Giysilenebilir BYODs - IT Çevrelerinde Risk Faktörü

"Kendi cihazınızı getir", telefonlar ve dizüstü bilgisayarlar anlamına geliyordu. Bugün çoğu ortamda, akıllı gözlemler, fitness pistleri, işitme edilebilirler (akıllı kulaklıklar), akıllı halkalar, artırılmış gerçeklik bardakları, tıbbi giyilebilir cihazlar ve sessizce kurumsal kimliklere, ağlara bağlanmak için büyüyen sensör zengin cihazlar listesi anlamına gelir. IT takımları için, giyilebilir BYOD bir güvenlik sorunudur çünkü kontrol yüzeyinizi genişletmeden saldırı yüzeyi genişletir. Bu cihazlar varlık mucitlerini kaçırmak, geleneksel uç nokta aracı ile yönetmek zordur ve genellikle şirket sistemleri ve tüketici bulut ekosistemleri arasında bir köprü haline gelen kişisel bir telefona bağlanır.

Giysilenebilirler ayrıca “ata maruz kalma” doğasını değiştirir. Artık sadece ağdan ayrılan dosyalar hakkında değil. Bir kapta görünür olan bildirim içeriği ile ilgili, bir konferans odasında aktif olan mikrofonlar, bir koridorda hayal edilebilecek pasif Bluetooth radyoları ve sağlık veya yer verileri gizlilik düzenlemeleri altında son derece hassastır. Sonuç, uç nokta güvenliği, kimlik, fiziksel güvenlik, mahremiyet ve yönetim kesişen bir risk kategorisidir.

Neden giyilebilirler klasik BYOD'tan farklıdır

Giysilenebilirler genellikle rahatlık etrafında tasarlanmıştır, her zaman bağlantı ve tüketici ekosistemleri ile derin entegrasyon. Giysili bir özellik olduğunda bile, birçok dağıtım hala bir arkadaş telefonu ve satıcı bulut hizmetlerine güveniyor. Bu mimari, BT'nin “default varsayımları” olarak tedavi edilmesi gereken birkaç güvenlik özelliği yaratır:

• Giysilenebilirler genellikle varlık yönetimi ve keşif için görünmezdir, çünkü alana katılmazlar, geleneksel ajanlar çalıştıramaz ve doğrudan şirket hizmetlerine uyamayabilirler.
• Arkadaş cihazı giyilebilir kadar önemlidir. Telefon uzlaşmazsa, giyilebilir, bu uzlaşmanın bildirimleri, uygulama jetleri ve çiftleştirilmiş iletişim yoluyla bir uzantısı haline gelir.
• Kullanıcı arayüzü kısıtlanır. Kullanıcılar hızlı bir şekilde onaylar, uyarılara bakın ve minimum bağlamda çiftleştiricileri veya izinleri kabul eder.
• Güvenlik modeli sıklıkla satıcıya özeldir ve bir tüketici koçluğu üzerinde güncellenir, bu da kurumsal değişim kontrolü ile uyumlu olmayabilir.
• Sensörler ve radyolar “başarı”dır, yani cihaz yakalamak, iletmek ve sürekli senkronize etmek için tasarlanmıştır.

IT profesyoneller için, anahtar alıcı, “küçük telefonlar” olarak değerlendirilmemelidir. Çevre bilişim cihazlarıdır. Riskleri kimlik, veri görünürlüğü, fiziksel alan ve tedarik zinciri ile dağıtılır.

Ortak giyilebilir tipler işletme alanlarına giriş

Giyilebilir kategori akıllı bir gözlemden daha geniştir. Birçok kuruluşta, aşağıdaki cihaz sınıfları ofislerde, laboratuvarlarda ve üretim alanlarında görünür:

• Akıllı gözlemler ve bu ayna bildirimleri, ses yardımcılarını destekleyen fitness pistleri ve bazen hücresel bağlantı sağlar.
• Mikrofonları, ses asistanlarını entegre eden, işlemek ve hassas alanlarda kullanılabilir olan ses geçiş modlarını dinleyin.
• Akıllı halkalar rahatlık özellikleri, bildirimleri, sağlık ölçümleri veya bazı durumlarda yakın erişim için kullanılır.
• AR/VR bardakları uzaktan yardım, eğitim, alan hizmeti veya kişisel medya yakalama için kullanılır.
• Kişisel verileri şirket ağlarına ve loglara tanıtabilecek izleme için kullanılan tıbbi giyilebilirler.

Bir giyilebilir asla Wi-Fi'ye dokunmadığı zaman bile, cihaz hala Bluetooth, NFC veya şirket e-posta, mesajlaşma ve kimlik sağlayıcılarına erişim sağlayan bir telefonla ilgili olabilir.

Saldırı yüzeyi: radyolar, uygulamalar, kimlikler ve ortam verileri

Giysilenebilir risk en iyi bir dizi çakışan yüzey olarak anlaşılır. Tek bir akıllı saat aynı anda bir Bluetooth uç noktası olabilir, bir kimlik rahatlığı aracı, bir bildirim aynası, bir mikrofon ve bulut destekli bir sensör paketi. Tehditleri haritalarken, bunların her birini kendi kontrol alanı olarak tedavi edin.

Kablosuz maruz kalma: Bluetooth Low Energy çiftleşme, keşif modları ve protokol quirks, yakınlarda denetim, izleme veya sömürü için fırsatlar yaratabilir. NFC, denetim için zor olan hızlı etkileşimleri etkinleştirebilir. Eğer cihaz Wi-Fi veya hücresel desteklerse, bazı kurumsal ağ kontrollerini tamamen atabilir.

Arkadaş uygulamaları ve bulut senkronizasyonu: Dost telefon uygulaması genellikle jetonları, izinleri ve senkronizasyon kuralları tutar. Veriler şirket bildirimlerinden kişisel bulut yedeklerine veya çapraz takip senkronizasyon özelliklerine kadar akabilir. Elbiseli satıcının bulutu, etkili veri sınırınızın bir parçası haline gelir.

Kimlik kısayolları: Sık sık “bir dokunuşla ortaya çık”, yakınlık kilidini veya hızlı yanıtlar sağlar. Convenience özellikleri kullanıcılar için sürtünmeyi azaltabilir ve aynı zamanda bir cihazın fiziksel yakınlığını veya kısmi kontrolünü elde eden saldırganlar için de azaltılabilir.

Ambient sızıntı: Bir tenekede gösterilen bildirimler hassas konuları, müşteri isimleri, bilet tanımlayıcıları, olay detayları veya bir-zaman bağlantıları açıklayabilir. Mikrofonlar ve kameralar toplantı odalarında ek bir risk katmanı oluşturur, SOS alanları, laboratuvarlar ve korumalı IP ile tesisler.

Gerçek dünya risk senaryoları IT takımları için planlamalıdır

Giyilebilir BYOD riski, güvenlik operasyonları, yönetişim ve IT desteğinin tanınabileceği senaryolara tercüme edildiğinde daha net hale gelir. Bu nokta, her aşınmanın düşmanca olduğunu varsaymak değildir. Nokta öngörülebilir başarısızlık modları tarafından şaşırtan kaçınmaktır.

Hassas bildirim maruziyeti: Bir çalışan bir olay köprü davet eder, bir müşteri kararsızlığı veya parola sıfırlama e-postası alır. Konu hattı, bir toplantıda, toplu taşımada veya paylaşılan bir çalışma alanında akıllı bir gözlem üzerinde görünür. Mesaj içeriği olmadan bile, metadata zararlı olabilir.

Konferans salonu yakalama: Bir mikrofon, ses asistanı veya ses kaydı özelliği, fiyatlandırma, M&A, güvenlik olayları veya yayınlanmamış ürün detayları hakkındaki tartışmalar sırasında mevcuttur. Risk sadece kötü niyetli kayıt değildir; tesadüfi aktivasyon ve bulut senkronizasyonu içerir.

Kimlik onayı yorgunluk: Hızlı onaylar MFA ve SSO için kullanışlıdır, ancak aynı zamanda “tap-to-approve” davranışlarının bir biçimi sağlarlar. Bir saldırgan tekrarlanan hızlıları tetiklerse, rahatsız edici bir kullanıcı yanlış talebi onaylayabilir, özellikle küçük bir giyilebilir UI üzerinde.

Proximity ve fiziksel erişim komplikasyonları: Bazı ortamlar, dizüstü bilgisayarlar, kapılar veya uygulamalar üzerinde yakın tabanlı bir şekilde açılır. Bir giyilebilir bir güven sinyali olarak kullanılırsa ve kaybedilir, çalınır veya ödünç alınırsa, organizasyon bir rahatlık özelliği olarak gizlenmiş fiziksel bir güvenlik riskine sahip olabilir.

Gölge bağlantı: Hücresel kapasiteye sahip bir giyilebilir, kurumsal Wi-Fi'ye katılmadan verileri hareket edebilir. Bir uzlaşmalı telefon, geleneksel temsilcileri veya ağ segmentasyon kontrollerini atlayan gecikmeli ekosistemi kullanabilir.

Regated data Mix: Tıbbi giyilebilirler sağlık verilerini doğrudan destek biletleri, ekran görüntüleri, loglar veya konuşma konuşmaları yoluyla IT sistemlerine tanıtabilir. Bu, alma niyetinde olmadığın uyumluluk yükümlülükleri yaratabilir.

Yönetim: çevrenizdeki “bul edilebilir” ne anlama geldiğini tanımlamak

Teknik kontroller, organizasyonun açık, uygulanabilir beklentileri olduğunda en iyi şekilde çalışır. Birçok BYOD poliçeleri, giyilebilir hale gelmeden önce yazılmıştır ve telefonlara, dizüstü bilgisayarlara ve çıkarılabilir medyaya odaklanır. Yönetme yönetimi evrensel olarak yasaklanan cihazlar hakkında değildir. Risk tiers ve uzay tiers ile uyumlu aşınmalarla ilgili.

Olgun programlar genellikle farklı bölgeler için “device varlığı kuralları” tanımlamaktadır:

• Mikrofonların, kameraların ve kayıtların yetersiz aşınma alanları açık işaret ve güvenli depolama seçenekleri ile sınırlandırılır.
• Standart ofis bölgelerine izin verilir, ancak bildirim işlemleri ve çiftleştirme kuralları kimlik ve uç nokta kontrolleri yoluyla uygulanır.
• Ziyaretçi ve müteahhit kuralları açıkça, kapalı değil.

Politikalar ayrıca organizasyonun içerik görünürlüğü ve veri işleme konusundaki duruşunu açıklığa kavuşturmalıdır, örneğin kurumsal e-posta bildirimlerin giyilebilir olup olmadığı, mesaj önbelleklerinin devre dışı kalması ve nasıl giyilebilir bir kayıp bildirilmelidir. Kurallar belirsiz olduğunda, uygulama tutarsız hale gelir ve olay cevabı daha yavaş hale gelir.

Giyilebilir BYOD riskini azaltan teknik kontroller

Giysilenebilirler nadiren aynı yönetim kancalarını dizüstü bilgisayarlar veya telefonlar olarak destekler, bu nedenle en iyi kontrol stratejisi kontrol edebileceğiniz sistemlere odaklanır: kimlik, arkadaşlık telefonu duruşu, ağ erişimi ve veri koruması. Hedef etkiyi azaltmak, olasılığı azaltmak ve günlük çalışma yüklemeye dönüşmeden algılamayı geliştirmektir.

Kimlik-ilk uygulama: Kurumsal uygulamalar için güçlü kimlik doğrulama ve cihaz duruş gerektirir. Mümkün olan yerde, yönetilen cihazlara erişim ve bir seansın bilinmeyen veya yönetilmeyen uç noktalardan başlatıldığı yüksek riskli eylemleri kısıtlayın. Bu, giyilebilir olsa bile sadece dolaylı olarak dahil olur.

Yönetilen telefon duruşu bir proxy kontrolü olarak: Bir telefon aracılığıyla senkronize edilebilirse, telefonu uygulama noktası olarak tedavi edin. Mobil cihaz yönetimi veya birleşik uç noktası yönetimi şifreleme, ekran kilit, OS versiyonu temelleri uygulayabilir ve arkadaş ekosistemi için uygulama yönetimi uygulayabilir.

Bildirim hijyen: Şirket uygulamaları için bildirimleri sınırlamak suretiyle giyilebilir bildirimin değerini azaltın. Disabling mesaj önizlemelerini düşünün, “yeterli içerik gizli” teşvik etmek ve onaylara veya cevaplara kilit bir aşınmadan izin veren uyarıları kısıtlamak.

Ağ segmentasyonu ve erişim politikası: Bilinmeyen kablosuz uç noktaların hassas iç hizmetlere ulaşamayacağını sağlayın. NAC, misafir ağ izolasyonu ve katı güvenlik, giyilebilir veya arkadaşı daha sonra hareket veya keşif yaparsa zararı azaltır.

Veri kaybı önleme ve bulut kontrolleri: tüketici bulut senkronizasyonunu potansiyel bir egre kanal olarak tedavi edin. DLP politikaları, CASB kontrolleri ve kiracı kısıtlamalar, özellikle de giyilebilir olan telefonla kurumsal verilerin yanlışlıkla senkronize edilmesini azaltabilir.

Gerçek beklentilerle yürüyüş ve algılama: Giysileri doğrudan göremeyebilirsiniz, ancak alışılmadık onay davranışı, anormal işaret-ins, aniden token yeni başlayanlar veya beklenmedik cihaz türlerinden erişebilirsiniz. Align SIEM kimlik olayları için algılar, sadece uç nokta ajanlar değil.

Fiziksel güvenlik ve “güvenlik alanları” her zamankinden daha fazla önemli

Giysilenebilirler siber güvenlik ve fiziksel güvenlik arasındaki çizgiyi bulanıklaştırıyor. Organizasyonunuz mikrofonların / kameraların bir sorun olduğu yerlerine sahipse, o zaman "sadece kişisel aksesuarlar" olarak giyilebilirler. En pratik yaklaşım, yasadışı polis insanlara denemek yerine güvenli alanları işlemektir.

saygılı ve uygulanabilir olan kontrolleri düşünün:

• Açık alan, açıkça giyilebilir ve yakalamaz cihazlardan bahsetmektedir.
• Çalışanlar için Soykırımlar veya güvenli halılar ve ziyaretçiler hassas alanlara giriyor.
• Cihazın ön beklentilerini içeren hassas konular için toplantı uygulamaları.
• erişilebilirlik ihtiyaçları gibi meşru kullanım vakaları için belgelenen onaylar ve onaylar.

IT güvenlik programı, uygulanabilir olmayan “güvenlik tiyatro” kuralları oluşturmak için tesisler ve HR ile ortak olmalıdır. Uyumlu bir uygulama ile küçük tanımlanmış bölgeler genellikle geniş kurallardan daha iyi performans gösterir.

Gizlilik, uyumluluk ve giyilebilir verilerin gizli maliyeti

Giysiler yer modelleri, kalp oranı, uyku verileri ve bazen tıbbi göstergeler dahil olmak üzere hassas kişisel bilgileri üretir ve saklar. Organizasyon bu verileri işlemek niyetinde olmasa bile, destek kanalları, işbirliği araçları, ekran görüntüleri veya olay soruşturmaları yoluyla dolaylı olarak kurumsal ortama girebilir.

IT uzmanları, açıklığa kavuşturmak için yasal ve gizlilik paydaşlarıyla çalışmalıdır:

• Herhangi bir giyilebilir veri kurumsal izleme kapsamında kabul edilir.
• Olay cevabı kişisel sağlık verileri içeren cihazlarla nasıl başlanmalıdır.
• Hangi saklama ve erişim kuralları kullanılabilir bir bilet veya soruşturma kaydının bir parçası haline gelirse uygulanır.

Bu sadece yasal bir endişe değil. Güveni etkiler. Aşırı agresif izleme, çalışan geri çekilme ve gölge çalışmaları yaratabilir. En sağlıklı programlar, neyin izlendiği, neden ve nasıl korunduğu konusunda şeffafdır.

Operasyonel hazırlık: Kayıp aşınmaları işlemek ve şüpheli kötüye kullanım

Giyilebilir olaylar genellikle “küçük” değildirler. Kayıp bir akıllı saat son bildirimleri, takvim ayrıntıları ve kullanıcının gününün bir haritasını içerebilir. Bir uzlaşmacı telefon her zaman temsil eden bir sinyale dönüşebilir. Olay yanıt oyunları kitapları açıkça giyilebilir, bu kadar hizmet masası ve SOS takımları doğaçlamamaktadır.

Faydalı hazırlık içerir:

• Kaybedilen veya çalınan giyilebilirler için açık bir raporlama yolu, telefonları ve kötüleri kaybetmiş gibi.
• Yenidenleme seansları, geri dönen kimlikler ve giyilebilir hesaplar olduğunda Jetonları geçersiz kılar.
• Hassas bildirimlerin veya onayların maruz olup olmadığını değerlendirmek için standart bir kontrol listesi ortaya çıkabilir.
• Hangi kurumsal uygulamaların uygulanabilir bildirimleri ve bu bildirimlerin dahil edilmesi.

Süreç, çalışanların aslında kullanacağı kadar basit olduğundan emin olun. Raporlama, cezalandırıcı veya karmaşık hissediyorsa, insanlar bekler ve beklenmeyen olayların büyük maruziyetlere dönüştüğü şeydir.

IT takımları için pratik bir “yeterlenebilir BYOD” güvenlik üssü

Kuruluşunuz sıfırdan başlıyorsa, en yaygın riskleri azaltan bir temel çizgisine odaklanarak hala anlamlı bir ilerleme yapabilirsiniz. Aşağıdaki uygulamalar yaygın olarak uygulanabilir ve invaziv cihaz kontrolü gerektirmez:

• Enforce koşullu erişim ve güçlü kimlik doğrulama, kullanıcı dostu onayına karşı korumalar.
• Kurumsal e-postaya, sohbete veya kimlik akışlarına erişmek için kullanıldığı zaman arkadaş telefonunu yönetmek gerekir.
• Kilit ekran tarzı uyarıları ile sınırlı önizlemeler ve hassas içerik ile ilgili bildirim verilerinin kapatılması.
• Yakalanabilir giyilebilir giyilebilir giyilebilir alanların bulunduğu güvenli bölgeleri tanımlamak ve pratik depolama seçenekleri sağlamaktır.
• Segment ağları ve bilinmeyen kablosuz uç noktaların neler ulaşabileceğini sınırlayın, kısaca görünmesine rağmen.
• Güncelleme BYOD politika dili açıkça giyilebilir, açık beklentiler ve saygılı uygulama ile.
• Olay yanıt oyunlarına yönelik giyilebilir senaryolar ekleyin, seans revokasyona, kriedential hijyene ve hızlı raporlamaya odaklanır.

Temel çizgi bitiş çizgisi değildir. Kuruluşunuz gerçek giyilebilir kullanım vakalarına ve risk toleransına dayanan yaklaşımı olgunlaştırırken olasılığı ve etkisini azaltan bir başlangıç noktasıdır.

Sonuç: Bir güvenlik alanı olarak giyilebilir tedavi, bir ayaknote değil

Giysilenebilir BYOD geçici bir eğilim değildir. Çevre bilişimine yönelik daha geniş bir değişim parçasıdır, kimlik kullanıcıları cihazlar, sensörler ve uzaylar boyunca takip eder. IT uzmanları için, doğru yaklaşım ne panik ne de inkar değildir. Disiplinli risk yönetimi: giyilebilirlerin nerede kabul edilebilir olduğunu tanımlamak, tasarım ile ilgili verileri azaltmak, kimlik kontrolleri yoluyla erişim uygulamak ve güvenli alanları ve olay yanıtını operasyonelleştirmek.

Organizasyonlar BYOD'ın ilk sınıf bir parçası olarak giyilebilirler - uzun telefonlar ve dizüstü bilgisayarlar - modern çalışmanın gerçekliğiyle eşleşen daha net görünürlük, daha az sürpriz ve bir güvenlik duruşu kazanırlar.