Nous aimons nos appareils mobiles - et pour beaucoup d'entre nous ici sur XDA, nous sommes souvent confrontés à un combat lorsque nous voulons prendre cet amour pour nos appareils et commencer à l'appliquer au bureau.
Pour ceux d’entre nous qui dirigent leur propre entreprise et comprennent ces risques, notre cas est peut-être plus facile que le reste d’entre nous qui devons suivre la politique de l’entreprise. Le défi est que, pour le meilleur ou pour le pire, les choses deviennent plus sûres par nécessité. Les grandes entreprises recherchent des certifications telles que OIN 27001 pour aider à garantir aux clients que leurs données sont sécurisées. Le segment des petites et moyennes entreprises (PME) atteint un point où se moderniser signifie adopter la technologie mobile; cela signifie qu’ils devront également faire face aux risques liés à cela. Alors, comment pouvons-nous trouver un équilibre heureux entre le besoin d’une entreprise de contrôler les informations partagées avec des appareils mobiles dont un est suffisamment flexible pour que nous puissions profiter de certaines des grandes choses que nous faisons ici à XDA ?
Il est important de noter dès le début de cette discussion que parfois, il n'est tout simplement pas possible de marier les deux et que certaines personnes n'auront d'autre choix que d'emporter un deuxième appareil, véritablement personnel, s'ils souhaitent aller au-delà des restrictions d'un appareil d'entreprise. Par exemple, ceux qui suivent le Normes américaines pour la sécurité des appareils - que de nombreuses grandes entreprises et gouvernements pourraient également être tenus de suivre - devront comprendre qu'ils sont là pour protéger bien plus que les données sortant sur votre appareil, mais aussi ce qui peut être renvoyé dans. Le risque de perdre des informations sensibles dans des cas tels que les soins de santé est si grave que le Le gouvernement américain donne des conseils sur la façon d'aborder cette question et peut être davantage restreint par les lois nationales ou locales. Mais cela ne signifie pas que même certaines des plus grandes entreprises du monde vous obligeront à adopter une approche « taille unique ».
Alors qu'il assistait à une conférence Intel en 2014, l'un des intervenants a évoqué l'approche d'Intel en matière de gestion des appareils et la tendance Bring-Your-Own-Device (BYOD). Ce qui peut surprendre certains lecteurs, c’est qu’ils ont non seulement accueilli favorablement, mais qu’ils ont adopté cette approche il y a des années. Au lieu d'utiliser une solution unique pour tous les appareils, Intel utilise une approche à plusieurs niveaux de la sécurité des informations qui n'a pas beaucoup changé depuis son lancement. étude de cas publiée en 2012. Comme le montre l’image de droite, plus le risque associé à l’accès aux données ou à la nécessité de s’interfacer avec elles entraîne une sécurité et une gestion accrues par l’entreprise.
Comme l'a précisé l'orateur après la séance, cela peut être aussi simple que de restreindre les utilisateurs à des informations publiques ou à des systèmes basés sur la connexion. D'autres peuvent exiger l'enregistrement de l'adresse MAC de l'appareil afin d'accéder aux données afin de savoir clairement qui a l'accès - ce qui est nécessaire pour tenter de conserver la responsabilité. Enfin, ceux qui souhaitent ou ont besoin d'un accès complet devront soit séparer leur appareil personnel, soit accepter les restrictions d'une solution MDM fournie par Intel. La bonne nouvelle de ce type d’approche est qu’elle ne nie pas catégoriquement la possibilité de rooter ou d’exécuter des logiciels personnalisés sur l’appareil. L'intervenant, un employé d'Intel, a précisé que cela pourrait certainement être possible aux niveaux inférieurs - alors qu'aux niveaux supérieurs, ils auraient besoin de solutions conteneurisées (telles que KNOX de Samsung) pour rester intact.
Dans une large mesure, cela m'a aidé à créer un modèle de base pour le BYOD et les appareils non professionnels dans mon travail quotidien. Je limite généralement les appareils n'appartenant pas à l'entreprise à un point d'accès wifi public à faible bande passante, mais même dans ce cas, cela est réservé aux invités. Les appareils de l'entreprise, qui ne s'interfacent actuellement pas directement avec notre système d'exploitation, ont accès à notre courrier électronique. Mais à mesure que nous approchons du point où les tablettes seront distribuées aux employés et échangeront des données avec nos systèmes d'exploitation - même indirectement - ces appareils seront soumis aux exigences des appareils mobiles Gestion. Et il est possible d'ajuster cela dans la plupart des principales solutions MDM: lors du test d'Airwatch pour mon ancien employeur, nous avons pu inscrire un appareil, le regarder tomber dès qu'il est utilisé. un accès root détecté ou l'indicateur Knox déclenché, ou attribuez-le à un groupe qui autorise cet accès mais restreint ensuite les données et les systèmes auxquels l'appareil peut accéder au sein de l'entreprise Infrastructure. Passer en revue toutes les options me permet - ou à d'autres administrateurs informatiques - de bloquer les éléments dont nous n'avons pas besoin dans notre environnement (désolé, employés - pas de YouTube) tout en veillant à conserver les fonctions nécessaires à la réalisation du emploi.
Qu’en est-il pour les personnes curieuses de savoir quoi faire sur leur propre lieu de travail? Ne vous inquiétez pas, vous n'êtes pas seul. Que vous soyez un seul service informatique pour votre entreprise, un propriétaire essayant de s'y retrouver, un employé essayant de comprendre ce qui peut et ne peut pas être fait. ou un fournisseur qui a besoin de comprendre quelles restrictions peuvent être en place - un grand nombre d'entre nous en dehors de l'environnement de l'entreprise y sont confrontés maintenant pour la première fois temps. Dans cet esprit, chez XDA, nous proposons quelques « à faire et à ne pas faire » pour les entreprises et les utilisateurs qui cherchent à trouver cet équilibre.
Entreprises:
- FAIRE comprendre les risques. Même quelque chose d'aussi simple que de permettre aux gens d'accéder aux réseaux de courrier électronique ou Wi-Fi peut exposer un risque à l'entreprise. Dans le même temps, souhaitez-vous que les appareils - même les téléviseurs désormais équipés d'Android - aient un accès illimité à des choses que vous préféreriez qu'ils n'aient pas?
- FAIRE élaborer un plan sur la façon d’atténuer ces risques. N'hésitez pas à faire appel à un expert en sécurité pour vous aider à évaluer ces risques, surtout avant d'entreprendre un changement massif dans la manière dont les appareils mobiles seront gérés sur le lieu de travail. Il ne s’agit peut-être pas de MDM mais d’une politique que les employés doivent signer – mais ne rien faire fait de votre environnement l’équivalent du « Far West ».
- FAIRE communiquez ce plan à vos utilisateurs. Plus vous indiquerez clairement ce que les employés/invités peuvent et ne peuvent pas faire, plus il devrait être facile non seulement d'adhérer au plan, mais également de l'appliquer si nécessaire.
- FAIRE révisez régulièrement le plan pour vous assurer qu’il répond toujours aux besoins de l’entreprise. Plus important encore, agissez et ajustez le plan si nécessaire.
- NE LE FAITES PAS ignorer la nécessité de résoudre ce problème. Face à la myriade de problèmes de sécurité qui ne font qu’augmenter chaque jour, l’approche proverbiale de la tête dans le sable ne fera que retarder la douleur, au lieu de l’éviter.
- NE LE FAITES PAS optez pour un modèle ou un plan de sécurité pour lequel vous n’avez pas investi le temps de rechercher. L'une des principales raisons pour lesquelles un plan de sécurité échoue est qu'il n'a pas été conçu en fonction des besoins de votre entreprise, mais plutôt en fonction de ce que quelqu'un d'autre a suggéré.
Utilisateurs d'une entreprise - Employés, Fournisseurs, Invités :
- FAIRE respecter la nécessité pour une entreprise de mettre en place une sécurité, en particulier avec les appareils mobiles. La politique pourrait être aussi simple que de ne même pas autoriser les appareils dans les locaux de l'entreprise, mais en fin de compte, elle est leur entreprise, et comment sécuriser correctement cela est leur choix.
- FAIRE demandez, surtout si vous ne savez pas, quelles sont vos options pour le BYOD ou l'accès aux données de l'entreprise sur un appareil mobile. Il se pourrait qu’ils aient quelque chose en préparation et qu’ils ne l’aient pas encore annoncé. Je ne connais pas encore un seul employeur qui discipline un employé, un fournisseur ou un invité qui lui demande ce qu'il peut faire avant de réellement faire quelque chose dans ce domaine.
- FAIRE proposez des suggestions ou des commentaires à votre entreprise si vous estimez que le plan de sécurité actuel ne répond pas à vos besoins. De nombreuses entreprises proposent une politique de retour d’information ou d’amélioration pour aider précisément dans ce genre de choses. Mais assurez-vous que lorsque vous expliquez cela, expliquez pourquoiet comment il faut le changer. Les détails comptent beaucoup ici.
- NE LE FAITES PAS faites ce que vous voulez ou essayez de contourner la politique... à moins que ce soit votre travail de le faire. La plupart des entreprises placent cela sous un tel niveau de gravité que même des violations involontaires de la politique de sécurité peuvent entraîner des mesures disciplinaires, un licenciement ou pire encore.
Êtes-vous un propriétaire d'entreprise ou un utilisateur confronté à cette situation? Vous êtes confronté à cette situation maintenant mais vous ne savez pas comment procéder? N'hésitez pas à ajouter vos réflexions dans les commentaires ci-dessous et poursuivons la discussion !