Smartphones και tablets χρησιμοποιούνται πλέον για εταιρικό email, cloud εφαρμογές, αρχεία, επικοινωνία, πολυπαραγοντική αυθεντικοποίηση και πρόσβαση σε επιχειρηματικά συστήματα. Αυτό σημαίνει ότι μια κινητή συσκευή μπορεί να επεξεργάζεται ή να παρέχει πρόσβαση σε σημαντικά εταιρικά δεδομένα.
Η ασφάλεια κινητών συσκευών δεν περιορίζεται στην εγκατάσταση antivirus ή στην ενεργοποίηση ενός PIN. Για μια μικρομεσαία επιχείρηση χρειάζεται σαφής πολιτική για τις επιτρεπόμενες συσκευές, ασφαλής αυθεντικοποίηση, ενημερώσεις, προστασία εταιρικών δεδομένων και οργανωμένη διαδικασία για χαμένες, κλεμμένες, μη συμμορφούμενες ή αποσυρόμενες συσκευές.
Η σωστή προσέγγιση καλύπτει τόσο τις συσκευές που ανήκουν στην επιχείρηση όσο και τα προσωπικά κινητά που χρησιμοποιούνται για εργασία μέσω ενός μοντέλου Bring Your Own Device (BYOD).
1. Αποφασίστε ποιες κινητές συσκευές επιτρέπονται
Το πρώτο βήμα είναι να γνωρίζει η επιχείρηση ποιες συσκευές μπορούν να έχουν πρόσβαση σε εταιρικούς πόρους.
Υπάρχουν διαφορετικά μοντέλα:
- εταιρικές συσκευές που ανήκουν και διαχειρίζονται από την επιχείρηση,
- BYOD (Bring Your Own Device), όπου ο εργαζόμενος χρησιμοποιεί προσωπική συσκευή και για επαγγελματικές εργασίες,
- ενδιάμεσα μοντέλα όπου μια εταιρική συσκευή επιτρέπεται να χρησιμοποιείται και για προσωπικούς σκοπούς.
Δεν υπάρχει μία σωστή επιλογή για όλες τις επιχειρήσεις. Η πολιτική πρέπει να καθορίζει ποιο μοντέλο επιτρέπεται, ποια εταιρικά δεδομένα μπορούν να χρησιμοποιηθούν σε κάθε κατηγορία συσκευής και ποιες προϋποθέσεις ασφάλειας απαιτούνται.
2. Διατηρήστε Inventory και Ownership
Η επιχείρηση πρέπει να γνωρίζει ποιες κινητές συσκευές έχουν πρόσβαση στους εταιρικούς πόρους, ποιος τις χρησιμοποιεί και αν είναι εταιρικές ή προσωπικές.
Ανάλογα με το περιβάλλον, είναι χρήσιμο να καταγράφονται:
- χρήστης ή υπεύθυνος συσκευής,
- μοντέλο και λειτουργικό σύστημα,
- κατάσταση διαχείρισης ή enrollment,
- κατάσταση συμμόρφωσης,
- πρόσβαση σε κρίσιμες εταιρικές υπηρεσίες,
- ημερομηνία διάθεσης ή enrollment,
- κατάσταση επιστροφής, αφαίρεσης εταιρικών δεδομένων ή απόσυρσης.
Χωρίς βασικό inventory είναι δύσκολο να γνωρίζει η επιχείρηση ποιες συσκευές πρέπει να ενημερωθούν, να αποκλειστούν ή να αφαιρεθούν από την εταιρική πρόσβαση.
3. Εφαρμόστε ισχυρό κλείδωμα και Authentication
Κάθε κινητή συσκευή που χρησιμοποιείται για εταιρική εργασία πρέπει να προστατεύεται με κατάλληλο device authentication, όπως ισχυρό passcode και τις ασφαλείς biometric δυνατότητες που παρέχει η υποστηριζόμενη πλατφόρμα.
Το ξεκλείδωμα της συσκευής όμως δεν πρέπει να θεωρείται ισοδύναμο με την προστασία των εταιρικών accounts.
Οι σημαντικές υπηρεσίες πρέπει να χρησιμοποιούν Multi-Factor Authentication (MFA) όπου υποστηρίζεται. Όπου είναι διαθέσιμες κατάλληλες phishing-resistant μέθοδοι authentication, μπορούν να μειώσουν περαιτέρω τον κίνδυνο κλοπής credentials.
Η επιχείρηση πρέπει επίσης να αποφεύγει shared εταιρικούς λογαριασμούς και να διατηρεί ξεκάθαρη ταυτότητα για κάθε χρήστη.
4. Κρατήστε λειτουργικό σύστημα και εφαρμογές ενημερωμένα
Τα mobile operating systems και οι εφαρμογές λαμβάνουν security updates για ευπάθειες και άλλα προβλήματα ασφάλειας. Μια συσκευή που έχει σταματήσει να λαμβάνει τις απαραίτητες ενημερώσεις μπορεί σταδιακά να γίνει ακατάλληλη για πρόσβαση σε ευαίσθητα εταιρικά δεδομένα.
Η επιχείρηση χρειάζεται διαδικασία ώστε να γνωρίζει:
- ποιες εκδόσεις λειτουργικού χρησιμοποιούνται,
- αν οι συσκευές παραμένουν υποστηριζόμενες,
- αν σημαντικά security updates έχουν εφαρμοστεί,
- αν υπάρχουν συσκευές που δεν μπορούν πλέον να συμμορφωθούν με την εταιρική πολιτική.
Η διαχείριση των mobile updates πρέπει να συνδέεται με τη συνολική διαδικασία Vulnerability Management της επιχείρησης.
5. Προστατεύστε τα δεδομένα της συσκευής
Οι σύγχρονες mobile πλατφόρμες διαθέτουν ενσωματωμένους μηχανισμούς προστασίας δεδομένων, αλλά η πραγματική ασφάλεια εξαρτάται από το μοντέλο της συσκευής, την έκδοση του λειτουργικού, τις ρυθμίσεις και τον τρόπο διαχείρισης.
Η επιχείρηση πρέπει να αξιολογεί αν οι συσκευές που επιτρέπονται για εταιρική χρήση παρέχουν κατάλληλη προστασία των αποθηκευμένων δεδομένων και αν αυτή λειτουργεί σε συνδυασμό με σωστό device lock και authentication.
Ιδιαίτερη προσοχή χρειάζεται στα εταιρικά αρχεία που αντιγράφονται σε προσωπικές εφαρμογές, μη εγκεκριμένο cloud storage ή άλλα σημεία εκτός του ελεγχόμενου εταιρικού περιβάλλοντος.
6. Χρησιμοποιήστε MDM όπου χρειάζεται κεντρική διαχείριση
Το Mobile Device Management (MDM) είναι μια κατηγορία κεντρικής διαχείρισης που επιτρέπει σε έναν οργανισμό να εφαρμόζει και να παρακολουθεί πολιτικές στις υποστηριζόμενες συσκευές.
Ανάλογα με την πλατφόρμα, το enrollment model και τη λύση, μπορεί να χρησιμοποιηθεί για λειτουργίες όπως:
- device enrollment,
- εφαρμογή security configurations,
- passcode requirements,
- διαχείριση εφαρμογών και εταιρικών ρυθμίσεων,
- έλεγχο compliance,
- διαχείριση software updates,
- περιορισμό συγκεκριμένων λειτουργιών,
- απομακρυσμένες ενέργειες σε managed συσκευές.
Το MDM δεν κάνει μια συσκευή αυτομάτως ασφαλή. Η αξία του βρίσκεται στη δυνατότητα η επιχείρηση να εφαρμόζει με συνέπεια τις κατάλληλες πολιτικές αντί να βασίζεται αποκλειστικά στις χειροκίνητες ρυθμίσεις κάθε εργαζομένου.
7. MDM, MAM και προστασία εταιρικών εφαρμογών
Σε ορισμένα περιβάλλοντα η επιχείρηση χρειάζεται να ελέγχει ολόκληρη τη συσκευή. Σε άλλα, ιδιαίτερα στο BYOD, μπορεί να είναι σημαντικότερο να προστατεύεται η εταιρική εφαρμογή και τα δεδομένα της χωρίς να αποκτάται υπερβολικός έλεγχος πάνω στην προσωπική χρήση.
Ο όρος Mobile Application Management (MAM) χρησιμοποιείται για δυνατότητες διαχείρισης και προστασίας εφαρμογών και των εταιρικών δεδομένων που χρησιμοποιούν. Οι ακριβείς δυνατότητες διαφέρουν ανά πλατφόρμα και προϊόν.
Η επιλογή ανάμεσα σε device-level και application/data-level management πρέπει να βασίζεται στο ownership model, στα δεδομένα, στις απαιτήσεις ασφάλειας και στην ιδιωτικότητα του εργαζομένου.
8. BYOD: Βάλτε σαφείς κανόνες πριν δοθεί πρόσβαση
Το BYOD μπορεί να προσφέρει ευελιξία, αλλά χρειάζεται ξεκάθαρη πολιτική πριν ένας εργαζόμενος συνδέσει το προσωπικό του κινητό σε εταιρικά δεδομένα.
Η πολιτική πρέπει να απαντά τουλάχιστον:
- ποιες προσωπικές συσκευές επιτρέπονται,
- ποια ελάχιστα security requirements πρέπει να πληρούν,
- ποια εταιρικά δεδομένα μπορούν να αποθηκεύουν,
- ποιες εφαρμογές επιτρέπεται να χρησιμοποιούνται για εργασία,
- τι μπορεί και τι δεν μπορεί να διαχειριστεί η επιχείρηση στη συσκευή,
- τι συμβαίνει αν η συσκευή χαθεί,
- τι συμβαίνει όταν ο εργαζόμενος αποχωρήσει.
Η διαφάνεια είναι σημαντική. Ο εργαζόμενος πρέπει να γνωρίζει πριν από το enrollment ποια στοιχεία ή ρυθμίσεις μπορεί να βλέπει ή να διαχειρίζεται ο οργανισμός και ποιες ενέργειες μπορεί να πραγματοποιήσει.
9. Διαχωρίστε εταιρικά και προσωπικά δεδομένα όπου είναι εφικτό
Σε BYOD περιβάλλοντα είναι χρήσιμο να υπάρχει τεχνικός διαχωρισμός ανάμεσα στην εταιρική και την προσωπική χρήση, όταν η πλατφόρμα και η επιλεγμένη λύση το υποστηρίζουν.
Ο στόχος είναι να περιορίζεται η ανεξέλεγκτη μεταφορά εταιρικών πληροφοριών σε προσωπικές εφαρμογές και παράλληλα να αποφεύγεται περιττή πρόσβαση της επιχείρησης στα προσωπικά δεδομένα του εργαζομένου.
Οι ακριβείς δυνατότητες διαφέρουν ανάμεσα σε λειτουργικά συστήματα, enrollment models και management products. Για αυτό δεν πρέπει να θεωρείται ότι κάθε MDM ή BYOD implementation παρέχει τα ίδια isolation controls.
10. Ελέγξτε τις εφαρμογές που χρησιμοποιούν εταιρικά δεδομένα
Ένα ασφαλές λειτουργικό σύστημα δεν αρκεί αν εταιρικά δεδομένα μεταφέρονται ανεξέλεγκτα σε εφαρμογές που δεν έχουν εγκριθεί.
Η επιχείρηση πρέπει να αποφασίσει ποιες εφαρμογές είναι κατάλληλες για εταιρική χρήση και, όπου το management model το επιτρέπει, να εφαρμόζει κατάλληλους περιορισμούς για τη διακίνηση των δεδομένων.
Παράλληλα, οι εφαρμογές πρέπει να προέρχονται από αξιόπιστες πηγές και να παραμένουν ενημερωμένες.
11. Περιορίστε την πρόσβαση με βάση τον κίνδυνο
Η πρόσβαση σε εταιρικές υπηρεσίες δεν χρειάζεται να βασίζεται μόνο στο αν ο χρήστης γνωρίζει το σωστό password.
Όπου η υπάρχουσα υποδομή το υποστηρίζει, η επιχείρηση μπορεί να λαμβάνει υπόψη επιπλέον στοιχεία, όπως:
- την ταυτότητα του χρήστη,
- αν η συσκευή είναι εγγεγραμμένη ή διαχειριζόμενη,
- αν πληροί τις απαιτήσεις compliance,
- την ευαισθησία του εταιρικού resource,
- άλλα signals που υποστηρίζει η συγκεκριμένη identity και device-management πλατφόρμα.
Η προσέγγιση αυτή συμβαδίζει με τη βασική αρχή του Zero Trust: η πρόσβαση δεν θεωρείται αξιόπιστη μόνο επειδή προέρχεται από μια συσκευή που έχει χρησιμοποιηθεί ξανά.
12. Τι κάνετε αν χαθεί ή κλαπεί μια συσκευή;
Η απώλεια μιας συσκευής δεν πρέπει να αντιμετωπίζεται αυτομάτως ως επιβεβαιωμένη παραβίαση δεδομένων, αλλά απαιτεί γρήγορη αξιολόγηση.
Η επιχείρηση πρέπει να διαθέτει προκαθορισμένη διαδικασία ώστε να μπορεί να:
- λάβει άμεσα την αναφορά του εργαζομένου,
- εντοπίσει ποια εταιρικά accounts και δεδομένα ήταν προσβάσιμα,
- αξιολογήσει την κατάσταση διαχείρισης και προστασίας της συσκευής,
- ανακαλέσει sessions, tokens ή εταιρική πρόσβαση όπου χρειάζεται,
- χρησιμοποιήσει τις κατάλληλες remote management ενέργειες όταν αυτές είναι διαθέσιμες και επιτρεπτές,
- εξετάσει logs και άλλα διαθέσιμα στοιχεία αν υπάρχει ένδειξη μη εξουσιοδοτημένης πρόσβασης,
- ενεργοποιήσει τη διαδικασία Incident Response όταν το περιστατικό το απαιτεί.
Η ακριβής remote ενέργεια εξαρτάται από το ownership και enrollment model. Σε προσωπική BYOD συσκευή, για παράδειγμα, η αφαίρεση εταιρικών δεδομένων μπορεί να είναι καταλληλότερη από μια ενέργεια που επηρεάζει ολόκληρη την προσωπική συσκευή, εφόσον η χρησιμοποιούμενη πλατφόρμα υποστηρίζει αυτόν τον διαχωρισμό.
13. Μην ξεχνάτε το Offboarding
Όταν ένας εργαζόμενος αποχωρεί, η διαδικασία δεν τελειώνει με την απενεργοποίηση του mailbox.
Πρέπει να εξετάζεται αν ο εργαζόμενος είχε εταιρική ή προσωπική mobile συσκευή με πρόσβαση σε:
- email και collaboration services,
- εταιρικά αρχεία,
- VPN ή άλλες remote-access υπηρεσίες,
- business applications,
- password managers ή άλλα credential stores,
- administrative interfaces.
Η πρόσβαση πρέπει να ανακαλείται σύμφωνα με την εταιρική διαδικασία και τα εταιρικά δεδομένα να αφαιρούνται από managed εφαρμογές ή συσκευές όπου αυτό απαιτείται και υποστηρίζεται.
Η διαχείριση αυτή συνδέεται με τον συνολικό ανθρώπινο παράγοντα και το identity lifecycle: τα permissions πρέπει να ακολουθούν τον πραγματικό ρόλο και τη σχέση του χρήστη με την επιχείρηση.
14. Rooted ή Jailbroken συσκευές
Συσκευές στις οποίες έχουν παρακαμφθεί σκόπιμα οι κανονικοί περιορισμοί ασφαλείας του λειτουργικού μπορούν να αλλάξουν σημαντικά το security model της πλατφόρμας.
Μια επιχείρηση πρέπει να αποφασίσει, βάσει risk assessment και των δυνατοτήτων της management πλατφόρμας, αν τέτοιες συσκευές επιτρέπεται να έχουν πρόσβαση σε εταιρικούς πόρους. Για ευαίσθητα δεδομένα, η αποδοχή συσκευών που δεν πληρούν τις καθορισμένες απαιτήσεις ακεραιότητας μπορεί να δημιουργεί περιττό κίνδυνο.
15. Δημόσιο Wi-Fi και Mobile Connectivity
Η χρήση δημόσιων δικτύων δεν πρέπει να αντιμετωπίζεται με τον απλοϊκό κανόνα ότι κάθε public Wi-Fi είναι αυτομάτως μη ασφαλές και κάθε mobile network ασφαλές.
Η επιχείρηση πρέπει να βασίζεται σε σύγχρονα προστατευμένα application protocols, σωστό authentication και κατάλληλους μηχανισμούς ασφαλούς remote access όπου απαιτούνται από την αρχιτεκτονική της.
Οι εργαζόμενοι δεν πρέπει να αγνοούν certificate warnings ή άλλες προειδοποιήσεις ασφαλείας για να ολοκληρώσουν μια σύνδεση.
16. Mobile Phishing και Social Engineering
Το phishing δεν περιορίζεται στο desktop email. Ένα κινητό μπορεί να λάβει κακόβουλο link μέσω email, SMS, messaging application, QR code ή άλλου communication channel.
Η μικρότερη οθόνη μπορεί επίσης να κάνει δυσκολότερο τον προσεκτικό έλεγχο ενός URL ή άλλων στοιχείων του μηνύματος.
Η εκπαίδευση πρέπει επομένως να καλύπτει και τα mobile scenarios. Οι εργαζόμενοι χρειάζονται εύκολο τρόπο να αναφέρουν ύποπτα μηνύματα και να επιβεβαιώνουν ασυνήθιστα αιτήματα από ανεξάρτητο κανάλι.
Εταιρική συσκευή ή BYOD;
Δεν υπάρχει ένα μοντέλο που να είναι σωστό για κάθε ΜΜΕ.
Οι εταιρικές συσκευές μπορούν να προσφέρουν μεγαλύτερο έλεγχο στην επιλογή hardware, στο configuration, στις εφαρμογές και στο lifecycle. Το BYOD μπορεί να προσφέρει ευελιξία, αλλά δημιουργεί μεγαλύτερη ανάγκη για σαφή όρια ανάμεσα σε εταιρική διαχείριση και προσωπική ιδιωτικότητα.
Για χρήστες με ιδιαίτερα ευαίσθητη πρόσβαση ή administrative privileges, η επιχείρηση μπορεί να αποφασίσει ότι μια πλήρως διαχειριζόμενη εταιρική συσκευή είναι καταλληλότερη. Η απόφαση πρέπει να βασίζεται στον πραγματικό κίνδυνο και όχι μόνο στο κόστος αγοράς της συσκευής.
Πρακτικό Mobile Security Checklist για ΜΜΕ
- Γνωρίζετε ποιες κινητές συσκευές έχουν εταιρική πρόσβαση;
- Υπάρχει σαφής πολιτική για εταιρικές και BYOD συσκευές;
- Οι συσκευές χρησιμοποιούν κατάλληλο screen/device lock;
- Παραμένουν υποστηριζόμενες και ενημερωμένες;
- Χρησιμοποιείται MFA για τις σημαντικές εταιρικές υπηρεσίες;
- Υπάρχει MDM, MAM ή άλλο κατάλληλο management model όπου απαιτείται;
- Ελέγχεται το compliance πριν δοθεί πρόσβαση σε ευαίσθητους πόρους όπου η πλατφόρμα το υποστηρίζει;
- Υπάρχουν κανόνες για τις εφαρμογές που χειρίζονται εταιρικά δεδομένα;
- Υπάρχει διαδικασία για χαμένη ή κλεμμένη συσκευή;
- Μπορούν να ανακληθούν γρήγορα εταιρικά sessions και accesses;
- Υπάρχει σαφής διαδικασία mobile offboarding;
- Οι εργαζόμενοι γνωρίζουν πώς να αναφέρουν mobile phishing ή ύποπτη δραστηριότητα;
Πώς μπορεί να βοηθήσει η DataShield
Η ασφάλεια κινητών συσκευών δεν πρέπει να σχεδιάζεται απομονωμένα από το identity, το cloud και την υπόλοιπη εταιρική υποδομή.
Η DataShield μπορεί να αξιολογήσει ποιες συσκευές και χρήστες έχουν πρόσβαση στα εταιρικά δεδομένα, αν οι υπάρχουσες πολιτικές καλύπτουν BYOD και εταιρικά endpoints, και πώς μπορούν να εφαρμοστούν κατάλληλοι έλεγχοι για authentication, device management, εφαρμογές, updates και offboarding.
Ένα Free IT Audit μπορεί να αποτελέσει το πρώτο βήμα για να εντοπιστούν unmanaged συσκευές, υπερβολικές προσβάσεις και κενά στη mobile security στρατηγική πριν οδηγήσουν σε πραγματικό περιστατικό.
Συμπέρασμα
Τα κινητά και τα tablets δεν είναι πλέον περιφερειακές συσκευές. Για πολλές επιχειρήσεις αποτελούν κανονικό σημείο πρόσβασης σε email, cloud εφαρμογές, credentials και εταιρικά δεδομένα.
Η αποτελεσματική προστασία απαιτεί συνδυασμό inventory, ενημερώσεων, device security, ισχυρού authentication, κατάλληλου MDM/MAM, ελεγχόμενης πρόσβασης και οργανωμένου lifecycle.
Το σημαντικότερο είναι η επιχείρηση να γνωρίζει ποιος έχει πρόσβαση, από ποια συσκευή και υπό ποιες προϋποθέσεις — και να μπορεί να ανακαλέσει αυτή την πρόσβαση γρήγορα όταν αλλάξει ο κίνδυνος ή η σχέση του χρήστη με την επιχείρηση.
