Wytrzymałe BIOD - czynnik ryzyka w środowiskach IT

"Bring Your Own Device" oznaczało telefony i laptopy. W większości środowisk dziś oznacza to również smarttwitches, fitness trackers, hearbables (smart earbuds), smart rings, rozszerzone reality glasses, Medical Wearables, oraz rosnącą listę urządzeń o wysokiej czułości, które cicho łączą się z tożsamości korporacyjnej, sieci i przepływu danych. Dla zespołów IT noszenie BYOD jest problemem bezpieczeństwa, ponieważ rozszerza powierzchnię ataku bez rozszerzania powierzchni sterującej. Urządzenia te są łatwe do przeoczenia w inwentaryzacji aktywów, trudne do opanowania przy użyciu tradycyjnych narzędzi końcowych i często podłączone do telefonu osobistego, który staje się pomostem pomiędzy systemami korporacyjnymi a ekosystemami chmur konsumenckich.

Udźwigi również zmieniają charakter "ekspozycji na dane". Nie chodzi już tylko o opuszczenie sieci. Chodzi o zawartość powiadomień widoczną na nadgarstku, mikrofony aktywowane w sali konferencyjnej, pasywne radiotelefony Bluetooth, które mogą być testowane w korytarzu, oraz dane zdrowotne lub lokalizacyjne, które są niezwykle wrażliwe na podstawie przepisów dotyczących prywatności. Wynikiem jest kategoria ryzyka, która znajduje się na przecięciu punktu końcowego bezpieczeństwa, tożsamości, bezpieczeństwa fizycznego, prywatności i zarządzania.

Dlaczego waary różnią się od klasycznych BIOD

Materiały ścierne są zazwyczaj projektowane wokół wygody, zawsze na łączność i głębokiej integracji z ekosystemami konsumenckimi. Nawet jeśli nosiciel posiada funkcje przyjazne dla przedsiębiorstw, wiele wdrożeń nadal opiera się na usługi telefonu towarzyszącego i dostawcy usług w chmurze. Ta architektura tworzy kilka cech bezpieczeństwa, które IT powinien traktować jako "założenia domyślne":

• Wearables są często niewidoczne dla zarządzania aktywami i odkryć, ponieważ nie dołączają do domeny, nie działają konwencjonalne agentów, i nigdy nie mogą uwierzytelniać bezpośrednio do usług korporacyjnych.
• Urządzenie towarzyszące ma tyle samo znaczenia, co nosiciel. Jeśli telefon jest zagrożony, noszenie staje się przedłużeniem tego kompromisu za pomocą powiadomień, żetonów aplikacji i komunikacji sparowanej.
• Interfejs użytkownika jest ograniczony. Użytkownicy zatwierdzają zapowiedzi szybko, przeglądają ostrzeżenia i akceptują pary lub zezwolenia z minimalnym kontekstem.
• Model bezpieczeństwa jest często swoisty i aktualizowany w odniesieniu do kadencji konsumentów, która może nie być zgodna z kontrolą zmian w przedsiębiorstwach.
• Czujniki i radia są "cechą", co oznacza, że urządzenie jest celowo zbudowane do ciągłego przechwytywania, przekazywania i synchronizacji informacji.

Dla specjalistów z branży IT kluczem jest to, że nie należy oceniać zużytych materiałów jako "małe telefony". To urządzenia obliczeniowe otoczenia. Ich zagrożenia są podzielone na tożsamość, widoczność danych, przestrzeń fizyczną i łańcuch dostaw.

Wspólne typy nosicieli wjeżdżających do przestrzeni przedsiębiorstw

Kategoria nosicieli jest szersza niż smartwatch. W wielu organizacjach następujące klasy urządzeń pojawiają się w biurach, laboratoriach i obszarach produkcyjnych:

• Smartwits i nadajniki fitness, które odbijają powiadomienia, wspierają asystentów głosowych, a czasami zapewniają łączność komórkową.
• Serwery, które integrują mikrofony, asystentów głosowych, obsługę połączeń i tryb audio, które mogą być używane w wrażliwych przestrzeniach.
• Smart pierścienie wykorzystywane do wygodnych funkcji, powiadomień, wskaźników zdrowia, lub w niektórych przypadkach dostępu opartego na bliskości.
• Okulary AR / VR wykorzystywane do zdalnej pomocy, szkolenia, obsługi naziemnej lub osobistego przechwytywania mediów.
• Medical wearables used for monitoring that can input regulated personal data into corporate networks and logs.

Nawet jeśli nosiciel nigdy nie dotyka Wi- Fi, urządzenie może być nadal istotne dla ryzyka korporacyjnego poprzez Bluetooth, NFC, lub przez telefon z dostępem do e-mail firmy, wiadomości i dostawców tożsamości.

Powierzchnia ataku: radio, aplikacje, tożsamości i dane otoczenia

Związane ryzyko najlepiej rozumieć jako zbiór pokrywających się powierzchni. Pojedynczy smartwatch może być jednocześnie punktem końcowym Bluetooth, narzędziem wygody tożsamości, lustrem notyfikacyjnym, mikrofonem i pakietem czujników synchronizowanych z chmurami. Przy mapowaniu zagrożeń traktuj każdy z nich jak własną domenę kontroli.

Narażenie bezprzewodowe: Łączenie Bluetooth Low Energy, tryby rozpoznawalności i dziwactwa protokołu mogą stwarzać możliwości sondowania, śledzenia lub wykorzystywania w pobliżu. NFC może umożliwić szybkie interakcje, które są trudne do sprawdzenia. Jeśli urządzenie obsługuje Wi- Fi lub komórkowe, może całkowicie obejść kontrolę sieci korporacyjnej.

Aplikacje Companion i synchronizacja chmur: Aplikacja telefonu towarzyszącego często zawiera żetony, uprawnienia i zasady synchronizacji. Dane mogą być przekazywane z powiadomień korporacyjnych do osobistych kopii zapasowych w chmurze lub funkcji synchronizacji urządzeń krzyżowych. Chmura sprzedawcy nosi staje się częścią efektywnej granicy danych.

Skróty identyfikacyjne: Ubrania często umożliwiają "zatwierdzanie za pomocą kranu", odblokowanie bliskości lub szybkie odpowiedzi. Wygodne funkcje mogą zmniejszyć tarcie dla użytkowników, a także zmniejszyć tarcie dla atakujących, którzy uzyskują fizyczną bliskość lub częściową kontrolę urządzenia.

Nieszczelność otoczenia: Powiadomienia wyświetlane na nadgarstku mogą ujawniać wrażliwe przedmioty, nazwy klientów, identyfikatory biletów, szczegóły incydentów lub jednokrotne linki. Mikrofony i kamery tworzą dodatkową warstwę ryzyka w salach konferencyjnych, pomieszczeniach SOC, laboratoriach i obiektach z chronionym IP.

Real- world scenariusze ryzyka zespoły IT powinny zaplanować

Zwiększone ryzyko BYOD staje się jaśniejsze po przetłumaczeniu na scenariusze, na które operacje w zakresie bezpieczeństwa, zarządzanie i wsparcie informatyczne mogą rozpoznawać i reagować. Chodzi o to, by nie zakładać, że każde ubranie jest wrogie. Chodzi o to, aby uniknąć zaskoczenia przez przewidywalne tryby awarii.

Wrażliwe narażenie na powiadomienie: Pracownik otrzymuje zaproszenie na most, eskalację klienta lub email resetowany hasłem. Linia tematyczna jest widoczna na smartwatch podczas spotkania, transportu publicznego lub w wspólnej przestrzeni roboczej. Nawet bez zawartości wiadomości metadane mogą być szkodliwe.

Uchwyt w sali konferencyjnej: Podczas dyskusji na temat ustalania cen, M & A, incydentów związanych z bezpieczeństwem lub nieopublikowanych detali produktu, występuje noszenie na sobie z mikrofonem, asystentem głosu lub funkcją nagrywania dźwięku. Ryzyko to nie tylko złośliwe nagranie, ale także przypadkowa aktywacja i synchronizacja w chmurze.

Osłabienie zatwierdzenia tożsamości: Szybkie aprobaty są przydatne dla MFA i SSO, ale umożliwiają również formę "tap- to-aprobaty" zachowania. Jeżeli napastnik uruchamia powtarzające się prompty, rozkojarzony użytkownik może zatwierdzić niewłaściwy wniosek, szczególnie w przypadku małego używanego używanego sprzętu.

Bliskość i fizyczne powikłania dostępu: Niektóre środowiska wykorzystują odblokowanie laptopów, drzwi lub aplikacji oparte na zbliżeniu. Jeśli nosiciel jest używany jako sygnał zaufania i jest zagubiony, skradziony lub pożyczony, organizacja może odziedziczyć fizyczne ryzyko bezpieczeństwa przebrane za wygody.

Łączność cieni: Nosicielka z zdolnością komórkową może przemieszczać dane bez dołączania do korporacyjnego Wi- Fi. Skompromitowany telefon może korzystać z ekosystemu noszonego w celu zgłaszania lustrzanek i szlaków eksfiltracji danych, które omijają tradycyjne proxy lub kontrole segmentacji sieci.

Regulowane mieszanie danych: Medical wearables może wprowadzać dane zdrowotne do systemów informatycznych pośrednio poprzez bilety wsparcia, zrzuty ekranu, logi, lub rozwiązywania problemów rozmowy. To może stworzyć zobowiązania, których nie zamierzałeś podjąć.

Zarządzanie: określić, co "akceptowalne" oznacza w środowisku

Kontrola techniczna działa najlepiej, gdy organizacja ma jasne, wykonalne oczekiwania. Wiele polityk BIOD zostało napisanych zanim wearables stało się głównym nurtem i skupiło się na telefonach, laptopach i nośnikach. Aktualizacja zarządzania nie polega na powszechnym zakazie stosowania urządzeń. Chodzi o dopasowanie wearables z poziomami ryzyka i poziomami przestrzeni.

Programy dojrzałych zazwyczaj definiują "zasady obecności urządzenia" dla różnych stref:

• Strefy o wysokiej czułości, gdzie mikrofony, kamery i urządzenia rejestrujące są ograniczone, z wyraźnym oznakowaniem i bezpiecznymi opcjami przechowywania.
• Standardowe strefy biurowe, w których dopuszcza się ubytki, ale przepisy dotyczące postępowania z powiadomieniami i łączenia są egzekwowane poprzez kontrole tożsamości i punktów końcowych.
• Wizytujący i wykonawca wyraźnie, nie pośrednio, rozwiązują problemy związane ze zużyciem.

Polityka powinna również wyjaśniać stanowisko organizacji w sprawie widoczności treści i przetwarzania danych, takie jak czy korporacyjne powiadomienia e-mail są dozwolone w odniesieniu do materiałów wsadowych, czy wstępne przeglądy komunikatów muszą być wyłączone, oraz jak należy zgłaszać straty z tytułu noszenia. Kiedy przepisy są niejasne, egzekwowanie staje się niespójne, a reakcja na incydenty jest wolniejsza.

Kontrole techniczne zmniejszające ryzyko BYOD w gospodarstwie

Nierzadko używane urządzenia obsługują takie same haki zarządzania jak laptopy lub telefony, więc najlepsza strategia kontroli koncentruje się na systemach, które można kontrolować: tożsamości, pozycji telefonu towarzyszącego, dostępu do sieci i ochrony danych. Celem jest zmniejszenie wpływu, zmniejszenie prawdopodobieństwa oraz poprawa wykrywania bez przekształcania codziennej pracy w przeciążenie tarcia.

Pierwsza egzekucja identyfikacyjna: Użyj warunkowego dostępu, aby wymagać silnego uwierzytelniania i postawy urządzenia dla aplikacji korporacyjnych. W miarę możliwości należy powiązać dostęp do zarządzanych urządzeń i ograniczyć działania wysokiego ryzyka w przypadku rozpoczęcia sesji z nieznanych lub niezarządzanych punktów końcowych. Pomaga to nawet w sytuacji, gdy gospodarstwo jest pośrednio zaangażowane.

Zarządzanie pozycją telefonu jako kontrola proxy: Jeśli wearables synchronizować przez telefon, traktować telefon jako punkt kontroli. Zarządzanie urządzeniami mobilnymi lub jednolite zarządzanie punktem końcowym może egzekwować szyfrowanie, blokadę ekranu, podstawowe wersje systemu operacyjnego oraz zarządzanie aplikacjami dla ekosystemu towarzyszącego.

Higiena powiadamiania: Ograniczenie wartości ekspozycji na powiadamianie o nosinach poprzez ograniczenie tego, co pojawia się w powiadomieniach dotyczących aplikacji korporacyjnych. Rozważyć wyłączenie podglądu wiadomości, egzekwowanie "poufnych treści ukrytych" oraz ograniczenie możliwych do zaskarżenia powiadomień, które pozwalają na zatwierdzenie lub udzielenie odpowiedzi z zamkniętego gospodarstwa.

Segmentacja sieci i polityka dostępu: Zapewnienie, że nieznane bezprzewodowe punkty końcowe nie mogą dotrzeć do wrażliwych usług wewnętrznych. NAC, izolacja sieci gości i ścisły firewalling zmniejszyć szkody, jeśli nosiciel lub jego towarzysz próbuje ruchu bocznego lub odkrycia.

Zapobieganie utracie danych i kontrola w chmurze: Traktuj zsynchronizowaną chmurę konsumentów jako potencjalny kanał wyjazdowy. Polityka DLP, kontroli CASB, i ograniczenia najemcy mogą zmniejszyć przypadkowe synchronizowanie danych korporacyjnych na konta osobiste, zwłaszcza przez telefon, który paraduje się z nosić.

Logowanie i wykrywanie z realistycznymi oczekiwaniami: Możesz nie zobaczyć noszenia bezpośrednio, ale można wykryć wzorce, takie jak nietypowe zachowanie aprobaty, anomalne znaki, nagły sygnał odświeżania kolce, lub dostęp z nieoczekiwanych typów urządzeń. Dostosowanie detekcji SIEM do zdarzeń tożsamości, nie tylko do punktów końcowych.

Bezpieczeństwo fizyczne i "bezpieczne przestrzenie" mają większe znaczenie niż kiedykolwiek

Wearables rozmywa linię między cyberbezpieczeństwem a bezpieczeństwem fizycznym. Jeśli twoja organizacja ma spacje, w których mikrofony / kamery stanowią problem, to traktowanie wearables jako "tylko osobiste akcesoria" jest luką. Najbardziej praktycznym podejściem jest raczej operowanie bezpiecznymi przestrzeniami, niż nieformalna kontrola ludzi.

Rozważać kontrole, które są pełne szacunku i wykonalne:

• Sygnalizacja strefy czystej, która wyraźnie wspomina wearables i uchwyt urządzeń.
• Szafki lub bezpieczne torby dla pracowników i odwiedzających wjeżdżających do wrażliwych obszarów.
• Spotkania praktyki dla wrażliwych tematów, które obejmują oczekiwania urządzeń z góry.
• Wyjątki i zatwierdzenia, które są udokumentowane w przypadku uzasadnionych zastosowań, takich jak potrzeby dostępności.

Program bezpieczeństwa IT powinien współpracować z obiektami i HR, aby uniknąć tworzenia zasad "teatru bezpieczeństwa", które nie są wykonalne. Niewielki zestaw dobrze zdefiniowanych stref z konsekwentnym egzekwowaniem przepisów zazwyczaj działa lepiej niż szerokie zasady, których nikt nie przestrzega.

Prywatność, zgodność i ukryte koszty danych dotyczących noszenia

Udźwigi generują i przechowują wrażliwe dane osobowe, w tym wzorce lokalizacji, częstość akcji serca, dane dotyczące snu, a czasami wskaźniki medyczne. Nawet jeśli organizacja nie zamierza przetwarzać tych danych, może pośrednio wejść do środowiska korporacyjnego poprzez kanały wsparcia, narzędzia współpracy, zrzuty ekranu lub dochodzenia incydentów.

Specjaliści IT powinni współpracować z podmiotami prawnymi i prywatnymi w celu wyjaśnienia:

• Czy jakiekolwiek dane związane ze zużyciem są brane pod uwagę w ramach monitorowania przedsiębiorstw.
• W jaki sposób reakcja na incydenty powinna dotyczyć urządzeń zawierających osobiste dane zdrowotne.
• Jakie zasady przechowywania i dostępu mają zastosowanie, jeżeli dane dotyczące noszenia są częścią rejestru biletów lub dochodzeń.

To nie tylko kwestia prawna. To wpływa na zaufanie. Nadmierna agresywna obserwacja może stworzyć odpychanie pracowników i cienie pracy. Najzdrowsze programy są przejrzyste na temat tego, co jest monitorowane, dlaczego i jak jest chronione.

Gotowość operacyjna: zajmowanie się zagubionymi sprzętami i podejrzeniem niewłaściwego użycia

Uciążliwe wypadki są często "małe", dopóki nie są. Zaginiony smartwatch może zawierać ostatnie powiadomienia, szczegóły kalendarza oraz mapę dnia użytkownika. Skompromitowany telefon towarzyski może zamienić wearables w zawsze obecny sygnał. Podręczniki dotyczące reagowania na incydenty powinny wyraźnie zawierać zużyte materiały, tak aby stanowiska obsługi i zespoły SOC nie improwizowały.

Przydatne przygotowanie obejmuje:

• Czysta ścieżka raportowania zagubionych lub skradzionych rzeczy, podobnych do zagubionych telefonów i odznak.
• Wytyczne dotyczące wycofywania sesji, rotacyjnych mandatów i unieważniania żetonów, gdy zagrożone są rachunki związane z obciążeniem.
• Standardowa lista kontrolna służąca ocenie, czy sensytywne powiadomienia lub zatwierdzenia mogły być narażone.
• Dokumentacja, które aplikacje korporacyjne zezwalają na powiadomienia dotyczące noszenia i co te powiadomienia obejmują.

Upewnij się, że proces jest na tyle prosty, że pracownicy będą go używać. Jeśli raportowanie wydaje się karne lub skomplikowane, ludzie czekają, a czekanie jest tym, co zamienia możliwe do opanowania incydenty w duże narażenie.

Praktyczny punkt odniesienia bezpieczeństwa dla zespołów IT "Wearing BYOD"

Jeśli organizacja zaczyna się od zera, nadal można dokonać znaczącego postępu szybko, skupiając się na bazie, która zmniejsza najczęstsze zagrożenia. Następujące praktyki są szeroko stosowane i nie wymagają inwazyjnej kontroli wyrobów:

• Wymuszenie warunkowego dostępu i silnego uwierzytelniania, z przyjaznymi dla użytkownika zabezpieczeniami przed przypadkowymi zatwierdzeniami.
• Wymagane zarządzanie postawą dla telefonu towarzyszącego, gdy jest on używany do dostępu do korporacyjnej poczty e-mail, czatu lub przepływów tożsamości.
• Minimalizacja ekspozycji na dane z powiadomień poprzez ograniczenie podglądów i wrażliwych treści w alertach typu lock- screen.
• Zdefiniuj bezpieczne strefy, w których udźwigi zdolne do chwytania są ograniczone i zapewniają praktyczne możliwości przechowywania.
• Segment sieci i ograniczenie tego, co nieznanych bezprzewodowych punktów końcowych może osiągnąć, nawet jeśli pojawiają się krótko.
• Aktualizacja języka polityki BYOD, aby wyraźnie uwzględnić obciążenia, z wyraźnymi oczekiwaniami i z szacunkiem egzekwowania.
• Dodawanie scenariuszy nosicielskich do podręczników odpowiedzi na incydenty, koncentrujących się na odwołaniu sesji, higienie kredytowej i szybkiej sprawozdawczości.

Podstawą nie jest linia mety. Jest to punkt wyjścia, który zmniejsza prawdopodobieństwo i wpływ, podczas gdy Twoja organizacja dojrzewa swoje podejście w oparciu o rzeczywiste przypadki użytkowania odzieży i tolerancji ryzyka.

Wniosek: traktować wearables jako domenę bezpieczeństwa, a nie przypis

Wytrzymały BYOD nie jest tymczasowym trendem. Jest to część szerszego przesunięcia w kierunku obliczeń otoczenia, gdzie tożsamość podąża za użytkownikiem przez urządzenia, czujniki i przestrzenie. Dla specjalistów IT właściwym podejściem jest ani panika, ani zaprzeczanie. Jest to zdyscyplinowane zarządzanie ryzykiem: zdefiniowanie miejsc, w których obciążenia są akceptowalne, ograniczenie ekspozycji na dane poprzez projektowanie, egzekwowanie dostępu poprzez kontrole tożsamości oraz działanie bezpiecznych przestrzeni i reakcji na incydenty.

Kiedy organizacje traktują rzeczy do wypasu jako pierwszorzędną część BIOD - obok telefonów i laptopów - zyskują wyraźniejszą widoczność, mniej niespodzianek i postawę bezpieczeństwa, która odpowiada rzeczywistości współczesnej pracy.