Kannatavad BYOD - IT-keskkonna riskifaktor

Tooge oma seade, mida kasutati telefonide ja sülearvutite all. Enamikus keskkondades tänapäeval, see tähendab ka smart Näidikud, fitness trackers, kuulatavad (smart kõrvaklapid), smart rõngad, laiendatud reaalsus prillid, meditsiinilise kantavad, ja kasvav nimekiri sensoririkkad seadmed, mis vaikselt ühendada ettevõtte identiteeti, võrgustikke ja andmevooge. IT-meeskondade jaoks on kantav BYOD turvaprobleem, sest see laiendab rünnakupinda ilma kontrollipinda laiendamata. Neid seadmeid on lihtne maha magada varade inventarinimestikus, neid on raske hallata traditsiooniliste tulemusnäitajate vahendite abil ning sageli seotakse need isikliku telefoni külge, millest saab sild ettevõtte süsteemide ja tarbijate pilveökosüsteemide vahel.

Kannatused muudavad ka andmete ekspositsiooni olemust. See ei puuduta enam üksnes võrgust väljuvaid faile. Teate sisu kohta, mis on nähtav randmel, mikrofonid, mis on aktiveeritud konverentsiruumis, passiivsed Bluetoothi raadiod, mida saab koridoris uurida, ning tervise- või asukohaandmed, mis on privaatsuseeskirjade kohaselt äärmiselt tundlikud. Tulemuseks on riskikategooria, mis asub lõpp-punkti turvalisuse, identiteedi, füüsilise turvalisuse, privaatsuse ja juhtimise ristumiskohas.

Miks kantavad on erinevad klassikaline BYOD

Kannatavad on tavaliselt kavandatud mugavuse, alati ühenduvuse ja sügava integratsiooni tarbija ökosüsteemidega. Isegi kui kantaval on ettevõttesõbralikud funktsioonid, toetuvad paljud kasutuselevõtud endiselt kaastelefonile ja müüjatele mõeldud pilveteenustele. Arhitektuur loob mitmeid turvaomadusi, mida IT peaks käsitlema kui maksejõuetuse eeldusi.

• Wearables on sageli nähtamatu varahaldus ja avastus, sest nad ei ühine domeeni, ei juhi tavapärased agendid, ja võib kunagi autentida otse ettevõtte teenuseid.
• Semuseade on sama tähtis kui kantav. Kui telefon on kompromiteeritud, muutub kantav selle kompromissi laienduseks teadete, rakenduste märkide ja paarisside kaudu.
• Kasutajaliides on piiratud. Kasutajad kiidavad äpid kiiresti, pilk hoiatusi, ja aktsepteerivad paarid või õigused minimaalse konteksti.
• Turvamudel on sageli müüjaspetsiifiline ja seda ajakohastatakse tarbijakaardil, mis ei pruugi olla kooskõlas ettevõtte muutuste kontrolliga.
• Sensorid ja raadiod on ~feature, mis tähendab, et seade on loodud selleks, et jäädvustada, edastada ja sünkroniseerida teavet pidevalt.

IT-spetsialistide jaoks on oluline, et kantavaid ei hinnataks väikeste telefonidena. Need on ümbritsevad andmetöötlusseadmed. Nende riskid jaotuvad identiteedi, andmete nähtavuse, füüsilise ruumi ja tarneahela vahel.

Ettevõtte ruumidesse sisenevad ühised kulumisvahendid

Kannatav kategooria on laiem kui smartwatch. Paljudes organisatsioonides ilmuvad kontorites, laborites ja tootmispiirkondades järgmised seadmeklassid:

• Nutikad kellad ja spordiradarid, mis peegeldavad teateid, toetavad kõneassisteente ja pakuvad mõnikord mobiilsidet.
• Kuuldeaparaadid, mis ühendavad mikrofonid, hääleassistendid, kõnede käsitsemise ja audio läbimise režiimid, mida saab kasutada tundlikes ruumides.
• Targad rõngad, mida kasutatakse mugavuse funktsioone, teated, tervise mõõdikud, või mõnel juhul lähedusel põhinev juurdepääs.
• AR/VR prillid, mida kasutatakse kaugabi, koolituse, põlluteenistuse või isikliku meedia püüdmiseks.
• Meditsiinilised kulumisvahendid, mida kasutatakse järelevalveks, et viia reguleeritud isikuandmed ettevõtte võrgustikesse ja logidesse.

Isegi kui kantav ei puuduta kunagi Wi-Fi-d, võib seade siiski olla ettevõtte riskiga seotud Bluetooth'i, NFC'i või telefoni kaudu lõastamisega, mis võimaldab juurdepääsu ettevõtte e-posti, sõnumite ja identiteedi pakkujatele.

Rünnakupind: raadiod, rakendused, identiteedid ja ümbritsevad andmed

Kandvat riski mõistetakse kõige paremini kattuvate pindade kogumina. Üks nutikas käekell võib samaaegselt olla Bluetoothi tulemusnäitaja, identiteedi mugavuse tööriist, teavituspeegel, mikrofon ja pilves sünkroniseeritud sensorite pakett. Kui te kaardistate ähvardusi, kohtlege neid kui oma kontrolli domeeni.

Juhtmeta kokkupuude: Bluetooth Low Energy paarid, avastatavuse režiimid ja protokolli veidruste võib luua võimalusi proovida, jälgida või kasutada läheduses. NFC võimaldab kiiret suhtlemist, mida on raske auditeerida. Kui seade toetab Wi-Fi või mobiilne, see võib mööda mõne ettevõtte võrgu kontrolli täielikult.

Companion rakendused ja pilve sünkroniseerimine: Abitelefonirakendusel on sageli märgid, õigused ja sünkroonimisreeglid. Andmed võivad voolata korporatiivsetest teadetest isiklikesse pilvede varukoopiatesse või seadmetevahelistesse sünkroniseerimisfunktsioonidesse. Kannatav müüja pilv muutub osaks teie tõhusast andmepiirist.

Kiirklahvid: Wearables sageli võimaldada ~heaks kraan, ~ lähedus lahti, või kiire reageerimine. Mugavus funktsioone saab vähendada hõõrdumist kasutajatele ja vähendada hõõrdumist ründajad, kes saavad füüsilise läheduse või osalise kontrolli seadme.

Välisõhuleke: Randmel kuvatavad teated võivad avaldada tundlikke teemasid, kliendinimesid, piletitunnuseid, vahejuhtumi üksikasju või ühekordseid linke. Mikrofonid ja kaamerad loovad täiendava riskikihi koosolekuruumides, SOC-piirkondades, laborites ja rajatistes, kus on kaitstud IP.

Reaalmaailma riskistsenaariumid IT-meeskonnad peaksid kavandama

Kannatav BYOD risk muutub selgemaks, kui võtta arvesse stsenaariume, mida turvaoperatsioonid, juhtimine ja IT-tugi võivad ära tunda ja neile reageerida. Mõte on mitte eeldada, et iga kantav on vaenulik. Mõte on vältida üllatust etteaimatavate rikete korral.

Tundlik teavitamine: Töötaja saab juhtumisilla kutse, kliendi eskalatsiooni või salasõna lähtestada e-posti. Objektirida on nähtav nutikellal koosolekul, ühistranspordis või ühises tööruumis. Isegi ilma sõnumi sisuta võivad metaandmed olla kahjulikud.

Konverentsiruumi pildistamine: Mõistlik mikrofoni, hääle assistendi või heli salvestamise funktsioon on olemas arutelul hinnakujunduse, M&A, turvaintsidentide või vabastamata toote üksikasjad. Ohuks ei ole mitte ainult pahatahtlik salvestamine, vaid ka juhuslik aktiveerimine ja pilvine sünkroniseerimine.

Isikutunnistuse väsimus: Kiirkinnitused on kasulikud ka MFA-le ja SSO-le, kuid need võimaldavad ka teatud liiki käitumist. Kui ründaja käivitab korduvaid hoiatusi, võib segav kasutaja vale taotluse heaks kiita, eriti väikese kantava UI korral.

Lähedus ja füüsilise juurdepääsu komplikatsioonid: Mõned keskkonnad kasutavad sülearvutitel, ustel või rakendustel läheduspõhiseid avamisseadmeid. Kui kantavat kasutatakse usaldussignaalina ja see on kadunud, varastatud või laenatud, võib organisatsioon pärida füüsilise turvalisuse riski, mis on maskeeritud mugavuseks.

Varjuühendus: Rakuvõimega kantav saab andmeid liigutada ilma ettevõtte WiFi-ühendust kasutamata. Vigastatud telefon võib kasutada kantavat ökosüsteemi, et teatada peegelpildist ja andmete väljafiltreerimisest, mis mööduvad traditsioonilistest võimalustest või võrgu killustatusest.

Reguleeritud andmete segamine: Meditsiinilised kantavad seadmed võivad tuua terviseandmeid IT-süsteemidesse kaudselt läbi tugipiletite, ekraanipiltide, logide või vigade avastamise vestluste. See võib tekitada kohustusi, mida te ei kavatsenud võtta.

Juhtimine: määratleda, mida tähendab teie keskkonnas vastuvõetav

Tehniline kontroll töötab kõige paremini siis, kui organisatsioonil on selged ja jõustatavad ootused. Paljud BYOD poliitika kirjutati enne kantavate sai peavoolu ja keskenduda telefonid, sülearvutid ja eemaldatav meedia. Juhtimise ajakohastamine ei seisne seadmete üldises keelustamises. See on seotud kantavate ainete vastavusse viimisega riskitasandite ja kosmosetasanditega.

Küpsemad programmid määravad tavaliselt kindlaks seadme kohaloleku reeglid erinevate tsoonide jaoks:

• Suure tundlikkusega alad, kus mikrofonid, kaamerad ja salvestatavad kantavad seadmed on piiratud, millel on selged sildid ja turvalised salvestusvõimalused.
• Standardsed kontoritsoonid, kus on lubatud kanda, kuid teavitamise ja paaritamise eeskirjad jõustatakse isikusamasuse ja tulemusnäitajate kontrollimise abil.
• Külaline ja töövõtja kehtestavad eeskirjad, mis käsitlevad kulumiskõlblikke isikuid otseselt, mitte kaudselt.

Poliitika peaks selgitama ka organisatsiooni seisukohta sisu nähtavuse ja andmete käsitlemise kohta, näiteks seda, kas ettevõtte e-posti teated on lubatud kantavate asjade puhul, kas teadete eelvaatlused peavad olema keelatud ja kuidas tuleks teatada kantavast kaotusest. Kui eeskirjad on ebamäärased, muutub jõustamine ebajärjekindlaks ja intsidentidele reageerimine muutub aeglasemaks.

Tehniline kontroll, mis vähendab kantavat BYOD riski

Kannatavad harva toetada sama juhtimise konksud nagu sülearvutid või telefonid, nii parim kontrolli strateegia keskendub süsteemid saab kontrollida: identiteet, kaaslane telefoni poos, võrgu juurdepääsu ja andmekaitse. Eesmärgiks on vähendada mõju, vähendada tõenäosust ja parandada avastamist, muutmata igapäevast tööd hõõrdumise ülekoormuseks.

Identiteedi esmane jõustamine: Kasutada tingimusliku juurdepääsu nõuda tugevat autentimist ja seadme poos ettevõtte rakendusi. Võimaluse korral siduda juurdepääs hallatavatele seadmetele ja piirata kõrge riskiga tegevusi, kui sessioon algatatakse tundmatutest või juhitamatutest tulemusnäitajatest. Sellest on abi isegi siis, kui kantav on seotud vaid kaudselt.

Juhtimine telefoni poos kui proxy juht: Kui kantavad sünkroonivad telefoni kaudu, kohtlege telefoni jõustamispunktina. Mobiilseadme juhtimine või ühtne tulemusnäitaja juhtimine saab jõustada krüpteerimine, ekraani lukk, OS versioon lähtejooned ja app juhtimine kaaslane ökosüsteemi.

Teate hügieen: Vähendada kantava teatega kokkupuute väärtust, piirates korporatiivsete rakenduste teadetes sisalduvat. Kaaluda sõnumi eelvaatluste keelamist, varjatud tundliku sisu jõustamist, ® ja vaidlustatavate teadete piiramist, mis võimaldavad lukustatud kantavate kinnituste või vastuste esitamist.

Võrgu killustatus ja juurdepääsupoliitika: Tagada, et tundmatud traadita lõpp-punktid ei jõua tundlike siseteenusteni. NAC, külalistevõrgu isoleeritus ja range tulemüür vähendavad kahju, kui kantav või selle kaaslane püüab külgsuunas liikuda või avastada.

Andmete kadumise vältimine ja pilvandmekontroll: Kohtle tarbija pilv sünkroniseerimine kui võimalik väljapääs kanal. DLP-poliitika, CASB-kontroll ja üürniku piirangud võivad vähendada ettevõtte andmete juhuslikku sünkroonimist personaalsetesse kontodesse, eriti telefoni kaudu, mis paaritab kantavat.

Logimine ja avastamine realistlike ootustega: Sul võib mitte näha kantav otse, kuid võid avastada mustrid nagu ebatavaline heakskiidu käitumine, anomaalne sisse, äkki märgi värskendada naelu, või juurdepääsu ootamatu seadme tüüpi. Viia SIEM-i tuvastamised vastavusse identiteedisündmustega, mitte ainult tulemusnäitajatega.

Füüsiline turvalisus ja turvalised ruumid on olulisemad kui kunagi varem

Küberjulgeoleku ja füüsilise julgeoleku vaheline piir hägustub. Kui teie organisatsioonis on ruumid, kus mikrofonid/kaamerad on probleem, siis kohtlevad kantavaid nagu ~just isiklikud tarvikud' on tühik. Kõige praktilisem lähenemine on kasutada turvalisi ruume, selle asemel et üritada politseinikke mitteametlikult.

Mõelgem lugupidavatele ja toimivatele kontrollidele:

• Selge ala tähis, milles on selgesõnaliselt märgitud kantavad ja tabamiskindlad seadmed.
• Delikaatsetesse piirkondadesse sisenevatele töötajatele ja külastajatele mõeldud kapid või turvakotid.
• Kohtumise praktika tundlike teemade, mis sisaldavad seadme ootused ees.
• Õiguspärase kasutamise korral, näiteks ligipääsetavuse vajaduse korral, dokumenteeritud erandid ja tunnustused.

IT turvalisuse programm peaks olema partner rajatiste ja HR, et vältida luua ~julgeoleku teater ~ eeskirjad, mis ei ole täitmisele pööratav. Väikesed täpselt määratletud tsoonid, kus jõustamine on järjepidev, toimivad tavaliselt paremini kui üldised eeskirjad, mida keegi ei järgi.

Privaatsus, vastavus ja kantavate andmete varjatud maksumus

Kannatavad toodavad ja säilitavad tundlikke isikuandmeid, sealhulgas asukoha mustreid, südame löögisagedust, uneandmeid ja mõnikord ka meditsiinilisi näitajaid. Isegi kui organisatsioon ei kavatse neid andmeid töödelda, saab ta kaudselt siseneda ettevõtte keskkonda tugikanalite, koostöövahendite, pilte või intsidentide uurimise kaudu.

IT-spetsialistid peaksid tegema koostööd õigus- ja eraelu puutumatuse sidusrühmadega, et selgitada järgmist:

• See, kas ettevõtte järelevalve raames kaalutakse kulumist võimaldavaid andmeid.
• Kuidas intsidendile reageerimisel käsitseda isiklikke terviseandmeid sisaldavaid seadmeid.
• Millist säilitamis- ja juurdepääsueeskirju kohaldatakse, kui kantavatest andmetest saab pileti või uurimisandmete osa.

See ei ole ainult juriidiline probleem. See mõjutab usaldust. Ülemäära agressiivne jälgimine võib luua töötajate tagasilöögi ja varitööd. Tervislikumad programmid on läbipaistvad selle kohta, mida jälgitakse, miks ja kuidas see on kaitstud.

Operatiivne valmisolek: kaotatud kulumisvahendite käitlemine ja väärkasutamise kahtlus

Kannatavad vahejuhtumid on sageli väikesed, kuni need ei ole. Kadunud nutikell võib sisaldada hiljutisi teateid, kalendri üksikasju ja kasutajapäeva kaarti. Kompromisseeritud kaaslane telefon võib muuta kantavad signaaliks. Juhtumite lahendamise playbooks peaks selgesõnaliselt sisaldama kantavad nii teenindus lauad ja SOC meeskonnad ei improviseeri.

Kasulik ettevalmistus hõlmab järgmist:

• Selge kaotsiläinud või varastatud kantavate telefonide ja märgiste sarnane aruandlustee.
• Juhised sessioonide, roteeruvate volikirjade tühistamiseks ja märkide kehtetuks tunnistamiseks, kui on oht kanda seotud kontosid.
• Standardne kontrollnimekiri, mille abil hinnatakse, kas tundliku sisuga teated või tunnustused võivad olla kokku puutunud.
• Dokumentatsioon, mille ettevõtte rakendused lubavad kantavaid teateid ja mida need teated sisaldavad.

Veenduge, et protsess on piisavalt lihtne, et töötajad seda tegelikult kasutavad. Kui aruandlus tundub karistav või keeruline, inimesed ootavad, ja ootamine on see, mis muudab juhitavad intsidendid suurteks riskideks.

Praktiline BYOD® turvaalus IT-meeskondadele

Kui teie organisatsioon algab nullist, saate siiski teha olulisi edusamme kiiresti, keskendudes lähtejoonele, mis vähendab kõige levinumaid riske. Järgmised tavad on laialdaselt kohaldatavad ega vaja invasiivsete seadmete kontrolli:

• Tugevdada tingimuslikku juurdepääsu ja tugevat autentimist kasutajasõbralike kaitsemeetmetega juhusliku heakskiitmise vastu.
• Nõua hallata poos kaaslane telefoni, kui seda kasutatakse juurdepääsu ettevõtte e-posti, vestlus, või identiteedi vood.
• Vähendada teavitusandmetega kokkupuudet, piirates eelvaatlusi ja tundlikku sisu lukustusekraani stiilis teadetes.
• Määrake kindlaks turvalised tsoonid, kus püüdmiseks kasutatavad kantavad seadmed on piiratud, ja pakkuda praktilisi ladustamisvõimalusi.
• Segmentvõrgud ja piirata, millised tundmatud traadita lõpp-punktid võivad jõuda, isegi kui need ilmuvad lühidalt.
• Ajastada BYOD poliitika keel selgesõnaliselt lisada kantavad, selge ootused ja lugupidav jõustamine.
• Lisa kantavaid stsenaariume intsidendile reageerimise playbooks, keskendudes seansi tühistamine, volikirja hügieeni ja kiire aruandluse.

Algtase ei ole finišijoon. See on lähtepunkt, mis vähendab tõenäosust ja mõju, samal ajal kui teie organisatsioon kujundab oma lähenemisviisi, mis põhineb tegelikul kulumiskõlblikul kasutamisel ja riskitaluvusel.

Järeldus: käsitleda kantavaid kui turvadomeeni, mitte joonealust märkust

Kannatav BYOD ei ole ajutine trend. See on osa laiemast muutusest ümbritsevate arvutite suunas, kus identiteet järgneb kasutajale üle seadmete, sensorite ja ruumide. IT spetsialistide jaoks ei ole õige lähenemine ei paanika ega eitamine. See on distsiplineeritud riskijuhtimine: määratleda, kus kantavad seadmed on vastuvõetavad, vähendada andmete kokkupuudet projekteerimise teel, jõustada juurdepääsu kaudu identiteedikontrolli ja kasutada turvalisi ruume ja intsidentidele reageerimise.

Kui organisatsioonid kohtlevad kantavaid esimese klassi osana BYOD'ist ja sülearvutitest, saavutavad nad selgema nähtavuse, vähem üllatusi ja turvapositsiooni, mis vastab kaasaegse töö tegelikkusele.