door MDM afgedwongen functie die bepaalt hoe gegevens zich over de grens tussen beheerde en onbeheerde apps op iOS- en iPadOS-devices verplaatsen. De focus ligt op wat er met organisatiegegevens op een device gebeurt, specifiek wanneer gebruikers content tussen apps proberen te openen, te delen of over te zetten. Met deze beheerde grens verkleinen IT-teams de kans op onbedoelde blootstelling van gegevens en blijven gemengde workflows gewoon mogelijk.
De belangrijkste gegevensstromen die deze grens reguleert:
- Beperkingen van beheerd naar onbeheerd: bepaalt of documenten uit beheerde apps of accounts in onbeheerde apps geopend mogen worden.
- Toestemmingen van onbeheerd naar beheerd: regelt of content uit persoonlijke apps of bronnen in beheerde apps terecht mag komen.
- Gedrag van delen en openen: regelt hoe de menu’s “Deel met” en “Open in” zich gedragen wanneer content de beheerde grens overschrijdt.
Zo maakt Apple onderscheid tussen beheerd en onbeheerd
Managed Open In steunt op de interne classificatie die Apple toekent aan bronnen en bestemmingen van content om te bepalen hoe gegevens zich over het device mogen verplaatsen. Dit onderscheid vormt de basis van de handhaving: elke gegevensactie wordt beoordeeld op de vraag of de bron en de beoogde bestemming als beheerd of onbeheerd gelden.
Veelvoorkomende beheerde elementen zijn onder meer:
- Beheerde apps (geïnstalleerd en beheerd via Apple MDM)
- Beheerde accounts (organisatieaccounts, zoals zakelijke e-mail, inclusief bijlagen)
- Beheerde extensies (app-extensies die bij beheerde apps horen)
- Beheerde domeinen (downloads van domeinen die expliciet als beheerd zijn aangemerkt)
Elke app, elk account, elke extensie of contentbron die niet expliciet als beheerd is aangemerkt, geldt als onbeheerd.
De kerninstellingen van Managed Open In
Het mechanisme van Managed Open In wordt afgedwongen via een beperkte set richtingsregels die bepalen hoe gegevens tussen beheerde en onbeheerde contexten mogen bewegen. Om te voorkomen dat alles op slot gaat, blokkeren deze instellingen riskante scenario’s terwijl legitieme werkgerelateerde handelingen gewoon mogelijk blijven.
De belangrijkste richtingsinstellingen zijn:
- Het openen of delen van onbeheerde bronnen (content uit persoonlijke apps of accounts) in beheerde bestemmingen toestaan of beperken.
- Het openen of delen van beheerde bronnen (organisatiedocumenten) in onbeheerde bestemmingen toestaan of beperken.
Daarnaast zijn er ondersteunende instellingen voor gegevensbescherming:
- AirDrop als onbeheerde bestemming behandelen.
- Kopiëren en plakken (pasteboard) beperken wanneer content de beheerde grens overschrijdt.
Technische payloadconfiguratie:
In standaard configuratieprofielen van Apple Mobile Device Management (MDM) wordt dit gedrag geregeld via de belangrijkste restricties binnen de payload com.apple.applicationaccess:
- allowOpenFromManagedToUnmanaged (op false zetten om te blokkeren dat zakelijke gegevens in persoonlijke apps worden geopend)
- allowOpenFromUnmanagedToManaged (op false of true zetten, afhankelijk van de vraag of persoonlijke bestanden in zakelijke apps terecht mogen komen)
- forceAirDropUnmanaged (op true zetten om AirDrop als onbeheerde bestemming te behandelen)
- allowActivityContinuation (regelt Handoff-functies tussen beheerde en onbeheerde contexten)
| Instelling | Wat ermee wordt geregeld |
| Beperking van onbeheerd naar beheerd | Of content uit persoonlijke apps of accounts in beheerde apps terecht mag komen |
| AirDrop als onbeheerde bestemming | Of AirDrop als onbeheerde bestemming wordt behandeld |
| Managed Pasteboard | Of kopiëren en plakken wordt beperkt wanneer content de beheerde grens overschrijdt |
Opmerking over Managed Pasteboard: het OS bepaalt het gedrag van kopiëren en plakken op basis van de classificatie van de actieve bron-app en bestemmings-app. Wanneer plakken over de grens heen beperkt is, wist het OS de gekopieerde buffer of toont het een systeemmelding (“Appnaam heeft geplakt vanaf klembord”) en voorkomt het dat gegevens naar onbeheerde bestemmingen gaan.
Samen zorgen deze instellingen ervoor dat zakelijke gegevens binnen goedgekeurde apps en accounts blijven.
Zakelijke toepassingen van Managed Open In
Managed Open In is vooral geschikt voor organisaties met gemengd gebruik en BYOD (Bring Your Own Device)-scenario’s. Het helpt gevoelige gegevens te beschermen zonder devices volledig op slot te zetten, wat de bruikbaarheid zou schaden. Zo scheidt u zakelijk en persoonlijk gebruik op een praktische manier en houden eindgebruikers meer flexibiliteit.
Enkele veelvoorkomende zakelijke scenario’s:
- Voorkomen dat organisatiebestanden worden geopend in persoonlijke opslag-, berichten- of bestandsdeelapps.
- Beperken dat content uit beheerde productiviteitsapps naar consumentenapplicaties wordt gekopieerd.
- Organisatiegegevens binnen goedgekeurde opslag-, e-mail- en samenwerkingstools houden.
- Werk-apps en persoonlijke apps naast elkaar laten bestaan zonder zakelijke gegevens bloot te stellen.
Beveiliging en bruikbaarheid in balans
Bij het gebruik van dit mechanisme is het cruciaal om te voorkomen dat te strenge restricties onbedoeld bedrijfsworkflows verstoren. Pas deze instellingen doelbewust toe, zodat u het risico verkleint zonder wrijving te veroorzaken.
Effectieve implementatiepraktijken zijn onder meer:
- Gegevensverkeer van beheerd naar onbeheerd beperken en vervolgens selectief goedgekeurde bestemmingen toestaan.
- Ervoor zorgen dat viewers, samenwerkingstools en opslagapps die endpoints vaak gebruiken als beheerde apps worden uitgerold.
- Controleren of downloads van beheerde domeinen consequent als beheerde content worden behandeld.
- Duidelijk communiceren, zodat gebruikers begrijpen waarom bepaalde open- of deelacties worden geblokkeerd.
Om organisatiebrede problemen te voorkomen, legt u eerst de workflows in kaart en voert u een pilot uit voordat u het beleid breder uitrolt.
Operationele aandachtspunten en handhaving
Meerdere technische en omgevingsfactoren beïnvloeden de handhaving van Managed Open In en leiden tot inconsistent gedrag als u ze niet zorgvuldig beheert.
Hieronder staan enkele punten om rekening mee te houden:
- Supervisie en enrollment van devices: de kracht van de handhaving en de beschikbaarheid van functies verschillen per enrollment-type en supervisiestatus.
- Gedrag van het besturingssysteem: verschillen tussen iOS- en iPadOS-versies kunnen van invloed zijn op hoe beheerde grenzen worden geïnterpreteerd en gehandhaafd.
- Declarative Device Management (DDM): moderne iOS- en iPadOS-versies benutten DDM-functionaliteit, waardoor het device sneller reageert en de logica voor datagrenzen lokaal en autonoom afdwingt. Dat beperkt vertraging bij beleidsupdates.
- Ondersteuning in de app zelf: niet alle apps respecteren beheerde markeringen of extensies volledig, wat het verwachte gedrag kan beïnvloeden.
- Consistente uitrol: beheerde apps en accounts moeten uniform worden uitgerold om een betrouwbare classificatie te garanderen.
Overige aandachtspunten
Het mechanisme is op zichzelf geen complete oplossing voor data loss prevention. Het is dus cruciaal om de beperkingen en nuances te kennen en realistische verwachtingen te scheppen.
- Managed Open In voorkomt geen screenshots, schermopnamen of het handmatig overtypen van informatie.
- Het gedrag van apps verschilt, afhankelijk van hoe ontwikkelaars de ondersteuning voor beheerde markeringen en extensies hebben geïmplementeerd.
- Beheerders hebben nauwelijks inzicht in individuele handhavingsbeslissingen of geblokkeerde acties.
- Managed Open In is het effectiefst in combinatie met andere maatregelen voor gegevensbescherming en toegangsbeheer.
Veelvoorkomende problemen om te beoordelen
Soms gedraagt Managed Open In zich niet zoals verwacht door hiaten in de classificatie of verschillen in de omgeving. Loop de volgende scenario’s na om veelvoorkomende implementatieproblemen op te sporen en te verhelpen.
Zakelijke documenten worden nog steeds in persoonlijke apps geopend
Controleer of de bronapplicatie of het bronaccount als beheerde entiteit is aangemerkt en of de bestemmingsapp terecht als onbeheerd wordt behandeld.
Kopiëren en plakken werkt onverwacht
Controleer of de instellingen voor Managed Pasteboard zijn ingeschakeld en of zowel de bron- als de bestemmingsapp correct zijn geclassificeerd. Daarnaast kunnen apps die het gedrag van Managed Pasteboard niet volledig ondersteunen beperkte gegevensoverdracht toestaan.
Workflows van gebruikers lopen vast
Te brede restricties blokkeren vaak legitieme bestemmingen die expliciet toegestaan zouden moeten zijn. Ga na welke benodigde apps of extensies de beheerde status missen en pas de reikwijdte van het beleid doelbewust aan.
Inconsistent gedrag op verschillende devices
Controleer op verschillen in supervisiestatus, OS-versies of enrollment-methoden die de handhaving kunnen beïnvloeden. Zelfs kleine afwijkingen in de staat van een device leiden tot merkbare verschillen in het beleid.
Integratie met NinjaOne
NinjaOne MDM beheert Apple- en Android-devices naast Windows-, macOS- en Linux-endpoints vanuit één portaal. Voor iOS en iPadOS kunnen IT-teams met NinjaOne MDM-beleid apps installeren en beheren, apparaatrestricties toepassen en beveiligingsinstellingen afdwingen. Apps die via MDM zijn geïnstalleerd zijn beheerde apps, dus een consistente uitrol van apps zorgt voor een consistente dekking door Managed Open In.
| Mogelijkheid van NinjaOne MDM | Hoe het Managed Open In ondersteunt |
| Uitrol en beheer van apps | Installeert en beheert iOS- en iPadOS-apps via beleid, zodat de benodigde productiviteits-, samenwerkings- en opslagapps als beheerd worden geclassificeerd |
| Apparaatrestricties | Past iOS-restricties toe via beleid om de functionaliteit van devices te regelen en zakelijke gegevens te beschermen |
| BYOD-enrollment | Scheidt persoonlijke en zakelijke gegevens op aangemelde devices en dwingt tegelijk compliance-eisen af |
Beveiliging en bruikbaarheid in balans bij het beheer van Apple-devices
Met Managed Open In krijgen organisaties nauwkeuriger controle over gegevens op Apple-devices. Dankzij het duidelijke onderscheid tussen beheerde en onbeheerde contexten verkleinen IT-teams de kans op onbedoelde blootstelling van gegevens en houden gebruikers toch enige flexibiliteit in hun workflows. Zorg er wel voor dat u de verschillende nuances begrijpt en test de instellingen vóór de uitrol, zodat zowel de bruikbaarheid als de beveiliging in iOS- en iPadOS-omgevingen gewaarborgd blijft.
Gerelateerde onderwerpen:
