Zarządzanie urządzeniami mobilnymi (MDM) i zasady BYOD

Urządzenia mobilne — smartfony i tablety — przechowują firmową pocztę e-mail, dane uwierzytelniające VPN, aplikacje uwierzytelniające i poufne dokumenty, a mimo to każdego dnia opuszczają fizyczny obwód organizacji. Zgubione lub skradzione urządzenie stanowi bezpośrednie ryzyko naruszenia danych. Pracownicy używają również w pracy urządzeń osobistych (BYOD), łącząc dane firmowe i prywatne na sprzęcie, nad którym organizacja nie sprawuje kontroli. Mobile Device Management (MDM) zapewnia zespołom IT widoczność urządzeń mobilnych i kontrolę nad nimi, umożliwiając egzekwowanie zasad bezpieczeństwa niezależnie od tego, gdzie urządzenia się znajdują.

Trzy powiązane skróty obejmują cały zakres zarządzania urządzeniami mobilnymi. MDM (Mobile Device Management) kontroluje całe urządzenie: wymusza szyfrowanie, blokadę ekranu, zdalne wymazanie danych i wdrażanie certyfikatów. MAM (Mobile Application Management) zarządza tylko określonymi aplikacjami firmowymi — jest przydatne w modelu BYOD, gdy pełna kontrola nad urządzeniem byłaby niewłaściwa. EMM (Enterprise Mobility Management) to termin zbiorczy obejmujący MDM + MAM + Mobile Content Management. Nowoczesne platformy (Microsoft Intune, Jamf, VMware Workspace ONE) integrują wszystkie trzy możliwości, a także zarządzają laptopami i komputerami stacjonarnymi obok urządzeń mobilnych.

Urządzenia muszą zostać zarejestrowane w MDM, zanim będzie można zastosować wobec nich zasady. Urządzenia należące do organizacji można rejestrować za pomocą zbiorczego aprowizowania: Apple DEP/ABM (Automated Device Enrollment), Android Zero-Touch lub Windows Autopilot automatycznie przypisują profil MDM przy pierwszym uruchomieniu — urządzenie jest zarządzane, zanim pracownik w ogóle go dotknie. Rejestrowanie urządzeń BYOD wymaga od pracownika zainstalowania aplikacji Company Portal lub zeskanowania kodu QR. Profil MDM instaluje certyfikat zarządzania, który umożliwia serwerowi MDM przesyłanie zasad, wymazanie urządzenia lub sprawdzanie jego stanu zgodności.

Po zarejestrowaniu MDM egzekwuje na urządzeniu zasady bezpieczeństwa. Wymagania dotyczące kodu dostępu/PIN-u: minimalna długość, złożoność, blokada po nieudanych próbach. Szyfrowanie: wymuszanie pełnego szyfrowania urządzenia (FileVault, BitLocker, Android FBE). Limit czasu blokady ekranu: maksymalnie 5 minut bezczynności przed zablokowaniem. Wykrywanie jailbreaku/rootowania: automatyczne oznaczanie naruszonych urządzeń lub poddawanie ich kwarantannie. Minimalna wersja systemu operacyjnego: blokowanie urządzeń z wersjami systemu, które utraciły wsparcie, przed dostępem do zasobów firmowych. Lista dozwolonych/blokowanych aplikacji: zezwalanie wyłącznie na zatwierdzone aplikacje na urządzeniach firmowych.

Zdalne wymazanie danych to możliwość usunięcia przez dział IT wszystkich danych z zagubionego lub skradzionego urządzenia. Platformy MDM udostępniają dwa typy tej operacji: pełne wymazanie (przywrócenie ustawień fabrycznych i usunięcie wszystkich danych) oraz selektywne wymazanie (usunięcie wyłącznie danych firmowych — poczty e-mail, profili VPN i zarządzanych aplikacji — przy zachowaniu prywatnych zdjęć i aplikacji). W modelu BYOD selektywne wymazanie jest niezbędne, ponieważ pracownicy nie wyrazili zgody na utratę danych osobistych. Połączenie zdalnego wymazania z śledzeniem lokalizacji może pomóc ustalić, czy urządzenie rzeczywiście zostało zgubione lub skradzione, zanim zostanie uruchomione wymazanie, ograniczając ryzyko przypadkowej utraty danych.

MDM może dyskretnie przesyłać certyfikaty cyfrowe na zarządzane urządzenia, umożliwiając silne uwierzytelnianie bez udziału użytkownika. Przykłady zastosowań: certyfikaty Wi-Fi 802.1X, które uwierzytelniają urządzenie w firmowej sieci WLAN bez użycia wspólnego hasła; certyfikaty klienta VPN do uwierzytelniania VPN na podstawie certyfikatu; oraz certyfikaty podpisywania i szyfrowania poczty e-mail (S/MIME) zapewniające kompleksowe bezpieczeństwo poczty elektronicznej. Certyfikaty wydawane przez firmową PKI i przesyłane za pośrednictwem MDM eliminują słabość sieci Wi-Fi opartych na PSK, w których jeden wspólny klucz zapewnia dostęp każdemu urządzeniu w sieci.

Zasady BYOD określają, w jaki sposób urządzenia osobiste mogą uzyskiwać dostęp do zasobów firmowych. Najważniejsze elementy zasad to: kwalifikowalność (obsługiwane wersje systemu operacyjnego i typy urządzeń), wymóg rejestracji (obowiązkowa rejestracja w MDM lub MAM przed uzyskaniem dostępu), separacja danych (dane firmowe wyłącznie w zarządzanych aplikacjach lub kontenerach), zakres wsparcia (dział IT pomaga w kwestiach dotyczących aplikacji firmowych, ale nie problemów z urządzeniami osobistymi), informacja o prywatności (jakie dane MDM zbiera z urządzenia — inwentaryzacja aplikacji jest typowa, ale prywatne zdjęcia już nie) oraz procedura zakończenia (selektywne wymazanie danych po odejściu pracownika).

Narzędzia Mobile Threat Defense (MTD) (Lookout, Zimperium, Microsoft Defender for Endpoint na urządzenia mobilne) dodają do urządzeń mobilnych behawioralne wykrywanie zagrożeń, podobnie jak EDR na komputerach stacjonarnych. MTD wykrywa: złośliwe aplikacje, ataki sieciowe (MITM w niezaufanych sieciach Wi-Fi), exploity na poziomie systemu operacyjnego oraz nietypowe zachowanie urządzenia. MTD integruje się z MDM, dzięki czemu zdarzenie wykrycia zagrożenia automatycznie oznacza urządzenie jako niezgodne i blokuje dostęp do zasobów firmowych za pośrednictwem Conditional Access do czasu usunięcia zagrożenia. Eliminuje to lukę pozostawianą przez podstawowe zasady zgodności MDM.

Urządzenia mobilne uzyskujące dostęp do zasobów firmowych spoza biura powinny korzystać z mobilnej sieci VPN lub VPN dla poszczególnych aplikacji, która tuneluje ruch tylko określonych aplikacji. VPN dla poszczególnych aplikacji (obsługiwany przez MDM) kieruje ruch zarządzanych aplikacji przez VPN, podczas gdy ruch aplikacji osobistych trafia bezpośrednio do Internetu — ograniczając obawy dotyczące prywatności i zużycie przepustowości VPN. W połączeniu z zasadami dostępu warunkowego (Azure AD, Okta) organizacje mogą wymagać, aby urządzenie było zarejestrowane w MDM i zgodne z zasadami, zanim uzyska dostęp do firmowej poczty e-mail, SharePointa lub aplikacji wewnętrznych.

MDM może gromadzić znaczne ilości danych o urządzeniu: historię lokalizacji, zainstalowane aplikacje, połączenia sieciowe i statystyki użytkowania urządzenia. Na urządzeniach BYOD powoduje to napięcie między potrzebami bezpieczeństwa organizacji a prywatnością pracowników. Dobre praktyki obejmują: jasne ujawnienie w zasadach BYOD, jakie dane MDM gromadzi, jeszcze przed rejestracją; używanie wyłącznie MAM w modelu BYOD, aby uniknąć ingerencji w prywatne partycje; oraz unikanie włączania ciągłego śledzenia lokalizacji na urządzeniach osobistych. W niektórych jurysdykcjach monitorowanie urządzeń osobistych przez pracodawcę jest prawnie ograniczone. W organizacjach globalnych przed wdrożeniem zasad BYOD niezbędna jest ich weryfikacja prawna.

Alternatywą dla pełnego MDM na urządzeniach BYOD jest podejście oparte na przestrzeni roboczej w kontenerze. Rozwiązania takie jak Samsung Knox, BlackBerry Dynamics i Microsoft Managed Home Screen tworzą na urządzeniu zaszyfrowany, zarządzany kontener. Aplikacje i dane firmowe znajdują się wewnątrz kontenera, a aplikacje osobiste na zewnątrz. Dział IT może wymazać wyłącznie kontener, pozostawiając dane osobiste nienaruszone. Kontener egzekwuje własny PIN, szyfrowanie i zasady dotyczące aplikacji niezależnie od ustawień systemu operacyjnego urządzenia, zapewniając silne zabezpieczenia bez konieczności rejestrowania urządzenia w MDM na poziomie całego urządzenia.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że: MDM egzekwuje zasady szyfrowania, kodów dostępu, blokady i zgodności na urządzeniach mobilnych, z możliwością zdalnego wymazania danych; zasady BYOD równoważą bezpieczeństwo firmowe z prywatnością pracowników, wykorzystując selektywne wymazywanie danych i zarządzanie wyłącznie przez MAM; natomiast MDM w połączeniu z Conditional Access zapewnia, że do zasobów firmowych mogą uzyskać dostęp wyłącznie urządzenia zarejestrowane i zgodne z wymaganiami. W następnej części omówimy zapory hostowe i tworzenie list dozwolonych aplikacji.