Pukeutuvat BYODit - IT-ympäristöjen riskitekijä

Bring Your Own Device Useimmissa ympäristöissä se tarkoittaa myös älykkäitä kelloja, kuntoilulaitteita, kuulolaitteita (älykorvakkeita), älyrenkaita, lisättyjä todellisuuslaseja, lääketieteellisiä vaatteita sekä kasvavaa luetteloa anturirikasta laitteista, jotka hiljaa liittyvät yritysten identiteettiin, verkkoihin ja tietovirtoihin. IT-joukkueille, puettava BYOD on turvallisuusongelma, koska se laajentaa hyökkäyspintaa laajentamatta ohjauspintaa. Näitä laitteita on helppo kaivata omaisuuden inventoinnissa, niitä on vaikea hallita perinteisillä päätepisteillä, ja ne on usein kytketty henkilökohtaiseen puhelimeen, josta tulee silta yritysjärjestelmien ja kuluttajien pilviekosysteemien välillä.

Pukeutuvat myös muuttaa luonnetta Se ei enää ole vain tiedostoja pois verkosta. Se koskee ilmoitussisältöä näkyvä ranteessa, mikrofoneja aktivoitu konferenssihuoneessa, passiivisia Bluetooth-radioita, jotka voidaan tutkia käytävässä, ja terveys- tai sijaintitietoja, jotka ovat erittäin arkaluonteisia yksityisyyden suojaa koskevien määräysten mukaisesti. Tuloksena on riskiluokka, joka istuu päätepisteen turvallisuuden, henkilöllisyyden, fyysisen turvallisuuden, yksityisyyden ja hallinnon leikkauskohdassa.

Miksi puettavat ovat erilaisia kuin klassinen BYOD

Puettavat tuotteet on tyypillisesti suunniteltu mukavuuden, aina yhteenliitettävyyden ja syvän yhdentymisen ympärille kuluttajien ekosysteemeihin. Vaikka puettavalla on yritysystävällisiä ominaisuuksia, moni käyttöönotto perustuu edelleen kumppanipuhelimeen ja myyjäpilvipalveluihin. Tämä arkkitehtuuri luo useita tietoturvaominaisuuksia IT olisi käsiteltävä olettamuksia.

• Puettavat ovat usein näkymättömiä omaisuudenhoitoon ja löytämiseen, koska ne eivät liity verkkotunnus, eivät johda tavanomaisia agentteja, ja voi koskaan todentaa suoraan yrityspalvelut.
• Kumppanilaite on yhtä tärkeä kuin puettava. Jos puhelin on vaarantunut, puettavasta tulee jatke tämän kompromissin kautta ilmoituksia, sovellus rahakkeita ja parillinen viestintä.
• Käyttöliittymä on rajoitettu. Käyttäjät hyväksyvät kehotuksia nopeasti, vilkaise hälytyksiä, ja hyväksyä parit tai oikeudet minimaalinen asiayhteys.
• Turvallisuusmalli on usein myyjäkohtainen ja sitä päivitetään kuluttajan tiheyden perusteella, mikä ei välttämättä vastaa yrityksen muutoksen hallintaa.
• Anturit ja radiot ovat ... ominaispiirre.

IT-alan ammattilaisille tärkeintä on, että puettavaa ei pitäisi arvioida pieninä puhelimina. Ne ovat ympäristön tietokoneita. Niiden riskit jakautuvat identiteetin, tiedon näkyvyyden, fyysisen tilan ja toimitusketjun mukaan.

Yritystiloihin tulevat yhteiset puettavat tyypit

Puettava luokka on laajempi kuin älykello. Monissa organisaatioissa seuraavat laiteluokat näkyvät toimistoissa, laboratorioissa ja tuotantoalueilla:

• Älykkäät kellot ja fitness-jäljittimet, jotka peilaavat ilmoituksia, tukevat ääniassistentteja ja tarjoavat joskus soluyhteyksiä.
• Kuulokkeet, jotka sisältävät mikrofoneja, ääniassistentteja, puhelunkäsittely- ja audioläpivientitiloja, joita voidaan käyttää herkissä tiloissa.
• Älyrenkaat, joita käytetään mukavuusominaisuuksiin, ilmoituksiin, terveysmittareihin tai joissakin tapauksissa läheisyyteen perustuviin yhteyksiin.
• AR/VR-lasit, joita käytetään etätyöhön, koulutukseen, kenttäpalveluun tai henkilökohtaiseen mediakaappaukseen.
• Lääketieteelliset pukeutumisvälineet, joita käytetään valvontaan ja jotka voivat tuoda säänneltyjä henkilötietoja yritysverkkoihin ja lokeihin.

Vaikka puettava ei koskaan koskekaan Wi-Fi:tä, laite voi silti olla merkityksellinen yritysriskin kannalta Bluetoothin, NFC:n tai puhelimen välityksellä, jossa on pääsy yrityssähköpostiin, viestiin ja henkilöllisyyden tarjoajiin.

Hyökkäyspinta: radiot, sovellukset, henkilöllisyydet ja ympäristön tiedot

Puettavat riskit ymmärretään parhaiten päällekkäisinä pinnoina. Yksi älykello voi samanaikaisesti olla Bluetooth-päätepiste, identiteetin mukavuustyökalu, ilmoituspeili, mikrofoni ja pilvilähtöinen sensoripakkaus. Kun kartoitat uhkia, pidä niitä omana valvonta-alueenaan.

Langaton altistuminen: Bluetooth Low Energy paritus, löydöllisyys moodit, ja protokolla oikkuja voi luoda mahdollisuuksia etsintä, seuranta, tai hyödyntäminen lähellä. NFC voi mahdollistaa nopean vuorovaikutuksen, joka on vaikea tarkastaa. Jos laite tukee Wi-Fi:tä tai matkapuhelinta, se voi ohittaa joitakin yritysverkko-ohjausta kokonaan.

Kumppanisovellukset ja pilvi synkronointi: Kännykkäsovelluksessa on usein rahakkeita, oikeuksia ja synkronointisääntöjä. Tiedot voivat siirtyä yritysilmoituksista henkilökohtaisiin pilvivarmuuksiin tai cross-device-sync-ominaisuuksiin. Puettavan myyjän pilvestä tulee osa tehokasta datarajaa.

Identiteetin pikanäppäimet: Puettavat usein mahdollistaa ...hyväksyä kanssa hana,. läheisyys lukitse, tai nopeita vastauksia. Helppousominaisuudet voivat vähentää kitkaa käyttäjille ja myös vähentää kitkaa hyökkääjille, jotka saavat fyysisen läheisyyden tai osan laitteen hallinnasta.

Ympäristövuoto: Rannekkeessa esitetyt ilmoitukset voivat paljastaa arkaluonteisia aiheita, asiakkaiden nimiä, lipputunnisteita, tapahtumatietoja tai kertaluonteisia linkkejä. Mikrofonit ja kamerat luovat ylimääräisen riskikerroksen kokoustiloihin, SOC-alueisiin, laboratorioihin ja suojattuihin IP-tiloihin.

Reaalimaailman riskiskenaariot IT-tiimien olisi suunniteltava

Käytettävissä oleva BYOD-riski tulee selvemmäksi, kun se muunnetaan skenaarioiksi, joihin turvallisuusoperaatiot, hallinto ja IT-tuki voivat tunnistaa ja reagoida. Ei ole tarkoitus olettaa, että kaikki puettavat ovat vihamielisiä. Tarkoituksena on välttää yllättymästä ennustettavissa olevista vikatiloista.

Herkkä ilmoitus: Työntekijä saa hätäkutsun, asiakaslisäyksen tai salasanan palauttaa sähköpostin. Aihealue näkyy älykellossa kokouksen aikana, julkisessa liikenteessä tai yhteisessä työtilassa. Jopa ilman viestien sisältöä metadata voi olla vahingollista.

Kokoustilan kaappaus: Mikrofonilla, ääniassistentilla tai äänitallennusominaisuudella varustettu puettava on esillä hinta-, myynti-, turvallisuus- tai tuotetietoja koskevissa keskusteluissa. Riski ei ole ainoastaan pahansuopa tallennus; se sisältää vahingossa aktivointi ja pilvi synkronoi.

Identiteettihyväksynnän väsyminen: Pikahyväksynnät ovat hyödyllisiä MFA:lle ja SSO:lle, mutta ne mahdollistavat myös eräänlaisen käyttäytymisen. Jos hyökkääjä laukaisee toistuvia kehotuksia, häiriintynyt käyttäjä voi hyväksyä väärän pyynnön, erityisesti pienen puettavan käyttöliittymän.

Läheisyys - ja fyysinen pääsy - komplikaatiot: Joissakin ympäristöissä käytetään läheisyyteen perustuvaa lukitsemista kannettavissa tietokoneissa, ovissa tai sovelluksissa. Jos puettavaa käytetään luottamussignaalina ja se on kadonnut, varastettu tai lainattu, organisaatio voi periä fyysisen turvariskin, joka on naamioitu mukavuusominaisuudeksi.

Varjoyhteydet: Kännykän avulla puettava voi siirtää dataa liittymättä yrityksen Wi-Fi:hen. Vaarallinen puhelin voi käyttää puettavaa ekosysteemiä ilmoitus peilaamiseen ja datan ulosvirtaukseen reittejä, jotka ohittavat perinteiset proxies tai verkon segmentoinnin hallinta.

Säännelty tietojen sekoittuminen: Lääketieteelliset pukeutumisvälineet voivat tuoda terveystietoja tietojärjestelmiin välillisesti tukilippujen, kuvakaappauksien, lokien tai vianhakukeskustelujen kautta. Tämä voi luoda velvoitteita et aio ottaa.

Hallinnointi: määrittele, mitä hyväksyttävyydellä tarkoitetaan ympäristössäsi

Tekninen valvonta toimii parhaiten silloin, kun organisaatiolla on selkeät ja täytäntöönpanokelpoiset odotukset. Monet BYOD politiikkaa kirjoitettiin ennen puettavat tuli valtavirtaan ja keskittyä puhelimiin, kannettavat tietokoneet, ja irrotettava media. Hallinnon päivittämisessä ei ole kyse laitteiden yleisestä kieltämisestä. Se koskee puettavien vaatteiden mukauttamista riskitasoihin ja tilaluokkiin.

Kypsät ohjelmat tyypillisesti määritellä ... laitteen läsnäoloa koskevat säännöt...

• Korkean herkkyyden vyöhykkeet, joissa mikrofonit, kamerat ja tallennukseen soveltuvat puettavat laitteet ovat rajoitettuja ja joissa on selkeät merkinnät ja turvalliset säilytysmahdollisuudet.
• Vakiotoimistovyöhykkeet, joilla puettavat aineet sallitaan, mutta ilmoituskäsittely ja paritussäännöt pannaan täytäntöön tunnistus- ja päätepistetarkastuksissa.
• Vierailijan ja urakoitsijan säännöt, jotka koskevat vaatteita nimenomaisesti, ei implisiittisesti.

Politiikan tulisi myös selventää organisaation kantaa sisällön näkyvyyteen ja tietojen käsittelyyn, kuten onko yritysten sähköposti-ilmoitukset sallittu puettavat, onko viestien esikatselut poistettava käytöstä ja miten puettavat tappiot olisi ilmoitettava. Kun säännöt ovat epämääräisiä, täytäntöönpano muuttuu epäjohdonmukaiseksi ja vaaratilanteisiin reagoiminen hidastuu.

Tekninen valvonta, joka vähentää puettavan BYOD-riskin määrää

Käytössä olevat tukevat harvoin samoja hallintakoukkuja kuin kannettavat tietokoneet tai puhelimet, joten paras ohjausstrategia keskittyy järjestelmiin, joita voit hallita: identiteetti, kumppanipuhelin asento, verkkoon pääsy, ja tietosuoja. Tavoitteena on vähentää vaikutusta, vähentää todennäköisyyttä ja parantaa havaitsemista muuttamatta päivittäistä työtä kitkaylikuormitukseksi.

Henkilöllisyyden ensimmäinen täytäntöönpano: Käytä ehdollinen pääsy edellyttää vahvaa todentamista ja laitteen ryhti yrityssovelluksia. Jos mahdollista, sido hallintalaitteiden käyttö ja rajoita korkean riskin toimia, kun istunto aloitetaan tuntemattomista tai hallitsemattomista päätetapahtumista. Tämä auttaa, vaikka puettava on vain epäsuorasti mukana.

Hallittu puhelimen asento välityspalvelimen ohjaus: Jos puettavat synkronoivat puhelimen kautta, pidä puhelinta valvontapisteenä. Mobiililaitteiden hallinta tai yhtenäinen päätepisteen hallinta voi valvoa salaus, näytön lukitus, käyttöjärjestelmän versio perusviivat, ja sovelluksen hallinta kumppani ekosysteemi.

Ilmoitushygienia: Vähennetään puettavan ilmoituksen arvoa rajoittamalla yrityssovelluksia koskevien ilmoitusten sisältöä. Harkitse viestien esikatselujen poistamista, piilotetun herkän sisällön täytäntöönpanoa ja sellaisten toimintakelpoisten ilmoitusten rajoittamista, jotka mahdollistavat lukitun puettavan sisällön käytön.

Verkon segmentoitumista ja käyttöoikeuksia koskeva politiikka: Varmista, että tuntemattomat langattomat päätepisteet eivät tavoita arkaluonteisia sisäisiä palveluja. NAC, vierasverkon eristäminen, ja tiukka palomuuri vähentää vahinkoa, jos puettava tai sen kumppani yrittää sivuliike tai löytö.

Tietohävikin ehkäisy ja pilvivalvonta: Kohtele kuluttajien pilvi synkronointia mahdollisena poistumiskanavana. DLP-käytännöillä, CASB-valvonnalla ja vuokralaisten rajoituksilla voidaan vähentää yritystietojen tahatonta synkronointia henkilökohtaisiin tileihin, erityisesti puhelimella, joka sopii yhteen puettavan puhelimen kanssa.

Kirjaaminen ja havaitseminen realistisin odotuksin: Et ehkä näe puettava suoraan, mutta voit havaita kuvioita kuten epätavallinen hyväksyntä käyttäytyminen, poikkeava kirjautuminen, äkillinen merkki virkistää piikkejä, tai pääsy odottamattomia laitetyyppejä. Yhdistä SIEM-ilmaisimet identiteettitapahtumiin eikä ainoastaan päätetapahtumiin.

Fyysinen turvallisuus ja turvalliset tilat

Kyberturvallisuuden ja fyysisen turvallisuuden välinen raja hämärtyy. Jos organisaatiosi on tilat, joissa mikrofonit / kamerat ovat ongelma, sitten käsitellä puettavat kuin ...vain henkilökohtaiset tarvikkeet.. on aukko. Käytännöllisin lähestymistapa on turvallisten tilojen käyttöönotto sen sijaan, että ihmisiä yritetään valvoa epävirallisesti.

Kunnioittavat ja toimivat tarkastukset:

• Tyhjä alue -kyltti, jossa mainitaan nimenomaisesti puettavat ja kaapattavat laitteet.
• Lockers tai turvallinen pussit työntekijöille ja vierailijoille herkille alueille.
• Tapaaminen käytäntöjä arkaluonteisia aiheita, jotka sisältävät laitteen odotukset etukäteen.
• Poikkeukset ja hyväksynnät, jotka on dokumentoitu laillista käyttöä varten, kuten esteettömyystarpeet.

Tietoturvaohjelman olisi oltava yhteistyössä laitosten ja HR:n kanssa välttääkseen luomasta turvallisuusteatteria. Pieni joukko tarkoin määriteltyjä vyöhykkeitä, joiden täytäntöönpano on johdonmukaista, toimii yleensä paremmin kuin laajat säännöt, joita kukaan ei noudata.

Yksityisyys, vaatimustenmukaisuus ja puettavien tietojen piilotetut kustannukset

Vaatteet tuottavat ja tallentaa arkaluonteisia henkilökohtaisia tietoja, kuten sijaintikuvioita, syke, unitiedot, ja joskus lääketieteellisiä indikaattoreita. Vaikka organisaatio ei aio käsitellä näitä tietoja, se voi päästä yritysympäristöön välillisesti tukikanavien, yhteistyövälineiden, kuvakaappauksien tai vaaratilanteiden tutkinnan kautta.

IT-alan ammattilaisten olisi tehtävä yhteistyötä laki- ja yksityisyysalan sidosryhmien kanssa selventääkseen:

• Se, otetaanko mitään puettavia tietoja huomioon yritysseurannassa.
• Miten vaaratilanteiden torjunta olisi käsiteltävä laitteita, jotka sisältävät henkilökohtaisia terveystietoja.
• Mitä säilytys- ja käyttösääntöjä sovelletaan, jos puettavasta datasta tulee osa lippu- tai tutkintarekisteriä?

Tämä ei ole pelkästään oikeudellinen huolenaihe. Se vaikuttaa luottamukseen. Liian aggressiivinen seuranta voi luoda työntekijöiden työntöä ja varjotyötä. Terveimmät ohjelmat ovat avoimia siitä, mitä seurataan, miksi ja miten sitä suojellaan.

Toimintavalmius: kadonneiden pukutarvikkeiden käsittely ja epäilty väärinkäyttö

Käytettävissä olevat välikohtaukset ovat usein pieniä. Kadonnut älykello voi sisältää viimeaikaiset ilmoitukset, kalenterin tiedot ja kartan käyttäjälle. Vaarallinen kumppani puhelin voi muuttaa puettavat aina läsnä signaali. Poikkeamat vastaus pelikirjat pitäisi nimenomaisesti sisältää puettavat joten palvelupöydät ja SOC joukkueet eivät improvisoida.

Hyödyllinen valmistus sisältää:

• Selkeä ilmoituspolku kadonneille tai varastetuille vaatteille, kuten kadonneille puhelimille ja virkamerkeille.
• Ohjeet istuntojen peruuttamiselle, pyörittämiselle ja rahakkeiden mitätöinnille, kun puettavat tilit ovat vaarassa.
• Vakiolista sen arvioimiseksi, onko arkaluonteisia ilmoituksia tai hyväksyntöjä voitu altistaa.
• Dokumentaatio siitä, mitkä yrityssovellukset mahdollistavat puettavat ilmoitukset ja mitä nämä ilmoitukset sisältävät.

Varmista, että prosessi on riittävän yksinkertainen, että työntekijät todella käyttää sitä. Jos raportointi tuntuu rankaisevalta tai monimutkaiselta, ihmiset odottavat, ja odottaminen tekee hallittavista tapahtumista merkittäviä altistuksia.

Käytännön BYOD

Jos organisaatiosi aloittaa tyhjästä, voit silti saavuttaa merkittävää edistystä nopeasti keskittymällä perustasoon, joka vähentää yleisimpiä riskejä. Seuraavat käytännöt ovat laajalti sovellettavissa eivätkä vaadi invasiivisten laitteiden hallintaa:

• Sen on varmistettava ehdolliset pääsymahdollisuudet ja vahva aitous, ja käyttäjäystävälliset takeet satunnaisia hyväksyntöjä vastaan.
• Vaadi hallinnoitu asento kumppanin puhelimeen, kun sitä käytetään yrityksen sähköposti, chat, tai identiteettivirrat.
• Pienennetään ilmoitustietojen altistumista rajoittamalla esikatseluja ja herkkää sisältöä lukitusnäytön tyylisissä kuulutuksissa.
• Määritellään suojatut alueet, joilla on rajoitettu päällekartettavissa olevia vaatteita, ja tarjotaan käytännön säilytysmahdollisuuksia.
• Segmenttiverkot ja rajoittaa mitä tuntematon langaton päätepiste voi saavuttaa, vaikka ne näkyvät lyhyesti.
• Päivittää BYOD politiikan kieli nimenomaisesti sisältävät puettavat, selkeät odotukset ja kunnioittava täytäntöönpano.
• Lisää puettavat skenaariot vaaratilanteiden vastaus pelikirjat, jossa keskitytään istunnon peruuttaminen, Credential hygienia, ja nopea raportointi.

Lähtökohta ei ole maaliviiva. Se on lähtökohta, joka vähentää todennäköisyyttä ja vaikutusta, kun taas organisaatiosi kypsyy lähestymistapa perustuu todelliseen puettavaa käyttöä tapauksissa ja riskin sietoa.

Päätelmä: käsitellä puettavat kuin turvallisuusalue, ei alaviite

Käytä BYOD ei ole väliaikainen suuntaus. Se on osa laajempaa siirtymistä kohti ympäristön laskentaa, jossa identiteetti seuraa käyttäjää laitteiden, anturien ja tilojen välillä. IT-ammattilaisille oikea lähestymistapa ei ole paniikki eikä kieltäminen. Se on kurinalaista riskienhallintaa: määritellään, missä puettavat aineet ovat hyväksyttäviä, vähennetään tietojen altistumista suunnitellusti, varmistetaan pääsy henkilöllisyyden valvonnan avulla ja otetaan käyttöön turvalliset tilat ja vaaratilanteiden torjunta.

Kun organisaatiot kohtelevat pukuja BYOD... puhelimen ja kannettavan tietokoneen ohella ensiluokkaisena osana, ne saavat selkeämmän näkyvyyden, vähemmän yllätyksiä ja nykyaikaisen työn todellisuuteen sopivan turvallisuusasennon.