Czym jest BYOD w praktyce
BYOD obejmuje szeroki zakres sytuacji. Na jednym końcu pracownik czyta służową pocztę na prywatnym telefonie, na drugim cała praca odbywa się na komputerze należącym do domu. Wszystkie warianty łączy jedna cecha: urządzenie należy do pracownika, więc uprawnienia organizacji wobec niego wynikają z umów i polityki, a nie z administrowania.
Najczęstszy przypadek to prywatny smartfon, na którym obok zdjęć rodzinnych i prywatnych kont leżą służowa poczta, komunikatory i dokumenty. Najtrudniejszy to domowy komputer, którego system, aktualizacje i oprogramowanie są poza zasięgiem IT. Tablety i urządzenia pomocnicze, używane do czytania, podróży i dyżurów, często nie są uwzględnione w polityce, a niezarządzane narzędzia, które wypełniają tę lukę, to forma shadow IT.
Wiele organizacji dopuszcza prywatne urządzenia tylko częściowo: pocztę i kalendarz na prywatnym telefonie, ale bez drogi do danych produkcyjnych. Gdzie przebiega ta granica, decyduje polityka, a egzekwuje ją zwykle reguła dostępu, a nie zaufanie.
Zagrożenia BYOD
Ryzyka wynikają wprost z własności. Gdy dane opuszczają zarządzany zasób, kontrole oparte na zarządzaniu punktem końcowym przestają działać.
Najbardziej liczy się utrata. Niezaszyfrowany telefon z zsynchronizowaną skrzynką może zamienić zgubione urządzenie w wyciek danych, który być może trzeba będzie zgłosić zgodnie z przepisami o powiadamianiu o naruszeniach.
| Ryzyko | Co się dzieje |
|---|---|
| Dane na niezarządzanym sprzęcie | Plików nie da się załatać, zaszyfrować zgodnie z polityką ani wyczyścić |
| Utrata i kradzież | Zgubiony lub skradziony telefon wynosi z budynku służową pocztę i pliki |
| Mieszane użycie służbowe i prywatne | Aplikacje rodzinne i prywatne konta w chmurze poszerzają drogi wycieku i złośliwego oprogramowania |
| Brak aktualizacji i brak inwentarza | Podatności utrzymują się, bo nikt nie wie, co jest zainstalowane |
| Słabsze śledztwo | Zbadanie prywatnego urządzenia zwykle wymaga zgody właściciela |
Prywatność: dane osobowe a kontrola firmy
BYOD działa w obie strony. Organizacja nie może w pełni kontrolować urządzenia, a pracownicy obawiają się przeciwnego skrajnego przypadku: narzędzi pracodawcy na telefonie, który przechowuje też ich życie prywatne. Monitorowanie prywatnego urządzenia sięga zdjęć rodzinnych, prywatnych wiadomości i danych o lokalizacji, dlatego w wielu jurysdykcjach ogólna inwigilacja sprzętu BYOD jest ograniczona. Zgodnie z RODO monitorowanie musi być proporcjonalne i przejrzyste. W kilku krajach europejskich, w tym w Niemczech, rady pracownicze muszą zatwierdzić takie systemy przed wdrożeniem.
Praktycznym rozwiązaniem jest rozdzielenie. Zarządzany kontener lub profil służbowy przechowuje służową pocztę, pliki i aplikacje, a kontrola organizacji kończy się na jego granicy. Część prywatna pozostaje prywatna, a zdalne czyszczenie, jeśli w ogóle zostało uzgodnione, ogranicza się do kontenera. Narzędzia takie jak monitorowanie aktywności użytkowników powinny działać wyłącznie na komputerach należących do organizacji, a cel ich użycia należy spisać przed wdrożeniem.
Modele własności w porównaniu
BYOD to jeden punkt na skali własności, a wiele organizacji po pierwszym incydencie BYOD przechodzi na model pośredni. Modele różnią się tym, kto kupuje urządzenie, kto ponosi ciężar kontroli i gdzie przebiega granica prywatności.
| Model | Własność | Kontrola | Typowy kompromis |
|---|---|---|---|
| BYOD | Pracownik | Tylko polityka, kontenery i dostęp warunkowy | Najniższy koszt i największa elastyczność; najsłabsza kontrola, najmocniejsze ograniczenia prywatności |
| CYOD (choose your own device) | Organizacja | Pełne zarządzanie urządzeniem z zatwierdzonego katalogu | Wybór pracownika z kontrolą firmy i inwentarzem |
| COPE (corporate-owned, personally enabled) | Organizacja | Pełne zarządzanie z uzgodnionym limitem użytku prywatnego | Najmocniejsza kontrola; prywatność użytku prywatnego trzeba wynegocjować |
Jak organizacje zarządzają BYOD
Dojrzałe programy łączą politykę z warstwami technicznymi, stosowanymi proporcjonalnie do tego, do czego urządzenie ma mieć dostęp:
- Polityka dopuszczalnego użycia: do czego prywatne urządzenie może mieć dostęp, jakie podstawowe zabezpieczenia, np. blokada ekranu i szyfrowanie, są wymagane i co się dzieje przy odejściu z firmy.
- MDM i MAM: zarządzanie urządzeniami mobilnymi egzekwuje podstawowe zabezpieczenia na zarejestrowanych urządzeniach, a zarządzanie aplikacjami mobilnymi obejmuje tylko aplikacje służbowe.
- Kontenery i profile służbowe: odrębna przestrzeń przechowuje dane firmowe, jest szyfrowana osobno od treści prywatnych i może być wyczyszczona bez ich naruszania.
- Dostęp warunkowy: usługi firmowe dopuszczają urządzenie tylko wtedy, gdy jest zarejestrowane, zaszyfrowane i zaktualizowane.
- Kontrola urządzeń końcowych: na firmowych stacjach reguły decydują, co się dzieje, gdy prywatny telefon lub dysk zostanie podłączony przez USB: audyt, lista dozwolonych, dostęp tylko do odczytu lub blokada. Zobacz kontrolę urządzeń USB.
Gdzie kończy się kontrola Anexet
Anexet obejmuje firmową stronę punktu styku. Agenci działają na komputerach należących do organizacji, a Endpoint DLP sprawdza treść na tych maszynach niezależnie od miejsca docelowego. Samo prywatne urządzenie pozostaje poza produktem, jak pokazuje tabela.
| Możliwość | Firmowy komputer z Windows, Linux lub macOS | Prywatny telefon lub tablet |
|---|---|---|
| Agent zainstalowany | ||
| Aktywność i transfery zapisywane | ||
| Treść transferów sprawdzana |
Kontrola na firmowym komputerze
Gdy prywatny telefon lub dysk USB zostanie podłączony do firmowej stacji roboczej, o tym, co się dzieje, decydują reguły kontroli urządzeń. Pierwszy kadr pokazuje, jak audyt urządzeń, dostęp do nośników i kontrolę zapisu według treści włącza się dla jednego profilu agenta. Drugi pokazuje, co konsola wyświetla dla pojedynczego komputera.
1 / 2
Od czego zacząć
Zacznij od danych, których wyciek bolałby najbardziej, potem od kanałów, którymi naprawdę są przesyłane, w tym nośników wymiennych i prywatnych urządzeń podłączanych do firmowych komputerów. Polityki pisane dla wszystkich urządzeń naraz kończą się blokowaniem pracy i wyłączeniem.
Program BYOD działa, gdy organizacja potrafi wskazać, które urządzenie przechowuje jakie dane. Zapisz to przed wyborem narzędzi, a potem regularnie sprawdzaj to z inwentarzem urządzeń.
Czytaj dalej: Bezpieczeństwo informacji w biurze; Jak zapobiec nieuprawnionemu dostępowi do komputera.
Sam prywatny telefon rzadko jest problemem. Problemem są dane służbowe, które trafiają na niego bez decyzji, że mają tam trafić.
Anexet TeamJak rozwiązuje to Anexet
Anexet podchodzi do BYOD od firmowego punktu końcowego, a nie od prywatnego urządzenia. Jego agenci działają wyłącznie na należących do organizacji lub zarządzanych komputerach z Windows, Linux i macOS. Nie ma agenta dla prywatnych telefonów i tabletów, więc produkt nie monitoruje samych tych urządzeń.
Punktem styku jest firmowa stacja robocza. Gdy prywatny telefon lub dysk zostanie podłączony przez USB i pojawi się jako nośnik wymienny, w tym momencie stosowane są reguły kontroli urządzeń pamięci masowej: podłączenie jest audytowane, a dostęp można zezwolić, ograniczyć lub zablokować. Dane wysyłane do prywatnych urządzeń przez pocztę, web, chmurę i komunikatory są sprawdzane jak każdy transfer przechodzący przez firmowy komputer.
Kontrola przy podłączeniu
Reguły urządzeń rozpoznają urządzenia zewnętrzne po atrybutach, takich jak numer seryjny, Vendor ID i Product ID, więc zatwierdzony dysk firmowy i prywatny telefon mogą mieć różne uprawnienia.
Audyt i kopie cieniowe
Aktywność na nośnikach jest audytowana, a kopia cieniowa zapisanych danych może zostać zachowana do celów dochodzeniowych.
Zapis z uwzględnieniem treści
Zapisy na nośniki mogą być sprawdzane po treści pliku, więc wrażliwe dane mogą być zablokowane nawet wtedy, gdy miejscem docelowym jest prywatne urządzenie.
Anexet DLP
Dowiedz się więcej