Hordozható BYOD - Kockázati tényező informatikai környezetben

A "Hozd a saját eszközöd" alatt telefonokat és laptopokat értettem. A legtöbb környezetben ma, azt is jelenti, okos trackers, fitness trackers, szívritmus (okos fülhallgatók), okos gyűrűk, kibővített valóság szemüveg, orvosi hordók, és egyre növekvő listája szenzorgazdag eszközök, amelyek csendben kapcsolódik a vállalati identitások, hálózatok, és adatáramlás. IT csapatok, viselhető BYOD egy biztonsági probléma, mert kiterjeszti a támadás felületét anélkül, hogy bővíteni az ellenőrzési felület. Ezek az eszközök könnyen elkerülhetők az eszközleltárakban, nehezen kezelhetők a hagyományos végpontok eszközeivel, és gyakran egy olyan személyes telefonhoz köthetők, amely híddá válik a vállalati rendszerek és a fogyasztói felhő ökoszisztémák között.

A hordók az "adatexpozíció" jellegét is megváltoztatják. Már nem csak az akták elhagyásáról van szó. A csuklón látható értesítési tartalomról szól, a konferenciateremben aktivált mikrofonokról, a folyosón vizsgálható passzív Bluetooth rádiókról, valamint az egészségügyi vagy helymeghatározó adatokról, amelyek rendkívül érzékenyek az adatvédelmi előírások szerint. Az eredmény egy kockázati kategória, amely a végpont biztonság, identitás, fizikai biztonság, magánélet és kormányzás metszéspontján helyezkedik el.

Miért más a viselet, mint a klasszikus BYOD

A hordókat jellemzően a kényelem, az összekapcsolódás és a fogyasztói ökoszisztémákkal való mély integráció köré szervezik. Még akkor is, ha a viselhető van vállalkozásbarát funkciók, sok települések még mindig támaszkodik a társ telefon és eladó felhő szolgáltatások. Ez az architektúra számos biztonsági jellemzőt hoz létre, amelyeket IT-nek "alapértelmezett feltételezésként" kell kezelnie:

• A hordók gyakran láthatatlanok a vagyonkezelés és a felfedezés szempontjából, mivel nem csatlakoznak a domain-hoz, nem működtetnek hagyományos ügynököket, és soha nem hitelesíthetnek közvetlenül a vállalati szolgáltatások számára.
• A társ eszköz legalább annyira számít, mint a hordható. Ha a telefon veszélybe kerül, a viselhető kiterjeszti a kompromisszumot értesítések, app tokens és párosított kommunikáció révén.
• A felhasználói felület korlátozott. A felhasználók gyorsan jóváhagyják a kéréseket, rápillantanak a riasztásokra, és minimális kontextusban elfogadják a párosításokat vagy a jogosítványokat.
• A biztonsági modell gyakran Vendor- specific és frissíti a fogyasztói öntudat, amely nem lehet összhangban a vállalati változás ellenőrzése.
• Az érzékelők és a rádiók a "funkció", ami azt jelenti, hogy az eszköz célja az információ folyamatos rögzítése, továbbítása és szinkronizálása.

Az informatikai szakemberek számára a kulcs az, hogy a hordókat ne "kis telefonként" értékeljék. Ezek környezeti számítástechnikai eszközök. Kockázataik az identitás, az adatok láthatósága, a fizikai tér és az ellátási lánc között oszlanak meg.

A vállalkozásokba belépő közös viselhető típusok

A viselhető kategória szélesebb, mint egy okoska. Számos szervezetben az alábbi eszközosztályok jelennek meg irodákban, laborokban és gyártási területeken:

• Smarttwatches és fitness trackers, hogy tükrözze értesítések, támogatja a hang asszisztensek, és néha biztosítja a celluláris kapcsolat.
• A mikrofonokat, a hangasszisztenseket, a híváskezeléseket és az érzékeny helyeken használható audió-áthaladási módokat integráló szívek.
• Smart gyűrűk használt kényelmi funkciók, értesítések, egészségügyi mérőszámok, vagy néhány esetben proximity-alapú hozzáférés.
• AR / VR szemüveg használt távoli segítségnyújtás, képzés, helyszíni szolgáltatás, vagy személyes média rögzítésére.
• Az ellenőrzéshez használt orvosi eszközök, amelyek szabályozott személyes adatokat vezethetnek be a vállalati hálózatokba és naplókba.

Még akkor is, ha egy viselhető soha nem érinti a Wi- Fi, az eszköz még mindig releváns a vállalati kockázat révén Bluetooth, NFC, vagy egy telefonon keresztül hozzáférést vállalati e-mail, üzenetküldés, és identitás szolgáltatók.

A támadási felület: rádiók, alkalmazások, identitások és környezeti adatok

A viselhető kockázatot leginkább átfedő felületeknek kell tekinteni. Egy smartwatch egyszerre lehet Bluetooth végpont, egy identitás kényelmi eszköz, egy értesítő tükör, egy mikrofon, és egy felhő-szinkronizált érzékelő csomag. Amikor feltérképezzük a fenyegetéseket, kezeljük ezeket, mint saját ellenőrzési tartományt.

Vezeték nélküli expozíció: Bluetooth Low Energy párosítás, felfedezőképesség módjai, és protokoll furcsaságok teremthetnek lehetőségeket a szondázás, nyomon követés, vagy kizsákmányolás a közelben. Az NFC gyors, nehezen ellenőrizhető kölcsönhatásokat tehet lehetővé. Ha a készülék támogatja a WiFi-t vagy a mobilt, az teljesen megkerülhet néhány vállalati hálózati vezérlést.

Társalkalmazások és felhőszinkronizálás: A társ telefon app gyakran rendelkezik zsetonok, engedélyek, és szinkron szabályok. Az adatok átáramolhatnak a vállalati értesítésekből a személyes felhőalapú mentésekbe vagy a cross-device szinkronizációs funkciókba. A hordható árus felhője a tényleges adathatár részévé válik.

Azonosítási rövidítések: A hordók gyakran lehetővé teszik a "jóváhagyást egy csappal", a közelség feloldását vagy a gyors válaszokat. A kényelmi jellemzők csökkenthetik a felhasználók súrlódását, és csökkenthetik az olyan támadók súrlódását is, akik fizikai közelségüket vagy részleges vezérlésüket érik el.

Környezeti szivárgás: A csuklón megjelenő értesítések érzékeny témákat, ügyfélneveket, jegyazonosítókat, eseményadatokat vagy egyszeri linkeket fedhetnek fel. A mikrofonok és kamerák további kockázati réteget hoznak létre az üléstermekben, a SOC-területeken, a laboratóriumokban és a védett IP-vel rendelkező létesítményekben.

A világ valós kockázati forgatókönyveit IT-csapatoknak kell megtervezniük

A viselhető BYOD-kockázat egyértelműbbé válik, ha a biztonsági műveletek, a kormányzás és az informatikai támogatás által felismerhető és megválaszolható forgatókönyvekké alakítják át. A lényeg, hogy ne feltételezzük, hogy minden viselhető ellenséges. A lényeg az, hogy ne lepődjön meg a kiszámítható meghibásodási módokon.

Érzékeny bejelentési kitettség: A munkavállaló kap egy incidenst híd meghívót, egy ügyfél eszkaláció, vagy egy jelszó reset e-mail. A témakör egy ülés során, tömegközlekedésen vagy közös munkaterületen látható. Az üzenettartalom nélkül is káros lehet a metaadat.

Konferenciaterem elfogása: A mikrofonnal, hangasszisztenssel vagy hangfelvétel funkcióval ellátott viselhető az árképzésről, az M & A-ról, a biztonsági incidensekről vagy a fel nem használt termékrészletekről folytatott megbeszélések során. A kockázat nem csak a rosszindulatú rögzítés, hanem a véletlen aktiválás és a felhőszinkron.

Azonosító-jóváhagyási fáradtság: A gyors jóváhagyások hasznosak az MFA és az SSO számára, de lehetővé teszik a "tap- to-jóváhagyási" viselkedés egy formáját is. Ha a támadó ismételt kéréseket vált ki, a zavart felhasználó jóváhagyhatja a rossz kérést, különösen egy kis viselhető UI.

A közelség és a fizikai hozzáférés szövődményei: Néhány környezet használ proximity-based nyitó laptopok, ajtók, vagy alkalmazások. Ha egy viselhető használják, mint egy bizalmi jel, és az elveszett, lopott, vagy kölcsönzött, a szervezet örökölheti a fizikai biztonsági kockázatot álcázott kényelmi funkció.

Árnyékkapcsolat: A mobil képességgel rendelkező hordható képes adatokat mozgatni anélkül, hogy csatlakozna a vállalati WiFi-hez. Egy sérült telefon a viselhető ökoszisztémát a bejelentés tükrözésére és adatexfiltrációs útvonalakra használhatja, amelyek megkerülik a hagyományos proxyokat vagy a hálózati szegmentációs kontrollokat.

Szabályozott adatok összekeverése: Az orvosi eszközök az egészségügyi adatokat közvetetten vezethetik be az informatikai rendszerekbe támogató jegyek, screenshotok, naplók vagy problémamegoldó beszélgetések révén. Ez olyan megfelelési kötelezettségeket eredményezhet, amiket nem akartál vállalni.

Irányítás: határozza meg, mit jelent az "elfogadható" az Ön környezetében

A technikai ellenőrzések akkor működnek a legjobban, ha a szervezetnek egyértelmű, végrehajtható elvárásai vannak. Sok BYOD politika volt megírva, mielőtt a viseletek vált a mainstream és a hangsúly a telefonok, laptopok, és eltávolítható média. Az irányítás korszerűsítése nem az eszközök általános betiltásáról szól. Arról szól, hogy össze kell hangolni a viseleteket a kockázati szintekkel és az űrszintekkel.

Az érett programok jellemzően az "eszköz jelenlétének szabályait" határozzák meg a különböző zónákra:

• Magas érzékenységű zónák, ahol a mikrofonok, kamerák és regisztráló-képes viseletek korlátozottak, egyértelmű jelzésekkel és biztonságos tárolási lehetőségekkel.
• Szabványos irodai zónák, ahol megengedett a viselet, de a bejelentési és párosítási szabályokat azonossági és végponti testtartásellenőrzésekkel hajtják végre.
• Látogató és vállalkozó szabályok, amelyek kifejezetten, nem implicit módon foglalkoznak a viselettel.

A szakpolitikáknak egyértelművé kell tenniük a szervezet álláspontját a tartalom láthatóságáról és az adatkezelésről, például arról, hogy a vállalati e-mail értesítések megengedettek-e a viseleteken, hogy az üzenetelőzeteseket le kell-e kapcsolni, és hogy hogyan kell jelenteni a viselhető veszteséget. Ha a szabályok homályosak, a végrehajtás következetlenné válik, és az eseményekre adott válasz lassúbbá válik.

A viselhető BYOD-kockázatot csökkentő műszaki ellenőrzések

A hordók ritkán támogatják a laptopokkal vagy telefonokkal megegyező kezelőkampókat, így a legjobb ellenőrzési stratégia az Ön által ellenőrizhető rendszerekre összpontosít: identitásra, a társ-telefonpóznára, hálózati hozzáférésre és adatvédelemre. A cél a hatás csökkentése, a valószínűség csökkentése és az észlelés javítása anélkül, hogy a napi munkát súrlódás túlterhelné.

Azonosító-első végrehajtás: Használjon feltételes hozzáférést, hogy erős hitelesítést és eszköz testtartás vállalati alkalmazások. Amennyiben lehetséges, kötelezze a kezelt eszközökhöz való hozzáférést, és korlátozza a magas kockázatú tevékenységeket, ha egy munkamenet ismeretlen vagy kezeletlen végpontokról indul. Ez akkor is segít, ha a viselhető csak közvetve érintett.

Vezetett telefonpózna, mint proxy vezérlés: Ha a viseletek szinkronizálódnak telefonon keresztül, a telefont tekintsék végrehajtási pontnak. Mobil eszköz kezelése vagy egyesített végpont kezelése érvényesítheti a titkosítás, képernyőzár, OS verzió alapvonalak, és app irányítás a társ ökoszisztéma.

Értesítési higiénia: Csökkentse a viselhető értesítési kitettség értékét a vállalati alkalmazásokra vonatkozó értesítésekben szereplő információk korlátozásával. Fontolóra kell venni az üzenet kikapcsolását, az "érzékeny tartalom rejtett" érvényesítését, valamint az aktív értesítések korlátozását, amelyek lehetővé teszik a jóváhagyásokat vagy a zárt viselhető válaszokat.

Hálózati szegmentáció és hozzáférési politika: Annak biztosítása, hogy az ismeretlen vezeték nélküli végpontok ne érhessék el az érzékeny belső szolgáltatásokat. NAC, vendéghálózati elszigeteltség és szigorú tűzfal csökkenti a kárt, ha a viselhető vagy társa megpróbálja oldalsó mozgás vagy felfedezés.

Adatvesztés-megelőzés és felhőkontroll: A fogyasztói felhő szinkronizálását egy lehetséges kivezető csatornaként kell kezelni. A DLP-politikák, a CASB-ellenőrzések és a bérlők korlátozásai csökkenthetik a vállalati adatok személyes számlákra történő véletlen szinkronizálását, különösen a viselhető telefonon keresztül.

Bejelentkezés és észlelés reális várakozásokkal: Lehet, hogy nem látja a viselhető közvetlenül, de lehet észlelni minták, mint a szokatlan jóváhagyási viselkedés, szokatlan jelek, hirtelen jelfrissítő tüskék, vagy hozzáférést váratlan eszköz típusok. A SIEM észleli a személyazonossági eseményeket, nem csak a végpontokat.

A fizikai biztonság és a "biztonságos terek" fontosabbak, mint valaha.

A hordók elhomályosítják a kiberbiztonság és a fizikai biztonság közötti határt. Ha a szervezetednek vannak olyan helyei, ahol a mikrofonok / kamerák problémát jelentenek, akkor a viseleteket "csak személyes kiegészítőként" kezelni egy rés. A legpraktikusabb megközelítés a biztonságos terek operálása ahelyett, hogy informálisan próbálnánk meg a rendőröket.

Figyelembe kell venni a tisztelettudó és kivitelezhető ellenőrzéseket:

• Tiszta zónajelzés, amely kifejezetten megemlíti a viselhető és a fogható eszközöket.
• Az érzékeny területekre érkező alkalmazottak és látogatók számára fenntartott szekrények vagy zacskók.
• Az olyan érzékeny témákra vonatkozó gyakorlatok megvitatása, amelyek előre tartalmazzák az eszközök elvárásait.
• A jogszerű használat esetén dokumentált kivételek és jóváhagyások, például a hozzáférhetőségi igények.

Az informatikai biztonsági program partnerei a létesítmények és a HR, hogy ne hozzon létre "biztonsági színház" szabályok, amelyek nem végrehajthatók. A következetes végrehajtással rendelkező, jól meghatározott övezetek kis csoportja általában jobban teljesít, mint a széles körű szabályok, amelyeket senki sem követ.

Adatvédelem, megfelelés és a viselhető adatok rejtett költsége

A hordók érzékeny személyes adatokat generálnak és tárolnak, beleértve a helymeghatározást, a szívfrekvenciát, az alvási adatokat és néha orvosi indikátorokat. Még ha a szervezet nem is szándékozik feldolgozni ezeket az adatokat, közvetetten is beléphet a vállalati környezetbe támogató csatornákon, együttműködési eszközökön, képernyőfelvételeken vagy eseményvizsgálatokon keresztül.

Az informatikai szakembereknek együtt kell működniük a jogi és adatvédelmi érdekelt felekkel a következők tisztázása érdekében:

• Annak megállapítása, hogy a vállalatfelügyelet hatálya alá tartozik-e bármilyen viselhető adat.
• Hogyan kell az eseményekre adott válasznak kezelnie a személyes egészségügyi adatokat tartalmazó eszközöket.
• A megőrzési és hozzáférési szabályok akkor alkalmazandók, ha a hordható adatok egy jegy vagy vizsgálati jegyzőkönyv részévé válnak.

Ez nem csak jogi kérdés. Hatással van a bizalomra. Túlzottan agresszív monitoring hozhat létre alkalmazott tolatás és árnyék munkakörök. A legegészségesebb programok átláthatóak arról, hogy mi van megfigyelve, miért és hogyan védett.

Működési készség: az elveszett ingek és a feltételezett visszaélések kezelése

A hordható események gyakran "kicsik", amíg nem azok. Egy elveszett okostojás tartalmazhat friss értesítéseket, naptár részleteket, és egy térképet a felhasználó napjáról. Egy kompromittált társ telefon a viseletből mindig jelenlévő jelet csinál. Az eseményekre adott válaszkönyveknek kifejezetten tartalmazniuk kell a viseleteket, így a szolgálati asztalok és a SOC csapatok nem improvizálnak.

Hasznos előkészítés:

• A világos jelentési út az elveszett vagy ellopott viseletek, mint az elveszett telefonok és jelvények.
• Útmutató az ülések visszavonásához, a rotációs megbízólevelekhez és a zsetonok érvénytelenítéséhez, ha a viselhető kapcsolódó számlák veszélyben vannak.
• Szabványos ellenőrző lista annak értékelésére, hogy az érzékeny értesítések vagy jóváhagyások nyilvánosságra kerülhettek-e.
• Dokumentáció arról, hogy mely vállalati alkalmazások teszik lehetővé a viselhető értesítéseket, és mit tartalmaznak ezek az értesítések.

Győződjön meg róla, hogy a folyamat elég egyszerű ahhoz, hogy a munkavállalók ténylegesen használni. Ha a jelentés büntető vagy bonyolult, az emberek várnak, és a várakozás az, ami kezelhetővé teszi az incidensek nagyobb expozíció.

Gyakorlati "viselhető BYOD" biztonsági alapvonal informatikai csapatok számára

Ha a szervezet a semmiből indul, akkor még mindig jelentős előrelépést gyorsan összpontosítva a kiindulási, amely csökkenti a leggyakoribb kockázatokat. Az alábbi gyakorlatok széles körben alkalmazhatóak, és nem igényelnek invazív eszközök ellenőrzését:

• Feltételes hozzáférés és erős hitelesítés biztosítása, felhasználóbarát biztosítékok a véletlenszerű jóváhagyások ellen.
• Szükség van kezelt testtartás a társ telefon, ha használják a vállalati e-mail, chat, vagy identitás áramlások.
• Minimalizálja a bejelentés adatainak expozícióját azáltal, hogy korlátozza az előnézeteket és érzékeny tartalmat a zárképernyős stílusú figyelmeztető jelzésekben.
• Határozza meg azokat a biztonságos zónákat, ahol korlátozottak a fogékony hordók, és biztosítson gyakorlati tárolási lehetőségeket.
• Szekciós hálózatok és korlátozza, amit az ismeretlen vezeték nélküli végpontok elérhetnek, még akkor is, ha megjelennek rövid ideig.
• Frissítse a BYOD szakpolitikai nyelvet, hogy kifejezetten tartalmazza a viseletek, egyértelmű elvárások és tiszteletteljes végrehajtás.
• A munkamenet visszavonására, a hitelhigiénére és a gyors jelentéstételre összpontosító, viselhető forgatókönyvek hozzáadása az eseményekre adott válaszkönyvekhez.

Az alapvonal nem a célvonal. Ez egy kiindulópont, amely csökkenti a valószínűséget és a hatást, miközben a szervezet érleli a megközelítés alapján tényleges viselhető használati esetek és a kockázat tolerancia.

Következtetés: a viseleteket biztonsági domain-ként kezeli, nem lábjegyzetként.

A hordható BYOD nem átmeneti tendencia. A környezeti számítástechnika felé történő szélesebb elmozdulás része, ahol az identitás követi a felhasználót az eszközök, érzékelők és terek között. Az informatikai szakemberek számára a helyes megközelítés nem pánik vagy tagadás. Ez fegyelmezett kockázatkezelés: meg kell határozni, hogy hol elfogadható a viselet, csökkenteni kell a tervezéssel történő adatexpozíciót, a hozzáférést a személyazonosság-ellenőrzésen keresztül kell érvényesíteni, és működtetni kell a biztonságos tereket és az eseményválaszt.

Amikor a szervezetek a viseleteket a BYOD első osztályú részeként kezelik - a telefonok és laptopok mellett - világosabb láthatóságot, kevesebb meglepetést és a modern munka valóságához illeszkedő biztonsági testtartást kapnak.