Vi elsker våre mobile enheter - og for mange av oss her på XDA møter vi ofte en kamp når vi ønsker å ta den kjærligheten til enhetene våre og begynne å bruke den på kontoret.
For de av oss som driver vår egen virksomhet og forstår disse risikoene, kan vi ha en enklere sak enn resten av oss som må følge selskapets retningslinjer. Utfordringen er at ting blir tryggere på godt og vondt av nødvendighet. Større selskaper jager etter sertifiseringer som f.eks ISO 27001 for å forsikre kundene om at dataene deres er sikre. Segmentet for små og mellomstore bedrifter (SMB) når et punkt der modernisering betyr å omfavne mobilteknologi; dette betyr at de også må ta tak i risikoen ved det. Så hvordan kan vi finne en lykkelig balanse mellom behovet for et selskap for å kontrollere informasjonen som deles med mobile enheter med en fleksibel nok til at vi kan dra nytte av noen av de flotte tingene vi gjør her på XDA?
Det er viktig å merke seg i begynnelsen av denne diskusjonen at noen ganger er det bare ikke mulig å gifte seg med de to, og at noen mennesker vil ikke ha noe annet valg enn å bære en ekstra, virkelig personlig enhet hvis de vil gå utover begrensningene til en bedriftsenhet. For eksempel de som følger
USAs standarder for enhetssikkerhet - som mange store selskaper og myndigheter også kan bli pålagt å følge - må forstå at de er der for å beskytte langt mer enn dataene som går ut til enheten din, men også det som kan sendes tilbake i. Risikoen for å miste sensitiv informasjon i saker som helsehjelp er så alvorlig at Amerikanske myndigheter gir råd om hvordan dette kan gripes og kan være ytterligere begrenset av statlige eller lokale lover. Men det betyr ikke at selv noen av de største selskapene i verden vil tvinge deg til en "one-size-fits-all"-tilnærming.Mens han deltok på en Intel-konferanse i 2014, dekket en av foredragsholderne der Intels tilnærming til enhetsadministrasjon og Bring-Your-Own-Device (BYOD)-trenden. Det som kan overraske noen lesere er at de ikke bare ønsket velkommen, men også omfavnet denne tilnærmingen for mange år siden. I stedet for å bruke én løsning for alle enheter bruker Intel en lagdelt tilnærming til informasjonssikkerheten deres som ikke har endret seg mye fra publisert casestudie i 2012. Som bildet til høyre viser, desto større risiko er forbundet med dataene som blir aksessert eller behov for grensesnitt, noe som resulterer i økt sikkerhet og administrasjon av selskapet.
Som foredragsholderen presiserte etter økten, kan dette være så enkelt som å begrense brukere til offentlig informasjon eller påloggingsbaserte systemer. Andre kan kreve registrering av enhetens MAC-adresse for å få tilgang til data slik at det er klart hvem som har tilgangen - nødvendig når man prøver å beholde ansvarlighet. Til slutt, de som ønsker eller trenger full tilgang, må enten separere sin personlige enhet eller akseptere begrensningene til en MDM-løsning levert av Intel. Den gode nyheten om denne typen tilnærming er at den ikke direkte nekter muligheten til å rote eller kjøre tilpasset programvare på enheten. Foredragsholderen, en Intel-ansatt, presiserte at dette absolutt kan være mulig på de lavere nivåene - der de på høyere nivåer ville kreve de containeriserte løsningene (som f.eks. Samsungs KNOX) for å forbli intakt.
I stor grad har det hjulpet meg med å danne en basismodell for BYOD og ikke-bedriftsenheter også på min daglige jobb. Jeg begrenser vanligvis ikke-selskapsenheter til et offentlig wifi-tilgangspunkt med lav båndbredde, men selv da er dette kun for gjester. Bedriftsenheter, som for øyeblikket ikke har direkte grensesnitt med vårt driftssystem, får tilgang til vår e-post. Men når vi nærmer oss et punkt hvor nettbrett vil bli distribuert til ansatte og vil utveksle data med våre driftssystemer - selv om det er indirekte - disse enhetene vil bli underlagt Mobile Device Ledelse. Og det er rom for å justere det i de fleste av de store MDM-løsningene: Når vi testet Airwatch for min forrige arbeidsgiver, kunne vi registrere en enhet, se den falle av i det øyeblikket den oppdaget rottilgang eller Knox-flagget utløst, eller tilordne det til en gruppe som tillot denne tilgangen, men som deretter begrenset hvilke data og systemer enheten kunne få tilgang til i selskapet infrastruktur. Å gå gjennom alle alternativene lar meg – eller andre IT-administratorer – blokkere de tingene vi ikke trenger i vår miljø (beklager, ansatte - ingen YouTube) samtidig som vi sikrer at vi beholder funksjonene som er nødvendige for å fullføre jobb.
Hva med for folk som er nysgjerrige på hva de skal gjøre på sin egen arbeidsplass? Ikke bekymre deg - du er ikke alene. Enten du er en enmanns IT-avdeling for bedriften din, en eier som prøver å navigere deg gjennom dette, en ansatt som prøver å finne ut hva som kan og ikke kan gjøres eller en leverandør som trenger å forstå hvilke restriksjoner som kan være på plass – mange av oss utenfor bedriftsmiljøet står overfor dette nå for første gang tid. Med det i tankene, tilbyr vi her på XDA noen få "må og ikke gjøre" for både bedrifter og brukere som ønsker å finne den balansen.
Bedrifter:
- GJØRE forstå risikoene. Selv noe så enkelt som å gi folk tilgang til e-post eller wi-fi-nettverk kan utsette en risiko for selskapet. Samtidig vil du at enheter – selv TV-er nå som kommer med Android installert – skal ha uhindret tilgang til ting du helst vil at de ikke skal ha?
- GJØRE lage en plan for hvordan du kan redusere disse risikoene. Ikke vær redd for å ringe inn en sikkerhetsekspert for å hjelpe deg med å vurdere disse risikoene, spesielt før du foretar en massiv endring i måten mobile enheter skal håndteres på på arbeidsplassen. Det er kanskje ikke MDM, men en policy som ansatte må signere - men å ikke gjøre noe gjør miljøet ditt tilsvarer det "ville vesten".
- GJØRE kommuniser denne planen med brukerne dine. Jo mer du gjør det klart hva ansatte/gjester kan og ikke kan gjøre, jo lettere bør det være å ikke bare følge planen, men også håndheve den om nødvendig.
- GJØRE gjennomgå planen regelmessig for å sikre at den fortsatt passer til bedriftens behov. Enda viktigere, ta grep og juster planen om nødvendig.
- IKKE ignorere behovet for å ta tak i dette. Med mylderet av sikkerhetsproblemer tilstede og bare vokser daglig, vil den velkjente head-in-the-sand-tilnærmingen bare forsinke smerten, ikke unngå den.
- IKKE gå med en modell eller sikkerhetsplan som du ikke har brukt tid på å undersøke. En av de største årsakene til at en sikkerhetsplan mislykkes, er fordi den ikke er utformet basert på bedriftens behov, men heller på det noen andre foreslo.
Brukere av en bedrift – ansatte, leverandører, gjester:
- GJØRE respektere behovet for et selskap å ha sikkerhet på plass, spesielt med mobile enheter. Politikken kan være så enkel som å ikke engang tillate enheter i bedriftens lokaler, men til syvende og sist er den det deres virksomheten, og hvordan sikre det på riktig måte er deres valg.
- GJØRE spør, spesielt hvis du ikke vet, hva alternativene dine er for BYOD eller tilgang til bedriftsdata på en mobil enhet. Det kan være de kan ha noe på gang og ikke har annonsert det ennå. Jeg har ennå ikke kjent en enkelt arbeidsgiver som kan disiplinere en ansatt, leverandør eller gjest for å spørre hva de kan gjøre før de faktisk gjør noe i dette riket.
- GJØRE gi forslag eller tilbakemeldinger til bedriften din hvis du føler at den gjeldende sikkerhetsplanen ikke dekker dine behov. Mange selskaper tilbyr en tilbakemelding eller forbedringspolicy for å hjelpe akkurat med ting som dette. Men pass på at når du forklarer dette, forklar Hvorforog hvordan det må endres. Detaljer betyr mye her.
- IKKE gjør hva du vil eller prøv å omgå politikken... med mindre det er din jobb å gjøre det. De fleste selskaper plasserer dette under et slikt alvorlighetsnivå at selv utilsiktede brudd på sikkerhetspolitikken kan føre til disiplinærtiltak, oppsigelse eller verre.
Er du en bedriftseier eller bruker som har møtt denne situasjonen? Står du overfor denne situasjonen nå, men usikker på hvordan du skal gå frem? Legg gjerne til tankene dine i kommentarene nedenfor, og la oss fortsette diskusjonen!