Jak zarządzać firmowymi chromebookami bez konieczności dotykania sprzętu

Współczesny model pracy – często hybrydowy lub zdalny – stawia przed działami IT spore wyzwania logistyczne. Wymiana firmowego sprzętu kojarzy się z listą zadań takich jak wybór modeli, zamówienie, odbiór, wgrywanie certyfikatów, nakładanie polityk bezpieczeństwa i wysyłka do pracowników. Przy kilkudziesięciu lub kilkuset urządzeniach proces ten obciąża dział IT i generuje spore koszty.

O tym, jak wyeliminować ręczną konfigurację sprzętu i zarządzać całą flotą komputerów z jednego miejsca, rozmawiali eksperci FOTC – Tomasz Nawrat (Chrome Enterprise Support) oraz Sebastian Sandach (Business Development Manager) podczas webinaru „Pełna kontrola nad firmowym sprzętem bez wstawania od biurka”. 

W tym artykule zebraliśmy najważniejsze informacje z tego wydarzenia. Dowiesz się z niego:

• czym jest ChromeOS i chromebook;
• jak wdrożyć komputery bez dotykania ich przez dział IT dzięki rejestracji typu zero-touch (Zero Touch Enrollment);
• jak wygląda centralne zarządzanie politykami bezpieczeństwa z poziomu konsoli Google Workspace;
• jakie są możliwości zabezpieczeń firmowych danych przed wyciekiem (DLP i Context-Aware Access);
• jak wygląda przyszłość ekosystemu ChromeOS i przejście na AluminiumOS.

Co to ChromeOS i chromebook?

ChromeOS to lekki i szybki system operacyjny zaprojektowany przez Google, który opiera się na przeglądarce Chrome i architekturze chmurowej. Urządzenia działające w ramach tego systemu nazywamy chromebookami. To laptopy różnych producentów zoptymalizowane pod kątem bezpieczeństwa oraz wydajności. Firmy wykorzystujące już Google Workspace z pewnością docenią również łatwość zarządzania taką flotą sprzętu.

Centralna konsola administracyjna Google Workspace

Zarządzanie flotą chromebooków odbywa się w tej samej konsoli, w której administratorzy zarządzają użytkownikami i usługami Google Workspace. System udostępnia blisko 600 rodzajów polityk bezpieczeństwa dla urządzeń ChromeOS, aplikacji Android oraz przeglądarki Chrome (a także silnika Chromium w przeglądarkach Edge czy Brave).

Większość zmian wprowadzanych przez administratora znajduje się na urządzeniach użytkowników w ciągu kilku sekund lub minut (maksymalnie do 24 godzin), bez konieczności resetowania czy lokalnej ingerencji w sprzęt.

Rejestracja typu Zero Touch Enrollment (ZTE), czyli dostawa sprzętu pod drzwi pracownika

Zero Touch Enrollment (ZTE) to automatyczna metoda rejestracji i konfiguracji firmowych urządzeń. Dotyczy nie tylko ChromeOS, ale również urządzeń z systemem Android. Eliminuje potrzebę fizycznego przekazywania komputera do działu IT. Urządzenie zostaje przypisane do domeny organizacji już na etapie zamówienia u partnera Google (takiego jak FOTC) lub u producenta.

Sprzęt może zostać dostarczony kurierem prosto do domu pracownika, z pominięciem wysyłki do siedziby firmy. Po uruchomieniu i zalogowaniu się firmowym kontem Google Workspace (co zajmuje około 2–3 minuty), urządzenie automatycznie pobiera przypisane do danej jednostki polityki, aplikacje oraz ustawienia sieci. Pracownik od razu otrzymuje gotowe do pracy, zabezpieczone stanowisko.

Przy większej skali, np. wielu oddziałach, pracy zdalnej, wysokiej rotacji lub sezonowym zatrudnieniu – różnica jest szczególnie widoczna. FOTC wdrażało chromebooki w organizacjach liczących ponad 900 pracowników. W takich projektach Zero Touch Enrollment eliminuje setki godzin ręcznej konfiguracji.

Profilowanie uprawnień dla jednostek organizacyjnych i grup

Konsola administracyjna pozwala tworzyć jednostki organizacyjne (OU) oraz grupy, do których przypisuje się konkretne reguły. Pozwala to odpowiadać odmiennym potrzebom technologicznym poszczególnych działów w firmie, na przykład:

• dział HR – zaostrzone reguły udostępniania dokumentów na zewnątrz;
• dział finansów – blokada kopiowania danych oraz korzystania z nośników USB;
• zespoły sprzedaży – dostęp do wybranego pakietu aplikacji CRM i narzędzi klienckich;
• stanowiska produkcyjne/kioski – tryb pracy ograniczony do jednej określonej aplikacji webowej.

Gdy pracownik zmienia dział, zmiana jego przynależności w strukturze automatycznie aktualizuje komplet uprawnień na jego urządzeniu.

Bezpieczeństwo ChromeOS

Skoro urządzenie trafiło do pracownika bez udziału helpdesku, kluczowe staje się pytanie jak zapewnić mu pełne bezpieczeństwo bez instalowania tradycyjnych antywirusów? Przyjrzyjmy się architekturze bezpieczeństwa systemu ChromeOS.

Wbudowana architektura: sandboxing, Verified Boot i szyfrowanie TPM

System ChromeOS od podstaw zaprojektowano tak, aby maksymalnie ograniczyć pole manewru dla cyberprzestępców. Bezpieczeństwo opiera się na trzech filarach:

1. Sandboxing (piaskownica). Każda aplikacja oraz nowa karta w przeglądarce działają jako osobny, odizolowany proces. Ewentualne wejście na złośliwą stronę nie infekuje pozostałej części systemu.
2. Verified Boot (kontrolowany rozruch). Podczas każdego uruchomienia chromebook weryfikuje spójność systemu. W pamięci urządzenia znajdują się zawsze dwa obrazy systemu (roboczy i kopia zapasowa). W przypadku wykrycia nieautoryzowanej modyfikacji, system automatycznie przywraca czystą wersję.
3. Szyfrowanie i chip TPM. Dyski są szyfrowane sprzętowo. Wyciągnięcie nośnika z urządzenia uniemożliwia odczytanie danych z zewnątrz. Co więcej, Google zapewnia bezpłatne automatyczne aktualizacje w tle przez 10 lat od premiery danego modelu.

Zabezpieczenie na wypadek zgubienia laptopa oraz tryb efemeryczny dla pracy zmianowej

W przypadku kradzieży lub zagubienia sprzętu administrator może natychmiast zablokować chromebooka z poziomu konsoli, wyświetlając na ekranie komunikat z danymi kontaktowymi dla znalazcy. Zablokowane po numerze seryjnym urządzenie staje się bezużyteczne dla osób postronnych. Administrator otrzymuje też informację o adresie IP, z którego próbowano uzyskać dostęp.

W środowiskach pracy zmianowej (call center, magazyny, recepcje) doskonale sprawdza się tryb efemeryczny. Po wylogowaniu się użytkownika wszelkie lokalne pliki robocze i pamięć podręczna są automatycznie usuwane. Kolejna osoba logująca się na tym samym komputerze otrzymuje czyste, bezpieczne środowisko pracy.

Blokada nośników USB i ścisła kontrola aplikacji

Jednym z najczęstszych źródeł wycieku danych oraz infekcji są prywatne pamięci przenośne. Dobre praktyki zarządzania flotą w Google Workspace zakładają domyślne blokowanie zewnętrznych pamięci USB oraz stosowanie tzw. „białej listy” aplikacji (whitelist). Dział IT decyduje, jakie rozszerzenia i programy z Google Play mogą zostać zainstalowane na firmowym sprzęcie.

Zaawansowana ochrona informacji. Context-Aware Access i DLP

Wiesz już, jak zabezpieczone jest samo urządzenie oraz system. Co jednak w sytuacji, gdy zagrożenie nie płynie z sieci, lecz z ryzyka związanego z nieautoryzowanym logowaniem lub próbami wycieku poufnych danych? Wtedy z pomocą przychodzi dostęp zależny od kontekstu, czyli Context-Aware Access.

Context-Aware Access – dostęp do zasobów uzależniony od kontekstu

Tradycyjna weryfikacja (login, hasło i dwuskładnikowe uwierzytelnienie 2FA) sprawdza jedynie tożsamość użytkownika. Context-Aware Access idzie krok dalej i bada kontekst próby połączenia:

• lokalizację geograficzną (np. dostęp tylko z terytorium Polski lub UE);
• adres IP (np. wymagany adres firmowej sieci lub zdefiniowany VPN);
• stan zabezpieczeń komputera (np. sprawdzanie, czy system jest aktualny i czy komputer należy do firmowej floty).

Nawet jeśli niepowołana osoba pozna hasło i przechwyci kod SMS, system zablokuje dostęp do firmowej poczty czy Dysku Google, jeśli próba logowania na konto nastąpi z nieupoważnionego urządzenia lub nietypowej lokalizacji. To jeszcze nie koniec – inne zabezpieczenia chromebooka działają stale podczas codziennej pracy z urządzeniem.

Data Loss Prevention (DLP) i etykietowanie danych (Drive Labels)

Reguły DLP (ochrona przed utratą danych) w czasie rzeczywistym skanują treść wprowadzanych, wysyłanych i kopiowanych informacji. Pozwalają one wykrywać m.in. numery PESEL, numery kart płatniczych, dane osobowe czy poufne nazwy projektów. DLP może działać w następujący sposób:

• Ostrzeżenie. Wyświetlenie komunikatu z prośbą o potwierdzenie, czy użytkownik na pewno chce wysłać dane.
• Blokada. Natychmiastowe zablokowanie akcji kopiowania/wysyłki bez możliwości jej obejścia.
• Cichy alert. Przesłanie powiadomienia do administratora IT o próbie naruszenia polityki (z informacją o treści i użytkowniku).

Mechanizm DLP współpracuje z etykietami danych (Drive Labels), które klasyfikują dokumenty jako publiczne, wewnętrzne lub poufne. Dokument oznaczony etykietą „Poufne” nie wyjdzie poza organizację, nawet jeśli pracownik będzie próbował załączyć plik do prywatnej wiadomości.

Przejście na ChromeOS. Aplikacje legacy i perspektywy rozwoju

Przedstawione wyżej rozwiązania zapewniają kompleksowe zabezpieczenie sprzętu, klasyfikację danych oraz kontrolę dostępu. Jeśli przekonują Cię one do wdrożenia ChromeOS, być może zastanawiasz się, jak pogodzić to z dotychczasowymi narzędziami. O ile korzystasz w firmie ze specjalistycznego oprogramowania na Windows, na szczęście nie musi to stanowić bariery.

Wirtualizacja aplikacji Windows dzięki Cameo

Dla firm, które korzystają ze starszych, specjalistycznych aplikacji przeznaczonych na system Windows (np. systemów ERP, programów księgowych czy oprogramowania graficznego), rozwiązaniem jest platforma Cameo (Virtual App Delivery). W przeciwieństwie do tradycyjnej wirtualizacji, Cameo nie wymaga uruchamiania całego, ciężkiego pulpitu Windows. Wybrana aplikacja otwiera się po prostu w nowej karcie przeglądarki Chrome, działając tak płynnie i lekko, jakby była natywnym narzędziem chmurowym.

Cameo oferuje trzy modele wdrożeniowe, które można dopasować do polityki bezpieczeństwa i potrzeb infrastrukturalnych firmy:

1. Self-hosted (własne serwery). Rozwiązanie idealne dla sektorów o rygorystycznych wymogach prawnych, takich jak bankowość czy medycyna. Aplikacje są uruchamiane na własnej infrastrukturze serwerowej firmy, co daje działowi IT absolutną kontrolę nad tym, gdzie znajdują się dane.
2. Google Cloud Platform (GCP). Opcja chmurowa zoptymalizowana pod kątem wydajności i kosztów. Dzięki wykorzystaniu chmury Google firma zyskuje szybkość działania, z możliwością wskazania konkretnego regionu przechowywania danych (np. wyłącznie na terenie Unii Europejskiej).
3. Cameo Portal (Full-hosted). Najwygodniejszy wariant typu „usługa zarządzana”. Firma nie musi posiadać własnych serwerów ani martwić się o ich utrzymanie, a całą stroną techniczną i infrastrukturą zajmuje się dostawca, pozwalając zespołowi skupić się wyłącznie na pracy.

ChromeOS Flex – idealne rozwiązanie do przetestowania ChromeOS

Przed zakupem nowej floty urządzeń firmy mogą także przetestować środowisko ChromeOS za pomocą darmowego systemu ChromeOS Flex. Można go zainstalować na dotychczas używanych komputerach PC lub Mac. Pozwala on zweryfikować pracę w przeglądarce oraz integrację z Google Workspace.

Warto pamiętać, że ChromeOS Flex służy głównie do celów testowych. W przeciwieństwie do klasycznych chromebooków, Flex nie oferuje sklepu Google Play oraz sprzętowego szyfrowania przez chip TPM.

Przyszłość ekosystemu. Od ChromeOS do AluminiumOS (Googlebook)

Google pracuje nad nowym systemem, który połączy to, co najlepsze w ChromeOS i Androidzie. To wspólne środowisko, roboczo nazywane AluminiumOS, a laptopy z tym systemem będą określane jako Googlebooki. Ma to sprawić, że obsługa aplikacji mobilnych i praca biurowa będą jeszcze bardziej spójne i intuicyjne.

Dla firm już korzystających z chromebooków to kolejna naturalna faza rozwoju, która nie wymaga żadnych dodatkowych działań z ich strony.

• Wszelkie dotychczasowe polityki bezpieczeństwa, konsola administracyjna i architektura zarządzania pozostają bez zmian.
• Aktualne chromebooki zachowują pełne 10-letnie wsparcie producenta.
• Przejście na nową generację systemu odbędzie się w tle.

Dlaczego warto postawić na ChromeOS?

Wdrożenie chromebooków zmienia podejście do codziennej pracy działu IT, oferując nowoczesny i bezpieczny standard zarządzania.

• Zero Touch Enrollment skraca czas konfiguracji sprzętu z godzin do minut.
• Centralna konsola Google daje pełny wgląd w stan bezpieczeństwa floty z dowolnego miejsca.
• Context-Aware Access i DLP zabezpieczają firmowe zasoby przed nieuprawnionym dostępem i wyciekiem.
• Cameo pozwala zachować ciągłość pracy na kluczowych aplikacjach Windows.

Zastanawiasz się, jak przeprowadzić audyt aplikacji w swojej organizacji i bezboleśnie wdrożyć ChromeOS? Zespół FOTC jako oficjalny partner Google Premier wspiera firmy na każdym etapie: od doboru sprzętu, przez konfigurację polityk bezpieczeństwa, po szkolenia administratorów i wsparcie techniczne. Odezwij się do nas.