Beleid voor Mobile Device Management (MDM) en BYOD

Mobiele apparaten — smartphones en tablets — bevatten zakelijke e-mail, VPN-aanmeldgegevens, authenticatietoepassingen en gevoelige documenten, maar verlaten dagelijks de fysieke beveiligingsgrens van de organisatie. Een verloren of gestolen apparaat vormt direct een risico op een datalek. Werknemers gebruiken op het werk ook persoonlijke apparaten (BYOD), waardoor zakelijke en persoonlijke gegevens worden gecombineerd op hardware die de organisatie niet beheert. Beheer van mobiele apparaten (MDM) geeft IT-teams inzicht in en controle over mobiele eindpunten, zodat ze beveiligingsbeleid kunnen afdwingen, ongeacht waar de apparaten zich bevinden.

Drie verwante afkortingen bestrijken het volledige spectrum van mobiel beheer. MDM (beheer van mobiele apparaten) beheert het hele apparaat: versleuteling afdwingen, schermen vergrendelen, op afstand wissen en certificaten implementeren. MAM (beheer van mobiele toepassingen) beheert alleen specifieke zakelijke toepassingen — nuttig voor BYOD, waarbij volledige controle over het apparaat niet passend is. EMM (beheer van mobiliteit in ondernemingen) is de overkoepelende term voor MDM + MAM + beheer van mobiele inhoud. Moderne platforms (Microsoft Intune, Jamf, VMware Workspace ONE) integreren alle drie de mogelijkheden en beheren naast mobiele apparaten ook laptops en desktops.

Apparaten moeten bij MDM worden ingeschreven voordat beleid kan worden toegepast. Apparaten in eigendom van de organisatie kunnen via bulkprovisioning worden ingeschreven: Apple DEP/ABM (Automated Device Enrollment), Android Zero-Touch of Windows Autopilot wijst bij de eerste keer opstarten automatisch een MDM-profiel toe — het apparaat wordt beheerd voordat de werknemer het zelfs maar aanraakt. BYOD-inschrijving vereist dat de werknemer een Company Portal-toepassing installeert of een QR-code scant. Het MDM-profiel installeert een beheercertificaat waarmee de MDM-server beleid kan pushen, het apparaat kan wissen of de nalevingsstatus kan opvragen.

Na inschrijving dwingt MDM beveiligingsbeleid af op het apparaat. Vereisten voor toegangscode of pincode: minimale lengte, complexiteit en vergrendeling na mislukte pogingen. Versleuteling: volledige apparaatversleuteling afdwingen (FileVault, BitLocker, Android FBE). Time-out voor schermvergrendeling: maximaal 5 minuten inactiviteit voordat het scherm wordt vergrendeld. Detectie van jailbreak of root: gecompromitteerde apparaten automatisch markeren of in quarantaine plaatsen. Minimale versie van het besturingssysteem: apparaten met versies van het besturingssysteem die het einde van hun levensduur hebben bereikt, de toegang tot zakelijke bronnen ontzeggen. Toegestane en geblokkeerde toepassingen: alleen goedgekeurde toepassingen op apparaten van de organisatie toestaan.

Op afstand wissen is de mogelijkheid voor IT om alle gegevens op een verloren of gestolen apparaat te wissen. MDM-platforms bieden twee typen: volledig wissen (fabrieksreset, alle gegevens worden gewist) en selectief wissen (alleen zakelijke gegevens worden verwijderd — e-mail, VPN-profielen en beheerde toepassingen — terwijl persoonlijke foto's en toepassingen intact blijven). Voor BYOD is selectief wissen essentieel, omdat werknemers niet hebben ingestemd met het verlies van persoonlijke gegevens. Door wissen op afstand te combineren met locatietracking kan worden vastgesteld of een apparaat daadwerkelijk verloren of gestolen is voordat het wissen wordt gestart, waardoor onbedoeld gegevensverlies wordt beperkt.

MDM kan stilzwijgend digitale certificaten naar beheerde apparaten pushen, zodat sterke authenticatie zonder tussenkomst van de gebruiker mogelijk wordt. Toepassingen: Wi-Fi 802.1X-certificaten die het apparaat zonder gedeelde wachtwoordzin bij het zakelijke WLAN authenticeren, certificaten voor VPN-clients voor VPN-authenticatie op basis van certificaten en certificaten voor e-mailondertekening en -versleuteling (S/MIME) voor end-to-endbeveiliging van e-mail. Certificaten die door de zakelijke PKI worden uitgegeven en via MDM worden gepusht, voorkomen de zwakte van PSK-Wi-Fi-netwerken, waarbij één gedeelde sleutel elk apparaat op het netwerk toegang geeft.

Een BYOD-beleid bepaalt hoe persoonlijke apparaten toegang mogen krijgen tot zakelijke bronnen. Belangrijke beleidselementen zijn: geschiktheid (ondersteunde versies van besturingssystemen en typen apparaten), inschrijvingsvereiste (verplichte MDM- of MAM-inschrijving vóór toegang), scheiding van gegevens (zakelijke gegevens uitsluitend in beheerde toepassingen of containers), ondersteuningsgrenzen (IT helpt met zakelijke toepassingen, niet met problemen met persoonlijke apparaten), privacyverklaring (welke gegevens MDM van het apparaat verzamelt — een inventaris van toepassingen is gebruikelijk, maar persoonlijke foto's niet) en vertrekprocedure (selectief wissen bij vertrek).

Hulpmiddelen voor Mobile Threat Defense (MTD) (Lookout, Zimperium, Microsoft Defender for Endpoint op mobiele apparaten) voegen gedragsgerichte bedreigingsdetectie toe aan mobiele apparaten, vergelijkbaar met EDR op desktops. MTD detecteert: schadelijke toepassingen, netwerkaanvallen (MITM op niet-vertrouwde Wi-Fi), exploits op besturingssysteemniveau en afwijkend apparaatgedrag. MTD integreert met MDM, zodat een gebeurtenis voor bedreigingsdetectie het apparaat automatisch als niet-conform markeert en de toegang tot zakelijke bronnen via Conditional Access blokkeert totdat de bedreiging is opgelost. Hiermee wordt de leemte gedicht die eenvoudige MDM-nalevingsbeleidsregels achterlaten.

Mobiele apparaten die buiten kantoor toegang hebben tot zakelijke bronnen, moeten een mobiele VPN of VPN per toepassing gebruiken die alleen verkeer van specifieke toepassingen door een tunnel leidt. Een VPN per toepassing (ondersteund door MDM) leidt verkeer van beheerde toepassingen via de VPN, terwijl verkeer van persoonlijke toepassingen rechtstreeks naar internet gaat — dit beperkt privacyzorgen en het VPN-bandbreedtegebruik. In combinatie met beleid voor voorwaardelijke toegang (Azure AD, Okta) kunnen organisaties vereisen dat een apparaat bij MDM is ingeschreven en aan de eisen voldoet voordat toegang tot zakelijke e-mail, SharePoint of interne toepassingen wordt verleend.

MDM kan aanzienlijke hoeveelheden gegevens over een apparaat verzamelen: locatiegeschiedenis, geïnstalleerde toepassingen, netwerkverbindingen en statistieken over apparaatgebruik. Op BYOD-apparaten veroorzaakt dit spanning tussen de beveiligingsbehoeften van de organisatie en de privacy van werknemers. Goede werkwijzen zijn: duidelijk in het BYOD-beleid vermelden welke gegevens MDM verzamelt voordat inschrijving plaatsvindt, voor BYOD alleen MAM gebruiken om persoonlijke partities niet aan te raken en doorlopende locatietracking op persoonlijke apparaten vermijden. In sommige rechtsgebieden is toezicht door werkgevers op persoonlijke apparaten wettelijk beperkt. Juridische beoordeling van het BYOD-beleid vóór implementatie is essentieel in internationale organisaties.

Een alternatief voor volledig MDM op BYOD is een aanpak met een gecontaineriseerde werkruimte. Oplossingen zoals Samsung Knox, BlackBerry Dynamics en Microsoft Managed Home Screen maken een versleutelde, beheerde container op het apparaat. Zakelijke toepassingen en gegevens staan in de container; persoonlijke toepassingen staan erbuiten. IT kan alleen de container wissen, zodat persoonlijke gegevens onaangeroerd blijven. De container dwingt onafhankelijk van de instellingen van het besturingssysteem van het apparaat zijn eigen pincode, versleuteling en toepassingsbeleid af. Zo biedt hij sterke beveiliging zonder inschrijving van het apparaatniveau bij MDM te vereisen.

In deze les heb je geleerd: MDM dwingt beleid voor versleuteling, toegangscodes, vergrendeling en naleving af op mobiele apparaten, met de mogelijkheid om apparaten op afstand te wissen; BYOD-beleid brengt bedrijfsbeveiliging en de privacy van medewerkers met elkaar in balans via selectief wissen en beheer dat uitsluitend op MAM is gebaseerd; en MDM gecombineerd met Conditional Access zorgt ervoor dat alleen ingeschreven apparaten die aan de eisen voldoen toegang hebben tot bedrijfsbronnen. Hierna behandelen we hostgebaseerde firewalls en het toestaan van applicaties.