Носими БИООД - рисков фактор в информационните среди

това означава телефони и лаптопи. В повечето среди днес, това означава също така и интелигентни часовници, фитнес тракери, слухови устройства (умни слушалки), умни пръстени, разширени очила за реалността, медицински принадлежности, и нарастващ списък на богатите на сензори устройства, които тихо се свързват с корпоративни идентичности, мрежи и потоци от данни. За ИТ екипите носенето на BIOD е проблем със сигурността, защото разширява повърхността на атаката, без да разширява контролната ви повърхност. Тези устройства са лесни за пропускане в инвентара на активите, трудно се управляват с традиционни инструменти за крайни точки, и често свързани с личен телефон, който се превръща в мост между корпоративни системи и потребителски клауд екосистеми.

Снаряжението също променя естеството на принизяването. Вече не става въпрос само за файлове, напускащи мрежата. Това е за уведомяване съдържание видими на китката, микрофони активирани в конферентна зала, пасивни Bluetooth радиостанции, които могат да бъдат сондирани в коридора, и здраве или местоположение данни, които са изключително чувствителни съгласно правилата за поверителност. Резултатът е категория риск, която се намира на пресичането на крайната точка сигурност, идентичност, физическа сигурност, неприкосновеността на личния живот и управление.

Защо носилките са различни от класическите BYOD

Снаряжението обикновено се проектира около удобство, винаги на свързаност и дълбока интеграция с потребителски екосистеми. Дори когато използваемата е с удобни за предприятията функции, много разгръщания все още разчитат на телефон и клауд услуги на доставчика. Тази архитектура създава няколко характеристики на сигурността, които трябва да се отнасят към тях като към:

• Снаряжението често е невидимо за управлението и откриването на активи, тъй като те не се присъединяват към домейна, не управляват конвенционални агенти и никога не могат да бъдат автентични директно към корпоративните услуги.
• Съпътстващото устройство е толкова важно, колкото и износеното. Ако телефонът е компрометиран, износоносимостта се превръща в продължение на този компромис чрез уведомления, приложения символи, и двойки комуникации.
• Потребителският интерфейс е ограничен. Потребителите одобряват подкани бързо, поглед към сигнали, и приемат двойки или разрешения с минимален контекст.
• Моделът на сигурност често е специфичен за продавача и се актуализира върху потребителски каданс, който не може да се приведе в съответствие с контрола за промяна на предприятието.
• Сензорите и радиостанциите са feature, което означава, че устройството е построено с цел да улавя, предава и синхронизира информация непрекъснато.

За ИТ професионалистите, ключовото е, че носилките не трябва да се оценяват като телефони. Това са компютърни устройства за околната среда. Техните рискове се разпределят между идентичността, видимостта на данните, физическото пространство и веригата на доставка.

Обикновени типове, които могат да се носят, навлизат в пространствата на предприятията

Категорията за носене е по-широка от умник. В много организации следните класове устройства се появяват в офиси, лаборатории и производствени области:

• Smartwitches и фитнес тракери, които огледални уведомления, подкрепа гласови асистенти, и понякога осигуряват клетъчна свързаност.
• Слушатели, които интегрират микрофони, гласови асистенти, управление на повикванията и аудио преминаване през режими, които могат да се използват в чувствителни пространства.
• Умни пръстени, използвани за удобство функции, уведомления, здравни показатели, или в някои случаи близост-базиран достъп.
• AR/VR очила, използвани за дистанционно подпомагане, обучение, полева услуга, или лично залавяне на медии.
• Медицински износвачи, използвани за мониторинг, които могат да въведат регулирани лични данни в корпоративни мрежи и трупи.

Дори когато износоносно устройство никога не докосва Wi-Fi, устройството все още може да бъде свързано с корпоративния риск чрез Bluetooth, NFC, или връзване чрез телефон с достъп до корпоративна електронна поща, съобщения, и доставчици на идентичност.

Атакуващата повърхност: радио, приложения, идентичност и данни за околната среда

Носимият риск се разбира най-добре като набор от припокриващи се повърхности. Един smartwatch може едновременно да бъде Bluetooth крайна точка, инструмент за удобство на идентичността, огледало за уведомяване, микрофон, и един cloud-synced сензор пакет. Когато картографираш заплахи, третирай всеки един от тях като свой собствен контролен домейн.

Безжична експозиция: Bluetooth Low Energy двойки, откриваемост режими, и протокол чудатости могат да създадат възможности за сондиране, проследяване, или експлоатация в близост. NFC може да даде възможност за бързи взаимодействия, които са трудни за извършване на одит. Ако устройството поддържа Wi-Fi или мобилен, то може да заобиколи изцяло някои корпоративни мрежи.

Приложения и клауд синхронизация: Приложението за компаньон телефон често съдържа символи, разрешения и правила за синхронизиране. Данните могат да се изпращат от корпоративни уведомления в лични облачни архиви или синхронизация на устройствата. Облакът, който може да се носи, става част от вашата ефективна граница на данните.

Пряки пътища за самоличност: Снаряжението често дава възможност да се прокарат с кранче, отключване или бързи отговори. Удобствата могат да намалят триенето за потребителите и да намалят триенето за нападателите, които получават физическа близост или частично управление на устройството.

Изтичане на околната среда: Нотификациите, показани на китката, могат да разкриват чувствителни теми, имена на клиенти, идентификатори на билети, подробности за инцидента или еднократни връзки. Микрофоните и камерите създават допълнителен рисков слой в залите за срещи, зоните на SOC, лабораториите и съоръженията със защитен IP.

Сценарии за риск в реалния свят ИТ екипите трябва да планират

Носимият риск от BIOD става по-ясен, когато бъде преведен на сценарии, на които операциите по сигурността, управлението и ИТ подкрепата могат да бъдат разпознати и реагирани. Въпросът не е да се предположи, че всеки износен е враждебен. Целта е да се избегне изненада от предсказуеми режими на провал.

Чувствителна експозиция на уведомление: Служител получава покана за инцидентен мост, ескалация на клиента, или имейл за нулиране на паролата. Обектната линия се вижда на смарт часовник по време на среща, на обществен транспорт или в споделено работно място. Дори без съдържание на съобщения метаданните могат да бъдат вредни.

Конферентна зала: По време на дискусиите относно ценообразуването, M&A, инцидентите със сигурността или неоторизираните продуктови детайли присъства възможност за носене с микрофон, гласов асистент или аудио запис. Рискът не е само злонамерен запис; той включва случайно активиране и клауд синхронизиране.

Умора за одобрение на самоличността: Бързите одобрения са полезни за MFA и SSO, но те също така дават възможност за форма на прищип-до-професионално поведение. Ако нападателят задейства многократно подкани, разсеян потребител може да одобри погрешната заявка, особено на малък износен UI.

Близост и усложнения във физическия достъп: Някои среди използват отключване на лаптопи, врати или приложения, базирани на близост. Ако може да се използва като доверителен сигнал и той е изгубен, откраднат или взет назаем, организацията може да наследи физически риск за сигурността, прикрит като удобство функция.

Връзка на сянката: Носим с клетъчен капацитет може да движи данни, без да се присъединява към корпоративния Wi-Fi. Компрометиран телефон може да използва износимата екосистема за уведомяване за огледални и изходни пътища за данни, които заобикалят традиционните проксита или мрежови контроли.

Регулирано смесване на данни: Медицинските износвачи могат да въвеждат здравни данни в ИТ системите косвено чрез билети за поддръжка, снимки на екрани, дневници, или отстраняване на проблеми разговори. Това може да създаде задължения за спазване, които не сте възнамерявали да поемете.

Управление: определи какво означава "приемливо" във вашата среда

Технически контрол работи най-добре, когато организацията има ясни, изпълними очаквания. Много от политиките на BYOD са били написани преди да станат основни и да се фокусират върху телефони, лаптопи и подвижни медии. Обновяването на управлението не е за забрана на устройства универсално. Става въпрос за невалидни износващи се с рискови подреждания и космически подреждания.

Зрелите програми обикновено определят правилата за присъствие на различни зони:

• зони с висока чувствителност, в които микрофоните, камерите и преносимите устройства за записване са ограничени, с ясни знаци и сигурни възможности за съхранение.
• Стандартните офис зони, в които се допускат износоносци, но правилата за обработка на уведомленията и удвояване се прилагат чрез проверки за идентичност и крайна цел.
• Посетител и изпълнител управлява, че адрес носими изрично, а не имплицитно.

Политиките следва също така да изяснят позицията на организацията относно видимостта на съдържанието и обработката на данните, като например дали корпоративните уведомления за имейли са разрешени за износ, дали съобщенията трябва да бъдат изключени и как следва да се отчита загуба, която може да бъде износена. Когато правилата са неясни, прилагането става непоследователно и реакцията на инцидентите става по-бавна.

Технически контроли, които намаляват риска, който може да бъде износен

Снаряжението рядко поддържа същите куки за управление като лаптопите или телефоните, така че най-добрата стратегия за контрол се фокусира върху системите, които можете да контролирате: идентичност, стойката на спътника, достъпа до мрежата и защитата на данните. Целта е да се намали въздействието, да се намали вероятността и да се подобри откриването, без да се превръща ежедневната работа в триене претоварване.

Първо прилагане на самоличността: Използвайте условния достъп, за да изисквате силна идентификация и стойка на устройството за корпоративни приложения. Когато е възможно, свържете достъпа до управляваните устройства и ограничите рисковите действия, когато се започне сесия от неизвестни или неуправляеми крайни точки. Това помага, дори ако износеният е само косвено замесен.

Управление на стойката на телефона като прокси контрол: Ако носилките се синхронизират чрез телефон, третирайте телефона като точката на изпълнение. Управление на мобилни устройства или единно управление на крайните точки може да наложи криптиране, заключване на екрана, изходните линии на OS версията, и управление на приложението за екосистемата спътник.

Хигиенна хигиена на уведомлението: Намаляване на стойността на експозицията на уведомление за износ чрез ограничаване на това, което се появява в уведомленията за корпоративни приложения. Помислете за изключване на съобщения previews, по-чувствително съдържание скрити, по-долу и ограничаване на ефективни уведомления, които позволяват одобрения или отговори от заключен износ.

Политика за сегментиране на мрежата и достъп: Уверете се, че неизвестните безжични крайни точки не могат да достигнат чувствителни вътрешни услуги. NAC, изолацията на мрежата за гости и строга защитна стена намаляват щетите, ако някой износен или негов спътник се опита странично движение или откритие.

Предотвратяване на загубата на данни и управление на облаците: Приемете потребителския облак като потенциален изходен канал. DLP политики, CASB контрол, и ограничения наемател могат да намалят случайно синхронизиране на корпоративни данни в лични сметки, особено чрез телефона, който се чифтосва с износими.

Логиране и откриване с реалистични очаквания: Може да не виждате износимите директно, но можете да откриете модели като необичайно поведение на одобрение, аномални знаци, внезапни символични освежаващи шипове или достъп от неочаквани типове устройства. Подравняване SIEM откриване на събития за самоличност, не само крайни агенти.

Физическата сигурност и сигурните пространства са важни повече от всякога

Снаряжението размива линията между киберсигурността и физическата сигурност. Ако вашата организация има пространства, където микрофоните/камерите са проблем, тогава третирането на носенето като просто персонални аксесоари е празнина. Най-практичният подход е да се оперират защитените пространства, вместо да се опитват да следят хората неофициално.

Да разгледаме контрола, който е почтителен и работещ:

• Изчистване на знаците за зона, в които изрично се споменават възможност за износване и устройства за улавяне.
• Чорапогащи или защитени чанти за служители и посетители, влизащи в чувствителни зони.
• Запознаване с практики за чувствителни теми, които включват очакванията на устройството отпред.
• Изключения и одобрения, които са документирани за легитимна употреба, като например нуждите от достъпност.

Програмата за информационна сигурност трябва да си партнира с удобства и човешки ресурси, за да се избегне създаването на театрални правила, които не са задължителни. Малък набор от добре определени зони с последователно прилагане обикновено изпълнява по-добре от широки правила, които никой не следва.

Поверителност, съответствие и скритите разходи за износени данни

Носители генерират и съхраняват чувствителна лична информация, включително модели на местоположение, сърдечен ритъм, данни за съня, а понякога и медицински показатели. Дори ако организацията не възнамерява да обработва тези данни, тя може да влезе в корпоративната среда косвено чрез поддържащи канали, инструменти за сътрудничество, снимки на екрани или разследвания на инциденти.

ИТ специалистите следва да работят със заинтересованите страни в областта на правото и неприкосновеността на личния живот, за да изяснят:

• Дали всички данни, свързани с износването, се разглеждат в обхвата на корпоративното наблюдение.
• Как реакцията при инциденти трябва да се справи с устройства, които съдържат лични здравни данни.
• Какво се прилагат правилата за задържане и достъп, ако данните, които могат да бъдат използвани, станат част от запис на билет или разследване.

Това не е само правна грижа. Това засяга доверието. Свръхагресивното наблюдение може да създаде работни места и сенки. Най-здравословните програми са прозрачни за това, което се наблюдава, защо и как тя е защитена.

Оперативна готовност: обработка на загубени износоносци и предполагаеми злоупотреби

Носещите се инциденти са често, докато не са. Изгубеният smartwatch може да съдържа скорошни уведомления, данни за календара и карта на деня на потребителя. Компрометираният телефон може да превърне носенето в винаги настоящ сигнал. Книгите за реагиране при инциденти трябва изрично да включват износещи се, така че бюрата за обслужване и екипите на SOC да не импровизират.

Полезната подготовка включва:

• Чист път за докладване за изгубени или откраднати износени вещи, подобни на изгубени телефони и значки.
• Насоки за отмяна на сесии, въртящи се акредитиви и невалидни символи, когато са изложени на риск свързани с носенето сметки.
• Стандартен списък за оценка дали може да са били изложени чувствителни уведомления или одобрения.
• Документация, на която корпоративните приложения позволяват уведомления за износ и какво включват тези уведомления.

Уверете се, че процесът е достатъчно прост, че служителите действително ще го използват. Ако репортажите се чувстват наказателни или сложни, хората чакат, а чакането е това, което превръща управляемите инциденти в големи експозиции.

Практическа поставка за ИТ екипи

Ако вашата организация започва от нулата, все още можете да постигнете смислен напредък бързо, като се съсредоточите върху базовата линия, която намалява най-често срещаните рискове. Следните практики са широко приложими и не изискват инвазивен контрол на устройствата:

• Принудете условния достъп и силното удостоверяване на автентичността, с удобни за потребителя предпазни мерки срещу случайни одобрения.
• Изисква се управлявана стойка за телефон компаньон, когато се използва за достъп до корпоративни имейли, чат или потоци идентичност.
• Свеждане до минимум на експозицията на данните за уведомяване чрез ограничаване на предварителен преглед и чувствително съдържание в сигнали за заключващ екран.
• Определи защитени зони, в които могат да се използват за улавяне, са ограничени и предоставят практически възможности за съхранение.
• Сегмент мрежи и ограничаване на това, което неизвестни безжични крайни точки могат да достигнат, дори ако те се появяват за кратко.
• Обновяване на езика на политиката BYOD, за да включва изрично износени, с ясни очаквания и почтително изпълнение.
• Добави износими сценарии към учебниците за отговор на инциденти, фокусирайки се върху отнемането на сесията, кредитната хигиена и бързото докладване.

Изходът не е финалната линия. Това е отправна точка, която намалява вероятността и въздействието, докато вашата организация съзрява подхода си въз основа на реални случаи на употреба и толерантност към риска.

Заключение: третиране на износените като домейн за сигурност, а не бележка под линия

Облеклото BIOD не е временна тенденция. Той е част от по-широката промяна към околните изчисления, където идентичността следва потребителя през устройства, сензори и пространства. За ИТ специалисти правилният подход не е нито паника, нито отричане. Дисциплинирано управление на риска: да се определи къде могат да се използват, да се намали експозицията на данни чрез проектиране, да се наложи достъп чрез контрол на самоличността и да се оперират защитени пространства и реакция при инциденти.

Когато организациите третират носенето като първокласна част от телефоните и лаптопите, те получават по-ясна видимост, по-малко изненади и стойка за сигурност, която съответства на реалността на съвременната работа.