Zarządzanie urządzeniami mobilnymi: konfiguracja i dowody

Zarządzanie urządzeniami wspiera bezpieczeństwo tylko w odniesieniu do urządzeń i ustawień, które faktycznie obejmuje. Pulpit MDM pokazujący zgodne urządzenia wymaga postawienia drugiego pytania: których urządzeń brakuje? Po nim następuje trzecie: czy „zgodne” oznacza skuteczną konfigurację, czy jedynie politykę przypisaną do punktu końcowego?

Zadaniem CTO jest sprawienie, by te odpowiedzi były powtarzalne. Zarządzanie urządzeniami mobilnymi powinno łączyć własność urządzeń, konfigurację, dostęp do aplikacji, reagowanie na incydenty i dowody. Celem nie jest zielony pulpit. Jest nim możliwe do obrony wyjaśnienie, które punkty końcowe mają dostęp do informacji biznesowych, jak są chronione i co się dzieje, gdy ochrona zawiedzie.

Co MDM kontroluje, a czego nie

Zarządzanie urządzeniami mobilnymi (MDM) to administrowanie punktami końcowymi za pośrednictwem centralnej usługi i mechanizmów zarządzania obsługiwanych przez platformę. W zależności od produktu, systemu operacyjnego i trybu rejestracji może ono wdrażać profile konfiguracyjne, dystrybuować aplikacje, raportować stan urządzeń, ograniczać wybrane funkcje i wysyłać polecenia zdalne. Szersze produkty do zarządzania punktami końcowymi mogą obejmować laptopy i komputery stacjonarne obok telefonów i tabletów.

Te możliwości nie są jednolite. W pełni zarządzany telefon firmowy i prywatny telefon z zarządzanym profilem służbowym udostępniają różne zabezpieczenia i różną telemetrię. Niektóre platformy korzystają z wbudowanych usług zarządzania, inne wymagają dodatkowych agentów. Nie należy zakładać ani stałej łączności, ani natychmiastowego wykonania poleceń.

MDM nie zastępuje też zarządzania tożsamością, wykrywania zagrożeń na punktach końcowych, zarządzania podatnościami ani klasyfikacji informacji. Może konfigurować te zabezpieczenia lub dostarczać im sygnałów, ale ich działanie wymaga odrębnej weryfikacji. Zarządzane urządzenie może nadal mieć nadmierne uprawnienia aplikacji, nieunieważnioną sesję lub podatną aplikację.

Zanim wybierzesz ustawienia, sformułuj twierdzenie dotyczące zabezpieczenia. Na przykład: „Firmowe laptopy uzyskujące dostęp do produkcyjnego środowiska administracyjnego muszą być zarejestrowane, zaszyfrowane, objęte wsparciem i niedawno ocenione”. To stwierdzenie określa populację, zasób i obserwowalne warunki. Stwierdzenie „wszystkie urządzenia są bezpieczne” tego nie robi.

Powiąż zarządzanie punktami końcowymi z SZBI

ISO/IEC 27001 dotyczy systemu zarządzania bezpieczeństwem informacji o określonym zakresie, a nie zakupu konkretnego narzędzia do zarządzania punktami końcowymi. Jego rozdziały 4–10 ustanawiają wymagania dotyczące systemu zarządzania. Załącznik A zawiera referencyjny zestaw 93 zabezpieczeń, których stosowanie rozważa się w ramach oceny ryzyka i postępowania z ryzykiem; nie jest to uniwersalna lista kontrolna konfiguracji MDM.

Deklaracja stosowania (Statement of Applicability) dokumentuje niezbędne zabezpieczenia, uzasadnienie ich uwzględnienia, stan wdrożenia oraz uzasadnienie wyłączenia zabezpieczeń z Załącznika A. Wdrożenie MDM stanowi część wdrożenia i dowodów dla odpowiednich zabezpieczeń, a nie dowód na funkcjonowanie całego SZBI.

Przydatne powiązania obejmują:

Te powiązania opisują wkład, a nie równoważność. Na przykład wdrożenie konfiguracji logowania nie dowodzi, że dostęp uprzywilejowany jest właściwie zatwierdzany. Skorzystaj z naszego przewodnika po Załączniku A, aby powiązać środki dotyczące punktów końcowych z szerszym SZBI, zamiast traktować zgodność urządzeń jako odizolowany wynik.

Określ populację, zanim zmierzysz zgodność

Zacznij od urządzeń, które przechowują, przetwarzają lub uzyskują dostęp do informacji w zakresie SZBI. Uwzględnij, w stosownych przypadkach, sprzęt firmowy i prywatny, punkty końcowe wykonawców, urządzenia współdzielone i urządzenia wypożyczane tymczasowo. Uzgodnij obsługiwane systemy operacyjne, zasady rejestracji i granice prywatności.

Buduj inwentarz w oparciu o stałe identyfikatory, a nie tylko nazwy wyświetlane. Przydatne pola to identyfikator zasobu, identyfikator w systemie zarządzania, przypisany użytkownik, własność, platforma, tryb rejestracji, cel biznesowy, data rejestracji, ostatni kontakt i status wycofania. Wyraźnie zapisuj opiekunów urządzeń współdzielonych.

Uzgadniaj inwentarz MDM z niezależnymi źródłami. Rejestry zakupów sprzętu ujawniają urządzenia, które nigdy nie zostały zarejestrowane. Zapisy logowania w systemie tożsamości i logi dostępu do aplikacji mogą ujawnić punkty końcowe nieobjęte zarządzaniem. Zapisy ochrony punktów końcowych mogą ujawnić zdublowanych agentów lub urządzenia zarządzane gdzie indziej. Przed próbą połączenia danych sprawdź, jakie identyfikatory faktycznie dostarcza każde źródło.

Klasyfikuj rozbieżności, zamiast po cichu je wykluczać:

• W zakresie i zarejestrowane: oceń konfigurację i aktualność danych.
• W zakresie, ale niezarządzane: zarejestruj, ogranicz dostęp lub zatwierdź ograniczony wyjątek.
• Wycofane, ale nadal aktywne: zbadaj sprawę i odbierz pozostały dostęp.
• Zdublowane lub przebudowane: uzgodnij zapisy bez utraty dowodów historycznych.
• Poza zakresem: udokumentuj przyczynę i granicę, która uniemożliwia istotny dostęp.

Mianownik ma znaczenie. „98% zgodności” wśród zarejestrowanych urządzeń może ukrywać znaczną populację niezarządzanych urządzeń. Raportuj pokrycie oddzielnie od zgodności konfiguracji i zachowuj datę uzgodnienia oraz nierozstrzygnięte zapisy.

Zbuduj konfigurację bazową, którą da się przetestować

Konfiguracja bazowa punktów końcowych powinna przekładać decyzje dotyczące ryzyka na ustawienia i kryteria weryfikacji. Powinna rozróżniać platformy i modele własności, zamiast udawać, że każde ustawienie działa wszędzie.

Poniższe zestawienie jest praktycznym punktem wyjścia, a nie uniwersalną listą kontrolną wymaganą przez przepisy lub ISO:

Określ, co oznacza „nieznany”. Punkt końcowy, który nie zgłosił stanu szyfrowania, nie został udowodniony jako zaszyfrowany. Traktuj brakującą lub nieaktualną telemetrię jako odrębny stan z jasno określoną reakcją, zamiast zamieniać ją w wynik pozytywny.

Okna aktualizacji powinny odzwierciedlać wagę podatności, ekspozycję, dostępne środki łagodzące i ograniczenia operacyjne. Udokumentuj postępowanie awaryjne w przypadku aktywnie wykorzystywanych podatności oraz proces dla aktualizacji, które psują niezbędne aplikacje. Raporty wdrożeniowe MDM pomagają ustalić stan instalacji; same w sobie nie wyjaśniają, czy nierozwiązane ryzyko związane z podatnościami jest akceptowalne.

W przypadku aplikacji odróżniaj dystrybucję od kontroli. Instalacja zatwierdzonej aplikacji nie uniemożliwia użytkownikom instalowania alternatyw, chyba że platforma i konfiguracja obsługują takie ograniczenie. Określ, kto może zatwierdzać oprogramowanie, co wymaga oceny i jak usuwane są przestarzałe lub zakazane aplikacje.

Każdy wyjątek od konfiguracji bazowej wymaga właściciela, wskazania urządzeń, których dotyczy, uzasadnienia biznesowego, oceny ryzyka, środków kompensujących, zatwierdzenia i daty wygaśnięcia. Nieobsługiwany system operacyjny z nieograniczonym dostępem do danych wrażliwych nie powinien pozostawać bezterminowo pod ogólną adnotacją „wymóg biznesowy”.

Wdrażaj konfigurację, nie myląc przypisania z sukcesem

Korzystaj z grupy pilotażowej reprezentującej każdą ważną platformę, model własności i biznesowy przypadek użycia. Testuj normalną pracę, podróże, działanie offline i odzyskiwanie – a nie tylko udaną rejestrację na biurku administratora.

Przed szerokim wdrożeniem zapewnij warunki wstępne zarządzania: role administratorów, uprawnienia do rejestracji, wymagane certyfikaty lub poświadczenia usług oraz odpowiedzialność za ich odnawianie. Usługa zarządzania może stracić skuteczność po wygaśnięciu certyfikatu, mimo że dokumenty polityki pozostają niezmienione.

Śledź konfigurację w odrębnych stanach: skierowana, dostarczona, zastosowana, oceniona i skuteczna. Jeżeli platforma udostępnia mniej etapów, udokumentuj to ograniczenie i dodaj bezpieczną metodę weryfikacji. Sprawdzaj kolidujące profile, nieaktualnych agentów, nieobsługiwane ustawienia i działania użytkowników, które uniemożliwiają zakończenie procesu.

Stosuj wdrażanie etapowe z zatwierdzoną ścieżką wycofania lub przywrócenia. Zapisuj wersję konfiguracji bazowej, grupy docelowe, wyniki pilotażu, zatwierdzenie i niepowodzenia wdrożenia. Zrzut ekranu edytora polityk dowodzi zamierzonych ustawień; raporty z urządzeń i testy pozwalają ustalić, czy te ustawienia działały.

Chroń samą płaszczyznę zarządzania. Stosuj imienne konta administratorów, odpowiednio silne uwierzytelnianie, role o najmniejszych uprawnieniach i logowanie. Ograniczaj uprawnienia do masowego czyszczenia urządzeń i zmiany konfiguracji. Przeglądaj administratorów i poświadczenia usług, ponieważ przejęcie usługi zarządzania może jednocześnie wpłynąć na wiele punktów końcowych.

Weryfikuj szyfrowanie i odzyskiwanie oddzielnie

W przypadku laptopów sprawdzaj wdrożoną ochronę pamięci masowej, a nie tylko politykę „włącz szyfrowanie”. W przypadku telefonów i tabletów poznaj model szyfrowania systemu operacyjnego, zachowanie w stanie zablokowanym i zakres wglądu z poziomu zarządzania. Szyfrowanie danych w spoczynku i szyfrowany transport sieciowy to odrębne twierdzenia.

Zdecyduj, która pamięć lokalna jest objęta ochroną, czy dozwolone są nośniki wymienne i w jaki sposób informacje biznesowe mogą opuszczać zarządzane aplikacje. Chroniony dysk systemowy nie chroni automatycznie pliku wyeksportowanego na niezaszyfrowany dysk zewnętrzny.

Rozwiązania w zakresie odzyskiwania wymagają własnego projektu zabezpieczeń. Ustal, gdzie przechowywane są materiały odzyskiwania, kto może je pobrać, jak pobranie jest autoryzowane i logowane oraz kiedy wymagana jest rotacja lub wymiana. Nie umieszczaj sekretów odzyskiwania w ogólnych dowodach audytowych ani w zgłoszeniach do działu wsparcia.

Testuj odzyskiwanie na wyznaczonym testowym punkcie końcowym, stosując zatwierdzoną procedurę. Zachowuj autoryzację i wynik, a nie sekret. Pole w konsoli pokazujące, że klucz istnieje, nie dowodzi, że upoważniony personel będzie w stanie odzyskać urządzenie, gdy zajdzie potrzeba.

Ochrona sieciowa zależy także od konfiguracji aplikacji i usług. MDM może dystrybuować certyfikaty lub ustawienia sieciowe, ale nie może dowieść, że każda aplikacja korzysta z odpowiednio skonfigurowanych szyfrowanych połączeń. Szerszy cykl życia opisuje artykuł o szyfrowaniu i zarządzaniu kluczami.

Powiąż stan urządzenia z decyzjami o dostępie

Sygnał zgodności ma ograniczoną wartość, jeśli niezgodne punkty końcowe zachowują nieograniczony dostęp. Tam, gdzie jest to obsługiwane, połącz informacje o zaufaniu do urządzenia lub jego zgodności z kontrolą dostępu w systemie tożsamości i aplikacjach. Ustal dokładnie, które zasoby egzekwują ten warunek, a które ścieżki dostępu go omijają.

W stosownych przypadkach testuj dostęp przez przeglądarkę, aplikacje natywne, administrację zdalną, starsze metody uwierzytelniania i istniejące sesje. Niezarządzana przeglądarka może być zablokowana, podczas gdy wcześniej autoryzowany klient nadal działa. Zachowanie przy unieważnianiu sesji i aktualność sygnałów wymagają wyraźnych testów.

Stosuj ograniczenia oparte na ryzyku. Wrażliwe systemy administracyjne mogą wymagać silniejszych warunków dotyczących punktów końcowych niż zasoby współpracy o niskim ryzyku. Określ procedury dostępu awaryjnego i przywracania, aby awaria usługi zgodności nie prowadziła do nieudokumentowanych stałych obejść.

Uwierzytelnianie przy odblokowaniu urządzenia to nie to samo co uwierzytelnianie w aplikacji. Blokada ekranu chroni pozostawiony bez nadzoru punkt końcowy; uwierzytelnianie wieloskładnikowe i autoryzacja chronią dostęp do zasobów. MDM może wspierać konfigurację, ale te odrębne twierdzenia muszą być poparte dowodami z dostawcy tożsamości i aplikacji.

Świadomie postępuj z urządzeniami prywatnymi, utratą i odejściami

W przypadku urządzeń prywatnych zdecyduj, czy zarządzanie obejmuje całe urządzenie, profil służbowy, wyłącznie aplikacje, czy w ogóle nie jest dostępne. Wyjaśnij, co administratorzy mogą zobaczyć, co mogą zmienić, jakie informacje biznesowe są zbierane i co może zostać usunięte. Nie zakładaj, że śledzenie lokalizacji lub wgląd w prywatne aplikacje są potrzebne lub dostępne.

Jeżeli telemetria urządzeń pracowników obejmuje dane osobowe, oceń mające zastosowanie obowiązki w zakresie ochrony danych. RODO wymaga podstawy prawnej i przestrzegania odpowiednich zasad przetwarzania; art. 32 przyjmuje podejście do bezpieczeństwa oparte na ryzyku, zamiast nakładać ogólny obowiązek szyfrowania w każdych okolicznościach. Nie należy zakładać, że zgoda pracownika jest wystarczająca. Zapewnij odpowiednią analizę z zakresu ochrony danych i prawa pracy dla procedur monitorowania i usuwania danych.

Oddzielaj selektywne usuwanie danych biznesowych od pełnego czyszczenia urządzenia. Potwierdź obsługiwane zachowanie dla każdego trybu rejestracji i poinformuj o nim przed rejestracją. Usunięcie profilu służbowego może pozostawić dane prywatne nienaruszone, podczas gdy pełne czyszczenie ma istotnie inne skutki.

W przypadku zgubionego urządzenia reakcja powinna obejmować identyfikację punktu końcowego i użytkownika, ocenę ekspozycji, ograniczenie dostępu, unieważnienie odpowiednich sesji lub poświadczeń, wysłanie obsługiwanych poleceń blokady lub czyszczenia oraz zapisanie wyników. Zdalne czyszczenie zależy od łączności i możliwości platformy. „Polecenie w kolejce” nie oznacza „dane usunięte”.

Procedury związane z odejściem pracownika powinny obejmować zarówno zwrot urządzenia, jak i dostęp do informacji. Odbieraj dostęp niezależnie od tego, czy urządzenie zostało odzyskane. W stosownych przypadkach usuwaj profile służbowe, zachowuj informacje objęte wymogami retencji i wycofuj zapisy inwentarza dopiero po wymaganych kontrolach. Testuj te procesy w bezpiecznym zakresie, z użyciem kont i urządzeń testowych.

Zachowuj dowody wspierające ograniczone twierdzenie

Pakiet dowodów powinien pozwolić weryfikującemu odtworzyć, co było chronione w określonym okresie. Zachowuj datowane eksporty, liczebność populacji, decyzje o wyjątkach i zapisy działań naprawczych. Dołącz wystarczający kontekst, by odróżnić ocenę w danym momencie od dowodu ciągłego działania.

Przydatne rezultaty obejmują:

• Zakres i uzgodnienie inwentarza, w tym nierozstrzygnięte niezarządzane urządzenia.
• Zatwierdzone wersje konfiguracji bazowej i ustawienia specyficzne dla platform.
• Eksporty stanu urządzeń pokazujące identyfikatory, rejestrację, ostatni kontakt i rzeczywistą konfigurację.
• Zatwierdzenia wyjątków z datami wygaśnięcia i środkami kompensującymi.
• Niepowodzenia wdrożeń, zgłoszenia naprawcze i weryfikację ich zamknięcia.
• Zapisy testów odzyskiwania, odmowy dostępu, utraty urządzenia i odejścia pracownika.
• Decyzje z przeglądów okresowych i przypisane działania następcze.

Dokumentuj filtry eksportu, czas zbierania danych i interpretację pól statusu. Odpowiednio chroń eksporty, ponieważ mogą zawierać identyfikatory osobowe lub wrażliwe szczegóły infrastruktury. Zrzuty ekranu mogą wyjaśniać konfigurację, ale do analizy populacji zwykle bardziej przydatne są przeszukiwalne eksporty.

Pobieraj próbki z uwzględnieniem ryzyka i typów błędów, a nie tylko spośród urządzeń w dobrym stanie. Uwzględnij różne platformy, niedawne rejestracje, użytkowników uprzywilejowanych, nieaktualne punkty końcowe i zatwierdzone wyjątki. Bieżący raport nie pozwoli odtworzyć poprzedniego okresu przeglądu, jeśli nie zachowano zapisów historycznych.

Okresowe przeglądy pokrycia powinny obejmować nowo wprowadzone urządzenia i zmieniające się wzorce dostępu. Przydatne miary operacyjne to pokrycie rejestracją, zgodność z ocenioną konfiguracją bazową, nieaktualne raportowanie, wygasłe wyjątki i wiek działań naprawczych. Określ każdy mianownik i próg. Artykuł o ciągłym monitorowaniu zabezpieczeń zawiera dodatkowy kontekst dotyczący odróżniania sygnałów od zweryfikowanych wniosków.

Przykład: przegląd mieszanej floty urządzeń

Poniższe liczby i progi są założeniami ilustracyjnymi, a nie wskaźnikami branżowymi.

Firma identyfikuje 120 firmowych laptopów i 30 prywatnych telefonów uprawnionych do korzystania ze służbowej poczty e-mail. Jej konfiguracja bazowa dla laptopów wymaga rejestracji, szyfrowania, obsługiwanego systemu operacyjnego, blokady ekranu i udanej oceny w ciągu ostatnich siedmiu dni. Prywatne telefony wymagają zarządzanego profilu służbowego i obsługiwanego oprogramowania; zarządzanie całym urządzeniem wykracza poza zatwierdzoną granicę prywatności.

Konsola MDM zawiera 116 laptopów. Spośród nich 108 spełnia wymagania konfiguracji bazowej, cztery zgłaszają zaległe aktualizacje, dwa mają nieaktualne oceny, a dwa wykazują błędy szyfrowania. Pozostałe cztery laptopy nie są objęte zarządzaniem.

Raportowanie wyłącznie wyniku z konsoli daje 108 na 116, czyli około 93% zgodności z konfiguracją bazową. W odniesieniu do ustalonej populacji laptopów wykazano, że wymagania spełnia 108 na 120 – 90%. Pokrycie rejestracją wynosi około 97%. Są to różne miary i żadna z nich nie dowodzi skuteczności zabezpieczeń dla prywatnych telefonów.

Zapisy w systemie tożsamości pokazują, że dwa niezarządzane laptopy uzyskały dostęp do wrażliwej aplikacji. Zespół ogranicza ten dostęp, wyjaśnia kwestię własności i rejestruje urządzenia. Pozostałe dwa zostają potwierdzone jako wycofane; dowody odebrania dostępu i utylizacji uzasadniają ich usunięcie z aktywnej populacji.

W przypadku telefonów trzech użytkowników ma dostęp do poczty e-mail bez wymaganego profilu służbowego. Ich dostęp zostaje ograniczony do czasu rejestracji lub wdrożenia zatwierdzonej alternatywy. Telefon testowy potwierdza, że selektywne usunięcie kasuje profil służbowy bez czyszczenia treści prywatnych.

Zapis przeglądu zachowuje pierwotną populację, zmiany wynikające z uzgodnienia, niepowodzenia, ograniczenia dostępu i zweryfikowane działania naprawcze. Nie zastępuje pierwotnej negatywnej oceny późniejszym czystym zrzutem ekranu.

Ułatw kolejny przegląd

Typowe błędy mają charakter operacyjny: liczenie tylko zarejestrowanych punktów końcowych, zaufanie do przypisania polityki, akceptowanie nieaktualnej telemetrii, pozostawianie otwartych wyjątków i traktowanie poleceń zdalnych jako wykonanych działań. Każdemu z nich można zaradzić dzięki zdefiniowanej populacji, jawnej obsłudze stanów i datowanej weryfikacji.

Secani może uporządkować tę pracę wokół odpowiednich systemów, wymagań, właścicieli i dowodów. Prześlij dokumenty konfiguracji bazowej, datowane eksporty MDM i zapisy testów; powiąż je z zabezpieczeniami lub decyzjami, które wspierają; i przekształć brakujące dowody lub nierozwiązane niepowodzenia w przypisane zadania. Zachowaj przegląd i zatwierdzenie przez człowieka oraz kontekst źródłowy dla istotnych wniosków. MDM pozostaje operacyjnym narzędziem do zarządzania punktami końcowymi; przestrzeń robocza ds. zgodności zachowuje kontekst wdrożenia i decyzje przeglądowe.

Praktycznym kolejnym krokiem jest wybranie jednej wrażliwej aplikacji i uzgodnienie każdego punktu końcowego, który ma do niej dostęp, z zapisami w systemie zarządzania. Przetestuj jeden punkt końcowy w dobrym stanie, jeden niezarządzany i jeden nieaktualny. Zapisz wyniki dostępu i dowody konfiguracji, a następnie przypisz każdą niewyjaśnioną rozbieżność do właściciela. To niewielkie ćwiczenie sprawdza jednocześnie pokrycie, egzekwowanie i dowody.