BYAMs Wearable - Sebuah Faktor Resiko dalam Lingkungan IT

"Bawa Perangkat Sendiri Anda" digunakan untuk berarti ponsel dan laptop. Di sebagian besar lingkungan saat ini, ini juga berarti jam tangan, pelacak kebugaran, alat pendengar, alat pendengar, jaringan, dan data yang mengalir. Bagi tim IT, BYOD dapat dikenakan adalah masalah keamanan karena memperluas permukaan serangan tanpa memperluas permukaan kendali Anda. Perangkat-perangkat ini mudah untuk kehilangan dalam inventaris aset, sulit untuk mengelola dengan tooling titik akhir tradisional, dan sering ditambatkan ke telepon pribadi yang menjadi jembatan antara sistem perusahaan dan ekosistem awan konsumen.

Wearables juga mengubah sifat "paparan data". Ini bukan hanya tentang file yang meninggalkan jaringan. Ini tentang konten pemberitahuan yang terlihat pada pergelangan tangan, mikrofon diaktifkan di ruang konferensi, radio Bluetooth pasif yang dapat diperiksa di lorong, dan data kesehatan atau lokasi yang sangat sensitif di bawah peraturan privasi. Hasilnya adalah kategori risiko yang terletak di persimpangan batas akhir keamanan, identitas, keamanan fisik, privasi, dan pemerintahan.

Mengapa pakaian berbeda dari BYOD klasik

Wearables biasanya dirancang di sekitar kenyamanan, selalu - pada konektivitas, dan integrasi mendalam dengan ekosistem konsumen. Bahkan ketika wearable memiliki fitur-fitur ramah masuk, banyak penyebaran masih bergantung pada telepon pendamping dan layanan awan vendor. Arsitektur itu menciptakan beberapa karakteristik keamanan IT seharusnya memperlakukan sebagai "asumsi baku":

• Wearables sering terlihat untuk manajemen aset dan penemuan karena mereka tidak bergabung dengan domain, tidak menjalankan agen konvensional, dan mungkin tidak pernah mengotorisasi langsung untuk layanan perusahaan.
• Perangkat pendamping penting sebanyak yang dapat dikenakan. Jika telepon dikompromikan, dapat dipakai menjadi ekstensi dari kompromi itu melalui pemberitahuan, token aplikasi, dan komunikasi dipasangkan.
• Antar muka pengguna dibatasi. Pengguna menyetujui prompt dengan cepat, melirik peringatan, dan menerima pairings atau hak akses dengan konteks minimal.
• Model keamanan sering vendor- spesifik dan diperbarui pada irama konsumen, yang mungkin tidak selaras dengan perusahaan mengubah kontrol.
• Sensor dan radio adalah "fitur", yang berarti perangkat ini dibuat untuk menangkap, mengirimkan, dan sinkronisasi informasi secara terus menerus.

Untuk IT profesional, kunci yang diambil adalah bahwa pakaian tidak boleh dievaluasi sebagai "ponsel kecil". Mereka adalah perangkat komputasi ambien. Risiko mereka didistribusikan melalui identitas, visibilitas data, ruang fisik, dan rantai pasokan.

Tipe yang dapat dikenakan umum memasuki ruang perusahaan

Kategori dapat dikenakan lebih luas daripada smartwatch. Di banyak organisasi, kelas perangkat berikut muncul di kantor, laboratorium, dan daerah produksi:

• Smartwatches dan pelacak kebugaran bahwa pemberitahuan cermin, dukungan asisten suara, dan kadang-kadang menyediakan konektivitas seluler.
• Hati yang mengintegrasikan mikrofon, asisten suara, penanganan panggilan, dan mode passmelalui audio yang dapat digunakan dalam ruang yang sensitif.
• Cincin pintar digunakan untuk fitur kenyamanan, pemberitahuan, metrik kesehatan, atau dalam beberapa kasus kemungkinan akses berbasis.
• Kacamata AR / VR digunakan untuk bantuan jarak jauh, pelatihan, layanan lapangan, atau penangkapan media pribadi.
• Pakaian medis digunakan untuk pemantauan yang dapat memperkenalkan diatur data pribadi ke jaringan perusahaan dan log.

Bahkan ketika wearable tidak pernah menyentuh WiFi, perangkat masih dapat relevan untuk risiko perusahaan melalui Bluetooth, NFC, atau tethering melalui telepon dengan akses ke email perusahaan, pesan, dan penyedia identitas.

Permukaan serangan: radio, aplikasi, identitas, dan data ambien

Risiko yang mudah rusak adalah satu set tumpang tindih permukaan. Sebuah smartwatch tunggal dapat secara simultan menjadi titik akhir Bluetooth, sebuah alat identitas, sebuah cermin pemberitahuan, mikrofon, dan kotak sensor yang disinkronkan awan. Ketika Anda memetakan ancaman, memperlakukan masing-masing sebagai domain kontrol sendiri.

Paparan nirkabel: Bluetooth pasangan Energi Rendah, mode penemuan, dan kebiasaan protokol dapat menciptakan kesempatan untuk menyelidiki, melacak, atau eksploitasi di dekatnya. NFC dapat mengaktifkan interaksi cepat yang sulit untuk audit. Jika perangkat mendukung Wi- Fi atau seluler, dapat memotong beberapa kontrol jaringan perusahaan sepenuhnya.

Companion apps and cloud sync: Aplikasi telepon pendamping sering menyimpan token, ijin, dan aturan sinkronisasi. Data dapat mengalir dari pemberitahuan perusahaan ke backup cloud pribadi atau fitur sinkronisasi perangkat. Awan penjual pakaian menjadi bagian dari batas data efektif Anda.

Jalan pintas identitas: Wearables sering mengaktifkan "menyetujui dengan keran", jarak membuka, atau cepat respon. Fitur kenyamanan dapat mengurangi gesekan bagi pengguna dan juga mengurangi gesekan bagi penyerang yang memperoleh kedekatan fisik atau kontrol parsial dari perangkat.

Kebocoran Ambient: Pemberitahuan yang ditampilkan pada pergelangan tangan dapat mengungkapkan subjek sensitif, nama pelanggan, identifikasi tiket, rincian insiden, atau satu-waktu link. Mikrofon dan kamera membuat lapisan resiko tambahan dalam ruang pertemuan, area SOC, laboratorium, dan fasilitas dengan IP yang dilindungi.

Real- dunia skenario risiko IT tim harus merencanakan untuk

Risiko BYOD yang dapat dikembangkan menjadi lebih jelas ketika diterjemahkan ke dalam skenario bahwa operasi keamanan, pemerintahan, dan dukungan IT dapat mengenali dan menanggapi. Intinya adalah tidak menganggap setiap wearable adalah bermusuhan. Intinya adalah menghindari dikejutkan oleh mode kegagalan yang dapat diprediksi.

Paparan pemberitahuan sensitif: Seorang karyawan menerima undangan jembatan kecelakaan, eskalasi pelanggan, atau email ulang kata sandi. Jalur subjek terlihat pada smartwatch selama pertemuan, pada angkutan umum, atau di ruang kerja bersama. Bahkan tanpa isi pesan, metadata dapat merusak.

Ruang konferensi ditangkap: Sebuah wearable dengan mikrofon, asisten suara, atau fitur rekaman audio hadir selama diskusi tentang harga, M & A, insiden keamanan, atau rincian produk yang belum dirilis. Resikonya bukan hanya rekaman berbahaya, termasuk aktivasi disengaja dan sinkronisasi awan.

Identity persetujuan kelelahan: Persetujuan cepat berguna untuk MFA dan SSO, tetapi mereka juga mengaktifkan bentuk perilaku "tap- to-accept". Jika penyerang memicu tampilan berulang, seorang pengguna yang terganggu mungkin menyetujui permintaan yang salah, terutama pada UI yang dapat dikenakan sedikit.

Kedekatan dan akses fisik komplikasi: Beberapa lingkungan menggunakan perkiraan berdasarkan membuka laptop, pintu, atau aplikasi. Jika wearable digunakan sebagai sinyal kepercayaan dan hilang, dicuri, atau dipinjam, organisasi dapat mewarisi risiko keamanan fisik menyamar sebagai fitur kenyamanan.

Konektivitas bayangan: Sebuah wearable dengan kemampuan seluler dapat memindahkan data tanpa bergabung korporasi Wi- Fi. Telepon yang dikompromikan dapat menggunakan ekosistem dapat dipakai untuk pemberitahuan cermin dan jalur eksfiltrasi data yang melewati proksi tradisional atau kontrol segmentasi jaringan.

Pencampuran data yang diperbaharui: Pakaian medis dapat memperkenalkan data kesehatan ke dalam sistem IT secara tidak langsung melalui tiket dukungan, cuplikan layar, log, atau percakapan yang saling berhubungan. Yang dapat menciptakan kewajiban kepatuhan Anda tidak berniat untuk mengambil.

Pemerintah: mendefinisikan apa yang "diterima" berarti di lingkungan Anda

Kontrol teknis bekerja dengan baik ketika organisasi telah jelas, sesuai harapan. Banyak kebijakan BYOD ditulis sebelum dapat dipakai menjadi mainstream dan fokus pada ponsel, laptop, dan media yang dapat dilepas. Memutakhirkan pemerintahan bukan tentang melarang perangkat secara universal. Ini tentang menyesuaikan pakaian dengan penghitung resiko dan pengukur ruang.

Program membuat biasanya mendefinisikan "aturan kehadiran perangkat" untuk zona yang berbeda:

• Zona sensitivitas tinggi di mana mikrofon, kamera, dan alat perekam yang mampu dibatasi, dengan tanda-tanda jelas dan opsi penyimpanan aman.
• Zona kantor standar di mana weagables diperbolehkan tetapi penanganan pemberitahuan dan aturan pasangan dilaksanakan melalui identitas dan kontrol postur titik akhir.
• Pengunjung dan aturan kontraktor yang secara eksplisit memakai alamat, tidak secara implisit.

Kebijakan juga harus mengklarifikasi sikap organisasi pada kenampakan konten dan penanganan data, seperti apakah pemberitahuan email perusahaan diijinkan untuk memakai pakaian, apakah pratilik pesan harus dinonaktifkan, dan bagaimana kerugian dapat dikenakan harus dilaporkan. Ketika aturan tidak jelas, penegakan menjadi tidak konsisten dan respon insiden menjadi lebih lambat.

Kontrol teknis yang mengurangi risiko BYOD yang dapat dikenakan

Wearables jarang mendukung kait manajemen yang sama dengan laptop atau ponsel, sehingga strategi kontrol terbaik berfokus pada sistem yang dapat Anda kendalikan: identitas, postur telepon pendamping, akses jaringan, dan perlindungan data. Tujuannya adalah untuk mengurangi dampak, mengurangi kemungkinan, dan meningkatkan deteksi tanpa mengubah kerja sehari-hari menjadi gesekan yang berlebihan.

Identitas-penegakan pertama: Gunakan akses kondisional untuk memerlukan otentikasi yang kuat dan postur perangkat untuk aplikasi perusahaan. Mana mungkin, bind akses ke perangkat yang dikelola dan membatasi tindakan berisiko tinggi ketika sesi dimulai dari tidak diketahui atau tidak dikelola titik akhir. Ini membantu bahkan jika wearable hanya secara tidak langsung terlibat.

Mengatur postur telepon sebagai kontrol proxy: Jika wearables sinkronisasi melalui telepon, memperlakukan telepon sebagai titik penegakan. Manajemen perangkat seluler atau pengelolaan titik akhir yang terpadu dapat memaksa enkripsi, kunci layar, baseline OS versi, dan tata pemerintahan aplikasi untuk ekosistem pendamping.

Pemberitahuan kebersihan: Kurangi nilai dari paparan pemberitahuan dapat dikenakan dengan membatasi apa yang muncul dalam pemberitahuan untuk aplikasi perusahaan. Pertimbangkan menonaktifkan preview pesan, menegakkan "konten sensitif tersembunyi", dan membatasi pemberitahuan yang dapat ditindaklanjuti yang memungkinkan persetujuan atau membalas dari pakaian terkunci.

Kebijakan segmentasi dan akses jaringan: Pastikan bahwa ujung nirkabel tidak diketahui tidak dapat mencapai layanan internal sensitif. NAC, isolasi jaringan tamu, dan firewall ketat mengurangi kerusakan jika wearable atau pendamping upaya lateral gerakan atau penemuan.

Pencegahan hilangnya data dan kontrol awan: Perlakukan consumer cloud sync sebagai saluran potensi jalan keluar. Kebijakan DLP, kontrol CASB, dan pembatasan penyewa dapat mengurangi penyelarasan data perusahaan secara tidak sengaja ke dalam akun pribadi, terutama melalui telepon yang berpasangan dengan yang dapat dipakai.

Logging dan deteksi dengan harapan realistis: Anda mungkin tidak melihat secara langsung yang dapat dikenakan, tetapi Anda dapat mendeteksi pola seperti perilaku persetujuan yang tidak biasa, tanda anomali-in, token tiba-tiba menyegarkan spike, atau akses dari jenis perangkat yang tak terduga. Align Deteksi SIEM untuk peristiwa identitas, tidak hanya agen titik akhir.

Keamanan fisik dan "ruang aman" lebih penting dari sebelumnya

Wearables mengaburkan garis antara keamanan cyber dan keamanan fisik. Jika organisasi Anda memiliki ruang di mana mikrofon / kamera adalah masalah, kemudian memperlakukan pakaian sebagai "hanya aksesoris pribadi" adalah kesenjangan. Pendekatan yang paling praktis adalah untuk operasi ruang aman daripada mencoba untuk orang polisi informal.

Pertimbangkan kontrol yang hormat dan dapat diterapkan:

• Tanda-tanda zona jelas yang secara eksplisit menyebutkan wearables dan capture- perangkat yang mampu.
• Loker atau tas aman untuk karyawan dan pengunjung memasuki daerah sensitif.
• Latihan pertemuan untuk topik sensitif yang termasuk harapan perangkat di depan.
• Eksepsi dan persetujuan yang didokumentasikan untuk kasus penggunaan yang sah seperti kebutuhan aksesibilitas.

Program keamanan IT harus bermitra dengan fasilitas dan HR untuk menghindari menciptakan aturan "teater keamanan" yang tidak dapat dilaksanakan. Satu set kecil zona yang ditentukan dengan baik dengan penegakan yang konsisten biasanya bekerja lebih baik daripada aturan yang luas tidak ada yang mengikuti.

Privasi, kepatuhan, dan biaya tersembunyi data dapat dikenakan

Wearables menghasilkan dan menyimpan informasi pribadi yang sensitif, termasuk pola lokasi, detak jantung, data tidur, dan kadang-kadang indikator medis. Bahkan jika organisasi tidak berniat untuk memproses data ini, itu dapat memasuki lingkungan perusahaan secara tidak langsung melalui saluran dukungan, alat kolaborasi, screenshot, atau penyelidikan insiden.

IT profesional harus bekerja dengan pemegang hukum dan privasi untuk mengklarifikasi:

• Apakah data yang terkait dengan pakaian dianggap dalam lingkup pemantauan perusahaan.
• Bagaimana tanggapan insiden harus menangani perangkat yang mengandung data kesehatan pribadi.
• Retensi dan aturan akses berlaku jika data dapat dikenakan menjadi bagian dari tiket atau catatan investigasi.

Ini bukan hanya urusan hukum. Ini mempengaruhi kepercayaan. Pemantauan agresif yang berlebihan dapat membuat karyawan mendorong dan bayangan. Program yang paling sehat transparan tentang apa yang dimonitor, mengapa, dan bagaimana ia dilindungi.

kesiapan operasional: penanganan wearables hilang dan diduga menyalahgunakan

Insiden Wearable sering "kecil" sampai mereka tidak. Sebuah smartwatch yang hilang mungkin berisi pemberitahuan baru-baru ini, rincian kalender, dan peta hari pengguna. Ponsel pendamping yang dikompromikan dapat mengubah wearables menjadi sinyal yang selalu ada. Buku playbooks respon insiden secara eksplisit harus memasukkan wearables sehingga layanan meja dan SOC tim tidak berimprovisasi.

Persiapan berguna termasuk:

• Jalur pelaporan yang jelas untuk pakaian yang hilang atau dicuri, mirip dengan ponsel dan lencana yang hilang.
• Bimbingan untuk mencabut sesi, kredensial berputar, dan membatalkan token ketika wearable- akun terkait beresiko.
• Daftar cek standar untuk menilai apakah pemberitahuan sensitif atau persetujuan mungkin telah terkena.
• Dokumentasi aplikasi perusahaan mana yang mengizinkan pemberitahuan wearable dan apa yang termasuk pemberitahuan tersebut.

Pastikan proses cukup sederhana bahwa karyawan benar-benar akan menggunakannya. Jika pelaporan merasa bersalah atau rumit, orang-orang menunggu, dan menunggu adalah apa yang mengubah insiden dikelola menjadi eksposur utama.

Sebuah prosedur "BYOD" baseline keamanan untuk tim IT

Jika organisasi Anda mulai dari awal, Anda masih dapat membuat kemajuan berarti dengan cepat dengan fokus pada dasar yang mengurangi risiko yang paling umum. Praktek-praktek berikut secara luas dapat diterapkan dan tidak memerlukan kontrol perangkat invasif:

• Memaksa akses kondisional dan otentikasi kuat, dengan aman ramah terhadap persetujuan disengaja.
• Perlu diatur postur telepon pendamping ketika digunakan untuk mengakses email perusahaan, chatting, atau identitas mengalir.
• Minimalkan paparan data pemberitahuan dengan membatasi pratilik dan konten sensitif dalam peringatan gaya lock- screen.
• Definisikan zona aman di mana capture- mampu memakai pakaian terbatas dan menyediakan opsi penyimpanan praktis.
• Jaringan segmen dan membatasi apa yang tidak diketahui titik akhir nirkabel dapat mencapai, bahkan jika mereka muncul sebentar.
• Perbarui bahasa kebijakan BYOD secara eksplisit termasuk pakaian, dengan harapan yang jelas dan penegakan hormat.
• Tambahkan skenario dapat dikenakan ke buku putar respon insiden, fokus pada pembatalan sesi, kebersihan kredensial, dan pelaporan cepat.

Dasarnya bukan garis akhir. Ini adalah titik awal yang mengurangi kemungkinan dan dampak sementara organisasi Anda mendekati pendekatan berdasarkan penggunaan kasus dan toleransi risiko yang sebenarnya.

Kesimpulan: memperlakukan wearables sebagai domain keamanan, bukan catatan kaki

BYOD Wearable bukan tren sementara. Ini adalah bagian dari pergeseran yang lebih luas menuju komputasi ambien, dimana identitas mengikuti pengguna melintasi perangkat, sensor, dan spasi. Untuk IT profesional, pendekatan yang tepat tidak panik atau penyangkalan. Ini adalah manajemen risiko disiplin: menentukan di mana pakaian dapat diterima, mengurangi paparan data oleh desain, akses paksa melalui kontrol identitas, dan operasi aman ruang dan respon insiden.

Ketika organisasi memperlakukan pakaian sebagai bagian kelas pertama BYOD - di samping ponsel dan laptop - mereka mendapatkan visibilitas yang lebih jelas, lebih sedikit kejutan, dan postur keamanan yang cocok dengan realitas dari pekerjaan modern.