Opotrebiteľné BYOD - rizikový faktor v IT prostredí

Prines svoje vlastné zariadenie, ktoré znamenalo telefóny a notebooky. Vo väčšine dnešných prostredí to tiež znamená inteligentné hodinky, fitnes trackery, poslucháče (smart slúchadlá), inteligentné prstene, rozšírené okuliare reality, medicínske nositeľné zariadenia a rastúci zoznam zariadení bohatých na senzory, ktoré sa ticho spájajú s firemnými identitami, sieťami a tokmi dát. Pre IT tímy, nositeľný BYOD je bezpečnostný problém, pretože rozširuje útočný povrch bez rozšírenia ovládacieho povrchu. Tieto zariadenia sa ľahko prehliadajú v inventároch aktív, ťažko zvládnuteľné s tradičným koncovým nástrojom a často sú priviazané k osobnému telefónu, ktorý sa stáva mostom medzi podnikovými systémami a ekosystémami cloudu spotrebiteľov.

Opotrebiteľné tiež zmeniť povahu expozície dát. Už nie je len o súboroch, ktoré opúšťajú sieť. O notifikačnom obsahu viditeľnom na zápästí, mikrofónoch aktivovaných v konferenčnej miestnosti, pasívnych rádiách Bluetooth, ktoré môžu byť sondované na chodbe, a zdravotné alebo lokalizačné údaje, ktoré sú veľmi citlivé podľa predpisov o súkromí. Výsledkom je kategória rizika, ktorá leží na križovatke bezpečnosti koncových ukazovateľov, identity, fyzickej bezpečnosti, súkromia a riadenia.

Prečo sú nositeľky odlišné od klasických BYOD

Opotrebiteľné prostriedky sú zvyčajne navrhnuté okolo pohodlia, vždy na konektivite a hlbokej integrácie so spotrebiteľskými ekosystémami. Dokonca aj keď má nositeľné funkcie priaznivé pre podnikanie, mnoho nasadení sa stále spolieha na spoločný telefón a predajcu cloudových služieb. Táto architektúra vytvára niekoľko bezpečnostných charakteristík IT by sa mala považovať za

• Opotrebiteľnosť je často neviditeľná pre správu aktív a objavy, pretože sa nepripájajú do domény, nebehajú konvenční agenti a nikdy nemusia overiť priamo korporátne služby.
• Na spoločnom zariadení záleží rovnako ako na nositeľovi. Ak je telefón kompromitovaný, nositeľ sa stáva rozšírením tohto kompromisu prostredníctvom oznámení, tokenov aplikácií a spárovanej komunikácie.
• Užívateľské rozhranie je obmedzené. Užívatelia schvaľujú podnety rýchlo, pozerajú sa na upozornenia a prijímajú páry alebo povolenia s minimálnym kontextom.
• Bezpečnostný model je často špecifický pre predajcu a aktualizovaný na spotrebiteľskú kadenciu, ktorá nemusí byť v súlade s kontrolou zmeny podniku.
• Senzory a rádiá sú funkcia, čo znamená, že zariadenie je účel-postavený na zachytávanie, prenos a synchronizáciu informácií nepretržite.

Pre IT profesionálov, kľúčový príjem je, že nositeľov by nemala byť hodnotená ako small telefóny. Sú to okolité výpočtové zariadenia. Ich riziká sú rozdelené medzi identitu, viditeľnosť údajov, fyzický priestor a dodávateľský reťazec.

Bežné nositeľné typy vstupujúce do podnikových priestorov

Nosnosť kategórie je širšia ako smarthodinky. V mnohých organizáciách sa v kanceláriách, laboratóriách a výrobných oblastiach objavujú nasledujúce triedy zariadení:

• Inteligentné hodinky a fitness trackery, ktoré odrážajú oznámenia, podporujú hlasových asistentov, a niekedy poskytujú bunkovú konektivitu.
• Počuteľné pomôcky, ktoré integrujú mikrofóny, hlasové asistentky, manipuláciu s volaním a audio prejazdové režimy, ktoré môžu byť použité v citlivých priestoroch.
• Inteligentné krúžky používané pre pohodlné funkcie, oznámenia, zdravotné metriky, alebo v niektorých prípadoch prístup založený na blízkosti.
• Okuliare AR/VR používané na vzdialenú pomoc, školenie, zvestovateľskú službu alebo osobné zachytenie médií.
• Zdravotnícke pomôcky používané na monitorovanie, ktoré môžu zaviesť regulované osobné údaje do firemných sietí a registrov.

Aj keď sa nositeľný nikdy nedotkne Wi-Fi, zariadenie môže byť stále relevantné pre firemné riziko prostredníctvom Bluetooth, NFC, alebo pripútanie prostredníctvom telefónu s prístupom ku firemným e-mailom, správ, a poskytovateľov identity.

Útočný povrch: rádio, aplikácie, identity a okolité dáta

Opotrebiteľné riziko sa najlepšie chápe ako súbor prekrývajúcich sa povrchov. Jednotlivé smarthodinky môžu byť súčasne koncovým ukazovateľom Bluetooth, nástrojom pohodlia identity, výstražným zrkadlom, mikrofónom a balíkom snímačov synchronizovaných cloudom. Keď zmapujete hrozby, zaobchádzajte s každým z nich ako s vlastnou doménou kontroly.

Bezdrôtová expozícia: Bluetooth Nízkoenergetické párovanie, módy objaviteľnosti a protokolové vtipy môžu vytvoriť príležitosti pre sondovanie, sledovanie alebo využívanie v blízkosti. NFC môže umožniť rýchle interakcie, ktoré sú ťažko kontrolovateľné. Ak zariadenie podporuje Wi-Fi alebo bunkové, môže obísť niektoré firemné sieťové ovládanie úplne.

Companion aplikácie a cloud synchronizácia: Spoločná telefónna aplikácia má často žetóny, práva a pravidlá synchronizácie. Dáta môžu prúdiť z firemných oznámení do osobných cloudových záložných alebo krížových zariadení synchronizačných funkcií. Nosný predajca a cloud sa stáva súčasťou vašej účinnej dátovej hranice.

Skratky totožnosti: Opotrebiteľné často umožňujú Pohodlie môže znížiť trenie pre užívateľov a tiež znížiť trenie pre útočníkov, ktorí získajú fyzickú blízkosť alebo čiastočné ovládanie zariadenia.

Netesnosť okolia: Oznámenia zobrazené na zápästí môžu zverejniť citlivé predmety, mená zákazníkov, identifikátory lístkov, detaily incidentu alebo jednorazové odkazy. Mikrofóny a kamery vytvárajú ďalšiu rizikovú vrstvu v zasadacích miestnostiach, SOC priestoroch, laboratóriách a zariadeniach s chráneným IP.

Real-world risk scenáre IT tímy by mali plánovať pre

Opotrebiteľné riziko BYOD sa stáva jasnejšie, keď sa premietne do scenárov, ktoré bezpečnostné operácie, riadenie a IT podpora môžu rozpoznať a reagovať na. Pointa je nepredpokladať, že každý nositeľ je nepriateľský. Ide o to, aby sme neboli prekvapení predvídateľnými režimami zlyhania.

Vystavenie citlivému oznámeniu: Zamestnanec dostane pozvánku na Incident Bridge, eskaláciu zákazníka alebo e-mail na reset hesla. Predmet je viditeľný na smarthodinky počas stretnutia, vo verejnej doprave alebo v spoločnom pracovnom priestore. Aj bez obsahu správ môžu byť metaúdaje škodlivé.

Konferenčná miestnosť zachytáva: Počas diskusií o cenách, M&A, bezpečnostných incidentoch alebo nevydaných detailoch produktu je možné nosiť mikrofón, hlasovú asistentku alebo zvukový záznam. Riziko je nielen škodlivé nahrávanie; zahŕňa náhodné aktiváciu a cloud synchronizáciu.

Únava pri schválení identity: Rýchle schválenia sú užitočné pre MFA a SSO, ale tiež umožňujú formu Ak útočník spustí opakované podnety, rozptyľujúci užívateľ môže schváliť nesprávnu žiadosť, najmä na malom nositeľnom UI.

Komplikácie blízkosti a fyzického prístupu: Niektoré prostredia využívajú odomknutie na báze blízkosti na laptopoch, dverách alebo aplikáciách. Ak sa nositeľ používa ako signál dôvery a je stratený, ukradnutý alebo požičaný, organizácia môže zdediť fyzické bezpečnostné riziko skryté ako pohodlie.

Tieňová konektivita: Nosnosť s bunkovou schopnosťou môže presunúť dáta bez pripojenia firemného Wi-Fi. Kompromitovaný telefón môže používať nositeľný ekosystém na oznamovanie zrkadlenia a dráhy exfiltrácie dát, ktoré obchádzajú tradičné proxiéry alebo riadenie segmentácie siete.

Regulované miešanie údajov: Zdravotnícke pomôcky môžu do IT systémov nepriamo zaviesť zdravotné údaje prostredníctvom podporných lístkov, snímok obrazovky, logov alebo rozhovorov o riešení problémov. To môže vytvoriť dodržiavanie povinností, ktoré ste nemali v úmysle prijať.

Riadenie: definovať, čo znamená prijateľné vo vašom prostredí

Technické kontroly fungujú najlepšie, keď má organizácia jasné, vynútiteľné očakávania. Mnohé BYOD politiky boli napísané skôr, než nositeľov stal mainstream a zamerať sa na telefóny, notebooky a odnímateľné médiá. Aktualizácia riadenia nie je o všeobecnom zákaze zariadení. Je o zosúladení nositeľov s rizikovými úrovňami a priestorovými úrovňami.

Zrelé programy typicky definujú pravidlá prítomnosti pre rôzne zóny:

• Vysokocitlivé zóny, v ktorých sú obmedzené mikrofóny, fotoaparáty a nosiče na záznam, s jasným označením a zabezpečenými možnosťami ukladania.
• Štandardné kancelárske zóny, v ktorých sú povolené nositeľné zariadenia, ale pravidlá manipulácie s oznammi a spárovania sa presadzujú prostredníctvom kontrol totožnosti a koncového bodu.
• Návštevník a dodávateľ pravidlá, ktoré rieši nositeľov výslovne, nie implicitne.

Politiky by mali tiež objasniť postoj organizácie k viditeľnosti obsahu a manipulácii s údajmi, ako je napríklad to, či sú povolené firemné e-mailové oznámenia o nositeľoch, či náhľady správ musia byť vypnuté, a ako by sa mali nahlásiť nositeľné straty. Keď sú pravidlá nejasné, presadzovanie sa stáva nekonzistentným a reakcia na incidenty sa stáva pomalšou.

Technické kontroly, ktoré znižujú riziko BYOD pri nosení

Opotrebiteľné zariadenia zriedka podporujú rovnaké managementové háky ako notebooky alebo telefóny, takže najlepšia stratégia riadenia sa zameriava na systémy, ktoré môžete ovládať: identita, spoločenské držanie tela telefónu, prístup k sieti a ochrana údajov. Cieľom je znížiť vplyv, znížiť pravdepodobnosť a zlepšiť detekciu bez toho, aby sa každodenná práca zmenila na preťaženie trením.

Presadzovanie totožnosti - prvé presadzovanie: Použite podmienený prístup, aby ste vyžadovali silnú autentifikáciu a držanie tela zariadenia pre firemné aplikácie. Ak je to možné, zaviažte prístup k riadeným zariadeniam a obmedzte vysokorizikové akcie, keď sa spustí sedenie z neznámych alebo neriadených koncových ukazovateľov. Pomáha to aj vtedy, keď je nositeľ iba nepriamo zapojený.

Správa držanie tela telefónu ako proxy ovládanie: Ak nositeľov synchronizuje cez telefón, zaobchádzajte s telefónom ako s kontrolným bodom. Správa mobilných zariadení alebo jednotná správa koncových ukazovateľov môže presadiť šifrovanie, uzamknutie obrazovky, základné línie verzie OS a správu aplikácií pre spoločný ekosystém.

Hygiena oznamovania: Znížte hodnotu nositeľnej expozície pri oznamovaní obmedzením toho, čo sa objaví v oznámeniach pre firemné aplikácie. Zvážte zanedbané náhľady správ, presadenie

Politika segmentácie siete a prístupu: Zabezpečiť, aby neznáme bezdrôtové koncové body nemohli dosiahnuť citlivé vnútorné služby. NAC, izolácia siete hostí a prísne firewallovanie znižujú poškodenie, ak je nositeľný alebo jeho spoločník sa snaží bočný pohyb alebo objav.

Predchádzanie stratám dát a cloudové kontroly: Liečiť spotrebiteľský cloud synchronizácia ako potenciálny výstup kanál. DLP politiky, CASB kontroly, a nájomca obmedzenia môžu znížiť náhodné synchronizáciu firemných dát na osobné účty, najmä prostredníctvom telefónu, ktorý sa spáruje s nositeľom.

Zaznamenávanie a zisťovanie s realistickými očakávaniami: Možno nevidíte nositeľné priamo, ale môžete detekovať vzory, ako je nezvyčajné schvaľovacie správanie, anomálne priezviská, náhle tokenné obnovovacie hroty, alebo prístup z nečakaných typov zariadení. Zarovnať SIEM detekcie na udalosti identity, nielen koncové látky.

Fyzická bezpečnosť a bezpečné priestory a záležitosti viac ako kedykoľvek predtým

Opotrebiteľné rozmazanie hranice medzi kybernetickou bezpečnosťou a fyzickou bezpečnosťou. Ak vaša organizácia má priestory, kde mikrofóny / kamery sú problém, potom zaobchádzať s nositeľmi ako s osobným príslušenstvom Najpraktickejším prístupom je sprevádzkovanie bezpečných priestorov, a nie pokus o neformálnu políciu.

Zvážte kontroly, ktoré sú úctivé a uskutočniteľné:

• Jasné označenie zóny, ktoré sa výslovne zmieňuje o nositeľoch a zariadeniach, ktoré možno zachytiť.
• Zámky alebo bezpečné tašky pre zamestnancov a návštevníkov vstupujúcich do citlivých oblastí.
• Splnenie postupov pre citlivé témy, ktoré zahŕňajú zariadenia očakávania dopredu.
• Výnimky a povolenia, ktoré sú zdokumentované pre prípady legitímneho použitia, ako sú potreby dostupnosti.

Bezpečnostný program IT by mal byť partnerom so zariadeniami a HR, aby sa zabránilo vytvoreniu bezpečnostného divadla a pravidlá, ktoré nie sú vykonateľné. Malý súbor dobre definovaných zón s konzistentným presadzovaním zvyčajne funguje lepšie ako všeobecné pravidlá, ktoré nikto nesleduje.

Súkromie, súlad a skryté náklady na nositeľné dáta

Opotrebiteľné generuje a ukladá citlivé osobné údaje, vrátane lokalizačných vzorov, srdcovej frekvencie, spánkových údajov, a niekedy lekárske ukazovatele. Aj keď organizácia nemá v úmysle spracovať tieto údaje, môže vstúpiť do firemného prostredia nepriamo prostredníctvom podporných kanálov, nástrojov spolupráce, screenshotov alebo vyšetrovaním incidentov.

Odborníci v oblasti IT by mali spolupracovať so zainteresovanými stranami v oblasti práva a súkromia s cieľom objasniť:

• Či sa akékoľvek údaje týkajúce sa nositeľnosti posudzujú v rámci podnikového monitorovania.
• Ako by mala reakcia na incident zaobchádzať so zariadeniami, ktoré obsahujú osobné zdravotné údaje.
• Aké pravidlá uchovávania a prístupu sa uplatňujú, ak sa nositeľné údaje stanú súčasťou cestovného lístka alebo vyšetrovacieho záznamu.

Nejde len o právnu obavu. Ovplyvňuje dôveru. Príliš agresívne monitorovanie môže vytvoriť tlak zamestnancov a tieňové práce. Najzdravšie programy sú transparentné o tom, čo sa monitoruje, prečo a ako je chránené.

Prevádzková pohotovosť: manipulácia so stratenými nositeľmi a podozrenie na zneužitie

Opotrebiteľné incidenty sú často small a to až kým nie sú. Stratené smarthodinky môžu obsahovať najnovšie oznámenia, detaily kalendára a mapu dňa užívateľa. Kompromitovaný spolupáchateľský telefón môže zmeniť nositeľov na vždy prítomný signál. Playbooky reakcie na incidenty by mali výslovne obsahovať nositeľov, takže servisné stoly a SOC tímy nie sú improvizovať.

Užitočná príprava zahŕňa:

• Jasná cesta hlásenia stratených alebo ukradnutých nositeľov, podobne ako stratené telefóny a odznaky.
• Pokyny na zrušenie sedení, rotujúce oprávnenia a neplatné žetóny, keď sú ohrozené účty viazané na nositeľa.
• Štandardný kontrolný zoznam na posúdenie, či citlivé oznámenia alebo schválenia mohli byť vystavené.
• Dokumentácia o tom, ktoré firemné aplikácie umožňujú nositeľné oznámenia a čo tieto oznámenia zahŕňajú.

Uistite sa, že tento proces je dostatočne jednoduchý, aby ho zamestnanci skutočne používali. Ak sa správy cítia represívne alebo komplikované, ľudia čakajú a čakajú, čo zmení zvládnuteľné incidenty na veľké expozície.

Praktické

Ak vaša organizácia začína od nuly, stále môžete urobiť zmysluplný pokrok rýchlo tým, že sa zameria na základ, ktorý znižuje najčastejšie riziká. Tieto postupy sú všeobecne uplatniteľné a nevyžadujú kontrolu invazívnych zariadení:

• Vynútiť podmienený prístup a silnú autentifikáciu s užívateľsky prívetivými ochrannými opatreniami proti náhodnému schváleniu.
• Požadovať riadené držanie tela pre spoločníka telefónu, keď sa používa na prístup ku korporátnej e-mailu, chat, alebo toky identity.
• Minimalizovať vystavenie dát oznámenia obmedzením náhľadov a citlivého obsahu v upozorneniach v štýle uzamknutia obrazovky.
• Definujte bezpečné zóny, v ktorých sú obmedzené možnosti zachytávania a ukladania a poskytujú praktické možnosti ukladania.
• Segmentové siete a obmedziť, čo neznáme bezdrôtové koncové body môžu dosiahnuť, aj keď sa objavia krátko.
• Aktualizovať politický jazyk BYOD explicitne zahrnúť nositeľov, s jasnými očakávaniami a úctivé presadzovanie.
• Pridať nositeľné scenáre do playbookov reakcie na incidenty, so zameraním na reláciu zrušenie, vierohodnú hygienu, a rýchle podávanie správ.

Východisková hodnota nie je cieľová čiara. Je to východiskový bod, ktorý znižuje pravdepodobnosť a vplyv, zatiaľ čo vaša organizácia zreje svoj prístup na základe skutočných prípadov nositeľného použitia a tolerancie rizika.

Záver: S nositeľmi zaobchádzajte ako s bezpečnostnou doménou, nie ako s poznámkou pod čiarou

Opotrebiteľné BYOD nie je dočasný trend. Je súčasťou širšieho posunu smerom k okolitej výpočtovej techniky, kde identita sleduje užívateľa cez zariadenia, senzory a priestory. Pre IT profesionálov nie je správny prístup ani panika, ani popieranie. Je disciplinované riadenie rizík: definovať, kde sú nositeľné zariadenia prijateľné, znížiť vystavenie dát projektovaním, presadiť prístup prostredníctvom kontrol totožnosti a prevádzkovať bezpečné priestory a reakcie na incidenty.

Keď organizácie zaobchádzajú s nositeľmi ako s prvotriednou časťou BYOD a Longside telefónov a notebookov, získajú jasnejšiu viditeľnosť, menej prekvapení a bezpečnostné postavenie, ktoré zodpovedá realite modernej práce.