Mobile device management: konfiguration og dokumentation

Enhedsadministration understøtter kun sikkerheden for de enheder og indstillinger, den faktisk dækker. Et MDM-dashboard, der viser kompatible enheder, kræver et andet spørgsmål: Hvilke enheder mangler? Et tredje spørgsmål følger: Beskriver »kompatibel« en effektiv konfiguration eller blot en politik, der er tildelt et endpoint?

For en CTO er opgaven at gøre de svar reproducerbare. Mobile device management bør forbinde ejerskab af enheder, konfiguration, applikationsadgang, hændelseshåndtering og dokumentation. Målet er ikke et grønt dashboard. Det er en redegørelse, der kan forsvares, for hvilke endpoints der kan tilgå forretningsinformation, hvordan de er beskyttet, og hvad der sker, når beskyttelsen svigter.

Hvad MDM kontrollerer – og hvad den ikke kontrollerer

Mobile device management er administration af endpoints via en central tjeneste og platformsunderstøttede administrationsmekanismer. Afhængigt af produkt, operativsystem og tilmeldingstilstand kan den udrulle konfigurationsprofiler, distribuere applikationer, rapportere enhedens tilstand, begrænse udvalgte funktioner og sende fjernkommandoer. Bredere produkter til endpointadministration kan omfatte bærbare og stationære computere sammen med telefoner og tablets.

Disse funktioner er ikke ensartede. En fuldt administreret firmatelefon og en privatejet telefon med en administreret arbejdsprofil giver adgang til forskellige kontroller og forskellig telemetri. Nogle platforme bruger indbyggede administrationstjenester; andre kræver yderligere agenter. Man bør hverken forudsætte konstant forbindelse eller øjeblikkelig udførelse.

MDM erstatter heller ikke identitetsstyring, endpointdetektion, sårbarhedsstyring eller klassifikation af information. Den kan konfigurere disse kontroller eller levere signaler til dem, men deres drift kræver særskilt kontrol. En administreret enhed kan stadig have for vidtgående applikationsrettigheder, en session, der ikke er tilbagekaldt, eller en sårbar applikation.

Før I vælger indstillinger, skal I definere kontrolpåstanden. For eksempel: »Firmaets bærbare computere, der tilgår administrationsmiljøet i produktion, skal være tilmeldt, krypteret, understøttet og vurderet for nylig.« Den erklæring identificerer en population, en ressource og observerbare betingelser. »Alle enheder er sikre« gør ikke.

Forbind endpointadministration med ISMS'et

ISO/IEC 27001 handler om et afgrænset ledelsessystem for informationssikkerhed, ikke om køb af et bestemt endpointværktøj. Afsnit 4–10 fastlægger kravene til ledelsessystemet. Anneks A indeholder et referencesæt med 93 kontroller, hvis relevans vurderes gennem risikovurdering og risikohåndtering; det er ikke en universel tjekliste til MDM-konfiguration.

Anvendelseserklæringen (Statement of Applicability) registrerer de nødvendige kontroller, begrundelsen for at medtage dem, implementeringsstatus og begrundelsen for at udelade kontroller fra anneks A. En MDM-udrulning udgør en del af implementeringen og dokumentationen for relevante kontroller, men beviser ikke hele ISMS'et.

Nyttige sammenhænge omfatter:

Disse koblinger beskriver bidrag, ikke ækvivalens. At udrulle en loginkonfiguration dokumenterer f.eks. ikke, at privilegeret adgang er korrekt godkendt. Brug vores vejledning om anneks A til at forbinde endpointforanstaltninger med det bredere ISMS i stedet for at behandle enhedskompatibilitet som en isoleret score.

Definér populationen, før I måler kompatibilitet

Begynd med de enheder, der lagrer, behandler eller tilgår information inden for ISMS'ets omfang. Medtag firmaejet og privatejet udstyr, konsulenters endpoints, delte enheder og midlertidige låneenheder, hvor det er relevant. Aftal understøttede operativsystemer, tilmeldingsregler og grænser for privatlivet.

Opbyg fortegnelsen omkring stabile identifikatorer i stedet for alene visningsnavne. Nyttige felter omfatter aktiv-id, administrations-id, tildelt bruger, ejerskab, platform, tilmeldingstilstand, forretningsformål, tilmeldingsdato, seneste kontakt og udfasningsstatus. Registrér eksplicit, hvem der har ansvaret for delte enheder.

Afstem MDM-fortegnelsen med uafhængige kilder. Indkøbsregistreringer afslører udstyr, der aldrig er blevet tilmeldt. Loginregistreringer fra identitetsudbyderen og applikationsadgangslogs kan afsløre endpoints, der ikke er administreret. Registreringer fra endpointbeskyttelsen kan afsløre dobbelte agenter eller enheder, der administreres andetsteds. Kontrollér, hvilke identifikatorer hver kilde faktisk leverer, før I forsøger at sammenkæde dem.

Klassificér uoverensstemmelser i stedet for at udelade dem i stilhed:

• Inden for omfanget og tilmeldt: vurder konfiguration og aktualitet.
• Inden for omfanget, men ikke administreret: tilmeld, begræns adgangen eller godkend en afgrænset undtagelse.
• Udfaset, men stadig aktiv: undersøg, og tilbagekald resterende adgang.
• Dublet eller geninstalleret: afstem registreringerne uden at miste historisk dokumentation.
• Uden for omfanget: dokumentér årsagen og den grænse, der forhindrer relevant adgang.

Nævneren har betydning. »98 % kompatible« blandt tilmeldte enheder kan skjule en betydelig population af ikke-administrerede enheder. Rapportér dækning adskilt fra konfigurationskompatibilitet, og bevar datoen for afstemningen og de uafklarede registreringer.

Opbyg en baseline, der kan testes

En endpointbaseline bør omsætte risikobeslutninger til indstillinger og kontrolkriterier. Den bør skelne mellem platforme og ejerskabsmodeller i stedet for at foregive, at alle indstillinger virker overalt.

Følgende er et praktisk udgangspunkt, ikke en universel tjekliste, som er foreskrevet ved lov eller af ISO:

Definér, hvad »ukendt« betyder. Et endpoint, der ikke har rapporteret krypteringsstatus, er ikke bevist krypteret. Behandl manglende eller forældet telemetri som en særskilt tilstand med en klar reaktion i stedet for at omdanne den til et »bestået«.

Opdateringsvinduer bør afspejle sårbarhedens alvor, eksponering, tilgængelige afhjælpende foranstaltninger og driftsmæssige begrænsninger. Dokumentér nødhåndtering af sårbarheder, der aktivt udnyttes, og en proces for opdateringer, der ødelægger vigtige applikationer. Rapporter om MDM-udrulning hjælper med at fastlægge installationstilstanden; de forklarer ikke i sig selv, om en uafklaret sårbarhedsrisiko er acceptabel.

For applikationer skal I skelne mellem distribution og kontrol. Installation af en godkendt applikation forhindrer ikke brugerne i at installere alternativer, medmindre platformen og konfigurationen understøtter den begrænsning. Definér, hvem der må godkende software, hvad der kræver vurdering, og hvordan forældede eller forbudte applikationer fjernes.

Hver undtagelse fra baselinen kræver en ejer, berørte enheder, en forretningsmæssig begrundelse, en risikovurdering, kompenserende foranstaltninger, godkendelse og udløbsdato. Et ikke-understøttet operativsystem med ubegrænset adgang til følsomme data bør ikke forblive uændret på ubestemt tid under en generel note om »forretningsbehov«.

Udrul konfiguration uden at forveksle tildeling med succes

Brug en pilotgruppe, der repræsenterer hver vigtig platform, ejerskabsform og forretningsmæssig anvendelse. Test almindeligt arbejde, rejser, offline adfærd og genopretning – ikke kun en vellykket tilmelding på en administrators skrivebord.

Før en bred udrulning skal forudsætningerne for administrationen være på plads: administratorroller, tilmeldingsrettigheder, nødvendige certifikater eller tjenesteadgangsoplysninger og ejerskab af fornyelser. En administrationstjeneste kan miste sin effekt, når et certifikat udløber, selv om politikdokumenterne er uændrede.

Følg konfigurationen gennem adskilte tilstande: målrettet, leveret, anvendt, vurderet og effektiv. Hvor platformen viser færre trin, skal begrænsningen dokumenteres og en sikker kontrolmetode tilføjes. Undersøg modstridende profiler, forældede agenter, ikke-understøttede indstillinger og brugerhandlinger, der forhindrer gennemførelse.

Brug trinvis udrulning med en godkendt vej til tilbagerulning eller genopretning. Registrér baselineversionen, de målrettede grupper, pilotresultaterne, godkendelsen og fejl under udrulningen. Et skærmbillede af en politikeditor dokumenterer de tilsigtede indstillinger; enhedsrapporter og tests fastslår, om indstillingerne faktisk virkede.

Beskyt selve administrationsplanet. Brug navngivne administratorkonti, passende stærk autentificering, roller med mindst mulige rettigheder og logning. Begræns rettighederne til masse-wipe og ændring af konfiguration. Gennemgå administratorer og tjenesteadgangsoplysninger, fordi en kompromittering af administrationstjenesten kan påvirke mange endpoints på én gang.

Kontrollér kryptering og genopretning særskilt

For bærbare computere skal I kontrollere den implementerede lagerbeskyttelse, ikke blot en politik om »aktivér kryptering«. For telefoner og tablets skal I forstå operativsystemets krypteringsmodel, adfærden i låst tilstand og administrationens indsigt. Kryptering af lagrede data og krypteret netværkstransport er to forskellige påstande.

Beslut, hvilken lokal lagring der er omfattet, om flytbare medier er tilladt, og hvordan forretningsinformation kan forlade administrerede applikationer. En beskyttet systemdisk beskytter ikke automatisk en eksporteret fil på et ukrypteret eksternt drev.

Genopretningsordninger kræver deres eget kontroldesign. Fastlæg, hvor genopretningsmateriale opbevares, hvem der kan hente det, hvordan hentning godkendes og logges, og hvornår rotation eller udskiftning er påkrævet. Læg ikke genopretningshemmeligheder i generel auditdokumentation eller helpdesksager.

Test genopretning på et udpeget testendpoint efter en godkendt procedure. Bevar godkendelsen og resultatet, ikke hemmeligheden. Et felt i konsollen, der viser, at en nøgle findes, beviser ikke, at autoriserede medarbejdere kan genoprette enheden, når det er nødvendigt.

Netværksbeskyttelse afhænger også af konfigurationen af applikationer og tjenester. MDM kan distribuere certifikater eller netværksindstillinger, men kan ikke fastslå, at hver applikation bruger korrekt konfigurerede krypterede forbindelser. Den bredere livscyklus er beskrevet i kryptering og nøglehåndtering.

Forbind enhedens status med adgangsbeslutninger

Et kompatibilitetssignal har begrænset værdi, hvis ikke-kompatible endpoints bevarer ubegrænset adgang. Hvor det understøttes, skal information om enhedstillid eller kompatibilitet forbindes med identitets- og applikationsadgangskontroller. Fastlæg præcist, hvilke ressourcer der håndhæver betingelsen, og hvilke adgangsveje der omgår den.

Test browseradgang, native applikationer, fjernadministration, ældre autentificering og eksisterende sessioner, hvor det er relevant. En ikke-administreret browser kan være blokeret, mens en tidligere autoriseret klient fortsat virker. Adfærden ved tilbagekaldelse af sessioner og signalernes aktualitet kræver eksplicit test.

Brug risikobaserede begrænsninger. Følsomme administrative systemer kan kræve strengere endpointbetingelser end samarbejdsressourcer med lav risiko. Definér procedurer for nødadgang og genopretning, så en fejlende kompatibilitetstjeneste ikke fører til udokumenterede permanente omveje.

Autentificering ved oplåsning af enheden er ikke det samme som autentificering i applikationen. Skærmlås beskytter et uovervåget endpoint; multifaktorautentificering og autorisation beskytter adgangen til ressourcer. MDM kan understøtte konfigurationen, men dokumentation fra identitetsudbyderen og applikationerne skal underbygge disse særskilte påstande.

Håndter personlige enheder, tab og fratrædelse bevidst

For privatejede enheder skal I beslutte, om administrationen omfatter hele enheden, en arbejdsprofil, kun applikationer eller slet ikke er mulig. Forklar, hvad administratorer kan se, hvad de kan ændre, hvilke forretningsoplysninger der indsamles, og hvad der kan fjernes. Gå ikke ud fra, at lokationssporing eller indsigt i personlige applikationer er nødvendig eller tilgængelig.

Hvor telemetri fra medarbejderes enheder omfatter personoplysninger, skal de relevante databeskyttelsesforpligtelser vurderes. Databeskyttelsesforordningen (GDPR) kræver et retsgrundlag og overholdelse af de relevante behandlingsprincipper; artikel 32 har en risikobaseret tilgang til sikkerhed i stedet for at påbyde generel kryptering under alle omstændigheder. Man bør ikke gå ud fra, at medarbejderens samtykke er tilstrækkeligt. Indhent en passende vurdering af databeskyttelse og ansættelsesret for overvågnings- og fjernelsesprocedurer.

Adskil selektiv fjernelse af forretningsdata fra fuld sletning af enheden. Bekræft den understøttede adfærd for hver tilmeldingstilstand, og kommunikér den før tilmelding. Fjernelse af en arbejdsprofil kan lade personlige data være urørte, mens en fuld sletning har væsentligt andre konsekvenser.

Ved en mistet enhed bør reaktionen identificere endpointet og brugeren, vurdere eksponeringen, begrænse adgangen, tilbagekalde relevante sessioner eller adgangsoplysninger, sende understøttede kommandoer om låsning eller sletning og registrere resultaterne. Fjernsletning afhænger af forbindelse og platformens funktioner. »Kommando sat i kø« er ikke det samme som »data fjernet«.

Procedurer ved fratrædelse bør omfatte både returnering af enheden og adgang til information. Tilbagekald adgangen, uanset om en enhed bliver returneret. Fjern forretningsprofiler, når det er passende, bevar information, der er omfattet af opbevaringskrav, og udfas registreringer i fortegnelsen først efter de nødvendige kontroller. Test disse processer i et sikkert omfang med testkonti og testenheder.

Bevar dokumentation, der understøtter en afgrænset påstand

En dokumentationspakke bør gøre det muligt for en reviewer at rekonstruere, hvad der var beskyttet i en angivet periode. Bevar daterede eksporter, populationstal, beslutninger om undtagelser og afhjælpningsregistreringer. Medtag tilstrækkelig kontekst til at skelne en vurdering på et bestemt tidspunkt fra dokumentation for løbende drift.

Nyttige leverancer omfatter:

• Omfang og afstemning af fortegnelsen, herunder uafklarede ikke-administrerede enheder.
• Godkendte baselineversioner og platformsspecifikke indstillinger.
• Eksporter af enhedstilstand, der viser identifikatorer, tilmelding, seneste kontakt og effektiv konfiguration.
• Godkendelser af undtagelser med udløbsdatoer og kompenserende foranstaltninger.
• Fejl ved udrulning, afhjælpningssager og kontrol af lukning.
• Registreringer af tests af genopretning, adgangsafvisning, mistede enheder og fratrædelser.
• Beslutninger fra periodiske gennemgange og tildelte opfølgningshandlinger.

Dokumentér eksportfiltre, indsamlingstidspunkt og fortolkningen af statusfelter. Beskyt eksporter passende, fordi de kan indeholde personidentifikatorer eller følsomme detaljer om infrastrukturen. Skærmbilleder kan forklare konfiguration, men søgbare eksporter er som regel mere nyttige til populationsanalyse.

Tag stikprøver på tværs af risici og fejltyper, ikke kun blandt sunde enheder. Medtag forskellige platforme, nylige tilmeldinger, privilegerede brugere, forældede endpoints og godkendte undtagelser. En aktuel rapport kan ikke rekonstruere en tidligere gennemgangsperiode, medmindre historiske registreringer er bevaret.

Periodiske dækningsgennemgange bør omfatte nyligt tilmeldte enheder og ændrede adgangsmønstre. Nyttige driftsmål omfatter tilmeldingsdækning, kompatibilitet med den vurderede baseline, forældet rapportering, udløbne undtagelser og afhjælpningens alder. Definér hver nævner og tærskel. Kontinuerlig kontrolovervågning giver yderligere kontekst til at skelne signaler fra gennemgåede konklusioner.

Gennemgået eksempel: gennemgang af en blandet enhedsflåde

De følgende tal og tærskler er illustrative antagelser, ikke branchebenchmarks.

En virksomhed identificerer 120 bærbare firmacomputere og 30 personlige telefoner, der er godkendt til arbejdsmail. Baselinen for bærbare computere kræver tilmelding, kryptering, et understøttet operativsystem, skærmlås og en vellykket vurdering inden for syv dage. Personlige telefoner kræver en administreret arbejdsprofil og understøttet software; administration af hele enheden ligger uden for den godkendte privatlivsgrænse.

MDM-konsollen indeholder 116 bærbare computere. Af dem opfylder 108 baselinen, fire rapporterer forsinkede opdateringer, to har forældede vurderinger, og to viser krypteringsfejl. De resterende fire bærbare computere er ikke administreret.

Hvis man kun rapporterer konsollens resultat, giver det 108 ud af 116, cirka 93 % kompatibilitet med baselinen. I forhold til den fastlagte population af bærbare computere er det påvist, at 108 ud af 120 – 90 % – opfylder baselinen. Tilmeldingsdækningen er cirka 97 %. Det er forskellige mål, og ingen af dem beviser kontrollerne for de personlige telefoner.

Identitetsregistreringer viser, at to ikke-administrerede bærbare computere har tilgået en følsom applikation. Teamet begrænser den adgang, undersøger ejerskabet og tilmelder enhederne. De to andre bekræftes som udfasede; dokumentation for tilbagekaldelse og bortskaffelse understøtter, at de fjernes fra den aktive population.

For telefonerne har tre brugere mailadgang uden den påkrævede arbejdsprofil. Deres adgang begrænses, indtil tilmeldingen eller et godkendt alternativ er gennemført. En testtelefon bekræfter, at selektiv fjernelse sletter arbejdsprofilen uden at slette personligt indhold.

Registreringen af gennemgangen bevarer den oprindelige population, ændringer fra afstemningen, fejl, adgangsbegrænsninger og kontrolleret afhjælpning. Den erstatter ikke den første mislykkede vurdering med et senere rent skærmbillede.

Gør den næste gennemgang lettere

De almindelige fejl er operationelle: kun at tælle tilmeldte endpoints, stole på tildeling af politikker, acceptere forældet telemetri, lade undtagelser stå åbne og behandle fjernkommandoer som gennemførte handlinger. Hver af dem kan håndteres gennem en defineret population, eksplicit håndtering af tilstande og dateret kontrol.

Secani kan organisere dette arbejde omkring de relevante systemer, krav, ejere og den relevante dokumentation. Upload baselinedokumenter, daterede MDM-eksporter og testregistreringer; knyt dem til de kontroller eller beslutninger, de understøtter; og omdan manglende dokumentation eller uafklarede fejl til tildelte opgaver. Bevar menneskelig gennemgang, godkendelse og kildekontekst for væsentlige konklusioner. MDM forbliver det operationelle værktøj til endpointadministration; compliance-arbejdsområdet bevarer implementeringskonteksten og beslutningerne fra gennemgange.

Et praktisk næste skridt er at vælge én følsom applikation og afstemme hvert endpoint, der tilgår den, med administrationsregistreringerne. Test ét sundt endpoint, ét ikke-administreret endpoint og ét forældet endpoint. Registrér adgangsresultaterne og konfigurationsdokumentationen, og tildel derefter hver uforklaret uoverensstemmelse til en ejer. Den lille øvelse tester dækning, håndhævelse og dokumentation på én gang.