BYOD - zagrożenia konsumeryzacji IT
-
- 21.01.2013
Jak BYOD widzą użytkownicy, a jak działy IT
Firmy wciąż nie mają pewności, jaki jest poziom zagrożeń wynikający z używania przez pracowników urządzeń mobilnych pozwalających na uzyskanie dostępu do ich zasobów IT. A jednocześnie nie doceniają skali zjawiska BYOD. Dane działu IT o liczbie pracowników uzyskujących dostęp do zasobów przy wykorzystaniu prywatnych urządzeń często rozmijają się z rzeczywistością.
Z jednej strony - większość pracowników bywa przekonana, że ich urządzenia są dobrze lub bardzo dobrze zabezpieczone przed zagrożeniami, Z drugiej - firmowi informatycy liczą się z dużym ryzykiem wprowadzenia malware do systemu IT z prywatnych urządzeń mobilnych.
Zobacz również:
- Najlepsze MDM-y do ochrony urządzeń mobilnych na 2023
- Bezpieczeństwo urządzeń końcowych - 9 kluczowych zasad
Zdaniem specjalistów, zagrożenia związane ze złośliwym oprogramowaniem w wypadku smartfonów nie są tak wysokie, jak podatność na ataki phishingowe. W wypadku standardowych komputerów PC lub notebooków przeglądarki wyświetlają informacje, które pozwalają względnie szybko zorientować się, że coś jest nie tak i użytkownik został przekierowany np. na fałszywą stronę bankowa. W przypadku przeglądarek mobilnych jest to znacznie trudniejsze, bo z reguły użytkownik klika na ikonkę zanim na ekranie pojawi się adres URL. Często też dla zaoszczędzenia miejsca na ekranie włączona jest opcja autoukrywania paska z adresami.
Użytkownicy niechętnie godzą się na kontrolę ich prywatnych urządzeń przez dział IT. Większość pracowników nie zdaje sobie sprawy, jaki jest poziom kontroli nad ich aktywnością w sieci. Przynajmniej dopóki ich dostęp zostanie zablokowany lub okaże się, że nie mogą się połączyć z jakąś stroną WWW.
Część pracodawców ma wątpliwości czy instalować oprogramowanie kontrolne bezpośrednio w prywatnych urządzeniach, które nie należą przecież do firmy. W znacznym stopniu bezpieczeństwo systemu IT opierają oni na edukacji pracowników oraz podpisywanych przez nich deklaracjach zachowania zasad polityki bezpieczeństwa.
Ale niemało firm zaczyna rejestrować wszystkie połączenia z urządzeń mobilnych, stosować mechanizmy filtrowania treści i stron webowych i zapisywać w logach informacje o treściach, do których uzyskiwał dostęp pracownik, korzystający z prywatnych urządzeń mobilnych. Trzeba bowiem sobie zdawać sprawę, że z formalnego punktu widzenia, korporacyjna sieć jest własnością firmy i ma ona prawo rejestrować każdą aktywność osób mających do niej dostęp.
Dyrektor Techniczny w Veracomp SA
Producenci rozwiązań bezpieczeństwa coraz więcej uwagi poświęcają zagadnieniom związanym z ochroną i kontrolą danych w powszechnie wykorzystywanych obecnie urządzeniach mobilnych. Nowy trend BYOD (Bring Your Own Device) z pewnością będzie przedmiotem jeszcze wielu gorących dyskusji z uwagi na niełatwe kwestie związane z dostosowaniem zabezpieczeń prywatnych telefonów czy tabletów do przyjętej w firmach polityki bezpieczeństwa. O ile kontrola tych urządzeń jest możliwa w sytuacji, kiedy pracują podłączone do bezprzewodowej sieci korporacyjnej, o tyle znacznie bardziej skomplikowane staje się zapewnienie odpowiedniego bezpieczeństwa wtedy, kiedy korzystają z publicznego dostępu. Jaki wówczas mamy wpływ na zabezpieczenie przechowywanych na nich danych?
Dostępne obecnie na rynku rozwiązania zapewniają zarówno jeden, jak i drugi typ dostępu. W przypadku sieci korporacyjnej brama bezpieczeństwa może przeanalizować typ wykorzystywanego urządzenia mobilnego i na tej podstawie zastosować odpowiedni zestaw profili ochronnych dla realizowanej komunikacji. W tym zakresie możliwa jest pełna inspekcja ruchu obejmująca: kontrolę antywirusową, inspekcję stron WWW (m.in.: infekujących, szpiegujących, wyłudzających dane), kontrolę aplikacji, ochronę przed atakami oraz analizę treści, w celu ochrony przed wyciekiem informacji poufnej (w tym poczty). Może to być powiązane z mechanizmami uwierzytelnienia, zarządzania pasmem oraz inspekcją w obrębie szyfrowanych kanałów komunikacyjnych (SSL, SSH).
Ochrona w sieci publicznej staje się bardziej skomplikowana, wymaga bowiem zainstalowanego agenta, który będzie realizował kontrolę danych i zabezpieczał komunikację do sieci korporacyjnej. Tu wielu producentów oferuje agentów pozwalających szyfrować komunikację z wykorzystaniem połączeń VPN. Niektórzy implementują kolejne funkcje, jak kontrola stron WWW, uwierzytelnianie dwuskładnikowe (Fortinet) czy kontrolę aplikacji, politykę haseł, blokadę urządzeń, szyfrację zewnętrznych nośników (Sophos). Z pewnością jeszcze wiele pracy jest do wykonania, zwłaszcza w zakresie centralnego zarządzania, jednak optymistyczny jest fakt, że spora grupa użytkowników deklaruje chęć zabezpieczenia swojego prywatnego urządzenia mobilnego z wykorzystaniem rozwiązań korporacyjnych (badanie przeprowadzone na zlecenie firmy Fortinet w 15 krajach, w tym Polska).
Autorzy
Wiesław Pawłowicz Computerworld
Absolwent wydziału Fizyki UW. Po kilkunastu latach pracy w Instytucie Fizyki Plazmy w Warszawie oraz Instytucie Problemów Jądrowych w Świerku, od 1992 roku pracuje w IDG Poland na różnych stanowiskach, obecnie jako redaktor w Computerworld. Główny obszar zainteresowań dotyczy technologii IT.
Więcej: Wiesław Pawłowicz
