Mobile Device Management (MDM) og BYOD-policyer

Mobile enheter — smarttelefoner og nettbrett — inneholder bedriftens e-post, VPN-legitimasjon, autentiseringsapper og sensitive dokumenter, samtidig som de daglig forlater organisasjonens fysiske sikkerhetsområde. En mistet eller stjålet enhet innebærer en umiddelbar risiko for datainnbrudd. Ansatte bruker også private enheter på jobb (BYOD), slik at bedriftsdata og personlige data blandes på maskinvare organisasjonen ikke har kontroll over. Mobile Device Management (MDM) gir IT-team oversikt over og kontroll over mobile endepunkter, slik at sikkerhetspolicyer kan håndheves uavhengig av hvor enhetene befinner seg.

Tre relaterte akronymer dekker hele spekteret av mobiladministrasjon. MDM (Mobile Device Management) kontrollerer hele enheten: håndhever kryptering, låser skjermer, utfører fjernsletting og distribuerer sertifikater. MAM (Mobile Application Management) administrerer bare bestemte bedriftsapper — nyttig ved BYOD, der full enhetskontroll ikke er hensiktsmessig. EMM (Enterprise Mobility Management) er samlebetegnelsen som omfatter MDM + MAM + Mobile Content Management. Moderne plattformer (Microsoft Intune, Jamf, VMware Workspace ONE) integrerer alle tre funksjonene og administrerer også bærbare og stasjonære datamaskiner sammen med mobile enheter.

Enheter må registreres i MDM før policyer kan brukes. Bedriftseide enheter kan registreres gjennom masseklargjøring: Apple DEP/ABM (Automated Device Enrollment), Android Zero-Touch eller Windows Autopilot tildeler automatisk en MDM-profil ved første oppstart — enheten administreres før den ansatte i det hele tatt tar på den. BYOD-registrering krever at den ansatte installerer en Company Portal-app eller skanner en QR-kode. MDM-profilen installerer et administrasjonssertifikat som gjør det mulig for MDM-serveren å sende policyer til enheten, slette den eller hente status for samsvar.

Når enheten er registrert, håndhever MDM sikkerhetspolicyer på enheten. Krav til passkode/PIN: minimumslengde, kompleksitet og låsing etter mislykkede forsøk. Kryptering: håndhev kryptering av hele enheten (FileVault, BitLocker, Android FBE). Tidsavbrudd for skjermlåsing: maksimalt 5 minutter uten aktivitet før låsing. Deteksjon av jailbreak/root: flagg eller sett kompromitterte enheter automatisk i karantene. Minimumskrav til OS-versjon: blokker enheter som kjører utgåtte OS-versjoner, fra å få tilgang til bedriftsressurser. Liste over tillatte/blokkerte apper: tillat bare godkjente apper på bedriftseide enheter.

Fjernsletting er muligheten IT har til å slette alle data på en mistet eller stjålet enhet. MDM-plattformer tilbyr to typer: full sletting (tilbakestilling til fabrikkinnstillinger, alle data slettes) og selektiv sletting (fjerner bare bedriftsdata — e-post, VPN-profiler og administrerte apper — mens personlige bilder og apper beholdes). Ved BYOD er selektiv sletting avgjørende fordi ansatte ikke har samtykket til å miste personlige data. Ved å kombinere fjernsletting med posisjonssporing kan man avklare om en enhet faktisk er mistet eller stjålet før slettingen utløses, slik at utilsiktet datatap reduseres.

MDM kan distribuere digitale sertifikater i bakgrunnen til administrerte enheter, slik at sterk autentisering kan brukes uten medvirkning fra brukeren. Bruksområder: Wi-Fi 802.1X-sertifikater som autentiserer enheten mot bedriftens WLAN uten en delt passfrase, VPN-klientsertifikater for sertifikatbasert VPN-autentisering og sertifikater for e-postsignering/kryptering (S/MIME) for ende-til-ende-sikkerhet i e-post. Sertifikater som utstedes av bedriftens PKI og distribueres via MDM, unngår svakheten ved PSK-baserte Wi-Fi-nettverk, der én enkelt delt nøkkel gir alle enheter på nettverket tilgang.

En BYOD-policy regulerer hvordan private enheter kan få tilgang til bedriftsressurser. Viktige elementer i policyen er: kvalifikasjonskrav (støttede OS-versjoner og enhetstyper), krav om registrering (obligatorisk MDM- eller MAM-registrering før tilgang), dataseparasjon (bedriftsdata bare i administrerte apper eller containere), grenser for brukerstøtte (IT hjelper med bedriftsapper, ikke med problemer på private enheter), personvernerklæring (hvilke data MDM samler inn fra enheten — appbeholdningen er vanlig å samle inn, men personlige bilder er det ikke) og avslutningsprosedyre (selektiv sletting når den ansatte slutter).

Verktøy for Mobile Threat Defense (MTD) (Lookout, Zimperium, Microsoft Defender for Endpoint on mobile) tilfører atferdsbasert trusseldeteksjon på mobile enheter, på samme måte som EDR på stasjonære datamaskiner. MTD oppdager: ondsinnede apper, nettverksangrep (MITM på usikret Wi-Fi), utnyttelse av sårbarheter på OS-nivå og unormal enhetsatferd. MTD integreres med MDM, slik at en trusseldeteksjon automatisk markerer enheten som ikke i samsvar, og blokkerer tilgang til bedriftsressurser via Conditional Access inntil trusselen er løst. Dette lukker gapet som grunnleggende MDM-samsvarspolicyer etterlater.

Mobile enheter som får tilgang til bedriftsressurser utenfor kontoret, bør bruke en mobil-VPN eller VPN per app som bare tunnelerer trafikk fra bestemte apper. VPN per app (støttet av MDM) ruter trafikk fra administrerte apper gjennom VPN, mens trafikk fra personlige apper går direkte til internett — noe som reduserer personvernbekymringer og VPN-båndbredde. Kombinert med policyer for Conditional Access (Azure AD, Okta) kan organisasjoner kreve at en enhet er MDM-registrert og i samsvar før den får tilgang til bedrifts-e-post, SharePoint eller interne applikasjoner.

MDM kan samle inn betydelige mengder data om en enhet: posisjonshistorikk, installerte apper, nettverkstilkoblinger og statistikk over enhetsbruk. På BYOD-enheter skaper dette en spenning mellom bedriftens sikkerhetsbehov og de ansattes personvern. God praksis er å opplyse tydelig om hva MDM samler inn i BYOD-policyen før registrering, bruke bare MAM for BYOD for å unngå tilgang til personlige partisjoner og unngå å aktivere kontinuerlig posisjonssporing på private enheter. I enkelte jurisdiksjoner er arbeidsgiveres overvåking av private enheter rettslig begrenset. Juridisk gjennomgang av BYOD-policyen før utrulling er avgjørende i globale organisasjoner.

Et alternativ til full MDM på BYOD er en tilnærming med et containerbasert arbeidsområde. Løsninger som Samsung Knox, BlackBerry Dynamics og Microsoft Managed Home Screen oppretter en kryptert, administrert container på enheten. Bedriftsapper og bedriftsdata ligger i containeren, mens personlige apper ligger utenfor. IT kan slette bare containeren, slik at personlige data beholdes. Containeren håndhever egen PIN, kryptering og app-policy, uavhengig av innstillingene i enhetens OS. Dette gir sterk sikkerhet uten å kreve MDM-registrering på enhetsnivå.

I denne leksjonen lærte De at MDM håndhever retningslinjer for kryptering, passordkoder, låsing og samsvar på mobile enheter, med mulighet for fjernsletting, at BYOD-retningslinjer balanserer virksomhetens sikkerhet mot de ansattes personvern ved hjelp av selektiv sletting og administrasjon som bare bruker MAM, og at MDM kombinert med Conditional Access sikrer at bare registrerte enheter som oppfyller kravene, får tilgang til virksomhetens ressurser. Deretter skal vi se nærmere på vertsbaserte brannmurer og tillatelseslister for applikasjoner.