Mobilo ierīču pārvaldība: konfigurācija un pierādījumi

Ierīču pārvaldība atbalsta drošību tikai tām ierīcēm un iestatījumiem, ko tā faktiski aptver. MDM informācijas panelim, kas rāda atbilstošas ierīces, nepieciešams otrs jautājums: kuru ierīču trūkst? Seko trešais jautājums: vai „atbilstošs” apraksta efektīvu konfigurāciju vai tikai galiekārtai piešķirtu politiku?

CTO uzdevums ir padarīt šīs atbildes atkārtojamas. Mobilo ierīču pārvaldībai jāsasaista ierīču īpašumtiesības, konfigurācija, piekļuve lietotnēm, reaģēšana uz incidentiem un pierādījumi. Mērķis nav zaļš informācijas panelis. Mērķis ir pamatojams pārskats par to, kuras galiekārtas var piekļūt biznesa informācijai, kā tās tiek aizsargātas un kas notiek, ja aizsardzība neizdodas.

Ko MDM kontrolē un ko nekontrolē

Mobilo ierīču pārvaldība ir galiekārtu administrēšana, izmantojot centrālu pakalpojumu un platformas atbalstītus pārvaldības mehānismus. Atkarībā no produkta, operētājsistēmas un reģistrācijas režīma tā var izvietot konfigurācijas profilus, izplatīt lietotnes, ziņot par ierīces stāvokli, ierobežot atsevišķas funkcijas un izdot attālinātas komandas. Plašāki galiekārtu pārvaldības produkti līdzās tālruņiem un planšetdatoriem var ietvert arī klēpjdatorus un galddatorus.

Šīs iespējas nav vienveidīgas. Pilnībā pārvaldīts uzņēmuma tālrunis un personīgs tālrunis ar pārvaldītu darba profilu nodrošina atšķirīgas kontroles un telemetriju. Dažas platformas izmanto iebūvētus pārvaldības pakalpojumus; citām nepieciešami papildu aģenti. Nevajadzētu pieņemt ne nepārtrauktu savienojumu, ne tūlītēju izpildi.

MDM arī neaizstāj identitātes pārvaldību, galiekārtu apdraudējumu atklāšanu, ievainojamību pārvaldību vai informācijas klasificēšanu. Tā var konfigurēt šīs kontroles vai sniegt tām signālus, taču to darbība ir jāpārbauda atsevišķi. Pārvaldītai ierīcei joprojām var būt pārmērīgas lietotņu atļaujas, neatsaukta sesija vai ievainojama lietotne.

Pirms iestatījumu izvēles definējiet kontroles apgalvojumu. Piemēram: „Uzņēmuma klēpjdatoriem, kas piekļūst produkcijas administrēšanas videi, jābūt reģistrētiem, šifrētiem, atbalstītiem un nesen novērtētiem.” Šis apgalvojums identificē kopu, resursu un novērojamus nosacījumus. „Visas ierīces ir drošas” to nedara.

Sasaistiet galiekārtu pārvaldību ar ISMS

ISO/IEC 27001 attiecas uz noteiktā tvērumā darbojošos informācijas drošības pārvaldības sistēmu, nevis uz konkrēta galiekārtu rīka iegādi. Tā 4.–10. punkts nosaka pārvaldības sistēmas prasības. A pielikums sniedz 93 kontroļu atsauces kopumu, kuru piemērojamība tiek izvērtēta riska novērtēšanā un apstrādē; tas nav universāls MDM konfigurācijas kontrolsaraksts.

Piemērojamības paziņojumā reģistrē nepieciešamās kontroles, to iekļaušanas pamatojumu, ieviešanas statusu un A pielikuma kontroļu izslēgšanas pamatojumu. MDM izvēršana nodrošina daļu no attiecīgo kontroļu ieviešanas un pierādījumiem, nevis pierāda visu ISMS.

Noderīgas sasaistes ietver:

Šīs sasaistes apraksta ieguldījumu, nevis līdzvērtību. Piemēram, pieteikšanās konfigurācijas izvietošana nepierāda, ka priviliģētā piekļuve ir pienācīgi apstiprināta. Izmantojiet mūsu A pielikuma ceļvedi, lai sasaistītu galiekārtu pasākumus ar plašāko ISMS, nevis uzskatītu ierīču atbilstību par izolētu rādītāju.

Definējiet kopu, pirms mērāt atbilstību

Sāciet ar ierīcēm, kas glabā, apstrādā vai piekļūst informācijai ISMS tvērumā. Iekļaujiet uzņēmumam piederošu un personīgu aprīkojumu, līgumpartneru galiekārtas, koplietojamās ierīces un, ja nepieciešams, pagaidu nomas ierīces. Vienojieties par atbalstītajām operētājsistēmām, reģistrācijas noteikumiem un privātuma robežām.

Veidojiet inventāru ap stabiliem identifikatoriem, nevis tikai attēlotajiem nosaukumiem. Noderīgi lauki ir aktīva identifikators, pārvaldības identifikators, piešķirtais lietotājs, īpašumtiesības, platforma, reģistrācijas režīms, biznesa nolūks, reģistrācijas datums, pēdējais kontakts un ekspluatācijas izbeigšanas statuss. Koplietojamo ierīču turētājus reģistrējiet skaidri.

Saskaņojiet MDM inventāru ar neatkarīgiem avotiem. Aktīvu iepirkuma ieraksti atklāj aprīkojumu, kas nekad nav reģistrēts. Identitātes pieteikšanās ieraksti un lietotņu piekļuves žurnāli var atklāt galiekārtas, kas nav pārvaldībā. Galiekārtu aizsardzības ieraksti var atklāt dublētus aģentus vai citur pārvaldītas ierīces. Pirms datu apvienošanas pārbaudiet, kurus identifikatorus katrs avots faktiski nodrošina.

Klasificējiet neatbilstības, nevis klusībā tās izslēdziet:

• Tvērumā un reģistrēta: novērtējiet konfigurāciju un aktualitāti.
• Tvērumā, bet nepārvaldīta: reģistrējiet, ierobežojiet piekļuvi vai apstipriniet ierobežotu izņēmumu.
• Izņemta no ekspluatācijas, bet joprojām aktīva: izmeklējiet un atsauciet atlikušo piekļuvi.
• Dublēta vai pārbūvēta: saskaņojiet ierakstus, nezaudējot vēsturiskos pierādījumus.
• Ārpus tvēruma: dokumentējiet iemeslu un robežu, kas liedz attiecīgo piekļuvi.

Saucējs ir svarīgs. „98% atbilstība” starp reģistrētajām ierīcēm var slēpt ievērojamu nepārvaldītu kopu. Ziņojiet par pārklājumu atsevišķi no konfigurācijas atbilstības un saglabājiet saskaņošanas datumu un neatrisinātos ierakstus.

Izveidojiet testējamu bāzes konfigurāciju

Galiekārtu bāzes konfigurācijai riska lēmumi jāpārvērš iestatījumos un verifikācijas kritērijos. Tajā jānošķir platformas un īpašumtiesību modeļi, nevis jāizliekas, ka katrs iestatījums darbojas visur.

Turpmākais ir praktisks sākumpunkts, nevis universāls likumā vai ISO noteikts kontrolsaraksts:

Definējiet, ko nozīmē „nezināms”. Galiekārta, kas nav ziņojusi šifrēšanas statusu, nav pierādīti šifrēta. Uzskatiet trūkstošu vai novecojušu telemetriju par atsevišķu stāvokli ar skaidru reakciju, nevis pārvērtiet to par sekmīgu rezultātu.

Atjauninājumu logiem jāatspoguļo ievainojamības smagums, pakļautība, pieejamie mazināšanas pasākumi un darbības ierobežojumi. Dokumentējiet ārkārtas rīcību aktīvi izmantotu ievainojamību gadījumā un procesu atjauninājumiem, kas sabojā būtiskas lietotnes. MDM izvietošanas ziņojumi palīdz noteikt instalēšanas stāvokli; tie paši par sevi neizskaidro, vai neatrisinātais ievainojamības risks ir pieņemams.

Attiecībā uz lietotnēm nošķiriet izplatīšanu no kontroles. Apstiprinātas lietotnes instalēšana neliedz lietotājiem instalēt alternatīvas, ja vien platforma un konfigurācija neatbalsta šādu ierobežojumu. Definējiet, kurš drīkst apstiprināt programmatūru, kam nepieciešams novērtējums un kā tiek noņemtas novecojušas vai aizliegtas lietotnes.

Katram bāzes konfigurācijas izņēmumam nepieciešams īpašnieks, skartās ierīces, biznesa iemesls, riska novērtējums, kompensējošie pasākumi, apstiprinājums un derīguma termiņš. Neatbalstītai operētājsistēmai ar neierobežotu piekļuvi sensitīviem datiem nevajadzētu bezgalīgi palikt ar vispārīgu piezīmi „biznesa prasība”.

Izvērsiet konfigurāciju, nejaucot piešķiršanu ar panākumiem

Izmantojiet pilotgrupu, kas pārstāv katru svarīgu platformu, īpašumtiesību režīmu un biznesa lietojuma gadījumu. Testējiet parasto darbu, ceļošanu, darbību bezsaistē un atjaunošanu, nevis tikai veiksmīgu reģistrāciju uz administratora galda.

Pirms plašas izvēršanas nodrošiniet pārvaldības priekšnosacījumus: administratoru lomas, reģistrācijas atļaujas, nepieciešamos sertifikātus vai pakalpojumu akreditācijas datus un atbildību par to atjaunošanu. Pārvaldības pakalpojums var zaudēt efektivitāti, kad beidzas sertifikāta derīgums, pat ja tā politiku dokumenti paliek nemainīgi.

Izsekojiet konfigurāciju atsevišķos stāvokļos: mērķēta, piegādāta, piemērota, novērtēta un efektīva. Ja platforma uzrāda mazāk posmu, dokumentējiet šo ierobežojumu un pievienojiet drošu verifikācijas metodi. Pārbaudiet konfliktējošus profilus, novecojušus aģentus, neatbalstītus iestatījumus un lietotāju darbības, kas kavē pabeigšanu.

Izmantojiet pakāpenisku izvēršanu ar apstiprinātu atcelšanas vai atjaunošanas ceļu. Reģistrējiet bāzes konfigurācijas versiju, mērķa grupas, pilotprojekta rezultātus, apstiprinājumu un izvēršanas kļūmes. Politikas redaktora ekrānuzņēmums pierāda iecerētos iestatījumus; ierīču ziņojumi un testi noskaidro, vai šie iestatījumi darbojās.

Aizsargājiet arī pašu pārvaldības plakni. Izmantojiet nosauktus administratoru kontus, atbilstošu stipru autentifikāciju, mazāko privilēģiju lomas un žurnalēšanu. Ierobežojiet masveida dzēšanas un konfigurācijas maiņas privilēģijas. Pārskatiet administratorus un pakalpojumu akreditācijas datus, jo pārvaldības pakalpojuma kompromitēšana var vienlaikus ietekmēt daudzas galiekārtas.

Pārbaudiet šifrēšanu un atjaunošanu atsevišķi

Klēpjdatoriem pārbaudiet ieviesto krātuves aizsardzību, nevis tikai politiku „iespējot šifrēšanu”. Tālruņiem un planšetdatoriem izprotiet operētājsistēmas šifrēšanas modeli, uzvedību bloķētā stāvoklī un pārvaldības redzamību. Šifrēšana glabāšanas laikā un šifrēta tīkla pārraide ir atsevišķi apgalvojumi.

Izlemiet, kura lokālā krātuve ir aptverta, vai noņemami datu nesēji ir atļauti un kā biznesa informācija var iziet no pārvaldītām lietotnēm. Aizsargāts sistēmas disks automātiski neaizsargā eksportētu failu uz nešifrēta ārējā diska.

Atjaunošanas kārtībai nepieciešams savs kontroles dizains. Nosakiet, kur tiek glabāti atjaunošanas materiāli, kas tos var izgūt, kā izgūšana tiek autorizēta un reģistrēta žurnālā un kad nepieciešama rotācija vai aizstāšana. Neievietojiet atjaunošanas noslēpumus vispārīgos audita pierādījumos vai palīdzības dienesta pieteikumos.

Testējiet atjaunošanu uz norīkotas testa galiekārtas, izmantojot apstiprinātu procedūru. Saglabājiet autorizāciju un rezultātu, nevis noslēpumu. Konsoles lauks, kas rāda, ka atslēga pastāv, nepierāda, ka pilnvaroti darbinieki vajadzības gadījumā spēj atjaunot ierīci.

Tīkla aizsardzība ir atkarīga arī no lietotņu un pakalpojumu konfigurācijas. MDM var izplatīt sertifikātus vai tīkla iestatījumus, taču tā nevar pierādīt, ka katra lietotne izmanto pienācīgi konfigurētus šifrētus savienojumus. Par plašāko dzīves ciklu skatiet rakstu par šifrēšanu un atslēgu pārvaldību.

Sasaistiet ierīces statusu ar piekļuves lēmumiem

Atbilstības signālam ir ierobežota vērtība, ja neatbilstošām galiekārtām saglabājas neierobežota piekļuve. Ja tas tiek atbalstīts, sasaistiet ierīces uzticamības vai atbilstības informāciju ar identitātes un lietotņu piekļuves kontrolēm. Precīzi nosakiet, kuri resursi šo nosacījumu īsteno un kuri piekļuves ceļi to apiet.

Ja piemērojams, testējiet piekļuvi no pārlūkprogrammas, vietējās lietotnes, attālināto administrēšanu, mantoto autentifikāciju un esošās sesijas. Nepārvaldīta pārlūkprogramma var tikt bloķēta, kamēr iepriekš autorizēts klients turpina darboties. Sesiju atsaukšanas uzvedība un signālu aktualitāte ir skaidri jātestē.

Izmantojiet uz risku balstītus ierobežojumus. Sensitīvām administrēšanas sistēmām var būt nepieciešami stingrāki galiekārtu nosacījumi nekā zema riska sadarbības resursiem. Definējiet ārkārtas piekļuves un atjaunošanas procedūras, lai atbilstības pakalpojuma kļūme neradītu nedokumentētus pastāvīgus apiešanas ceļus.

Ierīces atbloķēšanas autentifikācija nav tas pats, kas lietotnes autentifikācija. Ekrāna bloķēšana aizsargā bez uzraudzības atstātu galiekārtu; daudzfaktoru autentifikācija un autorizācija aizsargā piekļuvi resursiem. MDM var atbalstīt konfigurāciju, taču šos atsevišķos apgalvojumus jāpamato identitātes nodrošinātāja un lietotņu pierādījumiem.

Apzināti risiniet personīgās ierīces, nozaudēšanu un aiziešanu

Personīgajām ierīcēm izlemiet, vai pārvaldība ir pilna ierīces, darba profila, tikai lietotņu līmeņa vai nav pieejama. Paskaidrojiet, ko administratori var redzēt, ko viņi var mainīt, kāda biznesa informācija tiek vākta un ko var noņemt. Nepieņemiet, ka atrašanās vietas izsekošana vai personīgo lietotņu redzamība ir nepieciešama vai pieejama.

Ja darbinieku ierīču telemetrija ietver personas datus, novērtējiet piemērojamos privātuma pienākumus. VDAR prasa tiesisko pamatu un attiecīgo apstrādes principu ievērošanu; 32. pants drošībai piemēro uz risku balstītu pieeju, nevis uzliek vispārēju šifrēšanu visos apstākļos. Nevajadzētu pieņemt, ka darbinieka piekrišana ir pietiekama. Uzraudzības un noņemšanas procedūrām nodrošiniet atbilstošu privātuma un darba tiesību pārskatīšanu.

Nošķiriet selektīvu biznesa datu noņemšanu no pilnas ierīces dzēšanas. Apstipriniet atbalstīto uzvedību katram reģistrācijas režīmam un paziņojiet par to pirms reģistrācijas. Darba profila noņemšana var atstāt personīgos datus neskartus, savukārt pilnai dzēšanai ir būtiski atšķirīgas sekas.

Nozaudētas ierīces gadījumā reaģēšanā jāidentificē galiekārta un lietotājs, jānovērtē pakļautība, jāierobežo piekļuve, jāatsauc attiecīgās sesijas vai akreditācijas dati, jāizdod atbalstītās bloķēšanas vai dzēšanas komandas un jāreģistrē rezultāti. Attālināta dzēšana ir atkarīga no savienojuma un platformas iespējām. „Komanda ievietota rindā” nenozīmē „dati noņemti”.

Aiziešanas procedūrās jārisina gan ierīces atdošana, gan piekļuve informācijai. Atsauciet piekļuvi neatkarīgi no tā, vai ierīce ir atgūta. Noņemiet biznesa profilus, ja tas ir piemēroti, saglabājiet informāciju, uz kuru attiecas glabāšanas prasības, un izņemiet inventāra ierakstus tikai pēc nepieciešamajām pārbaudēm. Testējiet šos procesus drošā tvērumā, izmantojot testa kontus un ierīces.

Saglabājiet pierādījumus, kas pamato ierobežotu apgalvojumu

Pierādījumu paketei jāļauj pārskatītājam rekonstruēt, kas tika aizsargāts noteiktā periodā. Saglabājiet datētus eksportus, kopas skaitliskos rādītājus, lēmumus par izņēmumiem un novēršanas ierakstus. Iekļaujiet pietiekami daudz konteksta, lai atšķirtu novērtējumu noteiktā brīdī no pastāvīgas darbības pierādījumiem.

Noderīgi nododamie materiāli ietver:

• Tvēruma un inventāra saskaņošanu, ietverot neatrisinātas nepārvaldītas ierīces.
• Apstiprinātas bāzes konfigurācijas versijas un platformai specifiskus iestatījumus.
• Ierīču stāvokļa eksportus ar identifikatoriem, reģistrāciju, pēdējo kontaktu un faktisko konfigurāciju.
• Izņēmumu apstiprinājumus ar derīguma termiņiem un kompensējošiem pasākumiem.
• Izvēršanas kļūmes, novēršanas pieteikumus un slēgšanas verifikāciju.
• Atjaunošanas, piekļuves lieguma, nozaudētas ierīces un aiziešanas testu ierakstus.
• Periodisku pārskatīšanu lēmumus un piešķirtās turpmākās darbības.

Dokumentējiet eksporta filtrus, iegūšanas laiku un statusa lauku interpretāciju. Pienācīgi aizsargājiet eksportus, jo tajos var būt personas identifikatori vai sensitīva informācija par infrastruktūru. Ekrānuzņēmumi var izskaidrot konfigurāciju, taču kopas analīzei parasti noderīgāki ir meklējami eksporti.

Veidojiet izlasi, aptverot dažādus riskus un kļūmju veidus, nevis tikai veselas ierīces. Iekļaujiet dažādas platformas, nesen reģistrētas ierīces, priviliģētus lietotājus, novecojušas galiekārtas un apstiprinātus izņēmumus. Pašreizējs ziņojums nevar rekonstruēt iepriekšējo pārskata periodu, ja vien vēsturiskie ieraksti nav saglabāti.

Periodiskos pārklājuma pārskatos jāiekļauj jaunpievienotās ierīces un mainīgie piekļuves modeļi. Noderīgi darbības rādītāji ir reģistrācijas pārklājums, atbilstība novērtētajai bāzes konfigurācijai, novecojusi ziņošana, izņēmumi ar beigušos termiņu un novēršanas ilgums. Definējiet katru saucēju un robežvērtību. Nepārtraukta kontroļu uzraudzība sniedz papildu kontekstu signālu nošķiršanai no pārskatītiem secinājumiem.

Praktisks piemērs: jaukta ierīču parka pārskats

Turpmākie skaitļi un robežvērtības ir ilustratīvi pieņēmumi, nevis nozares etaloni.

Uzņēmums identificē 120 uzņēmuma klēpjdatorus un 30 personīgos tālruņus, kuriem atļauta piekļuve darba e-pastam. Tā klēpjdatoru bāzes konfigurācija pieprasa reģistrāciju, šifrēšanu, atbalstītu operētājsistēmu, ekrāna bloķēšanu un veiksmīgu novērtējumu pēdējo septiņu dienu laikā. Personīgajiem tālruņiem nepieciešams pārvaldīts darba profils un atbalstīta programmatūra; pilna ierīces pārvaldība ir ārpus apstiprinātās privātuma robežas.

MDM konsolē ir 116 klēpjdatori. No tiem 108 atbilst bāzes konfigurācijai, četriem ir nokavēti atjauninājumi, diviem ir novecojuši novērtējumi un diviem ir šifrēšanas kļūmes. Atlikušie četri klēpjdatori nav pārvaldībā.

Ja ziņo tikai konsoles rezultātu, iegūst 108 no 116, aptuveni 93% atbilstību bāzes konfigurācijai. Attiecībā pret noteikto klēpjdatoru kopu pierādīts, ka bāzes konfigurācijai atbilst 108 no 120, tātad 90%. Reģistrācijas pārklājums ir aptuveni 97%. Tie ir dažādi rādītāji, un neviens no tiem nepierāda personīgo tālruņu kontroles.

Identitātes ieraksti rāda, ka divi nepārvaldīti klēpjdatori piekļuva sensitīvai lietotnei. Komanda ierobežo šo piekļuvi, izmeklē īpašumtiesības un reģistrē ierīces. Par pārējiem diviem tiek apstiprināts, ka tie ir izņemti no ekspluatācijas; atsaukšanas un utilizācijas pierādījumi pamato to izņemšanu no aktīvās kopas.

Attiecībā uz tālruņiem trīs lietotājiem ir piekļuve e-pastam bez nepieciešamā darba profila. Viņu piekļuve tiek ierobežota, līdz tiek pabeigta reģistrācija vai apstiprināta alternatīva. Testa tālrunis apstiprina, ka selektīva noņemšana izdzēš darba profilu, neizdzēšot personīgo saturu.

Pārskata ierakstā tiek saglabāta sākotnējā kopa, saskaņošanas izmaiņas, kļūmes, piekļuves ierobežojumi un verificētā novēršana. Tas neaizstāj sākotnējo neizdevušos novērtējumu ar vēlāku tīru ekrānuzņēmumu.

Atvieglojiet nākamo pārskatu

Biežākās kļūdas ir darbības kļūdas: tiek skaitītas tikai reģistrētās galiekārtas, uzticēts politikas piešķiršanai, pieņemta novecojusi telemetrija, izņēmumi atstāti atvērti un attālinātas komandas uzskatītas par pabeigtām darbībām. Katru no tām var novērst ar definētu kopu, skaidru stāvokļu apstrādi un datētu verifikāciju.

Secani var organizēt šo darbu ap attiecīgajām sistēmām, prasībām, īpašniekiem un pierādījumiem. Augšupielādējiet bāzes konfigurācijas dokumentus, datētus MDM eksportus un testu ierakstus; sasaistiet tos ar kontrolēm vai lēmumiem, ko tie pamato; un pārvērtiet trūkstošos pierādījumus vai neatrisinātās kļūmes piešķirtos uzdevumos. Saglabājiet cilvēka pārskatīšanu, apstiprinājumu un avota kontekstu būtiskiem secinājumiem. MDM paliek darbības galiekārtu pārvaldības rīks; atbilstības darbvieta saglabā ieviešanas kontekstu un pārskatīšanas lēmumus.

Praktisks nākamais solis ir izvēlēties vienu sensitīvu lietotni un saskaņot katru galiekārtu, kas tai piekļūst, ar pārvaldības ierakstiem. Testējiet vienu veselu galiekārtu, vienu nepārvaldītu galiekārtu un vienu novecojušu galiekārtu. Reģistrējiet piekļuves rezultātus un konfigurācijas pierādījumus, pēc tam piešķiriet katru neizskaidroto neatbilstību īpašniekam. Šis nelielais vingrinājums vienlaikus pārbauda pārklājumu, īstenošanu un pierādījumus.