Mobiililaitteiden hallinta (MDM) ja BYOD-käytännöt

Mobiililaitteet — älypuhelimet ja tabletit — sisältävät yrityksen sähköpostia, VPN-tunnistetietoja, todennussovelluksia ja arkaluonteisia asiakirjoja, mutta poistuvat organisaation fyysiseltä suoja-alueelta päivittäin. Kadonnut tai varastettu laite aiheuttaa välittömän tietomurron riskin. Työntekijät käyttävät työssä myös henkilökohtaisia laitteita (BYOD), jolloin yrityksen ja henkilökohtaiset tiedot yhdistyvät laitteessa, jota organisaatio ei hallitse. Mobile Device Management (MDM) antaa IT-tiimeille näkyvyyden mobiilipäätepisteisiin ja mahdollisuuden hallita niitä, jotta suojauskäytännöt voidaan panna täytäntöön riippumatta siitä, missä laitteet liikkuvat.

Kolme toisiinsa liittyvää lyhennettä kattavat mobiililaitteiden hallinnan eri osa-alueet. MDM (Mobile Device Management) hallitsee koko laitetta: salauksen käyttöönottoa, näytön lukitusta, etätyhjennystä ja varmenteiden jakelua. MAM (Mobile Application Management) hallitsee vain tiettyjä yrityssovelluksia — tämä on hyödyllistä BYOD-ympäristöissä, joissa laitteen täydellinen hallinta ei ole asianmukaista. EMM (Enterprise Mobility Management) on kattotermi, joka sisältää MDM:n, MAM:n ja Mobile Content Managementin. Nykyaikaiset alustat (Microsoft Intune, Jamf, VMware Workspace ONE) yhdistävät kaikki kolme ominaisuutta ja hallitsevat mobiililaitteiden ohella myös kannettavia ja pöytätietokoneita.

Laitteet on rekisteröitävä MDM:ään ennen kuin käytännöt voidaan ottaa käyttöön. Organisaation omistamat laitteet voidaan rekisteröidä massakäyttöönotolla: Apple DEP/ABM (Automated Device Enrollment), Android Zero-Touch tai Windows Autopilot määrittää MDM-profiilin automaattisesti ensimmäisen käynnistyksen yhteydessä — laitetta hallitaan jo ennen kuin työntekijä koskee siihen. BYOD-rekisteröinti edellyttää, että työntekijä asentaa Company Portal -sovelluksen tai skannaa QR-koodin. MDM-profiili asentaa hallintavarmenteen, jonka avulla MDM-palvelin voi työntää käytäntöjä laitteeseen, tyhjentää laitteen tai kysellä vaatimustenmukaisuuden tilaa.

Rekisteröinnin jälkeen MDM valvoo laitteen suojauskäytäntöjä. Pääsykoodi-/PIN-vaatimukset: vähimmäispituus, monimutkaisuus ja lukitus epäonnistuneiden yritysten jälkeen. Salaus: koko laitteen salauksen käyttöönotto (FileVault, BitLocker, Android FBE). Näytön lukituksen aikakatkaisu: lukitus viimeistään 5 minuutin käyttämättömyyden jälkeen. Jailbreak-/root-tunnistus: vaarantuneet laitteet merkitään automaattisesti tai asetetaan karanteeniin. Käyttöjärjestelmän vähimmäisversio: käyttöiän päässä olevia käyttöjärjestelmäversioita käyttävien laitteiden pääsy yrityksen resursseihin estetään. Sallittujen/estettyjen sovellusten luettelo: yrityslaitteissa sallitaan vain hyväksytyt sovellukset.

Etätyhjennys tarkoittaa, että IT voi poistaa kaikki tiedot kadonneesta tai varastetusta laitteesta. MDM-alustat tarjoavat kaksi vaihtoehtoa: täydellinen tyhjennys (tehdasasetusten palautus, kaikki tiedot poistetaan) ja valikoiva tyhjennys (vain yrityksen tiedot — sähköposti, VPN-profiilit ja hallitut sovellukset — poistetaan, kun taas henkilökohtaiset valokuvat ja sovellukset säilyvät). BYOD-ympäristöissä valikoiva tyhjennys on välttämätön, koska työntekijät eivät ole antaneet suostumustaan henkilökohtaisten tietojen menettämiseen. Etätyhjennyksen yhdistäminen sijainnin seurantaan voi auttaa selvittämään, onko laite todella kadonnut tai varastettu ennen tyhjennyksen käynnistämistä, mikä vähentää tahattomien tietojen menetysten riskiä.

MDM voi työntää digitaalisia varmenteita hallittuihin laitteisiin huomaamattomasti, mikä mahdollistaa vahvan todennuksen ilman käyttäjän toimia. Käyttötapauksia ovat Wi-Fi 802.1X -varmenteet, jotka todentavat laitteen yrityksen WLAN-verkkoon ilman jaettua tunnuslausetta, VPN-asiakasvarmenteet varmennetodennukseen perustuvaa VPN-käyttöä varten sekä sähköpostin allekirjoitus- ja salausvarmenteet (S/MIME) päästä päähän -sähköpostisuojaukseen. Yrityksen PKI:n myöntämät ja MDM:n kautta jaetut varmenteet poistavat PSK-Wi-Fi-verkkojen heikkouden: yksi jaettu avain antaa pääsyn kaikille verkon laitteille.

BYOD-käytäntö määrittää, miten henkilökohtaiset laitteet voivat käyttää yrityksen resursseja. Keskeisiä käytännön osa-alueita ovat: kelpoisuus (tuetut käyttöjärjestelmäversiot ja laitetyypit), rekisteröintivaatimus (pakollinen MDM- tai MAM-rekisteröinti ennen käyttöoikeuden myöntämistä), tietojen erottelu (yrityksen tiedot vain hallituissa sovelluksissa tai säilöissä), tuen rajat (IT auttaa yrityssovelluksissa, ei henkilökohtaisen laitteen ongelmissa), tietosuojailmoitus (mitä tietoja MDM kerää laitteesta — sovellusluettelo on tavallinen, mutta henkilökohtaisia valokuvia ei kerätä) sekä poistumismenettely (valikoiva tyhjennys työsuhteen päättyessä).

Mobile Threat Defense (MTD) -työkalut (Lookout, Zimperium, Microsoft Defender for Endpoint on mobile) lisäävät mobiililaitteisiin käyttäytymiseen perustuvan uhkien tunnistuksen, joka vastaa työpöytälaitteiden EDR-ratkaisuja. MTD tunnistaa haitallisia sovelluksia, verkkohyökkäyksiä (MITM-hyökkäykset epäluotettavassa Wi-Fi-verkossa), käyttöjärjestelmätason hyväksikäyttöjä ja poikkeavaa laitteen toimintaa. MTD integroituu MDM:ään, jolloin uhkien tunnistustapahtuma merkitsee laitteen automaattisesti vaatimustenvastaiseksi ja estää pääsyn yrityksen resursseihin Conditional Accessin avulla, kunnes uhka on ratkaistu. Näin korjataan puute, joka jää MDM:n perustason vaatimustenmukaisuuskäytäntöjen ulkopuolelle.

Toimiston ulkopuolelta yrityksen resursseja käyttävien mobiililaitteiden tulisi käyttää mobiili-VPN:ää tai sovelluskohtaista VPN:ää, joka tunneloi vain tiettyjen sovellusten liikenteen. Sovelluskohtainen VPN (MDM:n tukema) reitittää hallittujen sovellusten liikenteen VPN:n kautta, kun taas henkilökohtaisten sovellusten liikenne kulkee suoraan Internetiin — tämä vähentää tietosuojaan liittyviä huolia ja VPN-kaistan käyttöä. Yhdistämällä tämän Conditional Access -käytäntöihin (Azure AD, Okta) organisaatiot voivat edellyttää, että laite on rekisteröity MDM:ään ja vaatimusten mukainen, ennen kuin sille myönnetään pääsy yrityksen sähköpostiin, SharePointiin tai sisäisiin sovelluksiin.

MDM voi kerätä laitteesta merkittäviä määriä tietoja: sijaintihistoriaa, asennettuja sovelluksia, verkkoyhteyksiä ja laitteen käyttötilastoja. BYOD-laitteissa tämä aiheuttaa jännitteen yrityksen tietoturvatarpeiden ja työntekijän yksityisyyden välille. Hyviä käytäntöjä ovat MDM:n keräämien tietojen selkeä ilmoittaminen BYOD-käytännössä ennen rekisteröintiä, pelkän MAM:n käyttäminen BYOD-laitteissa henkilökohtaisten osioiden koskemattomuuden varmistamiseksi sekä jatkuvan sijainninseurannan välttäminen henkilökohtaisissa laitteissa. Joillakin lainkäyttöalueilla työnantajan suorittamaa henkilökohtaisten laitteiden valvontaa on rajoitettu lailla. BYOD-käytännön oikeudellinen tarkastaminen ennen käyttöönottoa on maailmanlaajuisesti toimiville organisaatioille välttämätöntä.

Täyden MDM:n vaihtoehto BYOD-laitteissa on säilöön perustuva työtila. Samsung Knoxin, BlackBerry Dynamicsin ja Microsoft Managed Home Screenin kaltaiset ratkaisut luovat laitteeseen salatun, hallitun säilön. Yrityksen sovellukset ja tiedot sijaitsevat säilön sisällä ja henkilökohtaiset sovellukset sen ulkopuolella. IT voi tyhjentää vain säilön, jolloin henkilökohtaiset tiedot säilyvät koskemattomina. Säilö toteuttaa oman PIN-koodinsa, salauksensa ja sovelluskäytäntönsä laitekäyttöjärjestelmän asetuksista riippumatta, mikä tarjoaa vahvan suojauksen ilman laitetason MDM-rekisteröintiä.

Tässä oppitunnissa opit, että MDM valvoo mobiililaitteiden salaus-, pääsykoodi-, lukitus- ja vaatimustenmukaisuuskäytäntöjä mahdollistaen myös etätyhjennyksen, BYOD-käytännöt tasapainottavat yrityksen tietoturvan ja työntekijöiden yksityisyyden käyttöön ottamalla valikoivan tyhjennyksen ja ainoastaan MAM-hallinnan, ja MDM yhdessä Conditional Accessin kanssa varmistaa, että yrityksen resursseja voivat käyttää vain rekisteröidyt ja vaatimustenmukaiset laitteet. Seuraavaksi tutustumme isäntäpohjaisiin palomuureihin ja sovellusten sallittujen luetteloon lisäämiseen.