Mobiliųjų įrenginių valdymas: konfigūracija ir įrodymai

Įrenginių valdymas padeda saugumui tik tų įrenginių ir nustatymų atžvilgiu, kuriuos jis iš tikrųjų apima. MDM prietaisų skydelis, rodantis atitinkančius įrenginius, kelia antrą klausimą: kurių įrenginių trūksta? Po jo seka trečias: ar „atitinkantis“ reiškia veiksmingą konfigūraciją, ar tik galiniam įrenginiui priskirtą politiką?

CTO užduotis – padaryti šiuos atsakymus atkartojamus. Mobiliųjų įrenginių valdymas turėtų susieti įrenginių nuosavybę, konfigūraciją, prieigą prie programų, reagavimą į incidentus ir įrodymus. Tikslas nėra žalias prietaisų skydelis. Tikslas – pagrįstas paaiškinimas, kurie galiniai įrenginiai gali pasiekti verslo informaciją, kaip jie apsaugoti ir kas vyksta, kai apsauga neveikia.

Ką MDM kontroliuoja ir ko nekontroliuoja

Mobiliųjų įrenginių valdymas – tai galinių įrenginių administravimas per centrinę paslaugą ir platformos palaikomus valdymo mechanizmus. Priklausomai nuo produkto, operacinės sistemos ir registravimo režimo, jis gali diegti konfigūracijos profilius, platinti programas, teikti įrenginio būsenos ataskaitas, riboti pasirinktas funkcijas ir siųsti nuotolines komandas. Platesni galinių įrenginių valdymo produktai greta telefonų ir planšečių gali apimti nešiojamuosius ir stalinius kompiuterius.

Šios galimybės nėra vienodos. Visiškai valdomas įmonės telefonas ir asmeninis telefonas su valdomu darbo profiliu suteikia skirtingas kontrolės priemones ir telemetriją. Kai kurios platformos naudoja integruotas valdymo paslaugas; kitoms reikia papildomų agentų. Negalima daryti prielaidos nei apie nuolatinį ryšį, nei apie tiesioginį vykdymą.

MDM taip pat nepakeičia tapatybių valdymo, galinių įrenginių aptikimo, pažeidžiamumų valdymo ar informacijos klasifikavimo. Jis gali konfigūruoti šias kontrolės priemones ar teikti joms signalus, tačiau jų veikimą reikia tikrinti atskirai. Valdomas įrenginys vis tiek gali turėti perteklinių programų leidimų, neatšauktą seansą ar pažeidžiamą programą.

Prieš pasirinkdami nustatymus, apibrėžkite kontrolės teiginį. Pavyzdžiui: „Įmonės nešiojamieji kompiuteriai, pasiekiantys gamybinės aplinkos administravimo aplinką, turi būti užregistruoti, šifruoti, palaikomi ir neseniai įvertinti.“ Šis teiginys nurodo populiaciją, išteklių ir stebimas sąlygas. „Visi įrenginiai saugūs“ – ne.

Susiekite galinių įrenginių valdymą su ISMS

ISO/IEC 27001 susijęs su apibrėžtos taikymo srities informacijos saugumo valdymo sistema, o ne su konkretaus galinių įrenginių įrankio įsigijimu. Jo 4–10 skyriai nustato valdymo sistemos reikalavimus. A priedas pateikia 93 kontrolės priemonių etaloninį rinkinį, kurių taikymas svarstomas atliekant rizikos vertinimą ir valdymą; tai nėra universalus MDM konfigūracijos kontrolinis sąrašas.

Taikymo pareiškimas (Statement of Applicability) fiksuoja būtinas kontrolės priemones, jų įtraukimo pagrindimą, įgyvendinimo būseną ir A priedo kontrolės priemonių neįtraukimo pagrindimą. MDM diegimas suteikia dalį atitinkamų kontrolės priemonių įgyvendinimo ir įrodymų, o ne įrodo visą ISMS.

Naudingos sąsajos:

Šios sąsajos apibūdina indėlį, o ne lygiavertiškumą. Pavyzdžiui, prisijungimo konfigūracijos įdiegimas neįrodo, kad privilegijuota prieiga tinkamai patvirtinta. Naudokite mūsų A priedo vadovą, kad susietumėte galinių įrenginių priemones su platesne ISMS, o ne laikytumėte įrenginių atitiktį izoliuotu balu.

Prieš matuodami atitiktį, apibrėžkite populiaciją

Pradėkite nuo įrenginių, kurie saugo, tvarko ar pasiekia informaciją ISMS taikymo srityje. Kai aktualu, įtraukite įmonės ir asmeninius įrenginius, rangovų galinius įrenginius, bendrus įrenginius ir laikinai išduodamus įrenginius. Susitarkite dėl palaikomų operacinių sistemų, registravimo taisyklių ir privatumo ribų.

Inventorių kurkite remdamiesi stabiliais identifikatoriais, o ne vien rodomais pavadinimais. Naudingi laukai apima turto identifikatorių, valdymo identifikatorių, priskirtą naudotoją, nuosavybę, platformą, registravimo režimą, verslo paskirtį, registravimo datą, paskutinį ryšį ir nurašymo būseną. Bendrų įrenginių atsakingus asmenis užfiksuokite aiškiai.

Suderinkite MDM inventorių su nepriklausomais šaltiniais. Turto pirkimo įrašai atskleidžia įrangą, kuri niekada nebuvo užregistruota. Tapatybių prisijungimo įrašai ir programų prieigos žurnalai gali atskleisti galinius įrenginius, kurių nėra valdyme. Galinių įrenginių apsaugos įrašai gali atskleisti pasikartojančius agentus ar kitur valdomus įrenginius. Prieš bandydami sujungti duomenis, patikrinkite, kokius identifikatorius kiekvienas šaltinis iš tikrųjų teikia.

Neatitikimus klasifikuokite, o ne tyliai juos atmeskite:

• Taikymo sričiai priklausantys ir užregistruoti: įvertinkite konfigūraciją ir duomenų šviežumą.
• Taikymo sričiai priklausantys, bet nevaldomi: užregistruokite, apribokite prieigą arba patvirtinkite ribotą išimtį.
• Nurašyti, bet vis dar aktyvūs: ištirkite ir atšaukite likusią prieigą.
• Pasikartojantys ar iš naujo įdiegti: suderinkite įrašus neprarasdami istorinių įrodymų.
• Nepriklausantys taikymo sričiai: dokumentuokite priežastį ir ribą, kuri užkerta kelią atitinkamai prieigai.

Vardiklis yra svarbus. „98 % atitinkančių“ tarp užregistruotų įrenginių gali slėpti didelę nevaldomų įrenginių populiaciją. Aprėptį ataskaitose pateikite atskirai nuo konfigūracijos atitikties ir išsaugokite suderinimo datą bei neišspręstus įrašus.

Sukurkite bazinę liniją, kurią galima patikrinti

Galinių įrenginių bazinė linija turėtų paversti rizikos sprendimus nustatymais ir tikrinimo kriterijais. Ji turėtų atskirti platformas ir nuosavybės modelius, o ne apsimesti, kad kiekvienas nustatymas veikia visur.

Toliau pateikta lentelė yra praktinis atspirties taškas, o ne universalus teisės aktų ar ISO reikalaujamas kontrolinis sąrašas:

Apibrėžkite, ką reiškia „nežinoma“. Galinis įrenginys, nepranešęs šifravimo būsenos, nėra įrodytai šifruotas. Trūkstamą ar pasenusią telemetriją laikykite atskira būsena su aiškiu atsaku, o ne paverskite ją teigiamu rezultatu.

Atnaujinimų langai turėtų atspindėti pažeidžiamumo rimtumą, pasiekiamumą, turimas rizikos mažinimo priemones ir veiklos apribojimus. Dokumentuokite aktyviai išnaudojamų pažeidžiamumų skubų tvarkymą ir procesą atnaujinimams, kurie sugadina būtinas programas. MDM diegimo ataskaitos padeda nustatyti įdiegimo būseną; pačios savaime jos nepaaiškina, ar neišspręsta pažeidžiamumo rizika yra priimtina.

Programų atveju atskirkite platinimą nuo kontrolės. Patvirtintos programos įdiegimas neužkerta kelio naudotojams diegti alternatyvų, nebent platforma ir konfigūracija palaiko tokį apribojimą. Apibrėžkite, kas gali tvirtinti programinę įrangą, kam reikia vertinimo ir kaip šalinamos pasenusios ar draudžiamos programos.

Kiekvienai bazinės linijos išimčiai reikia savininko, paveiktų įrenginių, verslo priežasties, rizikos vertinimo, kompensuojamųjų priemonių, patvirtinimo ir galiojimo pabaigos. Nepalaikoma operacinė sistema su neribota prieiga prie jautrių duomenų neturėtų neribotą laiką likti su bendra pastaba „verslo reikalavimas“.

Diekite konfigūraciją nepainiodami priskyrimo su sėkme

Naudokite bandomąją grupę, atstovaujančią kiekvienai svarbiai platformai, nuosavybės režimui ir verslo naudojimo atvejui. Išbandykite įprastą darbą, keliones, veikimą be ryšio ir atkūrimą, o ne vien sėkmingą registravimą ant administratoriaus stalo.

Prieš platų diegimą užtikrinkite valdymo prielaidas: administratorių vaidmenis, registravimo leidimus, reikiamus sertifikatus ar paslaugų prisijungimo duomenis ir atsakomybę už jų atnaujinimą. Valdymo paslauga gali prarasti veiksmingumą pasibaigus sertifikato galiojimui, nors jos politikos dokumentai lieka nepakitę.

Konfigūraciją sekite per atskiras būsenas: nukreipta, pristatyta, pritaikyta, įvertinta ir veiksminga. Kai platforma rodo mažiau etapų, dokumentuokite šį apribojimą ir pridėkite saugų tikrinimo metodą. Patikrinkite prieštaraujančius profilius, pasenusius agentus, nepalaikomus nustatymus ir naudotojų veiksmus, kurie trukdo užbaigti diegimą.

Naudokite etapinį diegimą su patvirtintu atšaukimo ar atkūrimo keliu. Užfiksuokite bazinės linijos versiją, nukreiptas grupes, bandymų rezultatus, patvirtinimą ir diegimo nesėkmes. Politikos redaktoriaus ekrano kopija įrodo numatytus nustatymus; įrenginių ataskaitos ir testai nustato, ar tie nustatymai veikė.

Apsaugokite ir pačią valdymo plokštumą. Naudokite vardines administratorių paskyras, tinkamą stiprią autentifikaciją, mažiausių privilegijų vaidmenis ir žurnalų registravimą. Apribokite masinio ištrynimo ir konfigūraciją keičiančias privilegijas. Peržiūrėkite administratorius ir paslaugų prisijungimo duomenis, nes valdymo paslaugos pažeidimas vienu metu gali paveikti daugybę galinių įrenginių.

Šifravimą ir atkūrimą tikrinkite atskirai

Nešiojamųjų kompiuterių atveju patikrinkite įgyvendintą saugyklos apsaugą, o ne vien politiką „įjungti šifravimą“. Telefonų ir planšečių atveju supraskite operacinės sistemos šifravimo modelį, elgseną užrakinus ir valdymo matomumą. Šifravimas ramybės būsenoje ir šifruotas perdavimas tinklu yra atskiri teiginiai.

Nuspręskite, kuri vietinė saugykla aprėpiama, ar leidžiamos keičiamosios laikmenos ir kaip verslo informacija gali palikti valdomas programas. Apsaugotas sistemos diskas automatiškai neapsaugo eksportuoto failo nešifruotame išoriniame diske.

Atkūrimo tvarkai reikia atskiro kontrolės priemonės projekto. Nustatykite, kur laikoma atkūrimo medžiaga, kas gali ją gauti, kaip gavimas autorizuojamas ir registruojamas žurnaluose ir kada reikia ją pakeisti. Nedėkite atkūrimo paslapčių į bendrus audito įrodymus ar pagalbos tarnybos užklausas.

Išbandykite atkūrimą tam skirtame testiniame galiniame įrenginyje taikydami patvirtintą procedūrą. Išsaugokite autorizavimą ir rezultatą, bet ne paslaptį. Konsolės laukas, rodantis, kad raktas egzistuoja, neįrodo, kad įgalioti darbuotojai prireikus gali atkurti įrenginį.

Tinklo apsauga taip pat priklauso nuo programų ir paslaugų konfigūracijos. MDM gali platinti sertifikatus ar tinklo nustatymus, tačiau negali įrodyti, kad kiekviena programa naudoja tinkamai sukonfigūruotus šifruotus ryšius. Platesnis gyvavimo ciklas aprašytas straipsnyje apie šifravimą ir raktų valdymą.

Susiekite įrenginio būseną su prieigos sprendimais

Atitikties signalas turi ribotą vertę, jei neatitinkantys galiniai įrenginiai išlaiko neribotą prieigą. Kai palaikoma, susiekite įrenginio patikimumo ar atitikties informaciją su tapatybių ir programų prieigos kontrole. Tiksliai nustatykite, kurie ištekliai taiko šią sąlygą ir kurie prieigos keliai ją apeina.

Kai taikoma, testuokite prieigą per naršyklę, vietines programas, nuotolinį administravimą, senąją autentifikaciją ir esamus seansus. Nevaldoma naršyklė gali būti užblokuota, o anksčiau autorizuotas klientas – toliau veikti. Seansų atšaukimo elgseną ir signalų šviežumą reikia aiškiai išbandyti.

Taikykite rizika grindžiamus apribojimus. Jautrioms administravimo sistemoms gali reikėti griežtesnių galinių įrenginių sąlygų nei mažos rizikos bendradarbiavimo ištekliams. Apibrėžkite avarinės prieigos ir atkūrimo procedūras, kad sugedusi atitikties paslauga nesukurtų nedokumentuotų nuolatinių apėjimų.

Įrenginio atrakinimo autentifikavimas nėra tas pats, kas programos autentifikavimas. Ekrano užrakinimas apsaugo be priežiūros paliktą galinį įrenginį; daugiaveiksnis autentifikavimas ir autorizavimas apsaugo prieigą prie išteklių. MDM gali padėti konfigūruoti, tačiau šiuos atskirus teiginius turi pagrįsti tapatybių teikėjo ir programų įrodymai.

Asmeninius įrenginius, praradimą ir išėjimą iš darbo tvarkykite apgalvotai

Asmeniniams įrenginiams nuspręskite, ar valdymas bus viso įrenginio, darbo profilio, tik programų lygmens, ar jo nebus. Paaiškinkite, ką administratoriai gali matyti, ką gali keisti, kokia verslo informacija renkama ir ką galima pašalinti. Nemanykite, kad buvimo vietos sekimas ar asmeninių programų matomumas yra būtini ar prieinami.

Kai darbuotojų įrenginių telemetrija apima asmens duomenis, įvertinkite taikomas privatumo pareigas. BDAR reikalauja teisinio pagrindo ir atitinkamų duomenų tvarkymo principų laikymosi; 32 straipsnis taiko rizika grindžiamą požiūrį į saugumą, o ne nustato visuotinį šifravimą bet kokiomis aplinkybėmis. Nereikėtų manyti, kad darbuotojų sutikimo pakanka. Stebėsenos ir pašalinimo procedūroms gaukite tinkamą privatumo ir darbo teisės peržiūrą.

Atskirkite selektyvų verslo duomenų pašalinimą nuo viso įrenginio ištrynimo. Patvirtinkite palaikomą elgseną kiekvienam registravimo režimui ir informuokite apie ją prieš registravimą. Darbo profilio pašalinimas gali palikti asmeninius duomenis nepaliestus, o visiškas ištrynimas turi iš esmės kitokių pasekmių.

Praradus įrenginį, reagavimas turėtų nustatyti galinį įrenginį ir naudotoją, įvertinti pažeidžiamumą, apriboti prieigą, atšaukti atitinkamus seansus ar prisijungimo duomenis, išsiųsti palaikomas užrakinimo ar ištrynimo komandas ir užfiksuoti rezultatus. Nuotolinis ištrynimas priklauso nuo ryšio ir platformos galimybių. „Komanda įtraukta į eilę“ nereiškia „duomenys pašalinti“.

Išėjimo iš darbo procedūros turėtų apimti ir įrenginio grąžinimą, ir prieigą prie informacijos. Atšaukite prieigą nepriklausomai nuo to, ar įrenginys atgautas. Kai tinkama, pašalinkite verslo profilius, išsaugokite informaciją, kuriai taikomi saugojimo reikalavimai, ir inventoriaus įrašus nurašykite tik atlikę reikiamas patikras. Šiuos procesus testuokite saugioje apimtyje naudodami testines paskyras ir įrenginius.

Išsaugokite įrodymus, pagrindžiančius ribotą teiginį

Įrodymų paketas turėtų leisti vertintojui atkurti, kas buvo apsaugota per nurodytą laikotarpį. Išsaugokite datuotus eksportus, populiacijos skaičius, išimčių sprendimus ir ištaisymo įrašus. Įtraukite pakankamai konteksto, kad būtų galima atskirti vienkartinį vertinimą nuo nuolatinio veikimo įrodymų.

Naudingi rezultatai:

• Taikymo srities ir inventoriaus suderinimas, įskaitant neišspręstus nevaldomus įrenginius.
• Patvirtintos bazinės linijos versijos ir platformoms būdingi nustatymai.
• Įrenginių būsenos eksportai, rodantys identifikatorius, registravimą, paskutinį ryšį ir faktinę konfigūraciją.
• Išimčių patvirtinimai su galiojimo pabaigos datomis ir kompensuojamosiomis priemonėmis.
• Diegimo nesėkmės, ištaisymo užduotys ir uždarymo patikrinimas.
• Atkūrimo, prieigos atmetimo, įrenginio praradimo ir išėjimo iš darbo testų įrašai.
• Periodinių peržiūrų sprendimai ir priskirti tolesni veiksmai.

Dokumentuokite eksporto filtrus, rinkimo laiką ir būsenos laukų aiškinimą. Eksportus tinkamai apsaugokite, nes juose gali būti asmens identifikatorių ar jautrių infrastruktūros duomenų. Ekrano kopijos gali paaiškinti konfigūraciją, tačiau populiacijos analizei paprastai naudingesni paieškai tinkami eksportai.

Atrinkite pavyzdžius pagal riziką ir nesėkmių tipus, o ne vien sveikus įrenginius. Įtraukite skirtingas platformas, neseniai užregistruotus įrenginius, privilegijuotus naudotojus, pasenusius galinius įrenginius ir patvirtintas išimtis. Dabartinė ataskaita negali atkurti ankstesnio peržiūros laikotarpio, nebent buvo išsaugoti istoriniai įrašai.

Periodinės aprėpties peržiūros turėtų apimti naujai įtrauktus įrenginius ir kintančius prieigos modelius. Naudingi veiklos rodikliai apima registravimo aprėptį, įvertintos bazinės linijos atitiktį, pasenusias ataskaitas, pasibaigusias išimtis ir ištaisymo trukmę. Apibrėžkite kiekvieno rodiklio vardiklį ir slenkstį. Nuolatinė kontrolės priemonių stebėsena pateikia daugiau konteksto, kaip atskirti signalus nuo peržiūrėtų išvadų.

Išnagrinėtas pavyzdys: mišraus įrenginių parko peržiūra

Toliau pateikti skaičiai ir slenksčiai yra iliustracinės prielaidos, o ne pramonės etalonai.

Įmonė nustato 120 įmonės nešiojamųjų kompiuterių ir 30 asmeninių telefonų, kuriais leidžiama naudotis darbo el. paštu. Jos nešiojamųjų kompiuterių bazinė linija reikalauja registravimo, šifravimo, palaikomos operacinės sistemos, ekrano užrakinimo ir sėkmingo įvertinimo per septynias dienas. Asmeniniams telefonams reikia valdomo darbo profilio ir palaikomos programinės įrangos; viso įrenginio valdymas nepatenka į patvirtintas privatumo ribas.

MDM konsolėje yra 116 nešiojamųjų kompiuterių. Iš jų 108 atitinka bazinę liniją, keturiems vėluoja atnaujinimai, dviejų įvertinimai pasenę, o dviem rodomos šifravimo nesėkmės. Likusių keturių nešiojamųjų kompiuterių valdyme nėra.

Pateikiant tik konsolės rezultatą, gaunama 108 iš 116, t. y. maždaug 93 % bazinės linijos atitiktis. Palyginti su nustatyta nešiojamųjų kompiuterių populiacija, įrodyta, kad bazinę liniją atitinka 108 iš 120, t. y. 90 %. Registravimo aprėptis yra maždaug 97 %. Tai skirtingi rodikliai, ir nė vienas iš jų neįrodo asmeninių telefonų kontrolės priemonių.

Tapatybių įrašai rodo, kad du nevaldomi nešiojamieji kompiuteriai pasiekė jautrią programą. Komanda apriboja šią prieigą, ištiria nuosavybę ir užregistruoja įrenginius. Kiti du patvirtinami kaip nurašyti; prieigos atšaukimo ir utilizavimo įrodymai pagrindžia jų pašalinimą iš aktyvios populiacijos.

Telefonų atveju trys naudotojai turi prieigą prie el. pašto be reikiamo darbo profilio. Jų prieiga apribojama, kol bus užbaigtas registravimas ar patvirtinta alternatyva. Testinis telefonas patvirtina, kad selektyvus pašalinimas ištrina darbo profilį, neištrindamas asmeninio turinio.

Peržiūros įraše išsaugoma pradinė populiacija, suderinimo pakeitimai, nesėkmės, prieigos apribojimai ir patikrintas ištaisymas. Jame pradinis nesėkmingas įvertinimas nepakeičiamas vėlesne švaria ekrano kopija.

Palengvinkite kitą peržiūrą

Dažniausios klaidos yra veiklos pobūdžio: skaičiuojami tik užregistruoti galiniai įrenginiai, pasitikima politikos priskyrimu, priimama pasenusi telemetrija, paliekamos atviros išimtys ir nuotolinės komandos laikomos įvykdytais veiksmais. Kiekvieną iš jų galima spręsti apibrėžta populiacija, aiškiu būsenų tvarkymu ir datuotu tikrinimu.

Secani gali organizuoti šį darbą pagal atitinkamas sistemas, reikalavimus, savininkus ir įrodymus. Įkelkite bazinės linijos dokumentus, datuotus MDM eksportus ir testų įrašus; susiekite juos su kontrolės priemonėmis ar sprendimais, kuriuos jie pagrindžia; ir trūkstamus įrodymus ar neišspręstas nesėkmes paverskite priskirtomis užduotimis. Reikšmingoms išvadoms išsaugokite žmogaus peržiūrą, patvirtinimą ir šaltinio kontekstą. MDM lieka veiklos galinių įrenginių valdymo įrankiu; atitikties darbo erdvė išsaugo įgyvendinimo kontekstą ir peržiūros sprendimus.

Praktinis kitas žingsnis – pasirinkti vieną jautrią programą ir kiekvieną ją pasiekiantį galinį įrenginį suderinti su valdymo įrašais. Išbandykite vieną sveiką, vieną nevaldomą ir vieną pasenusį galinį įrenginį. Užfiksuokite prieigos rezultatus ir konfigūracijos įrodymus, tada kiekvieną nepaaiškintą neatitikimą priskirkite savininkui. Šios nedidelės pratybos kartu patikrina aprėptį, įgyvendinimą ir įrodymus.