Διαχείριση κινητών συσκευών: διαμόρφωση και απόδειξη

Η διαχείριση συσκευών υποστηρίζει την ασφάλεια μόνο για τις συσκευές και τις ρυθμίσεις που πράγματι καλύπτει. Ένας πίνακας ελέγχου MDM που δείχνει συμμορφούμενες συσκευές χρειάζεται ένα δεύτερο ερώτημα: ποιες συσκευές λείπουν; Ακολουθεί ένα τρίτο: περιγράφει το «συμμορφούμενη» μια αποτελεσματική διαμόρφωση ή απλώς μια πολιτική που έχει ανατεθεί σε ένα τερματικό σημείο;

Για έναν CTO, το ζητούμενο είναι οι απαντήσεις αυτές να είναι αναπαραγώγιμες. Η διαχείριση κινητών συσκευών πρέπει να συνδέει την ιδιοκτησία συσκευών, τη διαμόρφωση, την πρόσβαση σε εφαρμογές, την αντιμετώπιση περιστατικών και τα τεκμήρια. Ο στόχος δεν είναι ένας πράσινος πίνακας ελέγχου. Είναι μια τεκμηριωμένη περιγραφή του ποια τερματικά σημεία μπορούν να έχουν πρόσβαση σε επιχειρηματικές πληροφορίες, πώς προστατεύονται και τι συμβαίνει όταν η προστασία αποτυγχάνει.

Τι ελέγχει το MDM και τι όχι

Η διαχείριση κινητών συσκευών είναι η διαχείριση τερματικών σημείων μέσω μιας κεντρικής υπηρεσίας και μηχανισμών διαχείρισης που υποστηρίζει η πλατφόρμα. Ανάλογα με το προϊόν, το λειτουργικό σύστημα και τον τρόπο εγγραφής, μπορεί να αναπτύσσει προφίλ διαμόρφωσης, να διανέμει εφαρμογές, να αναφέρει την κατάσταση της συσκευής, να περιορίζει επιλεγμένες λειτουργίες και να εκδίδει απομακρυσμένες εντολές. Ευρύτερα προϊόντα διαχείρισης τερματικών σημείων μπορεί να περιλαμβάνουν φορητούς και επιτραπέζιους υπολογιστές μαζί με τηλέφωνα και tablet.

Οι δυνατότητες αυτές δεν είναι ομοιόμορφες. Ένα πλήρως διαχειριζόμενο εταιρικό τηλέφωνο και ένα ιδιόκτητο τηλέφωνο με διαχειριζόμενο προφίλ εργασίας προσφέρουν διαφορετικούς ελέγχους και διαφορετική τηλεμετρία. Ορισμένες πλατφόρμες χρησιμοποιούν ενσωματωμένες υπηρεσίες διαχείρισης· άλλες απαιτούν πρόσθετους πράκτορες. Δεν πρέπει να θεωρείται δεδομένη ούτε η συνεχής συνδεσιμότητα ούτε η άμεση εκτέλεση.

Το MDM επίσης δεν αντικαθιστά τη διαχείριση ταυτοτήτων, την ανίχνευση στα τερματικά σημεία, τη διαχείριση ευπαθειών ή την ταξινόμηση πληροφοριών. Μπορεί να διαμορφώνει αυτούς τους ελέγχους ή να τους παρέχει σήματα, αλλά η λειτουργία τους χρειάζεται ξεχωριστή επαλήθευση. Μια διαχειριζόμενη συσκευή μπορεί παρ' όλα αυτά να έχει υπερβολικά δικαιώματα εφαρμογών, μια συνεδρία που δεν έχει ανακληθεί ή μια ευάλωτη εφαρμογή.

Πριν επιλέξετε ρυθμίσεις, ορίστε τον ισχυρισμό του ελέγχου. Για παράδειγμα: «Οι εταιρικοί φορητοί υπολογιστές που έχουν πρόσβαση στο περιβάλλον διαχείρισης παραγωγής πρέπει να είναι εγγεγραμμένοι, κρυπτογραφημένοι, υποστηριζόμενοι και να έχουν αξιολογηθεί πρόσφατα.» Η δήλωση αυτή προσδιορίζει έναν πληθυσμό, έναν πόρο και παρατηρήσιμες συνθήκες. Το «όλες οι συσκευές είναι ασφαλείς» δεν το κάνει.

Συνδέστε τη διαχείριση τερματικών σημείων με το ΣΔΑΠ

Το ISO/IEC 27001 αφορά ένα σύστημα διαχείρισης ασφάλειας πληροφοριών με καθορισμένο πεδίο εφαρμογής, όχι την αγορά ενός συγκεκριμένου εργαλείου για τερματικά σημεία. Οι ρήτρες 4–10 θέτουν τις απαιτήσεις του συστήματος διαχείρισης. Το Παράρτημα Α παρέχει ένα σύνολο αναφοράς 93 ελέγχων, η εφαρμοσιμότητα των οποίων εξετάζεται μέσω της εκτίμησης και αντιμετώπισης κινδύνων· δεν είναι καθολική λίστα ελέγχου διαμόρφωσης MDM.

Η Δήλωση Εφαρμοσιμότητας καταγράφει τους αναγκαίους ελέγχους, την αιτιολόγηση της συμπερίληψής τους, την κατάσταση εφαρμογής και την αιτιολόγηση για την εξαίρεση ελέγχων του Παραρτήματος Α. Μια ανάπτυξη MDM παρέχει μέρος της εφαρμογής και των τεκμηρίων για τους σχετικούς ελέγχους, αντί να αποδεικνύει ολόκληρο το ΣΔΑΠ.

Χρήσιμες συνδέσεις είναι οι εξής:

Αυτές οι αντιστοιχίσεις περιγράφουν συμβολές, όχι ισοδυναμία. Για παράδειγμα, η ανάπτυξη μιας διαμόρφωσης σύνδεσης δεν αποδεικνύει ότι η προνομιακή πρόσβαση έχει εγκριθεί κατάλληλα. Χρησιμοποιήστε τον οδηγό μας για το Παράρτημα Α για να συνδέσετε τα μέτρα για τα τερματικά σημεία με το ευρύτερο ΣΔΑΠ αντί να αντιμετωπίζετε τη συμμόρφωση των συσκευών ως μεμονωμένη βαθμολογία.

Ορίστε τον πληθυσμό πριν μετρήσετε τη συμμόρφωση

Ξεκινήστε με τις συσκευές που αποθηκεύουν, επεξεργάζονται ή έχουν πρόσβαση σε πληροφορίες εντός του πεδίου εφαρμογής του ΣΔΑΠ. Συμπεριλάβετε εξοπλισμό εταιρικής και ιδιωτικής ιδιοκτησίας, τερματικά σημεία συνεργατών, κοινόχρηστες συσκευές και προσωρινά δανειζόμενες συσκευές όπου συντρέχει περίπτωση. Συμφωνήστε τα υποστηριζόμενα λειτουργικά συστήματα, τους κανόνες εγγραφής και τα όρια ιδιωτικότητας.

Δημιουργήστε την απογραφή γύρω από σταθερά αναγνωριστικά και όχι μόνο εμφανιζόμενα ονόματα. Χρήσιμα πεδία είναι το αναγνωριστικό πόρου, το αναγνωριστικό διαχείρισης, ο ανατεθειμένος χρήστης, η ιδιοκτησία, η πλατφόρμα, ο τρόπος εγγραφής, ο επιχειρηματικός σκοπός, η ημερομηνία εγγραφής, η τελευταία επικοινωνία και η κατάσταση απόσυρσης. Καταγράψτε ρητά τους θεματοφύλακες των κοινόχρηστων συσκευών.

Συμφωνήστε την απογραφή MDM με ανεξάρτητες πηγές. Τα αρχεία αγορών εξοπλισμού αποκαλύπτουν εξοπλισμό που δεν εγγράφηκε ποτέ. Τα αρχεία συνδέσεων ταυτοτήτων και τα αρχεία καταγραφής πρόσβασης σε εφαρμογές μπορούν να αποκαλύψουν τερματικά σημεία που απουσιάζουν από τη διαχείριση. Τα αρχεία προστασίας τερματικών σημείων μπορούν να αποκαλύψουν διπλούς πράκτορες ή συσκευές που διαχειρίζονται αλλού. Ελέγξτε ποια αναγνωριστικά παρέχει πράγματι κάθε πηγή πριν επιχειρήσετε σύζευξη.

Ταξινομήστε τις αποκλίσεις αντί να τις εξαιρείτε σιωπηρά:

• Εντός πεδίου και εγγεγραμμένες: αξιολογήστε τη διαμόρφωση και την επικαιρότητα.
• Εντός πεδίου αλλά μη διαχειριζόμενες: εγγράψτε τις, περιορίστε την πρόσβαση ή εγκρίνετε μια οριοθετημένη εξαίρεση.
• Αποσυρμένες αλλά ακόμη ενεργές: διερευνήστε και ανακαλέστε την υπολειπόμενη πρόσβαση.
• Διπλές ή επανεγκατεστημένες: συμφωνήστε τις εγγραφές χωρίς να χάσετε ιστορικά τεκμήρια.
• Εκτός πεδίου: τεκμηριώστε τον λόγο και το όριο που αποτρέπει τη σχετική πρόσβαση.

Ο παρονομαστής έχει σημασία. Ένα «98 % συμμόρφωση» μεταξύ των εγγεγραμμένων συσκευών μπορεί να αποκρύπτει έναν σημαντικό μη διαχειριζόμενο πληθυσμό. Αναφέρετε την κάλυψη χωριστά από τη συμμόρφωση διαμόρφωσης και διατηρήστε την ημερομηνία συμφωνίας και τις ανεπίλυτες εγγραφές.

Δημιουργήστε μια βασική γραμμή που μπορεί να δοκιμαστεί

Μια βασική γραμμή για τα τερματικά σημεία πρέπει να μεταφράζει τις αποφάσεις κινδύνου σε ρυθμίσεις και κριτήρια επαλήθευσης. Πρέπει να διακρίνει πλατφόρμες και μοντέλα ιδιοκτησίας αντί να προσποιείται ότι κάθε ρύθμιση λειτουργεί παντού.

Το παρακάτω είναι ένα πρακτικό σημείο εκκίνησης, όχι μια καθολική λίστα ελέγχου που επιβάλλεται από τον νόμο ή το ISO:

Ορίστε τι σημαίνει «άγνωστο». Ένα τερματικό σημείο που δεν έχει αναφέρει κατάσταση κρυπτογράφησης δεν έχει αποδειχθεί κρυπτογραφημένο. Αντιμετωπίστε την τηλεμετρία που λείπει ή είναι παρωχημένη ως ξεχωριστή κατάσταση με σαφή απόκριση, αντί να τη μετατρέπετε σε επιτυχία.

Τα παράθυρα ενημερώσεων πρέπει να αντανακλούν τη σοβαρότητα της ευπάθειας, την έκθεση, τα διαθέσιμα μέτρα μετριασμού και τους επιχειρησιακούς περιορισμούς. Τεκμηριώστε τον χειρισμό έκτακτης ανάγκης για ευπάθειες που αξιοποιούνται ενεργά και μια διαδικασία για ενημερώσεις που χαλούν βασικές εφαρμογές. Οι αναφορές ανάπτυξης του MDM βοηθούν στον προσδιορισμό της κατάστασης εγκατάστασης· δεν εξηγούν από μόνες τους αν ο ανεπίλυτος κίνδυνος ευπαθειών είναι αποδεκτός.

Για τις εφαρμογές, διακρίνετε τη διανομή από τον έλεγχο. Η εγκατάσταση μιας εγκεκριμένης εφαρμογής δεν εμποδίζει τους χρήστες να εγκαταστήσουν εναλλακτικές, εκτός αν η πλατφόρμα και η διαμόρφωση υποστηρίζουν αυτόν τον περιορισμό. Ορίστε ποιος μπορεί να εγκρίνει λογισμικό, τι απαιτεί αξιολόγηση και πώς αφαιρούνται οι παρωχημένες ή απαγορευμένες εφαρμογές.

Κάθε εξαίρεση από τη βασική γραμμή χρειάζεται υπεύθυνο, επηρεαζόμενες συσκευές, επιχειρηματικό λόγο, εκτίμηση κινδύνου, αντισταθμιστικά μέτρα, έγκριση και ημερομηνία λήξης. Ένα μη υποστηριζόμενο λειτουργικό σύστημα με απεριόριστη πρόσβαση σε ευαίσθητα δεδομένα δεν πρέπει να παραμένει επ' αόριστον με μια γενική σημείωση «επιχειρηματική απαίτηση».

Αναπτύξτε τη διαμόρφωση χωρίς να συγχέετε την ανάθεση με την επιτυχία

Χρησιμοποιήστε μια πιλοτική ομάδα που αντιπροσωπεύει κάθε σημαντική πλατφόρμα, τρόπο ιδιοκτησίας και επιχειρηματική χρήση. Δοκιμάστε την κανονική εργασία, τα ταξίδια, τη συμπεριφορά εκτός σύνδεσης και την αποκατάσταση, όχι μόνο την επιτυχημένη εγγραφή στο γραφείο ενός διαχειριστή.

Πριν από την ευρεία ανάπτυξη, θεσπίστε τις προϋποθέσεις διαχείρισης: ρόλους διαχειριστών, δικαιώματα εγγραφής, απαιτούμενα πιστοποιητικά ή διαπιστευτήρια υπηρεσιών και υπευθύνους ανανέωσης. Μια υπηρεσία διαχείρισης μπορεί να χάσει την αποτελεσματικότητά της όταν λήξει ένα πιστοποιητικό, ακόμη κι αν τα έγγραφα πολιτικής της παραμένουν αμετάβλητα.

Παρακολουθήστε τη διαμόρφωση μέσα από διακριτές καταστάσεις: στοχευμένη, παραδοθείσα, εφαρμοσμένη, αξιολογημένη και αποτελεσματική. Όπου η πλατφόρμα εμφανίζει λιγότερα στάδια, τεκμηριώστε αυτόν τον περιορισμό και προσθέστε μια ασφαλή μέθοδο επαλήθευσης. Εξετάστε αντικρουόμενα προφίλ, παρωχημένους πράκτορες, μη υποστηριζόμενες ρυθμίσεις και ενέργειες χρηστών που εμποδίζουν την ολοκλήρωση.

Χρησιμοποιήστε σταδιακή ανάπτυξη με εγκεκριμένη διαδρομή επαναφοράς ή αποκατάστασης. Καταγράψτε την έκδοση της βασικής γραμμής, τις στοχευμένες ομάδες, τα αποτελέσματα του πιλότου, την έγκριση και τις αποτυχίες της ανάπτυξης. Ένα στιγμιότυπο οθόνης από έναν επεξεργαστή πολιτικών αποδεικνύει τις επιδιωκόμενες ρυθμίσεις· οι αναφορές συσκευών και οι δοκιμές αποδεικνύουν αν αυτές οι ρυθμίσεις λειτούργησαν.

Προστατέψτε το ίδιο το επίπεδο διαχείρισης. Χρησιμοποιήστε ονομαστικούς λογαριασμούς διαχειριστών, κατάλληλη ισχυρή αυθεντικοποίηση, ρόλους ελάχιστων προνομίων και καταγραφή. Περιορίστε τα δικαιώματα μαζικής απομακρυσμένης διαγραφής και αλλαγής διαμόρφωσης. Επανεξετάζετε τους διαχειριστές και τα διαπιστευτήρια υπηρεσιών, επειδή η παραβίαση της υπηρεσίας διαχείρισης μπορεί να επηρεάσει πολλά τερματικά σημεία ταυτόχρονα.

Επαληθεύστε χωριστά την κρυπτογράφηση και την ανάκτηση

Για τους φορητούς υπολογιστές, ελέγξτε την εφαρμοσμένη προστασία αποθηκευτικού χώρου, όχι απλώς μια πολιτική «ενεργοποίηση κρυπτογράφησης». Για τα τηλέφωνα και τα tablet, κατανοήστε το μοντέλο κρυπτογράφησης του λειτουργικού συστήματος, τη συμπεριφορά σε κατάσταση κλειδώματος και την ορατότητα της διαχείρισης. Η κρυπτογράφηση σε κατάσταση ηρεμίας και η κρυπτογραφημένη μεταφορά στο δίκτυο είναι ξεχωριστοί ισχυρισμοί.

Αποφασίστε ποιος τοπικός αποθηκευτικός χώρος καλύπτεται, αν επιτρέπονται αφαιρούμενα μέσα και πώς μπορούν οι επιχειρηματικές πληροφορίες να βγουν από τις διαχειριζόμενες εφαρμογές. Ένας προστατευμένος δίσκος συστήματος δεν προστατεύει αυτομάτως ένα αρχείο που εξήχθη σε μη κρυπτογραφημένο εξωτερικό δίσκο.

Οι ρυθμίσεις ανάκτησης χρειάζονται τον δικό τους σχεδιασμό ελέγχου. Προσδιορίστε πού φυλάσσεται το υλικό ανάκτησης, ποιος μπορεί να το ανακτήσει, πώς εγκρίνεται και καταγράφεται η ανάκτηση και πότε απαιτείται εναλλαγή ή αντικατάσταση. Μην τοποθετείτε μυστικά ανάκτησης σε γενικά τεκμήρια ελέγχου ή σε αιτήματα της υπηρεσίας υποστήριξης.

Δοκιμάστε την ανάκτηση σε ένα καθορισμένο δοκιμαστικό τερματικό σημείο με εγκεκριμένη διαδικασία. Διατηρήστε την έγκριση και το αποτέλεσμα, όχι το μυστικό. Ένα πεδίο στην κονσόλα που δείχνει ότι υπάρχει κλειδί δεν αποδεικνύει ότι το εξουσιοδοτημένο προσωπικό μπορεί να ανακτήσει τη συσκευή όταν χρειαστεί.

Η προστασία του δικτύου εξαρτάται επίσης από τη διαμόρφωση εφαρμογών και υπηρεσιών. Το MDM μπορεί να διανέμει πιστοποιητικά ή ρυθμίσεις δικτύου, αλλά δεν μπορεί να αποδείξει ότι κάθε εφαρμογή χρησιμοποιεί κατάλληλα διαμορφωμένες κρυπτογραφημένες συνδέσεις. Για τον ευρύτερο κύκλο ζωής, δείτε το άρθρο για την κρυπτογράφηση και τη διαχείριση κλειδιών.

Συνδέστε την κατάσταση των συσκευών με τις αποφάσεις πρόσβασης

Ένα σήμα συμμόρφωσης έχει περιορισμένη αξία αν τα μη συμμορφούμενα τερματικά σημεία διατηρούν απεριόριστη πρόσβαση. Όπου υποστηρίζεται, συνδέστε τις πληροφορίες εμπιστοσύνης ή συμμόρφωσης της συσκευής με τους ελέγχους πρόσβασης ταυτοτήτων και εφαρμογών. Προσδιορίστε με ακρίβεια ποιοι πόροι επιβάλλουν την προϋπόθεση και ποιες διαδρομές πρόσβασης την παρακάμπτουν.

Δοκιμάστε την πρόσβαση μέσω προγράμματος περιήγησης, τις εγγενείς εφαρμογές, την απομακρυσμένη διαχείριση, την παλαιού τύπου αυθεντικοποίηση και τις υφιστάμενες συνεδρίες όπου συντρέχει περίπτωση. Ένα μη διαχειριζόμενο πρόγραμμα περιήγησης μπορεί να μπλοκάρεται, ενώ ένας ήδη εξουσιοδοτημένος πελάτης συνεχίζει να λειτουργεί. Η συμπεριφορά ανάκλησης συνεδριών και η επικαιρότητα των σημάτων απαιτούν ρητή δοκιμή.

Χρησιμοποιήστε περιορισμούς βάσει κινδύνου. Τα ευαίσθητα διαχειριστικά συστήματα μπορεί να απαιτούν αυστηρότερες προϋποθέσεις για τα τερματικά σημεία από ό,τι οι πόροι συνεργασίας χαμηλού κινδύνου. Ορίστε διαδικασίες πρόσβασης έκτακτης ανάγκης και αποκατάστασης, ώστε μια αποτυχημένη υπηρεσία συμμόρφωσης να μην οδηγεί σε μη τεκμηριωμένες μόνιμες παρακάμψεις.

Η αυθεντικοποίηση για το ξεκλείδωμα της συσκευής δεν είναι το ίδιο με την αυθεντικοποίηση στην εφαρμογή. Το κλείδωμα οθόνης προστατεύει ένα τερματικό σημείο χωρίς επιτήρηση· η πολυπαραγοντική αυθεντικοποίηση και η εξουσιοδότηση προστατεύουν την πρόσβαση στους πόρους. Το MDM μπορεί να υποστηρίξει τη διαμόρφωση, αλλά τα τεκμήρια του παρόχου ταυτοτήτων και των εφαρμογών πρέπει να τεκμηριώνουν αυτούς τους ξεχωριστούς ισχυρισμούς.

Χειριστείτε συνειδητά τις προσωπικές συσκευές, την απώλεια και την αποχώρηση

Για τις συσκευές ιδιωτικής ιδιοκτησίας, αποφασίστε αν η διαχείριση θα αφορά ολόκληρη τη συσκευή, προφίλ εργασίας, μόνο εφαρμογές ή δεν θα είναι διαθέσιμη. Εξηγήστε τι μπορούν να βλέπουν οι διαχειριστές, τι μπορούν να αλλάζουν, ποιες επιχειρηματικές πληροφορίες συλλέγονται και τι μπορεί να αφαιρεθεί. Μην υποθέτετε ότι ο εντοπισμός τοποθεσίας ή η ορατότητα των προσωπικών εφαρμογών είναι απαραίτητα ή διαθέσιμα.

Όπου η τηλεμετρία των συσκευών των εργαζομένων περιλαμβάνει δεδομένα προσωπικού χαρακτήρα, αξιολογήστε τις εφαρμοστέες υποχρεώσεις προστασίας δεδομένων. Ο ΓΚΠΔ απαιτεί νόμιμη βάση και τήρηση των σχετικών αρχών επεξεργασίας· το άρθρο 32 υιοθετεί μια προσέγγιση βάσει κινδύνου για την ασφάλεια αντί να επιβάλλει γενική κρυπτογράφηση σε κάθε περίπτωση. Δεν πρέπει να θεωρείται δεδομένο ότι η συγκατάθεση των εργαζομένων αρκεί. Ζητήστε κατάλληλη επανεξέταση από ειδικούς προστασίας δεδομένων και εργατικού δικαίου για τις διαδικασίες παρακολούθησης και αφαίρεσης.

Διαχωρίστε την επιλεκτική αφαίρεση επιχειρηματικών δεδομένων από την πλήρη διαγραφή της συσκευής. Επιβεβαιώστε την υποστηριζόμενη συμπεριφορά για κάθε τρόπο εγγραφής και κοινοποιήστε τη πριν από την εγγραφή. Η αφαίρεση ενός προφίλ εργασίας μπορεί να αφήνει ανέπαφα τα προσωπικά δεδομένα, ενώ μια πλήρης διαγραφή έχει ουσιωδώς διαφορετικές συνέπειες.

Για μια χαμένη συσκευή, η απόκριση πρέπει να προσδιορίζει το τερματικό σημείο και τον χρήστη, να αξιολογεί την έκθεση, να περιορίζει την πρόσβαση, να ανακαλεί τις σχετικές συνεδρίες ή τα διαπιστευτήρια, να εκδίδει τις υποστηριζόμενες εντολές κλειδώματος ή διαγραφής και να καταγράφει τα αποτελέσματα. Η απομακρυσμένη διαγραφή εξαρτάται από τη συνδεσιμότητα και τις δυνατότητες της πλατφόρμας. Το «η εντολή τέθηκε σε αναμονή» δεν σημαίνει «τα δεδομένα αφαιρέθηκαν».

Οι διαδικασίες αποχώρησης πρέπει να καλύπτουν τόσο την επιστροφή της συσκευής όσο και την πρόσβαση σε πληροφορίες. Ανακαλέστε την πρόσβαση ανεξάρτητα από το αν ανακτήθηκε η συσκευή. Αφαιρέστε τα επιχειρηματικά προφίλ όταν ενδείκνυται, διατηρήστε τις πληροφορίες που υπόκεινται σε απαιτήσεις διατήρησης και αποσύρετε τις εγγραφές της απογραφής μόνο μετά τους απαιτούμενους ελέγχους. Δοκιμάστε αυτές τις διαδικασίες σε ασφαλές πεδίο με δοκιμαστικούς λογαριασμούς και συσκευές.

Διατηρήστε τεκμήρια που στηρίζουν έναν οριοθετημένο ισχυρισμό

Ένα πακέτο τεκμηρίων πρέπει να επιτρέπει σε έναν αξιολογητή να ανασυνθέσει τι προστατευόταν κατά τη διάρκεια μιας δηλωμένης περιόδου. Διατηρήστε χρονολογημένες εξαγωγές, καταμετρήσεις πληθυσμού, αποφάσεις εξαιρέσεων και αρχεία αποκατάστασης. Συμπεριλάβετε αρκετό πλαίσιο ώστε να διακρίνεται μια αξιολόγηση σε συγκεκριμένο χρονικό σημείο από τα τεκμήρια διαρκούς λειτουργίας.

Χρήσιμα παραδοτέα είναι:

• Πεδίο εφαρμογής και συμφωνία απογραφής, συμπεριλαμβανομένων των ανεπίλυτων μη διαχειριζόμενων συσκευών.
• Εγκεκριμένες εκδόσεις βασικής γραμμής και ρυθμίσεις ανά πλατφόρμα.
• Εξαγωγές κατάστασης συσκευών που δείχνουν αναγνωριστικά, εγγραφή, τελευταία επικοινωνία και πραγματική διαμόρφωση.
• Εγκρίσεις εξαιρέσεων με ημερομηνίες λήξης και αντισταθμιστικά μέτρα.
• Αποτυχίες ανάπτυξης, αιτήματα αποκατάστασης και επαλήθευση κλεισίματος.
• Αρχεία δοκιμών ανάκτησης, άρνησης πρόσβασης, απώλειας συσκευής και αποχώρησης.
• Αποφάσεις περιοδικής επανεξέτασης και ανατεθειμένες ενέργειες συνέχειας.

Τεκμηριώστε τα φίλτρα εξαγωγής, τον χρόνο συλλογής και την ερμηνεία των πεδίων κατάστασης. Προστατέψτε κατάλληλα τις εξαγωγές, επειδή μπορεί να περιέχουν προσωπικά αναγνωριστικά ή ευαίσθητες λεπτομέρειες υποδομής. Τα στιγμιότυπα οθόνης μπορούν να εξηγούν τη διαμόρφωση, αλλά οι εξαγωγές με δυνατότητα αναζήτησης είναι συνήθως πιο χρήσιμες για την ανάλυση πληθυσμού.

Πάρτε δείγματα σε όλο το φάσμα κινδύνων και τρόπων αποτυχίας, όχι μόνο από υγιείς συσκευές. Συμπεριλάβετε διαφορετικές πλατφόρμες, πρόσφατες εγγραφές, προνομιούχους χρήστες, παρωχημένα τερματικά σημεία και εγκεκριμένες εξαιρέσεις. Μια τρέχουσα αναφορά δεν μπορεί να ανασυνθέσει μια προηγούμενη περίοδο επανεξέτασης, εκτός αν έχουν διατηρηθεί ιστορικά αρχεία.

Οι περιοδικές επανεξετάσεις κάλυψης πρέπει να περιλαμβάνουν τις νεοεισαχθείσες συσκευές και τα μεταβαλλόμενα μοτίβα πρόσβασης. Χρήσιμοι λειτουργικοί δείκτες είναι η κάλυψη εγγραφών, η συμμόρφωση με την αξιολογημένη βασική γραμμή, οι παρωχημένες αναφορές, οι εξαιρέσεις που έχουν λήξει και η ηλικία των αποκαταστάσεων. Ορίστε κάθε παρονομαστή και κατώφλι. Η συνεχής παρακολούθηση ελέγχων παρέχει περαιτέρω πλαίσιο για τη διάκριση των σημάτων από τα επανεξετασμένα συμπεράσματα.

Παράδειγμα: επανεξέταση ενός μικτού στόλου

Τα παρακάτω νούμερα και κατώφλια είναι ενδεικτικές υποθέσεις, όχι δείκτες αναφοράς του κλάδου.

Μια εταιρεία προσδιορίζει 120 εταιρικούς φορητούς υπολογιστές και 30 προσωπικά τηλέφωνα εξουσιοδοτημένα για εταιρικό email. Η βασική γραμμή της για τους φορητούς υπολογιστές απαιτεί εγγραφή, κρυπτογράφηση, υποστηριζόμενο λειτουργικό σύστημα, κλείδωμα οθόνης και επιτυχημένη αξιολόγηση εντός επτά ημερών. Τα προσωπικά τηλέφωνα απαιτούν διαχειριζόμενο προφίλ εργασίας και υποστηριζόμενο λογισμικό· η διαχείριση ολόκληρης της συσκευής βρίσκεται εκτός του εγκεκριμένου ορίου ιδιωτικότητας.

Η κονσόλα MDM περιέχει 116 φορητούς υπολογιστές. Από αυτούς, 108 πληρούν τη βασική γραμμή, τέσσερις αναφέρουν εκπρόθεσμες ενημερώσεις, δύο έχουν παρωχημένες αξιολογήσεις και δύο εμφανίζουν αποτυχίες κρυπτογράφησης. Οι υπόλοιποι τέσσερις φορητοί υπολογιστές απουσιάζουν από τη διαχείριση.

Η αναφορά μόνο του αποτελέσματος της κονσόλας δίνει 108 από 116, δηλαδή περίπου 93 % συμμόρφωση με τη βασική γραμμή. Σε σχέση με τον καθορισμένο πληθυσμό φορητών υπολογιστών, 108 από 120, δηλαδή 90 %, αποδεικνύεται ότι πληρούν τη βασική γραμμή. Η κάλυψη εγγραφών είναι περίπου 97 %. Πρόκειται για διαφορετικά μεγέθη, και κανένα δεν αποδεικνύει τους ελέγχους για τα προσωπικά τηλέφωνα.

Τα αρχεία ταυτοτήτων δείχνουν ότι δύο μη διαχειριζόμενοι φορητοί υπολογιστές είχαν πρόσβαση σε μια ευαίσθητη εφαρμογή. Η ομάδα περιορίζει αυτή την πρόσβαση, διερευνά την ιδιοκτησία και εγγράφει τις συσκευές. Οι άλλοι δύο επιβεβαιώνεται ότι έχουν αποσυρθεί· τα τεκμήρια ανάκλησης και διάθεσης στηρίζουν την αφαίρεσή τους από τον ενεργό πληθυσμό.

Για τα τηλέφωνα, τρεις χρήστες έχουν πρόσβαση στο email χωρίς το απαιτούμενο προφίλ εργασίας. Η πρόσβασή τους περιορίζεται έως ότου ολοκληρωθεί η εγγραφή ή μια εγκεκριμένη εναλλακτική. Ένα δοκιμαστικό τηλέφωνο επιβεβαιώνει ότι η επιλεκτική αφαίρεση διαγράφει το προφίλ εργασίας χωρίς να διαγράφει το προσωπικό περιεχόμενο.

Το αρχείο επανεξέτασης διατηρεί τον αρχικό πληθυσμό, τις αλλαγές από τη συμφωνία, τις αποτυχίες, τους περιορισμούς πρόσβασης και την επαληθευμένη αποκατάσταση. Δεν αντικαθιστά την αρχική αποτυχημένη αξιολόγηση με ένα μεταγενέστερο καθαρό στιγμιότυπο οθόνης.

Κάντε την επόμενη επανεξέταση ευκολότερη

Τα συνηθισμένα λάθη είναι λειτουργικά: καταμέτρηση μόνο των εγγεγραμμένων τερματικών σημείων, εμπιστοσύνη στην ανάθεση πολιτικών, αποδοχή παρωχημένης τηλεμετρίας, εξαιρέσεις που μένουν ανοιχτές και αντιμετώπιση των απομακρυσμένων εντολών ως ολοκληρωμένων ενεργειών. Καθένα από αυτά μπορεί να αντιμετωπιστεί με καθορισμένο πληθυσμό, ρητό χειρισμό καταστάσεων και χρονολογημένη επαλήθευση.

Το Secani μπορεί να οργανώσει αυτή την εργασία γύρω από τα σχετικά συστήματα, τις απαιτήσεις, τους υπευθύνους και τα τεκμήρια. Μεταφορτώστε έγγραφα βασικής γραμμής, χρονολογημένες εξαγωγές MDM και αρχεία δοκιμών· συνδέστε τα με τους ελέγχους ή τις αποφάσεις που υποστηρίζουν· και μετατρέψτε τα τεκμήρια που λείπουν ή τις ανεπίλυτες αποτυχίες σε ανατεθειμένες εργασίες. Διατηρήστε την ανθρώπινη επανεξέταση, την έγκριση και το πλαίσιο των πηγών για τα ουσιώδη συμπεράσματα. Το MDM παραμένει το λειτουργικό εργαλείο διαχείρισης τερματικών σημείων· ο χώρος εργασίας συμμόρφωσης διατηρεί το πλαίσιο εφαρμογής και τις αποφάσεις επανεξέτασης.

Ένα πρακτικό επόμενο βήμα είναι να επιλέξετε μία ευαίσθητη εφαρμογή και να συμφωνήσετε κάθε τερματικό σημείο που έχει πρόσβαση σε αυτήν με τα αρχεία διαχείρισης. Δοκιμάστε ένα υγιές τερματικό σημείο, ένα μη διαχειριζόμενο και ένα παρωχημένο. Καταγράψτε τα αποτελέσματα πρόσβασης και τα τεκμήρια διαμόρφωσης και στη συνέχεια αναθέστε κάθε ανεξήγητη απόκλιση σε έναν υπεύθυνο. Αυτή η μικρή άσκηση δοκιμάζει μαζί την κάλυψη, την επιβολή και την απόδειξη.