Policyer för hantering av mobila enheter (MDM) och BYOD

Enheter måste registreras i MDM innan principer kan tillämpas. Företagsägda enheter kan registreras genom massprovisionering: Apple DEP/ABM (Automated Device Enrollment), Android Zero-Touch eller Windows Autopilot tilldelar automatiskt en MDM-profil vid den första uppstarten — enheten hanteras innan den anställde ens har rört den. BYOD-registrering kräver att den anställde installerar appen Company Portal eller skannar en QR-kod. MDM-profilen installerar ett hanteringscertifikat som gör att MDM-servern kan skicka ut principer, radera enheten eller kontrollera efterlevnadsstatus.

När enheten har registrerats upprätthåller MDM säkerhetsprinciper på den. Krav på lösenkod/PIN: minsta längd, komplexitet och låsning efter misslyckade försök. Kryptering: tvinga fram kryptering av hela enheten (FileVault, BitLocker, Android FBE). Tidsgräns för skärmlås: högst 5 minuters inaktivitet innan låsning. Detektering av jailbreak/root: flagga eller sätt automatiskt komprometterade enheter i karantän. Minsta OS-version: blockera enheter med utgångna OS-versioner från åtkomst till företagsresurser. Lista över tillåtna/blockerade appar: tillåt endast godkända appar på företagsenheter.

Fjärradering innebär att IT kan radera alla data på en borttappad eller stulen enhet. MDM-plattformar erbjuder två typer: fullständig radering (fabriksåterställning, alla data raderas) och selektiv radering (endast företagsdata tas bort — e-post, VPN-profiler och hanterade appar — medan privata foton och appar lämnas kvar). Vid BYOD är selektiv radering nödvändig eftersom de anställda inte har samtyckt till att förlora privata data. Genom att kombinera fjärradering med platsspårning kan ni avgöra om en enhet faktiskt har tappats bort eller stulits innan raderingen utlöses, vilket minskar risken för oavsiktlig dataförlust.

MDM kan i bakgrunden distribuera digitala certifikat till hanterade enheter, vilket möjliggör stark autentisering utan användarens medverkan. Användningsområden: Wi-Fi 802.1X-certifikat som autentiserar enheten mot företagets WLAN utan en delad lösenfras, VPN-klientcertifikat för certifikatbaserad VPN-autentisering samt certifikat för e-postsignering/kryptering (S/MIME) för heltäckande e-postsäkerhet. Certifikat som utfärdas av företagets PKI och distribueras via MDM undviker svagheten hos PSK-baserade Wi-Fi-nätverk, där en enda delad nyckel ger alla enheter i nätverket åtkomst.

En BYOD-princip styr hur privata enheter får komma åt företagsresurser. Viktiga delar är: behörighet (stödda OS-versioner och enhetstyper), krav på registrering (obligatorisk MDM- eller MAM-registrering före åtkomst), dataseparering (företagsdata får endast finnas i hanterade appar/containrar), supportgränser (IT hjälper till med företagsappar, inte problem med privata enheter), integritetsinformation (vilka data MDM samlar in från enheten — appinventering är vanligt, men privata foton samlas inte in) och avslutningsprocedur (selektiv radering när anställningen upphör).

Verktyg för Mobile Threat Defense (MTD) (Lookout, Zimperium, Microsoft Defender for Endpoint on mobile) lägger till beteendebaserad hotdetektering på mobila enheter, på liknande sätt som EDR på stationära datorer. MTD upptäcker skadliga appar, nätverksangrepp (MITM på opålitliga Wi-Fi-nätverk), exploatering på OS-nivå och avvikande enhetsbeteende. MTD integreras med MDM så att en händelse med hotdetektering automatiskt markerar enheten som icke-kompatibel och blockerar åtkomst till företagsresurser via Conditional Access tills hotet har lösts. Detta täpper till den lucka som grundläggande MDM-efterlevnadsprinciper lämnar.

Mobila enheter som får åtkomst till företagsresurser utanför kontoret bör använda en mobil VPN eller per-app VPN som endast tunnlar trafik från specifika appar. Per-app VPN (stöds av MDM) dirigerar trafik från hanterade appar genom VPN, medan trafik från privata appar går direkt till internet — vilket minskar integritetsproblem och VPN-bandbredd. Tillsammans med principer för Conditional Access (Azure AD, Okta) kan organisationer kräva att en enhet är MDM-registrerad och kompatibel innan åtkomst till företags-e-post, SharePoint eller interna program beviljas.

MDM kan samla in betydande mängder data om en enhet: platshistorik, installerade appar, nätverksanslutningar och statistik över enhetsanvändning. På BYOD-enheter skapar detta en konflikt mellan företagets säkerhetsbehov och de anställdas integritet. God praxis är att tydligt informera om vilka data MDM samlar in i BYOD-principen före registrering, använda enbart MAM för BYOD för att undvika åtkomst till privata partitioner och undvika att aktivera kontinuerlig platsspårning på privata enheter. I vissa jurisdiktioner är arbetsgivares övervakning av privata enheter juridiskt begränsad. Juridisk granskning av BYOD-principen före införandet är nödvändig i globala organisationer.

Ett alternativ till fullständig MDM-hantering vid BYOD är en strategi med en containerbaserad arbetsyta. Lösningar som Samsung Knox, BlackBerry Dynamics och Microsoft Managed Home Screen skapar en krypterad, hanterad container på enheten. Företagsappar och företagsdata finns i containern, medan privata appar finns utanför den. IT kan radera endast containern och lämna privata data orörda. Containern upprätthåller en egen PIN-kod, kryptering och appprincip, oberoende av enhetens OS-inställningar, vilket ger stark säkerhet utan att kräva MDM-registrering på enhetsnivå.

I den här lektionen lärde ni er att MDM tillämpar principer för kryptering, lösenkod, låsning och regelefterlevnad på mobila enheter, med funktioner för fjärradering, att BYOD-principer balanserar företagets säkerhet mot medarbetarnas integritet genom selektiv radering och hantering med enbart MAM, samt att MDM i kombination med Conditional Access säkerställer att endast registrerade och kompatibla enheter får åtkomst till företagets resurser. Härnäst utforskar vi värdbaserade brandväggar och tillåtelselistor för program.