Mobileszköz-kezelés: konfiguráció és bizonyítás

Az eszközkezelés csak azokon az eszközökön és beállításokon támogatja a biztonságot, amelyekre ténylegesen kiterjed. Egy megfelelő eszközöket mutató MDM-irányítópult után egy második kérdés is szükséges: mely eszközök hiányoznak? Ezt egy harmadik követi: a „megfelelő” hatékony konfigurációt jelent, vagy csupán egy végponthoz rendelt szabályt?

Egy CTO feladata, hogy ezeket a válaszokat reprodukálhatóvá tegye. A mobileszköz-kezelésnek össze kell kapcsolnia az eszközök tulajdonviszonyait, a konfigurációt, az alkalmazáshozzáférést, az incidenskezelést és a bizonyítékokat. A cél nem egy zöld irányítópult. Hanem egy védhető beszámoló arról, mely végpontok férhetnek hozzá üzleti információkhoz, hogyan védik őket, és mi történik, ha a védelem meghibásodik.

Mit szabályoz az MDM, és mit nem

A mobileszköz-kezelés a végpontok adminisztrációja egy központi szolgáltatáson és a platform által támogatott kezelési mechanizmusokon keresztül. A terméktől, az operációs rendszertől és a regisztrációs módtól függően konfigurációs profilokat telepíthet, alkalmazásokat terjeszthet, jelentheti az eszközök állapotát, korlátozhat bizonyos funkciókat és távoli parancsokat adhat ki. A szélesebb körű végpontkezelő termékek a telefonok és táblagépek mellett laptopokra és asztali gépekre is kiterjedhetnek.

Ezek a képességek nem egységesek. Egy teljesen menedzselt vállalati telefon és egy menedzselt munkahelyi profillal rendelkező magántulajdonú telefon eltérő kontrollokat és telemetriát tesz elérhetővé. Egyes platformok beépített kezelési szolgáltatásokat használnak; mások további ügynököket igényelnek. Sem folyamatos kapcsolatot, sem azonnali végrehajtást nem szabad feltételezni.

Az MDM nem helyettesíti az identitáskezelést, a végpontészlelést, a sérülékenységkezelést vagy az információosztályozást sem. Konfigurálhatja ezeket a kontrollokat, vagy jelzéseket szolgáltathat nekik, de működésüket külön kell ellenőrizni. Egy menedzselt eszköznek is lehetnek túlzott alkalmazásjogosultságai, vissza nem vont munkamenetei vagy sérülékeny alkalmazásai.

Mielőtt beállításokat választ, fogalmazza meg a kontrollállítást. Például: „Az éles adminisztrációs környezethez hozzáférő vállalati laptopoknak regisztráltnak, titkosítottnak, támogatottnak és nemrég értékeltnek kell lenniük.” Ez az állítás meghatároz egy populációt, egy erőforrást és megfigyelhető feltételeket. A „minden eszköz biztonságos” nem.

Kapcsolja a végpontkezelést az IBIR-hez

Az ISO/IEC 27001 egy meghatározott hatókörű információbiztonsági irányítási rendszerre vonatkozik, nem egy adott végpontkezelő eszköz beszerzésére. A 4–10. fejezet az irányítási rendszerre vonatkozó követelményeket határozza meg. Az A melléklet 93 kontrollból álló referenciakészletet ad, amelyek alkalmazhatóságát a kockázatértékelés és -kezelés során mérlegelik; ez nem általános MDM-konfigurációs ellenőrzőlista.

Az alkalmazhatósági nyilatkozat rögzíti a szükséges kontrollokat, a bevonásuk indokát, a megvalósítás állapotát és az A melléklet kontrolljainak kizárására vonatkozó indoklást. Egy MDM-telepítés a releváns kontrollok megvalósításának és bizonyítékainak egy részét adja, nem pedig a teljes IBIR-t bizonyítja.

Hasznos kapcsolódási pontok:

Ezek a megfeleltetések hozzájárulásokat írnak le, nem egyenértékűséget. Például egy bejelentkezési konfiguráció telepítése nem bizonyítja, hogy a kiemelt hozzáférést megfelelően hagyták jóvá. Az A mellékletről szóló útmutatónk segítségével kapcsolja a végponti intézkedéseket a tágabb IBIR-hez, ahelyett hogy az eszközmegfelelést elszigetelt pontszámként kezelné.

Határozza meg a populációt, mielőtt a megfelelést méri

Kezdje azokkal az eszközökkel, amelyek az IBIR hatókörébe tartozó információkat tárolnak, dolgoznak fel vagy érnek el. Adott esetben vegye fel a vállalati és a magántulajdonú berendezéseket, a vállalkozói végpontokat, a megosztott eszközöket és az ideiglenesen kölcsönadott eszközöket is. Egyezzen meg a támogatott operációs rendszerekről, a regisztrációs szabályokról és az adatvédelmi határokról.

A leltárt stabil azonosítókra építse, ne csupán megjelenítési nevekre. Hasznos mezők az eszközazonosító, a kezelési azonosító, a hozzárendelt felhasználó, a tulajdonviszony, a platform, a regisztrációs mód, az üzleti cél, a regisztráció dátuma, az utolsó kapcsolat és a kivezetési állapot. A megosztott eszközök felelőseit kifejezetten rögzítse.

Egyeztesse az MDM-leltárt független forrásokkal. Az eszközbeszerzési nyilvántartások feltárják a soha nem regisztrált berendezéseket. Az identitás-bejelentkezési nyilvántartások és az alkalmazáshozzáférési naplók feltárhatják a kezelésből hiányzó végpontokat. A végpontvédelmi nyilvántartások felfedhetik a duplikált ügynököket vagy a máshol kezelt eszközöket. Mielőtt összekapcsolná őket, ellenőrizze, milyen azonosítókat ad ténylegesen az egyes források.

Az eltéréseket osztályozza, ahelyett hogy csendben kizárná őket:

• Hatókörbe tartozó és regisztrált: értékelje a konfigurációt és az adatok frissességét.
• Hatókörbe tartozó, de nem menedzselt: regisztrálja, korlátozza a hozzáférést, vagy hagyjon jóvá egy behatárolt kivételt.
• Kivezetett, de még aktív: vizsgálja ki, és vonja vissza a fennmaradó hozzáférést.
• Duplikált vagy újratelepített: egyeztesse a nyilvántartásokat a korábbi bizonyítékok elvesztése nélkül.
• Hatókörön kívüli: dokumentálja az indokot és a releváns hozzáférést megakadályozó határt.

A nevező számít. A regisztrált eszközök körében mért „98%-os megfelelés” jelentős, nem menedzselt populációt takarhat el. A lefedettséget a konfigurációs megfeleléstől külön jelentse, és őrizze meg az egyeztetés dátumát és a nyitott rekordokat.

Építsen tesztelhető alapkonfigurációt

Egy végponti alapkonfigurációnak a kockázati döntéseket beállításokra és ellenőrzési kritériumokra kell lefordítania. Meg kell különböztetnie a platformokat és a tulajdonviszonyi modelleket, ahelyett hogy úgy tenne, mintha minden beállítás mindenhol működne.

Az alábbiak gyakorlati kiindulópontot jelentenek, nem általános, jogszabályban vagy az ISO által előírt ellenőrzőlistát:

Határozza meg, mit jelent az „ismeretlen”. Egy végpont, amely nem jelentette a titkosítási állapotát, nem bizonyítottan titkosított. A hiányzó vagy elavult telemetriát külön, egyértelmű reakcióval kezelt állapotként kezelje, ahelyett hogy megfelelt eredménnyé alakítaná.

A frissítési időablakoknak tükrözniük kell a sérülékenység súlyosságát, a kitettséget, a rendelkezésre álló kockázatcsökkentő intézkedéseket és az operatív korlátokat. Dokumentálja az aktívan kihasznált sérülékenységek sürgősségi kezelését, valamint a nélkülözhetetlen alkalmazásokat elrontó frissítések kezelésének folyamatát. Az MDM telepítési jelentései segítenek megállapítani a telepítési állapotot; önmagukban azonban nem magyarázzák meg, hogy a nyitott sérülékenységi kockázat elfogadható-e.

Az alkalmazásoknál különböztesse meg a terjesztést a kontrolltól. Egy jóváhagyott alkalmazás telepítése nem akadályozza meg, hogy a felhasználók alternatívákat telepítsenek, hacsak a platform és a konfiguráció nem támogatja ezt a korlátozást. Határozza meg, ki hagyhat jóvá szoftvert, mi igényel értékelést, és hogyan távolítják el az elavult vagy tiltott alkalmazásokat.

Minden alapkonfigurációs kivételhez felelős, érintett eszközök, üzleti indok, kockázatértékelés, kompenzáló intézkedések, jóváhagyás és lejárati idő szükséges. Egy nem támogatott, érzékeny adatokhoz korlátlanul hozzáférő operációs rendszer nem maradhat határozatlan ideig egy általános „üzleti követelmény” megjegyzés alatt.

Vezesse be a konfigurációt anélkül, hogy a hozzárendelést sikernek tekintené

Használjon olyan pilotcsoportot, amely minden fontos platformot, tulajdonviszonyi módot és üzleti felhasználási esetet képvisel. Tesztelje a szokásos munkát, az utazást, az offline működést és a helyreállítást, ne csak a sikeres regisztrációt egy adminisztrátor asztalán.

A széles körű telepítés előtt teremtse meg a kezelés előfeltételeit: adminisztrátori szerepköröket, regisztrációs jogosultságokat, a szükséges tanúsítványokat vagy szolgáltatási hitelesítő adatokat, valamint a megújításért felelőst. Egy kezelési szolgáltatás veszíthet a hatékonyságából, ha egy tanúsítvány lejár, még akkor is, ha a szabálydokumentumai változatlanok maradnak.

Kövesse a konfigurációt elkülönült állapotokon keresztül: célzott, kézbesített, alkalmazott, értékelt és hatékony. Ha a platform kevesebb szakaszt tesz láthatóvá, dokumentálja ezt a korlátot, és vezessen be egy biztonságos ellenőrzési módszert. Vizsgálja meg az ütköző profilokat, az elavult ügynököket, a nem támogatott beállításokat és azokat a felhasználói műveleteket, amelyek megakadályozzák a befejezést.

Alkalmazzon szakaszos telepítést jóváhagyott visszaállítási vagy helyreállítási útvonallal. Rögzítse az alapkonfiguráció verzióját, a célzott csoportokat, a pilot eredményeit, a jóváhagyást és a bevezetési hibákat. Egy szabályszerkesztőről készült képernyőkép a szándékolt beállításokat igazolja; az eszközjelentések és a tesztek azt bizonyítják, hogy ezek a beállítások működtek-e.

Védje magát a kezelési síkot is. Használjon névre szóló adminisztrátori fiókokat, megfelelő erős hitelesítést, legkisebb jogosultságú szerepköröket és naplózást. Korlátozza a tömeges törlési és konfigurációmódosítási jogosultságokat. Vizsgálja felül az adminisztrátorokat és a szolgáltatási hitelesítő adatokat, mert a kezelési szolgáltatás kompromittálódása egyszerre sok végpontot érinthet.

A titkosítást és a helyreállítást külön ellenőrizze

Laptopoknál a ténylegesen megvalósított tárolóvédelmet ellenőrizze, ne csupán egy „titkosítás bekapcsolása” szabályt. Telefonoknál és táblagépeknél ismerje meg az operációs rendszer titkosítási modelljét, a zárolt állapotbeli viselkedést és a kezelési rálátást. A tárolt adatok titkosítása és a titkosított hálózati átvitel két külön állítás.

Döntse el, mely helyi tárolókra terjed ki, engedélyezettek-e a cserélhető adathordozók, és hogyan hagyhatják el az üzleti információk a menedzselt alkalmazásokat. Egy védett rendszerlemez nem védi automatikusan a titkosítatlan külső meghajtóra exportált fájlt.

A helyreállítási megoldásoknak saját kontrollkialakításra van szükségük. Határozza meg, hol tárolják a helyreállítási anyagot, ki kérheti le, hogyan engedélyezik és naplózzák a lekérést, és mikor szükséges a csere vagy a pótlás. Ne helyezzen helyreállítási titkokat általános auditbizonyítékokba vagy ügyfélszolgálati jegyekbe.

Tesztelje a helyreállítást egy kijelölt tesztvégponton, jóváhagyott eljárással. Az engedélyezést és az eredményt őrizze meg, ne a titkot. Egy konzolmező, amely azt mutatja, hogy létezik kulcs, nem bizonyítja, hogy a jogosult munkatársak szükség esetén helyre tudják állítani az eszközt.

A hálózati védelem az alkalmazások és a szolgáltatások konfigurációjától is függ. Az MDM terjeszthet tanúsítványokat vagy hálózati beállításokat, de nem tudja megállapítani, hogy minden alkalmazás megfelelően konfigurált titkosított kapcsolatokat használ-e. A tágabb életciklusért lásd a titkosításról és kulcskezelésről szóló cikket.

Kapcsolja az eszközállapotot a hozzáférési döntésekhez

Egy megfelelési jelzésnek korlátozott az értéke, ha a nem megfelelő végpontok korlátlan hozzáférést őriznek meg. Ahol támogatott, kapcsolja az eszközbizalmi vagy megfelelési információkat az identitás- és alkalmazáshozzáférési kontrollokhoz. Állapítsa meg pontosan, mely erőforrások érvényesítik a feltételt, és mely hozzáférési útvonalak kerülik meg.

Adott esetben tesztelje a böngészős hozzáférést, a natív alkalmazásokat, a távoli adminisztrációt, a régi típusú hitelesítést és a meglévő munkameneteket. Egy nem menedzselt böngésző blokkolva lehet, miközben egy korábban engedélyezett kliens tovább működik. A munkamenetek visszavonásának működése és a jelzések frissessége kifejezett tesztelést igényel.

Alkalmazzon kockázatalapú korlátozásokat. Az érzékeny adminisztratív rendszerek szigorúbb végponti feltételeket igényelhetnek, mint az alacsony kockázatú együttműködési erőforrások. Határozza meg a vészhelyzeti hozzáférési és helyreállítási eljárásokat, hogy egy meghibásodott megfelelési szolgáltatás ne eredményezzen dokumentálatlan, állandó kerülőutakat.

Az eszköz feloldásához szükséges hitelesítés nem azonos az alkalmazáshitelesítéssel. A képernyőzár a felügyelet nélkül hagyott végpontot védi; a többtényezős hitelesítés és a jogosultságkezelés az erőforrásokhoz való hozzáférést. Az MDM támogathatja a konfigurációt, de ezeket a különálló állításokat az identitásszolgáltató és az alkalmazás bizonyítékainak kell alátámasztaniuk.

A magáneszközöket, az elvesztést és a távozást tudatosan kezelje

Magántulajdonú eszközöknél döntse el, hogy a kezelés teljes eszközre, munkahelyi profilra, csak alkalmazásokra terjed ki, vagy nem érhető el. Magyarázza el, mit láthatnak az adminisztrátorok, mit módosíthatnak, milyen üzleti információkat gyűjtenek, és mi távolítható el. Ne feltételezze, hogy a helymeghatározás vagy a személyes alkalmazásokra való rálátás szükséges vagy elérhető.

Ha a munkavállalói eszköztelemetria személyes adatokat érint, értékelje az alkalmazandó adatvédelmi kötelezettségeket. A GDPR jogalapot és a vonatkozó adatkezelési elvek betartását írja elő; a 32. cikk kockázatalapú megközelítést alkalmaz a biztonságra, ahelyett hogy minden körülményre kiterjedő általános titkosítást írna elő. Nem szabad azt feltételezni, hogy a munkavállalói hozzájárulás elegendő. A megfigyelési és eltávolítási eljárásokat vizsgáltassa felül megfelelő adatvédelmi és munkajogi szempontból.

Válassza szét az üzleti adatok szelektív eltávolítását a teljes eszköz törlésétől. Minden regisztrációs módnál erősítse meg a támogatott működést, és a regisztráció előtt kommunikálja. Egy munkahelyi profil eltávolítása érintetlenül hagyhatja a személyes adatokat, míg a teljes törlésnek lényegesen eltérő következményei vannak.

Elveszett eszköz esetén a reagálásnak azonosítania kell a végpontot és a felhasználót, értékelnie kell a kitettséget, korlátoznia kell a hozzáférést, vissza kell vonnia a releváns munkameneteket vagy hitelesítő adatokat, ki kell adnia a támogatott zárolási vagy törlési parancsokat, és rögzítenie kell az eredményeket. A távoli törlés a kapcsolattól és a platform képességeitől függ. A „parancs sorba állítva” nem azonos az „adatok eltávolítva” állapottal.

A távozási eljárásoknak az eszköz visszaadására és az információhozzáférésre egyaránt ki kell terjedniük. A hozzáférést attól függetlenül vonja vissza, hogy az eszköz visszakerül-e. Adott esetben távolítsa el az üzleti profilokat, őrizze meg a megőrzési követelmények hatálya alá tartozó információkat, és a leltári rekordokat csak a szükséges ellenőrzések után vezesse ki. Ezeket a folyamatokat biztonságos hatókörben, tesztfiókokkal és teszteszközökkel tesztelje.

Őrizzen meg olyan bizonyítékot, amely egy behatárolt állítást támaszt alá

Egy bizonyítékcsomagnak lehetővé kell tennie, hogy a felülvizsgáló rekonstruálja, mi volt védve egy megadott időszakban. Őrizzen meg dátummal ellátott exportokat, populációszámokat, kivételekre vonatkozó döntéseket és javítási nyilvántartásokat. Adjon elegendő kontextust ahhoz, hogy egy adott időpontra vonatkozó értékelés megkülönböztethető legyen a folyamatos működés bizonyítékától.

Hasznos eredmények:

• A hatókör és a leltár egyeztetése, beleértve a nyitott, nem menedzselt eszközöket.
• A jóváhagyott alapkonfiguráció-verziók és a platformspecifikus beállítások.
• Az azonosítókat, a regisztrációt, az utolsó kapcsolatot és a tényleges konfigurációt mutató eszközállapot-exportok.
• Kivételjóváhagyások lejárati dátumokkal és kompenzáló intézkedésekkel.
• Telepítési hibák, javítási jegyek és a lezárás ellenőrzése.
• Helyreállítási, hozzáférés-elutasítási, eszközelvesztési és távozási tesztjegyzőkönyvek.
• Rendszeres felülvizsgálati döntések és kiosztott utóintézkedések.

Dokumentálja az exportszűrőket, a gyűjtés időpontját és az állapotmezők értelmezését. Megfelelően védje az exportokat, mert személyes azonosítókat vagy érzékeny infrastruktúra-részleteket tartalmazhatnak. A képernyőképek elmagyarázhatják a konfigurációt, de a populáció elemzéséhez a kereshető exportok általában hasznosabbak.

A mintavételt a kockázatok és a hibamódok mentén végezze, ne csak az egészséges eszközök körében. Vegyen fel különböző platformokat, nemrég regisztrált eszközöket, kiemelt jogosultságú felhasználókat, elavult végpontokat és jóváhagyott kivételeket. Egy aktuális jelentés nem tud rekonstruálni egy korábbi felülvizsgálati időszakot, hacsak nem őrizték meg a korábbi nyilvántartásokat.

A rendszeres lefedettségi felülvizsgálatoknak ki kell terjedniük az újonnan bevont eszközökre és a változó hozzáférési mintákra. Hasznos operatív mutatók a regisztrációs lefedettség, az értékelt alapkonfigurációnak való megfelelés, az elavult jelentések, a lejárt kivételek és a javítások kora. Határozza meg minden mutató nevezőjét és küszöbértékét. A folyamatos kontrollfelügyelet további kontextust ad a jelzések és a felülvizsgált következtetések megkülönböztetéséhez.

Kidolgozott példa: vegyes eszközpark felülvizsgálata

Az alábbi számok és küszöbértékek szemléltető feltételezések, nem iparági referenciaértékek.

Egy vállalat 120 vállalati laptopot és 30, munkahelyi e-mail-használatra engedélyezett magántelefont azonosít. A laptopokra vonatkozó alapkonfiguráció regisztrációt, titkosítást, támogatott operációs rendszert, képernyőzárat és hét napon belüli sikeres értékelést ír elő. A magántelefonokhoz menedzselt munkahelyi profil és támogatott szoftver szükséges; a teljes eszközkezelés kívül esik a jóváhagyott adatvédelmi határon.

Az MDM-konzol 116 laptopot tartalmaz. Ezek közül 108 megfelel az alapkonfigurációnak, négy lemaradt frissítéseket jelez, kettőnek elavult az értékelése, kettőnél pedig titkosítási hiba látható. A fennmaradó négy laptop hiányzik a kezelésből.

Ha csak a konzol eredményét jelentik, az 116-ból 108, azaz körülbelül 93%-os alapkonfigurációs megfelelés. A megállapított laptop-populációhoz mérten 120-ból 108-ról – 90%-ról – bizonyított, hogy megfelel az alapkonfigurációnak. A regisztrációs lefedettség körülbelül 97%. Ezek különböző mérőszámok, és egyik sem bizonyítja a magántelefonokra vonatkozó kontrollokat.

Az identitásnyilvántartások szerint két nem menedzselt laptop hozzáfért egy érzékeny alkalmazáshoz. A csapat korlátozza ezt a hozzáférést, kivizsgálja a tulajdonviszonyokat, és regisztrálja az eszközöket. A másik kettőről megerősítik, hogy kivezették őket; a visszavonás és a selejtezés bizonyítéka alátámasztja az aktív populációból való eltávolításukat.

A telefonok közül három felhasználó a szükséges munkahelyi profil nélkül fér hozzá az e-mailhez. Hozzáférésüket korlátozzák, amíg a regisztráció vagy egy jóváhagyott alternatíva el nem készül. Egy teszttelefon megerősíti, hogy a szelektív eltávolítás törli a munkahelyi profilt anélkül, hogy a személyes tartalmat törölné.

A felülvizsgálati nyilvántartás megőrzi az eredeti populációt, az egyeztetés során végzett változtatásokat, a hibákat, a hozzáférési korlátozásokat és az ellenőrzött javításokat. Az eredeti, sikertelen értékelést nem cseréli le egy későbbi, hibátlan képernyőképpel.

Tegye könnyebbé a következő felülvizsgálatot

A gyakori hibák operatív jellegűek: csak a regisztrált végpontok számolása, a szabályhozzárendelésbe vetett bizalom, az elavult telemetria elfogadása, a kivételek nyitva hagyása és a távoli parancsok elvégzett műveletként való kezelése. Mindegyik kezelhető egy meghatározott populációval, az állapotok kifejezett kezelésével és dátummal ellátott ellenőrzéssel.

A Secani ezt a munkát a releváns rendszerek, követelmények, felelősök és bizonyítékok köré tudja szervezni. Töltse fel az alapkonfigurációs dokumentumokat, a dátummal ellátott MDM-exportokat és a tesztjegyzőkönyveket; kapcsolja őket az általuk alátámasztott kontrollokhoz vagy döntésekhez; és alakítsa a hiányzó bizonyítékokat vagy a nyitott hibákat kiosztott feladatokká. A lényeges következtetéseknél őrizze meg az emberi felülvizsgálatot, a jóváhagyást és a forráskontextust. Az MDM marad az operatív végpontkezelő eszköz; a megfelelési munkaterület megőrzi a megvalósítás kontextusát és a felülvizsgálati döntéseket.

Gyakorlati következő lépésként válasszon ki egy érzékeny alkalmazást, és egyeztessen minden hozzá hozzáférő végpontot a kezelési nyilvántartásokkal. Teszteljen egy egészséges, egy nem menedzselt és egy elavult végpontot. Rögzítse a hozzáférési eredményeket és a konfigurációs bizonyítékokat, majd minden megmagyarázatlan eltérést rendeljen hozzá egy felelőshöz. Ez a kis gyakorlat egyszerre teszteli a lefedettséget, az érvényesítést és a bizonyítást.