Serve un MDM alla mia azienda? Cosa permette di fare, e da che dimensione conviene

MDM è la sigla di mobile device management: un servizio che permette di configurare, aggiornare e proteggere i Mac dell'azienda da un unico posto, invece che uno alla volta, davanti a ogni scrivania. La domanda utile non è se un MDM esista o funzioni: esiste, ed è maturo. È se al numero di Mac che hai oggi il tempo che richiede metterlo in piedi vale quello che ti fa risparmiare più avanti. Questa guida spiega cosa cambia davvero quando i Mac sono gestiti, cosa mette a disposizione Apple direttamente senza costi di licenza, cosa continua a costare in tempo anche quando lo strumento è gratuito, e da che dimensione la risposta comincia a essere sì.

Cos'è, in pratica, un MDM

Apple stessa, nella documentazione che scrive per le aziende, chiama questo servizio servizio di gestione dei dispositivi. Concretamente, un Mac "gestito" riceve impostazioni, restrizioni e comandi direttamente da questo servizio: chi amministra l'azienda può, per esempio, imporre una password minima, richiedere che il disco sia cifrato, o installare un'app su tutti i Mac del reparto commerciale in un colpo solo, senza toccare fisicamente nessuno dei Mac coinvolti.

Un livello ulteriore di controllo si chiama supervisione, e si applica quando il Mac è di proprietà dell'azienda, non della persona che lo usa. Apple la definisce così: "la supervisione di solito indica che il dispositivo è di proprietà dell'organizzazione, che esercita un controllo aggiuntivo sulla configurazione e sulle restrizioni di tale dispositivo." È la differenza pratica tra poter bloccare un Mac da remoto se sparisce, e poter solo chiedere gentilmente a chi lo usa di fare qualcosa.

Per proteggere i dati dell'azienda rispettando comunque la privacy di chi usa un dispositivo proprio, invece, Apple prevede la registrazione utente, un'opzione più leggera pensata apposta per quel caso. Un MDM lavora insieme all'Apple Account con cui i Mac sono collegati, non al suo posto: se in azienda non hai ancora chiarito di chi sono davvero questi account, la guida agli Apple Account in azienda è il punto di partenza più utile, perché un Mac gestito ma legato all'account personale di un dipendente resta comunque un problema irrisolto.

Prima di cercare un MDM, guarda cosa hai già

Prima di valutare Apple Business o un servizio di terze parti, vale la pena controllare una cosa facile da dare per scontata: se in azienda usi già un piano di Microsoft 365 o di Google Workspace, potresti avere già una parte di questo servizio, dentro un abbonamento che tieni comunque per la posta o per i documenti. Non vale per ogni piano, e quello che copre non è la stessa cosa che offre Apple: più avanti in questa guida trovi cosa fa davvero Microsoft Intune sui Mac e cosa copre la gestione degli endpoint di Google Workspace, con i piani precisi a cui si applica ciascuna cosa. Ma è la domanda da farsi per prima, prima di aggiungere un servizio in più da amministrare: guarda che piano hai e verifica se include la gestione dei dispositivi, invece di dare per scontato che si debba partire da zero.

Cosa diventa possibile quando i Mac sono gestiti

Il vantaggio non è astratto: sono cose concrete che oggi, senza un MDM, richiedono di intervenire su ogni Mac uno per volta.

• Configurazioni identiche senza rifare il lavoro ogni volta. Wi-Fi, restrizioni di sicurezza, app di lavoro: le imposti una volta e le applichi a un gruppo di Mac, non a ognuno singolarmente.
• Cifratura del disco imposta, non solo consigliata. Un servizio di gestione dei dispositivi può richiedere che un Mac attivi FileVault durante la configurazione iniziale, prima che chi lo riceve inizi a usarlo. Puoi approfondire cosa protegge davvero FileVault, e cosa succede se la chiave di recupero si perde, nella guida a FileVault.
• Un quadro d'insieme, non una rassegna Mac per Mac. Con una query puoi sapere quanti Mac hai, che versione di macOS hanno installato, e se sono cifrati, invece di doverlo controllare uno alla volta.
• Accesso che si può revocare da remoto. Quando una persona lascia l'azienda, un Mac gestito puoi bloccarlo o inizializzarlo senza doverlo avere fisicamente davanti nello stesso momento: è lo scenario, con tutti i passaggi nell'ordine giusto, coperto dalla guida al passaggio di consegne del Mac.

Nessuna di queste cose richiede un reparto informatico enorme. Richiede che qualcuno, in azienda, abbia deciso in anticipo come vuole che i Mac si comportino, invece di scoprirlo un Mac alla volta quando qualcosa va storto.

Come arriva un Mac nuovo già pronto

Nel gergo del settore, MacRumors la descrive come distribuzione "zero-touch": un Mac nuovo, appena tolto dalla scatola e acceso, si configura da solo secondo le regole che hai già stabilito, senza che nessuno debba prepararlo prima di consegnarlo a chi lo userà. Apple, nella sua documentazione, la chiama Registrazione automatica dei dispositivi, ed è "progettata per tutti i dispositivi Apple di proprietà dell'organizzazione", permettendo di "configurare e gestire i dispositivi dal momento in cui qualcuno li estrae dalla confezione."

Perché funzioni, il numero di serie del Mac deve risultare associato ad Apple Business, non basta che il Mac sia acceso e connesso: la documentazione Apple lo descrive come un'aggiunta automatica dei dispositivi acquistati da un rivenditore autorizzato Apple, non come qualcosa che avviene da solo su un Mac comprato altrove. Con l'opzione che Apple chiama Avanzamento automatico, un Mac collegato a una presa Ethernet può saltare del tutto le schermate di Impostazione Assistita e presentarsi già pronto, con solo nome utente e password da inserire nella finestra di login.

Cosa offre Apple direttamente, e cosa no

Apple mette a disposizione un servizio di gestione dei dispositivi integrato dentro Apple Business, la piattaforma gratuita che ha riunito Apple Business Manager, Apple Business Essentials e Apple Business Connect (la trovi spiegata in dettaglio, insieme a come funziona l'iscrizione, nella guida agli Apple Account in azienda). Apple lo descrive come una soluzione di gestione dispositivi completa, che permette di configurare, distribuire e gestire da remoto i Mac dell'azienda. Una volta attivato, dà accesso a due strumenti che Apple chiama Configurations e Blueprints: il primo per creare impostazioni di sicurezza e di rete una volta sola, il secondo per assegnarle in automatico a gruppi di dispositivi. MacRumors descrive Blueprints come lo strumento che permette di preconfigurare i Mac acquistati da Apple o da un rivenditore autorizzato con impostazioni e app già pronte, per una distribuzione zero-touch.

Il servizio integrato si può anche disattivare in un secondo momento: Apple descrive la procedura come una scelta tra riassegnare i dispositivi già gestiti a un altro servizio, oppure rimuoverli dalla gestione uno per uno, non come un interruttore che cancella tutto in blocco.

Sul costo, secondo quanto ha riportato MacRumors al lancio della piattaforma, ad aprile 2026 la gestione dei dispositivi dentro Apple Business non ha canoni mensili, con costi aggiuntivi solo opzionali per spazio iCloud extra e AppleCare+. Non è una cifra che trovi scritta con questa chiarezza su una pagina di supporto Apple: prima di contarci per la tua azienda, verifica le condizioni aggiornate direttamente sul sito di Apple Business.

Quello che il servizio integrato non è, è un sostituto di uno stack di sicurezza aziendale completo. Lo osserva bene 9to5Mac, a firma di un amministratore che ha gestito reti aziendali con migliaia di dispositivi Apple: gli strumenti nativi di Apple Business sono ottimi per portare un dispositivo dalla confezione alla configurazione, ma non nascono per essere lo stack di sicurezza completo che serve a un'azienda con esigenze di conformità più severe, report dettagliati sullo stato degli aggiornamenti, o un accesso che richieda l'autenticazione a più fattori tramite un fornitore di identità esterno. Se un dipendente scarica un software dannoso, la sola distribuzione di profili non ti protegge da sola. Per la maggior parte delle aziende piccole, però, è esattamente il problema che serve risolvere prima: passare da "nessuno gestisce niente" a una base comune, cosa che fino ad aprile 2026 aveva un costo che scoraggiava chi aveva pochi Mac.

Apple Business permette anche di collegare, al posto del servizio integrato o insieme a esso, un servizio di gestione di terze parti: puoi valutarne più di uno in prova con pochi dispositivi prima di scegliere, e alcuni fornitori sono specializzati solo su Mac mentre altri coprono tutte le piattaforme Apple insieme. È l'opzione da considerare quando il servizio integrato non basta più, non il punto di partenza.

Cosa copre già Microsoft 365, e cosa copre già Google Workspace

Se in azienda paghi già uno di questi due abbonamenti, ecco cosa include davvero per i Mac, non in generale: entrambi i fornitori descrivono le proprie funzionalità piattaforma per piattaforma, e per i Mac il quadro non è identico a quello per Windows.

Microsoft Intune, dentro Microsoft 365 Business Premium

Se in azienda hai Microsoft 365 Business Premium, hai già Microsoft Intune. Microsoft lo scrive esplicitamente: "Business Premium include Microsoft Intune (piano 1), una soluzione completa di gestione dei dispositivi che consente di registrare, monitorare e gestire i dispositivi." Non è un componente da attivare a parte: è già dentro l'abbonamento che paghi per la posta e i documenti.

Su un Mac, Intune permette di registrare il dispositivo tramite l'app Portale aziendale, applicare criteri di conformità, distribuire profili di configurazione (rete Wi-Fi, VPN, restrizioni), e gestire impostazioni di sicurezza che includono, testualmente, "Firewall, Gatekeeper e FileVault". Sono, di fatto, le stesse funzioni di fondo che offre il servizio integrato in Apple Business, viste da dentro un abbonamento Microsoft invece che da Apple Business.

C'è però un'asimmetria che vale la pena conoscere prima di contarci. Nelle sue stesse linee guida per Business Premium, Microsoft raccomanda per i dispositivi Windows un elenco lungo e specifico di impostazioni di conformità (BitLocker, Avvio protetto, integrità del codice, firewall, antivirus, tra le altre), mentre per "altri tipi di dispositivo", categoria che include il Mac, l'elenco raccomandato si riduce a tre voci generiche: richiedere una password per sbloccare il dispositivo, richiedere la crittografia del dispositivo, richiedere l'integrità del codice. Non significa che Intune non gestisca sul serio i Mac: significa che il livello di dettaglio che Microsoft costruisce e documenta per i propri dispositivi resta più fitto di quello per i Mac, un po' come il servizio integrato di Apple Business ha i suoi limiti rispetto a un fornitore specializzato, spiegati sopra. Vale anche la pena sapere che gestire i Mac con Intune richiede comunque un prerequisito Apple, un certificato push MDM Apple, indipendentemente dal fatto che l'azienda usi anche Apple Business.

Google Workspace, e il limite della gestione di base sui Mac

Se in azienda hai un piano Business Starter, Business Standard o Business Plus di Google Workspace, tra le versioni che includono la gestione di base degli endpoint di serie, hai già una gestione dei Mac attiva, ma più leggera di quella di Intune. Google la chiama gestione di base, e per Windows, Mac, Linux e ChromeOS Google spiega che "viene applicata automaticamente. Non sono previste configurazioni utente obbligatorie." Le opzioni che offre sui Mac sono condividere gli indicatori di sicurezza del dispositivo tramite Chrome, "disconnettere gli utenti da remoto", e "approvare, bloccare, sbloccare o eliminare un dispositivo gestito". Serve a sapere quali Mac accedono ai dati dell'azienda e a tagliare l'accesso a uno che sparisce, non a imporre impostazioni.

Il limite è documentato dallo stesso Google. La fascia più avanzata, quella che permette di imporre impostazioni e cancellare dati aziendali da un dispositivo, si chiama "Sicurezza desktop avanzata", e Google la riserva esplicitamente a "Windows 10 (di proprietà dell'azienda)". Sui Mac, Google Workspace da solo non arriva a imporre FileVault o una password minima: quella parte, se ti serve, resta da coprire con Apple Business o con un servizio di terze parti, anche pagando già un piano Business di Google Workspace.

Il confronto, per un'azienda tra i cinque e i trenta Mac

A questa dimensione, il punto di partenza dipende da cosa paghi già, non da cosa offre in astratto ciascun fornitore. Se non hai né Microsoft 365 né Google Workspace, il servizio integrato in Apple Business resta il punto di partenza più semplice: è pensato per Apple e non c'è altro da mettere in conto sopra. Se paghi già Microsoft 365 Business Premium, hai già una gestione vera dei Mac dentro l'abbonamento: vale la pena provarla prima di aggiungerne un'altra. Se paghi già un piano Business di Google Workspace, hai visibilità sui Mac collegati e la possibilità di disconnetterli da remoto, ma non una configurazione imposta: se ti serve quella, un servizio in più, Apple Business o di terze parti, resta necessario comunque.

Il costo vero non è in euro, è in tempo

Anche quando lo strumento è gratuito, mettere in piedi la gestione dei dispositivi non è un interruttore che si accende da solo. Qualcuno deve iscrivere l'azienda ad Apple Business, decidere quali impostazioni applicare e a chi, aggiungere ogni Mac nuovo, e restare la persona a cui chiedere quando un Mac non si comporta come dovrebbe. In un'azienda senza una persona dedicata all'informatica, questo lavoro finisce quasi sempre su chi già si occupa un po' di tutto il resto, tra le altre dieci cose che deve fare quel giorno.

Il momento in cui questo emerge con più chiarezza è quando un sistema di gestione esiste già, ma nessuno ricorda bene come è stato impostato: capita spesso a chi eredita un'azienda configurata anni prima da qualcuno che nel frattempo se n'è andato. Se sei in questa situazione, la guida al passaggio di consegne copre lo scenario più urgente, quello di un Mac gestito il cui unico amministratore sta per lasciare l'azienda, e la guida al blocco di attivazione sui Mac aziendali copre il caso in cui quel Mac risulta ancora agganciato a un account che l'azienda non controlla più.

Come nota 9to5Mac, il problema che il servizio gratuito di Apple risolve davvero è quello che l'articolo chiama "zero to one": portare un'azienda che non gestisce nulla a una base minima, senza dover superare la barriera del costo per dispositivo che fino a poco tempo fa scoraggiava le aziende più piccole. Restare fermi a "nessuno gestisce niente" perché sembra complicato non è più giustificato dal prezzo, visto che il servizio di base è gratuito. Resta giustificato, semmai, dal tempo che serve per metterlo in piedi con criterio: un costo reale, anche se non compare in nessuna fattura.

Da che dimensione conviene davvero

Le soglie che seguono partono dal presupposto che tu debba scegliere e pagare qualcosa da zero. Se in azienda paghi già Microsoft 365 Business Premium o un piano Business di Google Workspace, riparti da quello che hai letto nella sezione precedente, non da qui: la domanda cambia da "mi conviene un MDM" a "mi basta quello che ho già, o mi serve aggiungere Apple Business sopra".

Apple non lo pone in termini di soglia minima: la sua documentazione descrive le distribuzioni Apple come adatte "a prescindere dal fatto che la tua azienda abbia dieci o centomila dispositivi", usandolo come esempio della gamma coperta, non come punto di ingresso. La soglia che conta davvero è quella che decidi tu, confrontando il tempo che il servizio richiede con quello che ti fa risparmiare, e qui la risposta onesta è meno generosa di quanto un fornitore di MDM abbia interesse a dirti.

Con due o tre Mac, la gestione centralizzata è quasi sempre overhead che non recuperi. Configurare a mano due Mac non costa più tempo che iscriversi ad Apple Business, imparare dove sono i comandi, e mantenere aggiornate le impostazioni per due soli dispositivi. Sotto quella soglia, la disciplina descritta nella guida agli Apple Account in azienda, fatta di controlli periodici e password condivise in modo sicuro, copre buona parte del rischio senza bisogno di un servizio in più da amministrare.

Da una decina di Mac in su, il calcolo comincia a cambiare, e non per il costo: il servizio integrato di Apple Business resta gratuito, quindi il freno non è più economico. Cambia il numero di volte in cui rifai la stessa configurazione a mano, ogni volta che assumi qualcuno o sostituisci un Mac guasto, ed è lì che il tempo risparmiato comincia a superare quello investito per impostare il servizio una volta sola.

Oltre le poche decine di Mac, o prima se un cliente, un'assicurazione o chi ti fa da revisore ti chiede di dimostrare che i dispositivi aziendali rispettano certe regole, il servizio integrato di Apple comincia a mostrare i limiti descritti sopra: report dettagliati, conformità verificabile, gestione dell'identità con più fattori. È il punto in cui vale la pena valutare un servizio di gestione di terze parti, con un costo per dispositivo che a quella dimensione il tempo risparmiato giustifica più facilmente.

Questa è una soglia di buon senso, basata su cosa cambia davvero in ogni fascia, non un numero che trovi scritto su una pagina Apple: usala come punto di partenza per la tua situazione, non come una regola fissa.

Cosa chiedere prima di scegliere un servizio di gestione

Se decidi di andare oltre il servizio gratuito integrato in Apple Business, o di farti affiancare per impostarlo, queste sono le domande che contano più della lista di funzioni sul sito del fornitore:

• Il servizio che mi proponi è quello integrato in Apple Business o un servizio di terze parti collegato a esso? Che differenza fa, in pratica, sui Mac che ho già in uso oggi?
• Come funziona la registrazione automatica per un Mac nuovo che arriverà tra sei mesi: devo fare qualcosa io al momento dell'acquisto, o basta comprarlo dal rivenditore giusto?
• Cosa succede, esattamente, quando un dipendente lascia l'azienda: il Mac si blocca o si inizializza da remoto, oppure serve comunque recuperarlo fisicamente prima?
• Chi resta amministratore del servizio, e dell'account Apple Business collegato, se smettiamo di lavorare insieme?
• Quali impostazioni minime vengono applicate di default, come password e cifratura del disco, e chi decide se cambiarle più avanti?
• Quanto costa davvero ogni mese, non solo l'attivazione, e cosa succede al prezzo se aggiungiamo o togliamo Mac durante l'anno?

La seconda e la terza domanda meritano una risposta chiara prima di firmare qualunque cosa: sono esattamente gli scenari coperti dalle guide al passaggio di consegne e al blocco di attivazione sui Mac aziendali. Un fornitore che non sa rispondere con chiarezza su questi due punti non ha ancora pensato al tuo caso, solo al proprio prodotto.

Quando conviene un tecnico

Iscrivere l'azienda ad Apple Business e attivare il servizio integrato, per pochi Mac e impostazioni semplici, è alla portata di chi in azienda già si occupa un po' di informatica, seguendo la documentazione Apple passo dopo passo. Diventa un lavoro da affidare a un tecnico quando devi far confluire nel sistema di gestione Mac già in uso da tempo, con configurazioni diverse tra loro e persone che ci lavorano ogni giorno, senza interromperle nel frattempo; quando valuti un servizio di terze parti e devi confrontare più fornitori con criteri tecnici che vanno oltre il prezzo; oppure quando la tua azienda ha requisiti di conformità che un cliente, un'assicurazione o la legge ti impongono di dimostrare in modo verificabile. In questi casi, il costo di un errore, un Mac che resta bloccato, una configurazione che impedisce a qualcuno di lavorare per un giorno intero, supera quasi sempre quello di farsi affiancare da chi lo fa di mestiere.

Se non sei sicuro di dove si collochi la tua azienda in questo quadro, la pagina consulenza Mac spiega come funziona un intervento mirato per valutarlo insieme.