BYOD-sekuriteit: Wat is die risiko’s en hoe kan dit verminder word?

BYOD-apparaatstapel
Ondanks kommer oor die veiligheidsrisiko’s van Bring Your Own Device (BYOD), het werknemers die afgelope jare die veelvuldige voordele van BYOD geniet. Dit het ook werkgewers wat waarskynlik nie sal keer dat personeel hul eie toerusting na die werk bring of hulle op afstand vir werkdoeleindes gebruik nie. Die uitdaging bly om veiligheidsrisiko’s verbonde aan BYOD te identifiseer en die geskikste oplossings te vind om hierdie risiko’s te verminder. 


Aan die begin – Wie, wat, wanneer en waar?

Elke organisasie het sy eie benadering tot BYOD en moet pasgemaakte beskerming in lyn bring. Hoe word BYOD in u werkplek beoefen? Watter toestelle word gebruik deur Whom, When en Where?

Die oorweging van hierdie oorwegings – Wie, wat, wanneer en waar – is die eerste stap in die formulering van reëls wat kan help om die risiko’s van BYOD te balanseer teen die voordele vir u organisasie en u werknemers. Die voordele is aansienlik. Dit sluit in meer tevrede werknemers, laer hardeware-koste en verhoogde mobiliteit en produktiwiteit vir werknemers op afstand. BYOD was op sy hoogtydperk slim, prakties, koste-effektief, nuwerwets en super-werknemersvriendelik. IT-afdelings het geld gespaar. Werknemers hou daarvan om met gereedskap wat hulle geken het, te werk sonder om hul digitale lewens te beëindig. Dit is nie dat die wiele dan afgeval het nie, maar namate kuberaanvalle toenemend kopnuus maak, is daar vandag nog ‘n vreemde ambivalensie teenoor BYOD. Organisasies het besef dat hulle sekuriteitskoste moet begin opweeg teen die waarde wat BYOD op die finansiële vlak van die onderneming gebring het.

Belangstelling in BYOD-implementering – sien ons uiteindelike gids vir BYOD

Wat is die risiko’s van BYOD??

Behalwe vir die tegniese uitdagings, is veiligheid en privaatheid die primêre BYOD-risiko’s. Tegniese uitdagings sluit in verbinding met wifi, toegang tot netwerkhulpbronne soos gedeelde lêers of drukkers, en die hantering van probleme met toestelleversoenbaarheid.

Beveiliging en privaatheid is die risiko’s wat beide organisasies en werknemers op verskillende maniere in die gesig staar. Organisasies is geneig om meer bekommerd te wees oor die veiligheid van korporatiewe data (en hoe gebruikersgedrag dit bedreig). Werknemers is meer besorg oor die privaatheid en vertroulikheid van hul persoonlike data (en watter regte hul werkgewers het om toegang daartoe te hê).

Veiligheidsrisiko’s

  • Plaaslike blootstelling – Verlies aan beheer en sigbaarheid van die ondernemingsdata wat op ‘n persoonlike toestel oorgedra, geberg en verwerk word. Een van die inherente nadele vir BYOD.
  • Datalekkasie – Potensiële lekkasie of die bekendmaking van ondernemingsdata vanaf ‘n onversekerde toestel
  • Data verlies – Fisiese verlies of diefstal van ‘n toestel (en daardeur die verlies of kompromie van sensitiewe data)
  • Openbare blootstelling – Gevoeligheid vir aanvalle tussen die middel van die middel en die afluister by openbare wifi-hotspots wat gereeld deur afgeleë werkers gebruik word. Koppel aan persoonlike netwerke, bv. gebruik Bluetooth, hou soortgelyke veiligheidsrisiko’s in.
  • Onseker gebruik – Onaanvaarbare gebruik van ‘n BYOD deur ‘n derde party, bv. vriende of familie tuis
  • Kwaadwillige programme – Toestelle met integriteit in die gedrang. ‘N Voorbeeld is toepassings met verskillende vertrouensvlakke wat op dieselfde toestel geïnstalleer is. Byvoorbeeld, stootkennisgewings moontlik maak of ligginggebaseerde dienste moontlik maak. ‘N Kwaadwillige toepassing is moontlik in staat om inter-toepassingsboodskappe te snuif, te verander of te steel en sodoende vertroude toepassings op die toestel in die gedrang te bring. Daarbenewens kan selfs programme van amptelike appwinkels in die gedrang kom. In 2015 het Wired berig dat Apple meer as 300 stukke sagteware uit die appwinkel verwyder het. Dit nadat malware wat die hulpmiddelstel vir ontwikkelaars geteiken het, daarin slaag om besmette iOS-programme te skep.
  • Rogue-programme – Deur worteltoegang tot mobiele toestelle te verkry, bestaan ​​die risiko dat gebruikers (ook bekend as “skurwe werknemers”) veiligheidsbeperkings kan omseil. In sommige gevalle kan hulle skurwe programme installeer.
  • Kruisbesmetting – Net een van die (baie) risiko’s om persoonlike en korporatiewe inligting op dieselfde toestel te huisves. Korporatiewe data kan per ongeluk uitgevee word.
  • OS-spesifieke sekuriteitsaanpassing – “Jailbreaking”, “root” en “unlock” is drie gewilde prosedures wat gebruikers op persoonlike toestelle kan uitvoer om die konfigurasiebeperkings van verkopers te verwyder. Dit maak hulle kwesbaarder vir onsekere toepassings. Hulle kan moontlik toegang hê tot toestelsensors (bv. Mikrofoon, kamera) of sensitiewe data wat op die toestel gestoor is sonder beperkings.  
  • Insider aanvalle – Die kwesbaarheid van insider-aanvalle is moeilik om te voorkom, aangesien dit in die plaaslike netwerk (LAN) van ‘n organisasie met behulp van ‘n geldige gebruikersprofiel voorkom

Privaatheidsprobleme

Omdat BYOD’s toegang tot bedieners en netwerke het, kan maatskappye wettiglik toegang daartoe kry. Aanvanklik was daar groot besorgdheid oor werknemers rakende privaatheid. Hierdie bekommernisse het ingesluit of maatskappye die vermoë en die reg sou hê om privaat korrespondensie te gebruik en die manier waarop hulle die internet privaat gebruik het, te beperk. toegang tot sosiale media-webwerwe. Maar kenners stem amper saam dat werkgewers nie almal belangstel in wat werknemers in hul vrye tyd doen nie. Hulle is meer geïnteresseerd in die vraag of wat hulle doen, die maatskappy se veiligheid op die een of ander manier kan benadeel. Dit is redelik duidelik dat daar ‘n goeie lyn is as dit kom by hoe diep organisasies persoonlike inligting kan, moet en moet ondersoek. Die feit is:

  • litigasie – Mobiele toestelle van werknemers kan onderworpe wees aan ‘n versoek om ontdekking in die konteks van ‘n litigasie wat ‘n organisasie behels
  • Verlies van persoonlike data – Die BYOD-sekuriteit van ‘n maatskappy kan staatmaak op sagteware wat nie onderskeid tref tussen persoonlike en korporatiewe data nie. Dus, as daar ‘n waargenome sekuriteitsbreuk is, kan alles op die toestel – persoonlik en korporatief – outomaties uitgevee word (genoem afvee genoem). Dit is ‘n bietjie moeilik as u die video’s van die geboorte van u eerste kind nie rugsteun nie.
  • Groot broer – Alhoewel dit nie opsetlik gedoen word soos wat die geval was met Orwell se teenheld nie, sal die IT-afdeling van ‘n maatskappy sekerlik te alle tye ‘n werknemer se fisieke ligging kan naspeur en bewus wees van hul aanlynaktiwiteit.

Die veiligheid van data en privaatheid is waarskynlik die beste in die gesondheidsorgbedryf. Dit is omdat pasiëntdata ‘n besonder winsgewende teiken vir kubermisdadigers is. Die risiko is dat mediese geskiedenis, versekering en finansiële data bestaan, en die identifisering van inligting.

BYOD-sekuriteitstegnologie-afronding

Dit is wat u moet weet oor sommige van die potensiële wapens in u arsenaal.

Bestuur van mobiele toestelle (MDM)

MDM is gewoonlik die eerste hawe vir BYOD-sekuriteit. Onthou egter dat BYOD ‘n eiendomsmodel is. MDM – en Mobile Application Management (MAM) – is eenvoudig soorte sagteware wat ondernemings kan koop en gebruik om BYOD te beveilig. Organisasies kan maklik ‘n derdeparty-MDM-stelsel implementeer. Doen dit soos om alle data van die telefoon af op te vee en die telefoon op te spoor as dit wegraak. MDM is ook baie goed met die segregasie van data. As u werk en persoonlike kontakte in dieselfde adresboek deel, skep dit byvoorbeeld ‘n groot risiko vir datalekkasie. Dit is klaaglik maklik om verkeerdelik ‘n persoonlike kontak as ontvanger te kies en per ongeluk sensitiewe maatskappyinligting te plaas. Hou in gedagte dat MDM die beste werk in samewerking met die NAC-sagteware (Network Access Control) (sien Volgende Gen Netwerk Toegangsbeheer (NAC) hieronder.)

Ondernemingsmobiliteitsbestuur (EMM)

EMM is soortgelyk aan MDM. Die belangrikste verskil is dat MDM alle funksies van die toestel bestuur, terwyl EMM die hele toestel bestuur.

BYOD 1

MDM-stelsels bestuurde toestelle in die BYOD 1-era. Met verloop van tyd het IT-kenners werklike probleme met BYOD’s geïdentifiseer en hul strategie verander. Die probleem was die uiteenlopende risiko wat werknemers en organisasies inhou deur korporatiewe en persoonlike inligting op dieselfde telefoon te hê. Werknemers hou die bedreiging in vir hul privaatheid en organisasies is bekommerd oor sekuriteitsoortredings van korporatiewe data.

BYOD 2

Voer BYOD 2 en Mobile Application Management (MAM) in. MAM het toepassings bestuur eerder as volledige toestelle. Werknemers kon voel dat hul persoonlike gegewens privaat was en dat hulle beheer oor hul toestelle gehad het (heck, hulle het daarvoor betaal, het hulle nie?) Vir hul kant het organisasies nou net nodig gehad om hulself te bekommer oor die beheer, bestuur en sekuriteit van ondernemingsdata en toepassings, eerder as persoonlike inhoud.

Mobiele toepassingsbestuur (MAM)

Maar werk MAM? Een probleem is dat dit moeilik is vir MAM om programme van amptelike appwinkels te bestuur. Om hierdie probleem op te los, het MAM-verkopers probeer om gewone apps van die rak af te vou met hul eie laag sekuriteit, kodering en beheer. Die probleem is dat ‘n IT-afdeling ‘n iOS- of Android-app moet “verpak”, hulle die oorspronklike pakketlêers van die app moet kry van wie ook al die app geskryf het. Die meeste app-ontwikkelaars hou egter nie daarvan om hierdie lêers weg te gee nie. Alternatiewelik het MAM-verskaffers hul eie veilige weergawes geskryf van die programme wat gebruikers wou aflaai. Dit het die voorwerp ietwat verslaan. Per slot van rekening is een van die voordele van BYOD die vryheid om ‘n mens se toestel te gebruik op die manier waarop jy daaraan gewoond is. Dit was een van die dryfkragte vir die neiging na BYOD. Maatskappye soos IBM wat gratis Blackberry’s uitgereik het, het gou besef dat werknemers verkies en gemakliker was met hul persoonlike iOS- en Android-toestelle.

Hou van virtuele hosted desktop (VHD)

VHD skep ‘n volledige tafelafbeelding met die bestuurstelsel, alle toepassings en instellings. Enige masjien het toegang tot die tafelblad, met verwerking en berging wat op ‘n sentrale bediener plaasvind. ‘N Voorbeeld is Office 365. Vir afgeleë werkers was die grootste probleem met hierdie model minder as die ideale werkverrigting. Dit het slegs gewerk vir basiese kantoortoepassings soos woordverwerking, sigblaaie en basiese boodskappe. VHD-houer plaas inheemse toepassings binne ‘n veilige sone op ‘n toestel. Dit isoleer en beskerm dit effektief teen sekere funksies, soos draadlose netwerkverbindings, USB-poorte, of toestelkameras. Die grootste probleem met VHD-houer is die veiligheidsprobleme wat verband hou met die berging van klante.

Volgende Gen Netwerk Toegangsbeheer (NAC)

In die ou tyd het Windows-bedieners maklik statiese gebruikersmasjiene beheer en was dit baie beperkend. Die beheer van netwerktoegang is deesdae ingewikkelder omdat u met draadlose BYOD’s met verskillende bedryfstelsels te doen het.

Moderne NAC-sagteware – genaamd Next Gen NAC – verifieer gebruikers, implementeer sekuriteitstoepassings (bv. Firewall en antivirus) en beperk die beskikbaarheid van netwerkhulpbronne vir eindpunttoestelle in ooreenstemming met ‘n bepaalde sekuriteitsbeleid, spesifiek vir mobiele toestelle. NAC is ‘n regte reël vir reëls en kan risikobepalings uitvoer op grond van die kenmerke Wie, Wat, Wanneer en Waar van beide die gebruiker en die toestel. Administrateurs kan streng beleid vir toegang tot korrelvorme skep en outomaties afdwing. Byvoorbeeld, ‘n gebruiker- / toestelkombinasie wat tydens die normale werksure volkome wettig is, sal moontlik nie na ure outomaties toegang tot dele van die stelsel kry nie. Terloops, in die bedryf word dit dikwels na verwys as rolgebaseerde toegangsbeheer (RBAC). Volgende Gen NAC vereis dat die netwerk die identiteit van ‘n gebruiker erken. Dit gee hulle slegs toegang tot die bronne wat nodig is deur streng reëls vir gebruikersrol toe te pas.

Kortom, NAC beheer die gebruikers wat toegang het tot sekere soorte data. Dit werk die beste in samewerking met MDM, wat organisasies in staat stel om sekuriteitsbeleide op werknemers se toestelle te monitor, bestuur, beveilig en toe te pas.

Voorkoming van verlies van data (DLP)

DLP is ‘n strategie om seker te maak dat eindgebruikers nie potensiële sensitiewe of kritiese inligting buite die korporatiewe netwerk stuur nie. Namate inligting geskep word, kan DLP-instrumente ‘n gebruiksbeleid daarvoor toepas, of dit nou ‘n lêer, e-pos of toepassing is. Dit kan byvoorbeeld inhoud identifiseer wat ‘n sosiale sekerheidsnommer of kredietkaartinligting bevat. Soos Next Gen NAC, is DLP ‘n plakker vir reëls. Dit klap eers ‘n digitale watermerk op sensitiewe data. Dit monitor dan hoe, wanneer en deur wie toegang tot hierdie data verkry en / of oorgedra word. Verskillende ondernemings het verskillende soorte sensitiewe data. Daar is generiese oplossingspakke wat inligting rig wat algemeen as vertroulik beskou word, bv. die gebruik van die woord “vertroulik” in ‘n e-pos. DLP-sagteware kan die gebruik van die woord “vertroulik” opspoor en aksies uitvoer, bv. kwarantyn die e-pos. Die belangrikste nadeel van DLP is dat reëls wat swak geïmplementeer is die gebruikerservaring negatief kan beïnvloed. Byvoorbeeld, waar ‘n ondersteuningsrol nie toegang tot sekere toepassings of data buite die werksure kan kry nie.

BOYD-oplossinglys

Daar is ‘n aantal maatreëls wat organisasies kan tref om BYOD-risiko’s te verminder:

  • A omvattende strategie is die beste benadering, hoewel u kennis neem van die gebruik van Who, What, When en Where BYOD van u organisasie. Omvattend behoort paringsoplossings te bevat wat die beste werk wanneer dit in tandem geïmplementeer word, soos MDM en NAC.
  • Daarbenewens moet oplossings die volgende insluit praktiese reëls wat nie opdringerig of kleinlik is nie. Byvoorbeeld, as u DLP-instrument ‘n uitgaande e-pos identifiseer wat die woord ‘vertroulik’ bevat, kan dit te veel wees om die boodskap van die gebruiker reg te vee. Vlag dit eerder vir ‘n opvolgondersoek. (Sien Vee af op afstand hieronder.)

Vee af op afstand

Veeveeg is die fasiliteit om data van ‘n toestel af uit te vee. Dit behels die oorskryf van gestoorde data om forensiese herstel te voorkom, en om die toestel in die oorspronklike fabrieksinstellings terug te sit, sodat enige data wat daarop beskikbaar is, vir niemand ontoeganklik is nie,.

‘N Voorval waarby Peter Bauer se dogter, uitvoerende hoof van Mimecast, destyds wyd op die internet berig is. Terwyl sy op die vakansie met haar pa se slimfoon speel, het sy verskeie verkeerde wagwoorde ingevoer. Dit het daartoe gelei dat die afvee-funksie van die telefoon geaktiveer is, en al die foto’s wat hy tydens die reis geneem het, verwyder. Alhoewel ‘n afvee-funksie ‘n nuttige veiligheidsmaatreël is om data op ‘n verlore of gesteelde toestel te beskerm, kan die gebruik daarvan daartoe lei dat die data van ‘n werknemer onnodig uitgewis word. Die oplossing: organisasies moet ‘n veiligheidsbalans skep tussen persoonlike en werkverbruik van BYOD-toestelle. As hulle gewaarsku word oor ‘n moontlike oortreding van sekuriteit, eerder as om die data van ‘n toestel outomaties uit te vee, kan die sekuriteitsadministrateurs fisiek bevestig dat dit verlore of gesteel is. Dit is net ‘n telefoonoproep.

Risiko-profilering

Organisasies moet hul eie vereistes vir databeskerming verstaan. Dit geld veral in gereguleerde omgewings, waar daar voldoeningsvereistes kan wees, en ‘n risikoprofiel saamstel. Internasionale implementerings- en voldoeningsvereistes is byvoorbeeld twee scenario’s waar BYOD-risikovlakke veral hoog is.

Op die hoogte bly

Werk gereeld bedryfstelsels, blaaiers en ander toepassings op met die nuutste sekuriteitsreëlings. Die Panama Papers-debakel was een van die grootste datalekkasies in die geskiedenis, wat, volgens sekuriteitskenners, veroorsaak word deur kwesbaarhede in verouderde sagteware.

‘N Ander aspek om op datum te bly, is om seker te maak dat die toestelle van werknemers wat die maatskappy verlaat, op die regte manier afgevee word van korporatiewe data. As dit nie so is nie, kan die risiko dat enige data oortree word, die toekoms tot in die toekoms voortduur. Wat gebeur byvoorbeeld as ‘n oud-werknemer hul toestel verkoop? En het ons genoem dat die ontevrede werknemers wat toegang tot ondernemingsgeheime en intellektuele eiendom kan veroorsaak, kan veroorsaak? Sensitiewe korporatiewe data haal ‘n premieprys op die Dark Web.

Isoleer data

Dit is ‘n goeie idee om toegang tot ondernemingsdata te beperk volgens die aard van die werknemer se rol. Dit is waar Next Gen NAC inkom. Slimmer data-voorsiening verseker minimum noodsaaklike toegang tot sensitiewe data. Boonop kan segregasie en VPN’s voorkom dat sensitiewe data na ure via dodgy public wireless hotspots uitgelek word.

Apparaatopsporing

Moenie die waarde van die goeie outydse sleutel- en hangslot-sekuriteitstrategie onderskat nie. Coca-Cola het ‘n data-oortreding gehad toe ‘n werknemer in die loop van ‘n aantal jare baie skootrekenaars gesteel het, wat ‘n aantal data-oortredings tot gevolg gehad het. Coca-cola het nie eens agtergekom dat die skootrekenaars gesteel is nie. Die oplossing is dat ondernemings ‘n streng beleid vir opsporing van toestelle implementeer. Op hierdie manier weet hulle altyd waar die maatskappy se toestelle is of dit nie gebruik word nie. Nog ‘n goeie praktyk is die implementering van ‘n toesigstelsel wat alle toestelle wat die perseel van die onderneming binnekom en verlaat, kan monitor. Sluit besoekers se toestelle in by die toesigstelsel.

Die skurkwerker ingekort

Die skurkwerknemer is ‘n unieke wese in die stedelike oerwoud. Of hy glo ten minste dat dit so is. Dit is die persoon wat nie verplig is om die reëls van die samelewing soos die res van ons te volg nie. Byvoorbeeld, hierdie persoon glo miskien dat hy beter ry as hy onder die invloed van alkohol is. Op die werkplek het die skelm bestuurder ‘n soortgelyke miskenning van beleid en reëls.

In 2013 het TechRepublic berig dat 41 persent van die Amerikaanse mobiele sakegebruikers onbeheerde dienste gebruik het om lêers te deel of te sinkroniseer. 87 persent het erken dat hulle bewus was daarvan dat hul onderneming ‘n beleid vir die deel van dokumente het wat hierdie praktyk verbied.  

Data-oortredings op hul laagste vlak is te wyte aan menslike foute. Een van die oplossings is gereelde, intensiewe sekuriteitsopleiding vir alle rolle, van uitvoerende hoof tot teemaker. Dit bring ons by veiligheidsbewustheid.

Opleiding vir veiligheidsbewustheid

Die verhaal oor die veiligheidspan by ‘n organisasie sonder winsoogmerk wat ook deur TechRepublic gerapporteer is, het onlangs vasgestel dat verskeie spanne wat Dropbox gebruik sonder toestemming van die IT-stelsel, gekap is. Die span het baie sinvol met DropBox gekontak. Hulle het telefonies aan die CSR gesê dat hulle meer wil weet oor hoe hul organisasie die platform gebruik. Die telefoonopvoerder het meer inligting aangebied as wat hulle verwag het en het gesê: ‘Ons het ‘n lys van 1600 gebruikersname en hul e-posadresse. Wil u die lys hê? ‘ Die wolkberg-verkoper was duidelik die meeste geïnteresseerd in die verkope van die ondernemingsweergawe en was bereid om ‘n klantelys te deel sonder om die persoon wat geskakel het, te verifieer. Die verteenwoordiger is ingeskryf op ‘n kursus vir bewustheid van bewusmaking ná hierdie voorval … ons hoop.

As dit nie neergeskryf word nie, bestaan ​​dit nie

Volgens ‘n AMANET-opname spoor 45 persent van die werkgewers inhoud, toetsaanslagen en tyd aan die klawerbord. Om dit egter in perspektief te plaas, stel 83 persent van die organisasies werkers in kennis dat die onderneming inhoud, toetsaanslagen en tyd aan die klawerbord monitor. 84 persent laat werknemers weet dat die maatskappy rekenaaraktiwiteit beoordeel. 71 persent waarsku werknemers teen e-posmonitering.

Wat BYOD betref, moet ondernemings aanvaarbare gebruiksbeleide en prosedures ontwikkel wat grense duidelik kommunikeer. Dit moet die gevolge van beleidsoortredings eksplisiet beskryf. BYOD het wedersydse vertroue tussen ‘n organisasie en sy werknemers nodig – datasekuriteit aan die een kant en die beskerming van persoonlike inligting aan die ander kant. Maar dit is van min gevolg as ‘n data-oortreding tot litigasie lei.

Ondernemings moet ‘n formele registrasie- en voorsieningsproses instel vir toestelle wat deur werknemers besit word voordat hulle toegang tot enige ondernemingshulpbronne verleen. Werknemers moet erken dat hulle die spelreëls verstaan.

Wat moet ingesluit word:

  • Aanvaarbare gebruik, insluitend toegang tot sosiale media  
  • Sekuriteitsprosedures (soos wagwoordopdaterings en kodering) en riglyne vir insidentrespons
  • Finansiële gebruiksvoorwaardes (indien moontlik terugbetalings)
  • Reëls rakende verlies van toestelle en data
  • Watter monitering kan plaasvind
  • Watter toestelle word toegelaat of nie?

Wat die aanneming van BYOD voorkom – sekuriteit of ambivalensie?

Hoe algemeen is BYOD regtig?

Toe BYOD die eerste keer in 2009 gewild geword het, het 67 persent van die mense persoonlike toestelle in die werkplek gebruik. Slegs 53 persent van die organisasies het berig dat ‘n beleid ingestel is wat sulke aktiwiteite eksplisiet toelaat, volgens ‘n Microsoft-opname in 2012. In die ry het dinge nie veel verander nie. BYOD blyk steeds in ‘n toestand te wees. Kom ons kyk na die syfers.

Uit ‘n wêreldwye opname van GIO’s deur Gartner, Inc., was 38 persent van die ondernemings wat na verwagting sal ophou om toestelle aan werkers te lewer teen 2016. Die navorsingsreus het voorspel dat die helfte van alle werkgewers teen 2017 die werknemers sou benodig om hul eie toestel vir werksdoeleindes. Daar is min, indien enige, aanduidings dat dit wel gebeur het.

In ‘n 2015 CompTIA (betaalmuur) opname – ‘Building Digital Organisations’ – is bevind dat 53 persent van private ondernemings BYOD verbied. Sewe persent van die ondervra het gesê dat hulle ‘n volledige BYOD-beleid toestaan. ‘N Volledige beleid beteken dat die onderneming geen verantwoordelikheid vir toestelle aanvaar nie. 40 persent het ‘n gedeeltelike BYOD-beleid toegelaat. Met ‘n gedeeltelike beleid bied ‘n maatskappy sommige toestelle aan, maar laat sekere persoonlike toestelle toegang tot korporatiewe stelsels.

‘N 2016-ondersoek deur Blancco (betaalmuur) -‘ BYOD and Mobile Security ‘- het meer as 800 professionele kuberveiligheidspersoneel ondervra wat deel was van die inligtingveiligheidsgemeenskap op LinkedIn. Die studie het bevind dat 25 persent van die ondervraagde organisasies geen planne gehad het om BYOD te ondersteun nie, nie BYOD aangebied het nie, of dat hulle BYOD probeer het, maar dit laat vaar het. Die studie het bevind dat sekuriteit (39 persent) die grootste remmer van BYOD-aanneming was. Kommer oor die privaatheid van werknemers (12 persent) was die tweede grootste remmer.

Ten slotte: andersdenkendes kan vergewe word dat hulle BYOD in ‘n sekere mate oorweeg het.

BYOD is ‘n winsgewende mark, maar vir wie?

Uit ‘n opname oor markte en markte (loonmuur) is aangedui dat die markgrootte van die BYOD- en ondernemingsmobiliteit van 35,10 miljard dollar in 2016 sal groei tot 73,30 miljard dollar teen 2021. Dit wil voorkom asof daar veelvuldige geleenthede is vir verkopers om (finansieel winsgewende) risiko-versagtende toepassings te produseer en BYOD bestuur sagteware.

Die Blancco-studie het ook bevind dat veiligheidsbedreigings vir BYOD gesien word as die groot finansiële laste van organisasies se IT-hulpbronne (35 persent) en hul werkslading (27 persent). Maar 47 persent van die respondente het gesê dat verlaagde koste die voordeel van BYOD is. Ondanks die waargenome voordele en kommer oor die veiligheidsrisiko’s van BYOD, het slegs 30 persent van die respondente gesê dat hulle hul BYOD-begroting in die volgende 12 maande sal verhoog. Hierdie syfers dui aan dat dit nie net veiligheidsrisiko’s is wat organisasies verhoed om BYOD heelhartig aan te neem nie.

BYOD alternatiewe

Kies u eie toestel (CYOD)

CYOD is ‘n toenemend gewilde opsie by groter organisasies. Anders as BYOD waar die gebruiker enige toestel kan gebruik, moet organisasies die gebruik van CYOD goedkeur. Vooraf gekonfigureerde toestelle moet al die toepassings bevat wat nodig is vir die produktiwiteit van werknemers. Deur te besluit watter toestelle sy werknemers kan kies, weet ‘n onderneming presies wat die veiligheidsbepalings van elke toestel is. Die maatskappy weet ook watter weergawe van watter sagteware elke toestel het. Dit kan verseker wees dat al sy eie programme en sagteware regdeur die maatskappy versoenbaar en konsekwent is.

Korporatief besit, persoonlik ingeskakel (COPE)

Met die COPE-model betaal ondernemings vir hul werknemers se slimfone. Die besigheid behou die eienaarskap van die toestelle. Net soos op ‘n persoonlike toestel, kan werknemers persoonlike e-posse stuur en toegang tot sosiale media verkry, ens. Die nadeel is dat beheermaatreëls kan verhoed dat die korporatiewe data buite die gestelde parameters op die telefoon beskikbaar is. Dit kan die voorwerp vir afgeleë werkers verslaan.

Hoe doen die groot ouens dit?

Vir baie kleiner ondernemings lyk dit asof BYOD die olifant in die kamer is. Wat die groot ouens in gemeen het, is ‘n plan en ‘n oog op die onderste lyn.

‘N Paar Fortune 500-ondernemings – Gannett, NCR Corporation, The Western Union Company en Western Digital – het hul BYOD-beleid met Network World gedeel. Hulle het gesê dat hulle seker gemaak het om veilige toegangsprosedures in plek te stel voordat mobiele toestelle op hul LAN’s toegelaat word. Hul beste BYOD-sekuriteitspraktyke was:

  • BYOD-gebruikers moet ‘n korporatiewe goedgekeurde antivirusprogrammatuur installeer
  • IT-administrateurs moet ook om veiligheidsredes toegang hê tot werknemers BYOD’s. Redes was onder meer die uitvoer van afdroogdoeke (genaamd “gifpil” -tegnologie) van verlore of stoen toestelle, of om te soek na veiligheidsbedreigings.
  • Sommige ondernemings vereis dat werknemers PIN-slotte op hul toestelle gebruik
  • Die meeste maatskappye vereis dat gebruikers hul toepassing van mobiele toestelle (MDM) op selfone, tablette en phablets laai
  • Sommige ondernemings, soos NCR, verbied die gebruik van persoonlike e-posrekeninge vir besigheidsdoeleindes
  • NCR verbied ook die berging van besigheidsmateriaal of inligting op internet- of wolkwebwerwe, tensy dit uitdruklik gemagtig is

Google

Google het ‘n toeganklike toeganklike benadering wat faktore in toesteltoestand, eienskappe van toestelle, groeptoestemmings en die vereiste vlak van vertroue vir ‘n spesifieke werknemerrol het. Daar is vier vlakke:

  • vertrou – Geen Google-data of korporatiewe dienste nie (in die algemeen)
  • Basiese toegang – Dienste met beperkte vertroulike en noodsaaklike blootstelling aan data (bv. Kampuskaarte en busskedules) en HR-data vir die versoeker
  • Bevoorregte toegang – Dienste met vertroulike maar nie noodsaaklike data nie (bv. Foutopsporing) en HR-data met toegang tot bestuurdervlak
  • Baie bevoorregte toegang – Toegang tot alle korporatiewe dienste, insluitend dienste wat vertroulike of noodsaaklike inligting bevat

Volgens Google benader hierdie benadering die tradisionele aannames dat private of ‘interne’ IP-adresse ‘n ‘meer vertroude’ toestel is as dié wat van die internet afkomstig is. Dit maak toegang tot korrelvorme toegepas en gee ‘n presiese manier om risikodrempels uit te druk. Gebruikers het die buigsaamheid om ‘n verskeidenheid toestelle te gebruik en kies minder veilige konfigurasies vir hul gemak (soos ‘n langer tyd om die skerm te ontsluit of die PIN volledig te verwyder). Hulle kan ook kies vir verskillende vlakke van ondernemingsbestuur. Die toegang van die gebruiker tot ondernemingsdienste sal afhang van die toestel, die huidige toestand en opset en die gebruikerverifikasie daarvan.  

IBM

By IBM sluit die riglyne vir die gebruik van regte ‘n aantal dienste uit wat werknemers gereeld op hul eie toestelle gebruik, maar bied wel interne alternatiewe. Gereelde dienste sluit in DropBox, e-posuitstuur, stemaktiveerde persoonlike assistent Siri, en openbare lêeroordragprogramme soos Apple se iCloud. Die probleem is dat as IBM (of enige ander maatskappy) hierdie toestelle gaan verwyder van die dinge wat gebruikers aanvanklik gelok het, is die kans goed dat die toestelle glad nie meer vir werk gebruik word nie.

Colgate

Toe Colgate sy BYOD-program instel, het die maatskappy beraam dat hy $ 1 miljoen per jaar sou bespaar. Dit is die koste van lisensiegeld wat BlackBerry-vervaardiger Research in Motion sou moes betaal as die toestelle onder korporatiewe besit was.

Die belangrikste punt – Wie, wat, wanneer en waar?

Die probleem om die bedreigings wat verband hou met afstandbehandeling en BYOD te hanteer, is om ‘n netwerk te hê wat kontekstueel bewus is. ‘N Kontekbewuste netwerk is die een wat die bron en aard van verkeer kan identifiseer – volgens ligging, tipe toestel en gedrag, bv. of dit normaal of verdag is. Deur moontlike bedreigings te identifiseer, kan die stelsel ‘n intelligente besluit neem oor hoe om te reageer. Dit laat byvoorbeeld nie toegang tot ‘n toestel toe wat nie op dieselfde geografiese plek is as ‘n ander toestel wat aan dieselfde gebruiker behoort nie. Of dit kan ‘n beperkte toegang tot ‘n gebruiker wat via openbare Wi-Fi aanmeld, moontlik maak. Dit kan ook toegang tot sekere lêers of dele van die netwerk beperk.

‘N Paar dinge wat u moet onthou:

  • Dit is moeilik om BYOD-voorregte in die werkplek te herroep
  • Dit is nie goed om die baba met die badwater uit te gooi deur BYOD te beperk tot die mate waarin dit nie meer die bedoelde waarde het nie
  • BYOD is eintlik een van die minste van die bedreigings wat organisasies deur kubermisdadigers in die gesig staar. ‘N FBI-verslag – “Internet Misdaadverslag 2016” – het in 2016 konserwatief die verlies van slagoffer weens kubermisdaad op $ 1,33 miljard geraam.

Die les: stel BYOD in perspektief in terme van waarde teenoor sekuriteitsrisiko, en as u besluit dat dit die moeite werd is, stel praktiese reëls op om dit te laat werk.

“Device stapel” deur Jeremy Keith gelisensieer onder CC BY 2.0

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map