# BYOD en MDM Beleid in Google Workspace

Medewerkers die hun eigen smartphone of laptop gebruiken voor werk bieden flexibiliteit maar introduceren beveiligingsrisicos. Google Workspace biedt een compleet Mobile Device Management (MDM) framework waarmee je eigen apparaten kunt beheren zonder privacy van medewerkers te schenden.

## BYOD vs. COPE vs. COBO

| Model | Omschrijving | Beheer | Privacy |
|---|---|---|---|
| BYOD | Eigen apparaat | Beperkt (MAM) | Hoog |
| COPE | Bedrijfsapparaat, persoonlijk gebruik toegestaan | Volledig | Gemiddeld |
| COBO | Bedrijfsapparaat, alleen zakelijk | Volledig | Laag |

> Tip: Voor de meeste MKB-bedrijven is BYOD met Mobile Application Management (MAM) de pragmatische keuze. Je beheert alleen de Google Workspace-apps, niet het volledige apparaat.

## Basic MDM vs. Advanced MDM

| Functie | Basic MDM | Advanced MDM |
|---|---|---|
| Apparaten inzien | Ja | Ja |
| Remote wipe (Workspace data) | Ja | Ja |
| Remote wipe (volledig) | Nee | Ja |
| App-beheer | Nee | Ja |
| Apparaatconfiguratie | Nee | Ja |

## Basisinstellingen activeren

```
Admin Console > Apparaten > Mobiele apparaten > Beheerinstellingen
Android-beheer: Ingeschakeld
iOS-beheer: Ingeschakeld
Schermvergrendeling: Vereist
Versleuteling: Vereist
```

## BYOD via Work Profile (Android)

Work Profile maakt een aparte werkzijde op het apparaat. Persoonlijke en zakelijke apps zijn volledig gescheiden.

```
Admin Console > Apparaten > App-beheer
Beheertype: Work Profile (Android)
Apps: Gmail, Drive, Docs, Sheets, Slides, Meet
```

> Tip: Communiceer duidelijk dat de remote wipe alleen zakelijke data verwijdert bij BYOD. Medewerkers zijn vaak bezorgd dat persoonlijke foto's worden gewist.

## BYOD-beleid opstellen

Een goed beleid bevat:

1. Welke apparaten zijn toegestaan (minimale OS-versie)
2. Wat de medewerker moet installeren
3. Wat de organisatie kan inzien (alleen zakelijke data)
4. Wat er bij verlies of diefstal gebeurt
5. Wat er bij vertrek gebeurt

## Verloren apparaat wissen

```
Admin Console > Apparaten > Mobiele apparaten
Zoek apparaat > Apparaat wissen
Kies: Werkprofiel wissen (BYOD) of Volledig wissen (bedrijfsapparaat)
```

## Veelgestelde vragen

**Kan ik als beheerder persoonlijke berichten zien op een BYOD-apparaat?**
Nee. Bij Basic MDM en MAM heb je geen toegang tot persoonlijke data. Dit is ook wettelijk vereist.

**Zijn medewerkers verplicht hun apparaat in te schrijven?**
Dat hangt af van je beleid. Via Context-Aware Access kun je toegang beperken tot ingeschreven apparaten.

**Wat is het verschil tussen remote wipe en account verwijderen?**
Remote wipe verwijdert alle data. Account verwijderen verwijdert alleen het Google-account en app-data. Gebruik account verwijderen bij BYOD.

**Kan ik MDM gebruiken voor Windows-laptops?**
Ja, via Google Endpoint Management met een client-installatie.

**Hoe voorkom ik dat medewerkers bedrijfsdata downloaden?**
Via DLP-beleid gecombineerd met Context-Aware Access kun je downloads beperken op onbeheerde apparaten.

**Moeten medewerkers toestemming geven voor MDM-inschrijving?**
Ja, een medewerker moet actief inschrijven. Je kunt dit niet stilzwijgend installeren.

**Hoe lang worden apparaatlogboeken bewaard?**
Apparaatactiviteit wordt 180 dagen bewaard. Voor langere bewaring is een SIEM-koppeling nodig.

**Wat als een medewerker weigert zijn apparaat in te schrijven?**
Via Context-Aware Access blokkeer je toegang voor niet-ingeschreven apparaten. Leg dit vast in het arbeidscontract.

**Werkt MDM ook voor iOS?**
Ja. iOS MDM werkt via een beheerd apparaatprofiel. Je kunt apps pushen, configuraties instellen en apparaten wissen.

**Kan ik zien welke persoonlijke apps een medewerker heeft geinstalleerd?**
Bij BYOD met Work Profile: nee. Je ziet alleen zakelijke apps. Bij volledig beheerde apparaten heb je meer inzicht.

## Conclusie

BYOD met de juiste MDM-instellingen geeft medewerkers flexibiliteit terwijl de organisatie de benodigde controle behoudt. Total Workspace helpt Nederlandse bedrijven bij het opzetten van een veilig en werknemersvriendelijk BYOD-beleid.