BYOD purtabile - un factor de risc în mediul IT

În majoritatea mediilor de astăzi, aceasta înseamnă, de asemenea, ceasuri inteligente, trackere de fitness, hearables (căști inteligente), inele inteligente, ochelari augmentați de realitate, portabile medicale, și o listă în creștere de dispozitive bogate în senzori care se conectează în liniște la identitatea, rețelele și fluxurile de date corporative. Pentru echipele IT, BYOD purtabil este o problemă de securitate, deoarece extinde suprafața de atac fără a extinde suprafața de control. Aceste dispozitive sunt ușor de ratat în inventarele activelor, greu de gestionat cu instrumente tradiționale de evaluare, și adesea legate de un telefon personal care devine o punte între sistemele corporative și ecosistemele cloud de consum.

De asemenea, purtabilele modifică natura expunerii la date. Acesta nu mai este vorba doar despre fișierele care părăsesc rețeaua. Este vorba despre conținut de notificare vizibile pe o încheietură a mâinii, microfoane activate într-o sală de conferințe, radiouri pasiv Bluetooth care pot fi cercetate într-un hol, și date de sănătate sau locație, care este extrem de sensibil în conformitate cu reglementările de confidențialitate. Rezultatul este o categorie de risc care se află la intersecția obiectivelor de securitate, identitate, securitate fizică, confidențialitate și guvernanță.

De ce purtabile sunt diferite de clasic BYOD

Purtabilii sunt de obicei concepute în jurul confortului, întotdeauna pe conectivitate, și integrarea profundă cu ecosistemele de consum. Chiar și atunci când un purtabil are caracteristici prietenoase cu întreprinderile, multe detașări se bazează încă pe un telefon de companie și servicii cloud vânzător. Arhitectura respectivă creează mai multe caracteristici de securitate pe care IT ar trebui să le trateze ca presupuneri

• Purtabilii sunt adesea invizibili pentru managementul activelor și descoperire, deoarece acestea nu se alătură domeniului, nu rulează agenți convenționali, și nu pot niciodată autentifica direct la serviciile corporative.
• Dispozitivul companion contează la fel de mult ca şi portabilul. Dacă telefonul este compromis, purtătorul devine o extensie a acestui compromis prin notificări, jetoane de aplicații și comunicații perechi.
• Interfaţa utilizatorului este constrânsă. Utilizatorii aprobă prompte rapid, privire la alerte, și să accepte perechi sau permisiuni cu context minim.
• Modelul de securitate este frecvent specific vânzătorului și actualizat cu privire la cadența consumatorului, care nu se poate alinia la controlul schimbării întreprinderii.
• Senzorii și radiourile sunt "featura," adică dispozitivul este construit pentru a captura, transmite și sincroniza continuu informațiile.

Pentru profesioniștii IT, takeaway cheie este că portabilele nu ar trebui să fie evaluate ca telefoane mici. Sunt dispozitive de calcul ambiental. Riscurile lor sunt distribuite pe baza identităţii, vizibilităţii datelor, spaţiului fizic şi lanţului de aprovizionare.

Tipuri obişnuite de uzură care intră în spaţiile întreprinderii

Categoria purtabilă este mai largă decât un smartwatch. În multe organizații, următoarele clase de dispozitive apar în birouri, laboratoare și zone de producție:

• Ceasuri inteligente și trackere de fitness care oglindesc notificările, sprijină asistenții vocali și uneori oferă conectivitate celulară.
• Receptoare care integrează microfoane, asistenți vocali, manipularea apelurilor și moduri de trecere audio care pot fi utilizate în spații sensibile.
• Inele inteligente utilizate pentru caracteristici de confort, notificări, indicatori de sănătate, sau, în unele cazuri, pe bază de proximitate acces.
• Ochelari AR/VR utilizate pentru asistență la distanță, formare, serviciu de teren, sau captare mass-media personale.
• Portabile medicale utilizate pentru monitorizare care pot introduce date cu caracter personal reglementate în rețelele și jurnalele corporative.

Chiar și atunci când un purtabil nu atinge niciodată Wi-Fi, dispozitivul poate fi încă relevant pentru riscul corporative prin Bluetooth, NFC, sau legarea printr-un telefon cu acces la e-mail corporative, mesagerie, și furnizori de identitate.

Suprafaţa de atac: radiouri, aplicaţii, identităţi şi date ambientale

Riscul purtabil este cel mai bine înțeles ca un set de suprafețe suprapuse. Un singur smartwatch poate fi simultan un obiectiv Bluetooth, un instrument de confort pentru identitate, o oglindă de notificare, un microfon, și un pachet senzor-sinced nor. Când cartografiezi ameninţările, tratezi fiecare dintre acestea ca pe propriul său domeniu de control.

Expunere fără fir: Bluetooth Low Energy pairing, modurile de descoperire, și ciudatenii protocol poate crea oportunități pentru probing, urmărire, sau exploatare în apropiere. NFC poate permite interacțiuni rapide care sunt greu de auditat. În cazul în care dispozitivul suportă Wi-Fi sau celular, acesta poate ocoli în întregime unele comenzi de rețea corporative.

Aplicații de companie și sincronizare în cloud: Aplicația telefonului companion deține adesea jetoane, permisiuni și reguli de sincronizare. Datele pot curge de la notificări corporative la backup-uri de nori personale sau caracteristici de sincronizare inter-dispozitiv. Norul de vînzări purtabile devine parte a limitelor de date eficiente.

Scurtături de identitate: Purtabilele permit frecvent Caracteristicile de confort pot reduce frecarea pentru utilizatori și pot reduce frecarea pentru atacatorii care câștigă proximitatea fizică sau controlul parțial al unui dispozitiv.

Scurgere ambientală: Notificările afișate pe o încheietură poate dezvălui subiecte sensibile, nume de clienți, identificatori de bilete, detalii de incident, sau link-uri o singură dată. Microfoanele și camerele de luat vederi creează un strat de risc suplimentar în sălile de ședințe, zonele SOC, laboratoare și facilități cu IP protejat.

Scenariile de risc reale pentru echipele IT ar trebui să aibă în vedere

Riscul BYOD poate fi mai clar atunci când este tradus în scenarii la care operațiunile de securitate, guvernanța și sprijinul IT pot recunoaște și răspunde. Ideea este să nu presupunem că fiecare purtabil este ostil. Ideea este de a evita să fie surprins de moduri de eșec previzibile.

Expunerea la notificare sensibilă: Un angajat primește o invitație la un pod incident, o escaladare a clienților sau un e-mail de resetare a parolei. Linia subiectului este vizibilă pe un smartwatch în timpul unei reuniuni, al transportului public sau într-un spațiu de lucru comun. Chiar și fără conținut mesaj, metadatele pot fi dăunătoare.

Capturarea sălii de conferinţe: În timpul discuţiilor despre preţuri, M&A, incidente de securitate sau detalii ale produsului neeliberat este prezent un aparat care poate fi purtat cu un microfon, un asistent vocal sau un aparat de înregistrare audio. Riscul nu este doar înregistrarea malițioasă; include activarea accidentală și sincronizarea norului.

Oboseala aprobării de identitate: Aprobări rapide sunt utile pentru MFA și SSO, dar acestea permit, de asemenea, o formă de comportament tap-to-approve. Dacă un atacator declanşează solicitări repetate, un utilizator distras poate aproba cererea greşită, în special pe un mic UI purtabil.

Complicaţii de proximitate şi acces fizic: Unele medii folosesc deblocarea pe laptopuri, uși sau aplicații bazate pe proximitate. În cazul în care un purtabil este folosit ca un semnal de încredere și este pierdut, furat, sau împrumutat, organizația poate moșteni un risc fizic de securitate deghizat ca o caracteristică de confort.

Conectivitate în umbră: O poartă cu capacitate celulară poate muta date fără a se alătura Wi-Fi corporative. Un telefon compromis poate utiliza ecosistemul portabil pentru notificarea oglinzii și a căilor de exfiltrare a datelor care ocolesc proxies-urile tradiționale sau controalele segmentării rețelei.

Amestecarea datelor reglementate: Suporturile medicale pot introduce date de sănătate în sistemele IT indirect prin intermediul biletelor de sprijin, capturilor de ecran, jurnalelor sau conversaţiilor de depanare. Asta poate crea obligaţii de conformitate pe care nu intenţionai să le accepţi.

Guvernanță: să definească ce înseamnă "acceptabil" în mediul dumneavoastră

Controalele tehnice funcționează cel mai bine atunci când organizația are așteptări clare, executorii. Multe politici BYOD au fost scrise înainte ca purtabilele să devină mainstream și să se concentreze pe telefoane, laptopuri și media demontabilă. Actualizarea guvernării nu înseamnă interzicerea universală a dispozitivelor. Este vorba despre alinierea uzabile cu niveluri de risc și niveluri de spațiu.

Programele mature definesc de obicei regulile de prezenţă pentru diferite zone:

• Zone de înaltă sensibilitate în care microfoanele, camerele și dispozitivele portabile de înregistrare sunt restricționate, cu semne clare și opțiuni de stocare securizate.
• Zone standard de birou în care sunt permise portabilele, dar regulile de manipulare a notificării și de împerechere sunt aplicate prin controale de identitate și de postură.
• Vizitator și contractor reguli care adresa portabile în mod explicit, nu implicit.

Politicile ar trebui, de asemenea, să clarifice poziția organizației privind vizibilitatea conținutului și manipularea datelor, cum ar fi dacă notificările de e-mail corporative sunt permise pe suportabile, dacă previzualizarea mesajelor trebuie să fie dezactivată și modul în care trebuie raportată pierderea care poate fi uzată. Atunci când regulile sunt vagi, aplicarea normelor devine inconsecventă, iar răspunsul incidental devine mai lent.

Controale tehnice care reduc riscul BYOD purtabil

Purtabilele suportă rareori aceleași cârlige de management ca și laptopurile sau telefoanele, astfel încât cea mai bună strategie de control se concentrează pe sistemele pe care le puteți controla: identitatea, postura telefonului companion, accesul la rețea și protecția datelor. Scopul este de a reduce impactul, reduce probabilitatea și de a îmbunătăți detectarea fără a transforma munca zilnică în supraîncărcare cu frecare.

Prima aplicare a identității: Utilizați acces condiționat pentru a necesita autentificare puternică și postură dispozitiv pentru aplicații corporative. Dacă este posibil, atașați accesul la dispozitivele gestionate și restricționați acțiunile cu risc ridicat atunci când o sesiune este inițiată din criterii de evaluare necunoscute sau negestionate. Acest lucru ajută chiar dacă purtabilul este implicat doar indirect.

Managing telefon postura ca un control proxy: Dacă poartă sincroniza printr-un telefon, trata telefonul ca punctul de aplicare. Managementul dispozitivelor mobile sau managementul unui obiectiv unificat pot aplica criptarea, blocarea ecranelor, valorile de referință ale versiunii OS și guvernanța aplicațiilor pentru ecosistemul companion.

Igiena notificării: Reducerea valorii expunerii la notificare care poate fi uzată prin limitarea a ceea ce apare în notificări pentru aplicațiile corporative. Luați în considerare dezactivarea previzualizărilor mesajelor, aplicarea conținutului sensibil ascuns și limitarea notificărilor acţionale care permit aprobările sau răspunsurile de la un portabil blocat.

Politica de segmentare a rețelei și de acces: Asigurați-vă că obiectivele necunoscute fără fir nu pot atinge servicii interne sensibile. NAC, izolarea rețelei de oaspeți, și firewalling stricte reduce daunele în cazul în care un purtabil sau companionul său încearcă mișcare laterală sau descoperire.

Prevenirea pierderilor de date și controlul norilor: Trataţi sincronizarea norului de consum ca pe un canal potenţial de ieşire. Politicile DLP, controalele CASB și restricțiile chiriașului pot reduce sincronizarea accidentală a datelor corporative în conturile personale, în special prin intermediul telefonului pe care îl pot purta.

Logging și detectare cu așteptări realiste: Este posibil să nu vedeți direct purtabil, dar puteți detecta modele, cum ar fi comportamentul neobișnuit de aprobare, semne anormale, piroane de reîmprospătare bruscă jetoane, sau accesul de la tipuri de dispozitive neașteptate. Aliniază detectarea SIEM la evenimentele de identitate, nu numai la agenții de evaluare.

Securitate fizică și spații nesigure

Purtabili estompează linia dintre securitatea cibernetică și securitatea fizică. În cazul în care organizația dumneavoastră are spații în care microfoanele/camerele sunt o problemă, atunci tratarea portabilelor ca accesorii personale este doar un decalaj. Cea mai practică abordare este operaţionalizarea spaţiilor securizate mai degrabă decât încercarea de a poliţia neoficial.

Gândiţi - vă la un control respectuos şi eficient:

• Semnalizare clară a zonei care menționează în mod explicit dispozitivele portabile și dispozitivele captate.
• Dulapuri sau pungi securizate pentru angajați și vizitatori care intră în zone sensibile.
• Întâlnirea practicilor pentru subiecte sensibile care includ așteptările dispozitivelor în avans.
• Excepții și aprobări care sunt documentate pentru cazuri de utilizare legitimă, cum ar fi nevoile de accesibilitate.

Programul de securitate IT ar trebui să fie partener cu facilități și HR pentru a evita crearea unor reguli de securitate teatru care nu sunt executorii. Un set mic de zone bine definite cu o aplicare coerentă îndeplinește, de obicei, mai bine decât reguli generale pe care nu le urmează nimeni.

Confidenţialitatea, conformitatea şi costul ascuns al datelor purtabile

Purtabilii generează și stochează informații personale sensibile, inclusiv modele de localizare, ritm cardiac, date privind somnul și uneori indicatori medicali. Chiar daca organizatia nu intentioneaza sa proceseze aceste date, ea poate intra indirect in mediul corporatist prin canale de suport, instrumente de colaborare, capturi de ecran, sau investigatii incidente.

Profesioniștii din domeniul IT ar trebui să colaboreze cu părțile interesate din domeniul juridic și al vieții private pentru a clarifica:

• Dacă orice date legate de uzură sunt luate în considerare în cadrul monitorizării corporative.
• Modul în care răspunsul incident ar trebui să se ocupe de dispozitivele care conțin date privind sănătatea personală.
• Ce reguli de retenţie şi de acces se aplică în cazul în care datele portabile devin parte a unui bilet sau a unei anchete.

Aceasta nu este doar o preocupare juridică. Afectează încrederea. Monitorizarea excesiv de agresivă poate crea impingerea si munca in umbra angajatilor. Cele mai sănătoase programe sunt transparente cu privire la ceea ce este monitorizat, de ce, și cum este protejat.

Disponibilitatea operațională: manipularea uzurilor pierdute și a presupuselor utilizări abuzive

Incidentele purtabile sunt de multe ori Un smartwatch pierdut ar putea conține notificări recente, detalii calendar, și o hartă a zilei utilizatorului. Un telefon compromis poate transforma purtabilele într-un semnal mereu prezent. Playbook-urile de răspuns la incidente ar trebui să includă în mod explicit portabile astfel încât birourile de serviciu și echipele SOC să nu improvizeze.

Pregătirea utilă include:

• O cale clară de raportare pentru portabile pierdute sau furate, similar cu telefoane pierdute și insigne.
• Îndrumări pentru revocarea sesiunilor, a acreditărilor rotative și invalidarea jetoanelor atunci când conturile legate de uzură sunt în pericol.
• O listă standard de verificare pentru a evalua dacă notificările sau aprobările sensibile ar fi putut fi expuse.
• Documentație a cărei aplicație corporatistă permite notificări portabile și ce includ notificările respective.

Asigurați-vă că procesul este suficient de simplu încât angajații să-l folosească. În cazul în care raportarea se simte punitivă sau complicată, oamenii așteaptă, și de așteptare este ceea ce transformă incidente gestionabile în expuneri majore.

O linie de bază de securitate practică pentru echipele IT

Dacă organizația dumneavoastră începe de la zero, puteți face în continuare progrese semnificative rapid, concentrându-se pe o bază care reduce riscurile cele mai frecvente. Următoarele practici sunt aplicabile pe scară largă și nu necesită control invaziv al dispozitivelor:

• Asigură accesul condiționat și autentificarea puternică, cu garanții ușor de utilizat împotriva aprobărilor accidentale.
• Necesită postura gestionată pentru telefonul companion atunci când este folosit pentru a accesa e-mail corporative, chat, sau fluxurile de identitate.
• Minimizarea expunerii la date de notificare prin limitarea previzualizărilor și a conținutului sensibil în alertele în stilul ecranului de blocare.
• Definește zone securizate în care dispozitivele de transport care pot fi capturate sunt restricționate și oferă opțiuni practice de stocare.
• Reţelele de segmentare şi limitarea la ce obiective fără fir necunoscute pot ajunge, chiar dacă apar pe scurt.
• Actualizarea limbajului politic BYOD pentru a include în mod explicit purtabile, cu așteptări clare și aplicarea respectuoasă.
• Adăugați scenarii ușor de purtat la playbook-uri de răspuns la incidente, concentrându-se pe revocarea sesiunii, igiena credențială și raportarea rapidă.

Linia de bază nu este linia de sosire. Este un punct de plecare care reduce probabilitatea şi impactul în timp ce organizaţia dumneavoastră îşi dezvoltă abordarea pe baza unor cazuri reale de utilizare şi toleranţă la risc.

Concluzie: tratarea uzurii ca domeniu de securitate, nu ca notă de subsol

Purtarea BYOD nu este o tendință temporară. Acesta face parte din trecerea mai largă către calculul ambiental, în cazul în care identitatea urmează utilizatorul prin dispozitive, senzori și spații. Pentru profesioniştii IT, abordarea corectă nu este nici panica, nici negarea. Acesta este un management disciplinat al riscurilor: să definească locurile în care sunt acceptabile uzabilele, să reducă expunerea la date prin proiectare, să asigure accesul prin controale ale identității și să opereze spații securizate și răspuns la incidente.

Când organizaţiile tratează purtabilele ca pe o parte de primă clasă a telefoanelor şi laptopurilor BYOD şi BYOD, ele capătă o vizibilitate mai clară, mai puţine surprize şi o poziţie de securitate care se potriveşte cu realitatea muncii moderne.