착용 가능한 BYOD - IT 환경에서의 위험 요소

휴대 전화 및 노트북을 의미하는 데 사용되는 "자신 장치"를 묶습니다. 오늘날 대부분의 환경에서는 smartwatches, Fitness Trackers, listenables (smart earbuds), 스마트 링, 증강 현실 안경, 의료 착용 가능 및 기업 식별, 네트워크 및 데이터 흐름에 조용히 연결하는 센서 풍부한 장치의 성장 목록이 있습니다. IT 팀을 위해, 착용할 수 있는 BYOD는 당신의 통제 표면을 확장하지 않고 공격 표면을 확장하기 때문에 안전 문제입니다. 이 장치는 기존의 엔드포인트 툴링을 관리하기 어려운 자산의 재고를 놓치지 않고 기업 시스템과 소비자 클라우드 생태계 사이의 교량이되는 개인 휴대 전화에 연결됩니다.

"data 노출"의 성격을 변경할 수 있습니다. 네트워크를 떠나는 파일에 대해 더 이상 없습니다. 손목에 보이는 알림 내용에 관해서는, 마이크는 회의실에서 활성화, 복도에서 프로브 될 수있는 수동 블루투스 라디오, 건강 또는 위치 데이터는 프라이버시 규정에 매우 민감합니다. 결과는 엔드포인트 보안, 정체성, 물리적 보안, 개인 정보 보호 및 관리의 교차점에 앉아있는 위험 범주입니다.

왜 착용은 고전적인 BYOD에서 다릅니다

웨어러블은 일반적으로 편의, 항상 연결성, 소비자 생태계와의 깊은 통합을 설계하고 있습니다. 착용이 가능한 경우에도 엔터프라이즈 친화적 인 기능, 많은 배포 여전히 동반자 전화 및 공급 업체 클라우드 서비스에 의존합니다. 이 아키텍처는 여러 보안 특성을 만듭니다. IT는 "기본 가정"으로 취급해야합니다.

• Wearables는 종종 도메인에 가입하지 않기 때문에 자산 관리 및 발견에 보이지 않고 기존 에이전트를 실행하지 않으며 기업 서비스에 직접 인증 할 수 없습니다.
• 동반자 장치는 착용 할 수만큼 중요합니다. 전화가 타협되면, 착용할 수 있는 알림, 앱 토큰 및 페어링 통신을 통해 타협의 확장이 됩니다.
• 사용자 인터페이스는 제약이 있습니다. 사용자는 신속하고, 알림을 한눈에 표시하고, 최소한의 컨텍스트로 페어링 또는 권한 허용.
• 보안 모델은 종종 공급 업체 별이며 기업 변경 제어와 일치하지 않을 수있는 소비자 교육에 업데이트됩니다.
• 센서 및 라디오는 “feature,”라는 의미의 장치가 지속적으로 캡처, 전송 및 동기화 정보를 캡처하는 목적으로 만들어졌습니다.

IT 전문가를 위해, 열쇠 테이크아웃은 “작은 전화”로 평가되지 않아야 합니다. 그들은 주변 컴퓨팅 장치입니다. 그들의 위험은 정체성, 데이터 가시성, 물리적 공간 및 공급망을 통해 배포됩니다.

기업 공간에 들어가는 일반적인 착용 가능한 유형

착용 가능한 범주는 smartwatch보다 더 넓습니다. 많은 조직에서 다음 장치 클래스는 사무실, 실험실 및 생산 영역에서 나타납니다.

• Smartwatches 및 Fitness Tracker는 미러 알림, 음성 조수를 지원하며 때로는 셀룰러 연결을 제공합니다.
• 마이크, 음성 조수, 통화 처리 및 민감한 공간에서 사용할 수있는 오디오 passthrough 모드를 통합하는 보청기.
• 편의 기능, 알림, 건강 메트릭, 또는 일부 경우에 근접 액세스에 사용되는 스마트 링.
• 원격 지원, 훈련, 현장 서비스, 또는 개인 미디어 캡처에 사용되는 AR / VR 안경.
• 의료용 웨어러블은 기업 네트워크와 로그로 규제된 개인 데이터를 소개할 수 있는 모니터링을 위해 사용됩니다.

착용할 수 없을 때 Wi-Fi를 만지지 할 때 장치가 Bluetooth, NFC 또는 기업 이메일, 메시징 및 정체성 공급자에 대한 액세스로 전화를 통해 기업 위험과 관련이있을 수 있습니다.

공격 표면: 라디오, 앱, 아이덴티, 그리고 주변 데이터

착용할 수 있는 위험은 overlapping 표면의 세트로 이해됩니다. 단일 smartwatch는 동시에 Bluetooth 엔드포인트, 정체성 도구, 알림 미러, 마이크 및 클라우드 동기화 센서 팩이 될 수 있습니다. 지도가 위협할 때, 각각의 개인을 자체 제어 도메인으로 취급합니다.

무선 노출: Bluetooth 낮은 에너지 페어링, 발견성 모드 및 프로토콜 quirks는 근접에 있는 견인, 추적, 또는 악용을 위한 기회를 창조할 수 있습니다. NFC는 감사하기 어려운 빠른 상호 작용을 가능하게 할 수 있습니다. 장치가 Wi-Fi 또는 셀룰러를 지원하면 기업 네트워크 제어를 완전히 우회할 수 있습니다.

Companion 앱 및 클라우드 동기화: 동반자 전화 앱은 종종 토큰, 권한 및 동기화 규칙을 보유합니다. Data는 기업 알림에서 개인 클라우드 백업 또는 크로스 디바이스 동기화 기능으로 흐름할 수 있습니다. 착용 가능한 공급 업체의 클라우드는 효과적인 데이터 경계의 일부가됩니다.

식별 단축키: Wearables는 자주 "탭과 함께 승인", 근접 잠금 해제, 또는 빠른 응답. Convenience 기능은 사용자가 마찰을 줄이고 장치의 물리적 근접 또는 부분 제어를 얻는 공격자를 위해 마찰을 줄일 수 있습니다.

공급 능력: 손목에 표시된 알림은 민감한 주제, 고객 이름, 표 식별자, 사건 세부 사항, 또는 한 번의 링크를 공개할 수 있습니다. 마이크 및 카메라는 회의실, SOC 지역, 실험실 및 보호 IP를 갖춘 시설에서 추가 위험 층을 만듭니다.

Real-world 위험 시나리오 IT 팀은 계획해야

웨어러블 BYOD 위험은 보안 운영, 관리, IT 지원이 인식하고 응답 할 수있는 시나리오로 번역 될 때 더 명확하게됩니다. 이 점은 모든 착용 할 수없는 가정은 hostile입니다. 포인트는 예측 가능한 실패 모드로 놀라움을 피하는 것입니다.

과민한 통보 노출: 직원은 사건 교량 초대, 고객 에스컬레이션, 또는 암호 재설정 이메일을 수신합니다. 주제는 회의 중 스마트 워치를 볼 수 있습니다, 공공 교통, 또는 공용 작업 공간에서. 메시지 내용이 없더라도 메타데이터가 손상될 수 있습니다.

회의실 캡처 : 마이크, 음성 조수 또는 오디오 녹음 기능으로 착용할 수 있는 것은 가격, M&A, 보안 사고, 또는 공개되지 않은 제품 세부 사항에 대한 토론 중에 있습니다. 위험은 악의적 기록이 아닙니다. 사고 활성화 및 클라우드 동기화가 포함되어 있습니다.

Identity 승인 피로: 빠른 승인은 MFA 및 SSO에 유용하지만, 그들은 또한 "tap-to-approve"작동의 형태를 가능하게합니다. 공격자가 반복된 프롬프트를 트리거하면, 분산된 사용자는 작은 착용할 수 있는 UI에서 잘못된 요청을 승인할 수 있습니다.

근접 및 물리적 접근 complications: 몇몇 환경은 노트북, 문, 또는 신청에 근접 기초를 두었습니다. 웨어러블이 신뢰 신호로 사용되며 분실, 도난, 또는 빌린 경우, 조직은 비접촉 기능으로 분리되는 물리적 보안 위험을 상속할 수 있습니다.

Shadow 연결: 셀룰러 기능의 착용은 기업 Wi-Fi에 가입하지 않고 데이터를 이동할 수 있습니다. 손상된 전화는 전통적인 프록시 또는 네트워크 세그먼트 제어를 우회하는 알림 미러링 및 데이터 압축 경로에 대한 착용 가능한 생태계를 사용할 수 있습니다.

규제된 자료 혼합: 의료 착용은 지원 표, 스크린 샷, 로그, 또는 문제 해결 대화를 통해 IT 시스템에 대한 건강 데이터를 소개 할 수 있습니다. 그것은 당신이 가지고 가고 싶지 않은 준수 의무를 만들 수 있습니다.

Governance: 당신의 환경에 “acceptable” 의미를 정의

기술 통제는 조직이 명확할 때, 실행 가능한 기대 작동합니다. 많은 BYOD 정책은 착용이 주류가되고 전화, 노트북 및 이동식 미디어에 초점을 맞추기 전에 작성되었습니다. Updating 거버넌스는 보편적으로 금지하는 장치에 관하여 아닙니다. 위험 계층과 공간 계층과 함께 착용감을 정렬하는 것이 중요합니다.

성숙한 프로그램은 일반적으로 다른 영역에 대한 "장치 존재 규칙"을 정의합니다.

• 마이크, 카메라 및 녹음 가능한 착용이 제한되는 고감도 영역은 명확한 signage 및 안전한 저장 옵션이 있습니다.
• 착용이 허용되지만 알림 처리 및 페어링 규칙은 정체성과 내점 자세 제어를 통해 시행됩니다.
• 명시적으로 착용할 수없는 경우 방문자 및 계약자 규칙, 부적절하지 않습니다.

Policies는 기업 이메일 알림이 착용할 수 있는지 여부와 같은 콘텐츠 가시성 및 데이터 처리에 대한 조직의 stance를 명확하게해야합니다. 메시지 미리보기가 비활성화되어야하며 착용 가능한 손실이 어떻게보고되어야합니다. 규칙이 vague일 때, 집행은 의도적이고 사건 응답은 더 느립니다.

BYOD 위험 감소 기술 제어

웨어러블은 노트북이나 전화와 동일한 관리 후크를 거의 지원하므로, 최고의 제어 전략은 시스템에서 집중하여 제어 할 수 있습니다. ID, 동반자 전화 자세, 네트워크 액세스 및 데이터 보호. 목표는 충격을 감소시키고, likelihood를 감소시키고, 마찰 하중 초과로 매일 일 없이 탐지를 개량합니다.

Identity-First 집행: 기업용 앱을 위한 강력한 인증 및 장치 자세를 요구하는 조건부 액세스. 가능한 경우, 관리된 장치에 대한 액세스 및 세션이 알 수없는 또는 관리되지 않은 엔드 포인트로 시작될 때 높은 리스크 작업을 제한합니다. 이것은 착용이 간접적으로 관여하는 경우에 조차 돕습니다.

proxy 제어로 관리되는 전화 자세: 휴대폰을 통해 sync를 착용하면 시행점으로 전화를 치료합니다. 모바일 장치 관리 또는 통합된 엔드포인트 관리는 암호화, 화면 잠금, OS 버전 기본 및 동반자 생태계에 대한 응용 거버넌스를 시행할 수 있습니다.

경고 위생: 기업용 앱에 대한 알림을 제한함으로써 착용 가능한 알림 노출의 가치를 감소시킵니다. 메시지 미리보기를 비활성화하고, "숨겨진 내용"을 포괄하고, 잠겨있는 착용감을 허용하는 행동 가능한 알림을 제한합니다.

네트워크 세그먼트 및 접근 정책: 알 수없는 무선 엔드 포인트는 민감한 내부 서비스에 도달 할 수 없습니다. NAC, 게스트 네트워크 고립 및 엄격한 방화벽은 착용 또는 동료가 측면 운동 또는 발견을 시도하면 손상을 줄일 수 있습니다.

데이터 손실 방지 및 클라우드 제어 : 잠재적 인 egress 채널로 소비자 클라우드 동기화를 치료합니다. DLP 정책, CASB 통제, 그리고 tenant 제한은 착용할 수 있는 전화를 통해서 기업 자료의 사고 syncing를, 특히 감소시킬 수 있습니다.

현실적인 기대를 가진 조깅과 탐지: 당신은 직접 착용 할 수 없습니다, 그러나 당신은 특정 승인 행동과 같은 패턴을 감지 할 수 있습니다, 갑작스런 토큰은 스파이크를 재생, 또는 예기치 않은 장치 유형에서 액세스. Align SIEM은 정체성 사건에 대한 탐지, 뿐만 아니라 endpoint 대리인.

물리적 보안 및 “보안 공간”은 그 어느 때보다 더 중요

Wearables는 사이버 보안과 물리적 보안 사이의 선을 흐릅니다. 조직이 마이크 / 카메라가 문제가있는 공간이있는 경우 "단일 개인 액세서리"로 착용 할 수 있습니다. 가장 실용적인 접근법은 경찰에게 알리는 것을 시도하는 것보다 안전한 공간을 조작하는 것입니다.

존경하고 일할 수 있는 통제를 고려하십시오:

• 명시적으로 착용할 수 있고 캡처 가능한 장치를 언급하는 명확한 영역 표시.
• 직원을 위한 사물함 또는 안전한 주머니 및 방문자는 과민한 지역을 입력했습니다.
• 장치의 기대를 뛰어넘는 민감한 주제에 대한 회의 관행.
• 접근가능성 요구와 같은 합법적인 사용 사례를 문서화하고 승인합니다.

IT 보안 프로그램은 시설과 HR과 협력하여 시행되지 않는 “보안 극장” 규칙을 만들 수 있습니다. 일관적인 시행을 가진 잘 정의된 지역의 작은 세트는 보통 넓은 규칙 보다는 더 낫습니다 아무도 따릅니다.

개인 정보 보호, 준수 및 착용 가능한 데이터의 숨겨진 비용

Wearables는 위치 패턴, 심박수, 수면 데이터, 때로는 의료 지표를 포함한 민감한 개인 정보를 생성합니다. 조직이 데이터를 처리하지 않더라도 지원 채널, 협업 도구, 스크린 샷 또는 사고 조사를 통해 기업 환경을 직접 입력 할 수 있습니다.

IT 전문가는 법적 및 개인 정보 보호 이해 관계자와 함께 일해야합니다.

• 웨어러블 관련 데이터는 기업의 모니터링 범위 내에서 간주됩니다.
• 어떻게 사건 응답은 개인 건강 데이터를 포함하는 장치를 처리해야합니다.
• 착용 가능한 데이터가 티켓이나 조사 기록의 일부가되는 경우 어떤 보존 및 액세스 규칙이 적용됩니다.

이것은 법적 우려가 없습니다. 그것은 신뢰에 영향을 미칩니다. 과도한 공격적인 감시는 직원 Pushback 및 그림자 운동을 창조할 수 있습니다. 가장 건강한 프로그램은 어떤 모니터, 왜, 그리고 어떻게 보호되는지에 대해 투명합니다.

조작상 읽음 : 잃어버린 착용 및 의심의 여지없이 취급

착용 가능한 사건은 종종 “작은” 그들은 아닙니다. 잃어버린 smartwatch는 최근 알림, 달력 세부 사항 및 사용자의 날지도를 포함 할 수 있습니다. 손상된 동반자 전화는 항상 현재 신호로 착용할 수 있습니다. 잘못된 응답 playbooks는 명시적으로 착용 할 수 있도록 서비스 데스크 및 SOC 팀은 개선하지 않습니다.

유용한 준비는 다음과 같습니다 :

• 분실 또는 도난당한 착용을 위한 명확한 보고 경로, 분실된 전화 및 배지와 유사한.
• 개정 세션에 대한 안내, 회전 자격, 그리고 착용 할 수있는 계정이 위험에있을 때 잘못된 토큰.
• 민감한 알림이나 승인이 노출될 수 있는지 여부를 평가하는 표준 체크리스트.
• 기업용 앱이 착용할 수 있는 알림 및 그 알림이 포함된 문서.

프로세스가 실제로 그것을 사용하는 것이 간단합니다. 보고가 긍정적 또는 복잡하다면, 사람들은 대기하고, 대기는 중요한 노출으로 처리 가능한 사건이 무엇인지.

IT팀을 위한 실용적인 “wearable BYOD” 보안 기반

조직이 처음부터 시작되면, 당신은 여전히 가장 일반적인 위험을 줄이기 위해 기본에 초점을 맞추고 의미있는 진도를 신속하게 만들 수 있습니다. 다음과 같은 관행은 넓게 적용되고 침략적인 장치 통제를 요구하지 않습니다:

• 환경 접근 및 강력한 인증, 사고 승인에 대한 사용자 친화적 인 보호.
• 기업 이메일, 채팅, 또는 정체성 흐름에 액세스 할 때 동반자 전화에 대한 관리 자세.
• 잠금 화면 스타일 경고에 미리보기 및 민감한 콘텐츠를 제한하여 알림 데이터 노출 최소화.
• 캡처 가능한 착용감이 제한되고 실용적인 저장 옵션을 제공합니다.
• Segment 네트워크와 알 수없는 무선 엔드 포인트가 도달 할 수있는 제한, 그들은 간략하게 나타납니다.
• BYOD 정책 언어가 명시적으로 착용 할 수 있도록 업데이트, 명확한 기대와 존경의 집행.
• 세션 재직, 자격 위생 및 급속한 보고에 집중하는 사건 응답 playbooks에 착용할 수 있는 시나리오를 추가하십시오.

기본 라인은 끝 선이 아닙니다. 당신의 조직이 실제 착용 가능한 사용 사례와 위험 공차를 기반으로 접근 방식을 성숙하면서 likelihood와 충격을 줄이는 시작점입니다.

결론 : 보안 도메인으로 착용 할 수있는 치료는 발열이 아닙니다.

Wearable BYOD는 임시 추세가 아닙니다. 주변 컴퓨팅을 향해 더 넓은 이동의 일부이며, ID는 장치, 센서 및 공간의 사용자를 따릅니다. IT 전문가의 경우, 올바른 접근법은 공황도하지 않습니다. 위험 관리는 다음과 같습니다. 마모가 허용되는 곳을 정의하고, 정체 제어를 통해 데이터 노출을 줄이고 안전한 공간과 사고 응답을 운영합니다.

조직이 BYOD-alongside 전화 및 노트북의 일류 부분으로 착용 할 수있을 때 - 더 분명한 가시성, 약간의 놀라움 및 현대 작업의 현실과 일치하는 보안 자세.