SCHUTZ FÜR JEDES UNTERNEHMEN. So funktioniert die BlackBerry Sicherheit. Whitepaper Brochure. Whitepaper

Transkript

1 1 SCHUTZ FÜR JEDES UNTERNEHMEN So funktioniert die Sicherheit Whitepaper Whitepaper Brochure

2 2 Mobile Sicherheit ist wichtiger denn je Der Trend zu BYOD hat die Mobilität in Unternehmen verändert. Das Pro und Contra wird intensiv in den Medien diskutiert. Unbestritten ist indes, dass durch die Consumerisation immer mehr private Geräte auch beruflich genutzt werden. Da aber kaum ein Consumer-Gerät über einen integrierten Schutz für sensible Unternehmensdaten verfügt, wächst das Risiko für Unternehmen. Gerade die alltägliche Kommunikation birgt große Risiken für Unternehmen: Soziale Netzwerke Private s Unsichere Apps Surfen im Internet Instant Messaging, SMS/MMS oder P2P Messaging MicroSD-Speicher USB-Anschlüsse

3 3 So funktioniert Balance Die logische Konsequenz: Viele Unternehmen müssen dringend ihre Sicherheitsstrategie überarbeiten. Außerdem fehlt es an mobilen Betriebssystemen, um Daten, Business, Nutzer und Kunden besser zu schützen. Daher wurde bei der Konzeption der Plattform von Beginn an der Schwerpunkt auf eine erstklassige Benutzerfreundlichkeit gelegt. Außerdem sollte die Lösung mit komplexen und ständig wachsenden Sicherheitsanforderungen von Unternehmen Schritt halten können. Die Fundamente der Sicherheit sind: Balance (für eine Trennung von Beruf und Privatleben auf Plattformebene) World Arbeit (ein Firmen-App-Store) Secure Connectivity 10 Authentication Das 10 Betriebssystem Enterprise Mobility Management; IT-Richtlinien und Kontrollen Früher mussten Sie entweder bei der mobilen Sicherheit oder bei der Benutzerfreundlichkeit Abstriche machen. Beides zusammen ging nicht. Balance löste dieses Dilemma. Balance maximiert die Produktivität und Zufriedenheit Ihrer Mitarbeiter mit einer eleganten und intuitiven Benutzeroberfläche. Und es minimiert Sicherheitsrisiken: Vollständiger Schutz für alle Kanäle und Mechanismen vor Datenverlust Eine manipulationssichere Architektur zum Schutz vor Missbrauch und Angriffen Die BES12 Plattform bietet all diese Funktionen. Für ein modernes Mobility Management in Multi-Plattform- Umgebungen über eine einzige, einheitliche Konsole. Administratoren können damit nicht nur 10 Geräte sicher verwalten, sondern auch ios-, Android - und Windows-Phone-Geräte.

4 4 Balance trennt geschäftliche und persönliche Daten strikt voneinander durch die Nutzung von zwei verschiedenen Dateisystemen. Die Architektur von Balance sieht wie folgt aus: Innovativer Schutz Ihrer Geräte vor Datenverlust UNTERNEHMEN (GESCHÄFTLICHE DATENQUELLEN) BES12, Content Server, Webserver, Microsoft ActiveSync MDS BES Wi-Fi des Unternehmens VPN des Unternehmens Intranet Geschäftlicher Bereich PIM Geschäftliche Apps Geschäftliches Dateisystem (AES-256 Verschlüsselung) Plattform Benutzeroberfläche Einheitliche Apps (nur ) Einheitliche App Kontrollen Persönlicher Bereich Apps Persönliches Dateisystem Apps von Drittanbietern PRIVAT (POTENZIELLE KANÄLE FÜR DATENVERLUST) Persönliche Apps Soziale Netzwerke und Webmail Internet Instant Messaging und andere P2P SMS/MMS USB und MicroSD Andere Datenkanäle Identifizierung und Kennzeichnung der Daten Schutz vor Datenverlust Zugriff/Übertragung von Daten Übertragung von Dateien Ausschneiden und Einfügen Andere Nicht erlaubt Geschäftlicher Bereich (Links) Geschäftliche Applikationen befinden sich innerhalb des geschäftlichen Dateisystems. Geschäftliche Applikationen und Daten sind immer durch das geschäftliche Dateisystem mit AES-256 Verschlüsselung geschützt. Nur Applikationen, die sich auf dem geschäftlichen Dateisystem befinden, sind in der Lage, sich über geschäftliche Kommunikationskanäle zu verbinden. Inklusive des Zugriffs auf BES12, das Wi-Fi und VPN des Unternehmens und das Intranet. Optional können Sie dies auch für den persönlichen Bereich erlauben. Die passenden Kommunikationskanäle werden für den Schutz Ihrer sensiblen Unternehmensdaten automatisch bereitgestellt. Benutzeroberfläche (Mitte) Der Schlüssel zu Balance ist die Benutzeroberfläche. Daten aus internen Quellen werden automatisch als geschäftliche Daten klassifiziert. Folgerichtig werden alle anderen Daten als persönlich eingestuft. Geschäftliche Daten können nicht in persönliche Datenkanäle kopiert werden. Außerdem lassen sich Dateien nicht von einem Dateisystem in ein anderes verschieben. Auf der Benutzeroberfläche können Sie geschäftliche und persönliche Inhalte nebeneinander darstellen, wie zum Beispiel im Hub. Der Austausch von Daten zwischen geschäftlichem und persönlichem Bereich wird jedoch durch die abstrakte Ebene verhindert. Der geschäftliche Bereich und der persönliche Bereich haben verschiedene Hintergrundbilder. So können Sie auf den ersten Blick erkennen, in welchem Bereich Sie sich gerade befinden. Persönlicher Bereich (Rechts) Persönliche Applikationen befinden sich innerhalb des persönlichen Dateisystems. Persönliche Applikationen sind persönliche Apps wie BBM und persönliche Apps von Drittanbietern für beispielsweise , Spiele und soziale Netzwerke (zugänglich in 10 v10.3 über die World und den Amazon Appstore). Applikationen, die sich im persönlichen Dateisystem befinden, haben nur Zugriff auf persönliche Kommunikationskanäle (siehe Liste auf der rechten Seite des Diagramms). Diese werden oft auch als potenzielle Kanäle für Datenverluste bezeichnet. Auch hier können Sie persönlichen Apps optional erlauben, die geschäftliche Verbindung zu nutzen.

5 5 Containerisation für ios und Android: Secure Work Space Ihr Firmen-App-Store: World Arbeit Balance schützt vor Datenverlusten und böswilligen Zugriffsversuchen auf Unternehmensdaten. Balance ist die innovative Lösung zur Trennung von Beruf und Privatleben auf 10 Geräten. In Multi-Plattform-Umgebungen aber gilt es, die Datentrennung für unendlich viele und vor allem verschiedene Geräte umzusetzen. Daher wurde durch Containerisation, Application Wrapping und sichere Konnektivität ein Secure Work Space geschaffen, der Ihnen ein Höchstmaß an Kontrolle und Sicherheit für ios- und Android-Geräte bietet, die alle über die BES12 Administrations-Konsole verwaltet werden. Der Secure Work Space sorgt dafür, dass geschäftliche Applikationen geschützt sind und strikt von persönlichen Apps und Daten getrennt bleiben. Hierzu gehört eine integrierte App für , Kalender und Kontakte, ein sicherer Browser sowie Documents To Go zum sicheren Ansehen und Bearbeiten von Dokumenten. Wenn Sie auf sichere Apps zugreifen wollen, müssen Sie sich erst authentifizieren. Das Teilen von geschäftlichen Daten außerhalb des Secure Work Space ist nicht möglich. Bei der World Arbeit handelt es sich um ein einfaches, übersichtliches und skalierbares Tool für den sicheren Einsatz von Unternehmensanwendungen. Es installiert Applikationen direkt im geschäftlichen Bereich auf den 10 Geräten Ihrer Mitarbeiter. Diese Applikationen sind standardmäßig sicher. Die World Arbeit bietet Ihnen zwei Möglichkeiten für den Einsatz Ihrer Unternehmensanwendungen: vorgeschriebene Pushs und optionale Downloads. Vorgeschriebene Pushs Diese können Sie über die intuitive 10 Admin- Konsole einrichten. Ihre Unternehmensanwendungen werden automatisch bereitgestellt und aktualisiert ohne dass Ihre Mitarbeiter irgendetwas tun müssen. Optionale Downloads Veröffentlichen Sie einfach einen Katalog mit hilfreichen und sicheren Applikationen, die Ihre Mitarbeiter bei Bedarf herunterladen können. Sie können auch Applikationen aus dem öffentlichen Bereich der World auf die Whitelist Ihres Firmen-App-Stores stellen.

6 6 BES12: Architektur Computer des Administrators Router Infrastruktur Mobilfunknetz Gerät APNs BES12 Datenbanken BES12 Interne Firewall TCP Proxy Firewall Zusätzliche Apps von Drittanbietern* Infrastruktur Mobilfunknetz ios-, Android- und Windows-Phone- 8-Geräte Neue Maßstäbe für sichere Konnektivität setzt seit vielen Jahren Maßstäbe bei der sicheren Konnektivität. Daran ändert sich auch nichts durch 10. Das bewährte Sicherheitsmodell funktioniert plattformübergreifend. Es erlaubt Ihnen den sicheren Zugriff auf Systeme hinter der Firewall und schützt Ihre geschäftlichen Daten auch während der Übertragung. Die Einrichtung ist einfach und kostengünstig. Selbst die laufende Verwaltung wird unterstützt. Und zwar vom VPNlosen, Single Outbound Port 3101 Konnektivitätsmodell, für das berühmt ist einschließlich zertifizierter End-to-End Verschlüsselung. Andere Konnektivitäts- oder Sicherheitslösungen sind nicht erforderlich. Außerhalb Ihrer Unternehmensumgebung nutzt BES12 bei jeder Verbindung zur Infrastruktur ob über Wi-Fi oder das Mobilfunknetz AES-256. Dieses bewährte Verschlüsselungssystem schützt auch die Verbindung zu Microsoft Exchange und jedem anderen Content Server Ihres Unternehmens. Zwischen der Infrastruktur und dem Gerät befindet sich außerdem eine zusätzliche Ebene der Transport Layer Security (TLS). Dieses Verschlüsselungsprotokoll dient der Authentifizierung der Infrastruktur. Mit BES12 können Sie auch über VPN, Wi-Fi oder Mobilfunk eine direkte Verbindung zur Infrastruktur herstellen. Das Geräte VPN unterstützt IPsec und SSL. Innerhalb des Unternehmens verbindet sich das Gerät direkt mit BES12 und dem LAN über das interne Wi-Fi. Bitte beachten Sie: Für alle Optionen wurde Wi-Fi als Standard angenommen. Für zusätzliche Sicherheit wird zwischen den 10 Geräten und den Content Servern End-to-End SSL unterstützt. Der persönliche Bereich und die persönlichen Apps des Anwenders können direkt über Wi-Fi oder Mobilfunk verbunden werden. Auch diese Verbindungen können durch SSL geschützt werden. Die Anwender können sich mit ihrem eigenen privaten Netzwerk verbinden (VPN). Optional kann der Datenverkehr aus dem persönlichen Bereich auch Unternehmensverbindungen nutzen (was über eine IT-Richtlinie untersagt werden kann). *einschließlich Zertifizierungsstelle, Mailserver, andere Webserver oder Content Server

7 7 Eingabe-Treiber Dateisystem Authentifizierung: Flexible Optionen für Passwörter und Zertifikate Warum das 10 Betriebssystem das sicherste ist Grafiktreiber QNX Neutrino Microkernel Netzwerk 10 unterstützt zwei Optionen der Authentifizierung: Passwörter und Zertifikate. Für die Geräte- Authentifizierung werden fast immer Passwörter verwendet. Flexible und detaillierte Richtlinien für Passwörter können durchgesetzt werden: Im geschäftlichen Bereich: Der Administrator kann für den Zugriff vom Anwender ein Passwort verlangen. Auf dem gesamten Gerät: Auch hier kann der Administrator ein Passwort verlangen (ein Must-have für hochsichere und regulierte Umgebungen). 10 unterstützt ebenfalls die Zertifikatsregistrierung und automatische Erneuerung durch das Simple Certificate Enrollment Protocol (SCEP). SCEP bietet eine einfache, skalierbare Zertifikatsregistrierung und Erneuerung. Authentifizierung gilt im Allgemeinen für Wi-Fi, VPN oder Intranet. Alle Zertifikate sind innerhalb des 10 Key Store verschlüsselt und geschützt. Das Betriebssystem ist wohl die wichtigste Komponente bei der mobilen Gerätesicherheit, wird aber häufig übersehen. Im Gegensatz zu Sicherheitstools, -kontrollen und -funktionen oder einer Corporate Sandbox ist die Sicherheit des Betriebssystems für den Beobachter generell ziemlich undurchsichtig. Typischerweise wird der Quellcode eines Betriebssystems nicht geteilt und selbst wenn, ist es schwierig, die Sicherheit von Millionen Codezeilen zu beurteilen. In erster Linie basiert 10 auf dem QNX Microkernel. Doch was bedeutet das für Sie? Es bedeutet, dass Ihr Unternehmen von mehreren Sicherheitsvorteilen profitiert. Die Sicherheitsvorteile des QNX Microkernel Er enthält weniger Code (circa Zeilen): Diese geringe Menge beseitigt Schwachstellen und macht Sicherheitsnachweise und Tests einfacher und stabiler. Entwickelt für Stabilität: Der Microkernel isoliert Prozesse im Anwenderbereich. Nicht reagierende Prozesse werden erneut gestartet, ohne andere Prozesse zu beeinflussen. So können Applikationen das Betriebssystem nicht zerstören. Es minimiert alle Root-Prozesse: Nur die wichtigsten Prozesse laufen als Root. Root-Prozesse sind nur für Nutzer verfügbar. Dadurch ist das Betriebssystem weniger anfällig für Sicherheitsrisiken. Anwenderapplikation HMI Das obige QNX Microkernel Diagramm veranschaulicht, wie Anwenderprozesse nicht direkt auf andere Prozesse zugreifen können. Isoliert und blockiert: Applikations- und Malware-Kontrollen Der beste Schutz für Ihr Unternehmen vor mobiler Malware ist die Nutzung eines Betriebssystems, das diesen Attacken standhält. 10 nutzt die Designstrategie Isolieren und Blockieren, um die Malware-Risiken zu reduzieren. Durch Sandboxing des Anwenderbereichs kann 10 gefährliches Verhalten blockieren: Prozesse sind innerhalb des Anwenderbereichs eingeschränkt und der Microkernel überwacht sorgfältig die interne Prozesskommunikation. Der Zugriff auf den Speicher über den Anwenderbereich wird ebenfalls vom Microkernel autorisiert. Jeder Prozess, der unerlaubt auf den Speicher zugreifen will, wird automatisch neu gestartet oder beendet. Kontrollen persönlicher Applikationen Der Zugriff auf den persönlichen Bereich ist beschränkt und funktioniert nur auf einer App für App und Muss ich haben Basis. Der Anwender erhält zur richtigen Zeit die richtigen Informationen für eine fundierte Entscheidung darüber, welche Zugriffsrechte gewährt werden.

8 8 Das nachfolgende Diagramm veranschaulicht diesen sicheren Einspeiseprozess. Er dient der Authentifizierung zum Schutz vor hartnäckigen Angriffen auf das Betriebssystem und Rootkits. 10 Betriebssystem Applikation 1 Applikation 2 Applikation 3 Applikation 4 Basis Dateisystem überprüft Hashes der geladenen Applikationen Basis Dateisystem (schreibgeschützt) XML Manifest von geladenen Applikationen (kryptografisch gehasht) Überprüft, ob der SHA256 Hash zu den geladenen Bildern passt 10 Betriebssystem SHA256 des Basis Dateisystems (signiert mit EC521) Überprüft Betriebssystem mit öffentlichem EC521 Schlüssel World Boot ROM Öffentlicher EC521 Schlüssel der Signatur des Betriebssystems Überprüfung der digitalen Signatur von Boot ROM CPU Embedded Boot ROM Software Upgrades und Download von Applikationen (alle Downloads werden mit ECC signierten SHA-2 Hashes überprüft)

9 9 Nachfolgend sehen Sie beispielhaft einige Sicherheitsmechanismen, die zum Schutz vor Angriffen oder willkürlichen Codeausführungen in das 10 Betriebssystem integriert sind. Schutzmechanismus Nicht ausführbare Stacks und Heaps Beschreibung Stack- und Heapbereiche des Speichers können keinen Maschinencode ausführen, um vor Pufferüberläufen zu schützen. Stack Cookies Schutz vor Pufferüberläufen verhindert willkürliche Codeausführung. Stabile Heap-Implementierungen Address Space Layout Randomization (ASLR) Compiler-level Source Fortification Geschützte Seiten Eine Form des Schutzes vor Beschädigungen des Heapspeichers, die eine willkürliche Codeausführung zur Folge haben können. Zufällige Zuteilung von Prozess-Adressbereichen erschwert willkürliche Codeausführung. Compiler Option ersetzt unsichere Code-Konstrukte wo möglich. Eine Form des Schutzes vor Heap-Pufferüberläufen und willkürlicher Codeausführung. S/MIME Support S/MIME ist das Protokoll, das am häufigsten zur Verschlüsselung und Signatur von s verwendet wird. Es sorgt für ein hohes Maß an Sicherheit bei der -Kommunikation außerhalb der Unternehmensumgebung. Daher unterstützt 10 mit S/MIME verschlüsselte und signierte s standardmäßig. IT-Richtlinien und Kontrollen Mit 10 können Sie ebenso wie mit 7 OS und früheren Versionen IT-Richtlinien und Kontrollen zur Geräteverwaltung in Ihrem Unternehmen nutzen. Und da Sie mit 10 die vielen Richtlinien für regulierte Umgebungen und Unternehmen mit maximalen Sicherheitsstandards anwenden können, gibt es keinen Bedarf für Hunderte von einzelnen IT-Kontrollen, um die Datenlücken zu stopfen. Mit Balance profitiert Ihr Unternehmen von einem automatischen Schutz.

10 10 Enterprise Mobility Management 10 mit BES12 bietet Ihnen das gesamte Spektrum an Enterprise Mobility Management: von der einfachsten bis zur höchsten Sicherheitsstufe. 10 unterstützt standardmäßig das ActiveSync -Protokoll und macht es damit zur idealen Lösung für Unternehmen, die mit den Themen Device Management und Sicherheit einen entspannten Umgang pflegen. Es bietet die Synchronisation mit der internen -Plattform und ein grundlegendes Device Management. Die nächste Sicherheitsstufe ist EMM Silver, das Teil von BES12 ist. Es ist ideal für Unternehmen mit höheren Anforderungen an den Schutz ihrer internen Daten und die mehr Funktionen bei der Sicherheit und dem Device Management verlangen. Regulierte Unternehmen, Regierungsstellen und Unternehmen mit den höchsten Anforderungen an die Sicherheit wollen mehr Gerätekontrolle, da sie strenge Sicherheitsrichtlinien einhalten müssen. Für diese Unternehmen ist EMM Gold die ideale Lösung. Sie wird ebenfalls über BES12 administriert und bietet Ihnen eine Vielzahl an Richtlinien. So können Sie nahezu alles auf dem Gerät kontrollieren. Sie wollen und brauchen Flexibilität mit höchstem Schutz? Dann setzen Sie einfach firmeneigene 10 Geräte im geschäftlichen und im persönlichen Bereich ein. Die administrative Kontrolle mit EMM Gold erstreckt sich dabei auf beide Bereiche. Support für das gesamte Spektrum der EMM-Anforderungen Richtlinien für EMM LEVEL 1 LEVEL 2 LEVEL 3 LEVEL 4 LEVEL 5 LEVEL 6 Kaum mobile Richtlinien Mobile Richtlinien für einige und keine mobilen Richtlinien für andere Mobile Richtlinien für alle Segmentierte mobile Richtlinien Gesperrte und verwaltete Geräte Ausschließlich gesperrte Geräte EMM Gold EMM Silver Kleine und mittlere Unternehmen Branchen mit geringen Anforderungen an die Sicherheit Große und mittlere Unternehmen mit hohen Sicherheitsanforderungen Große Unternehmen mit differierenden Anforderungen an das Device Management und die Sicherheit Rechtswesen, Wirtschaftsprüfung, Öl- und Gasindustrie sowie Finanzdienstleistungen Große Unternehmen mit höchsten Anforderungen an die Sicherheit Regierungsstellen, Behörden Regulierte Branchen Basic Mobility Management (nur ActiveSync) Kleine und mittlere Unternehmen

11 Für weitere Informationen und eine kostenlose Testversion von BES12 besuchen Sie bitte blackberry.com/enterprise Tage-Testversion: Zeitlich begrenztes Angebot; Änderungen vorbehalten. Auf 1 Testversion pro Kunde begrenzt. Der Testzeitraum beginnt mit der Aktivierung und unterliegt einer Beschränkung auf 50 Gold Lizenzen und 50 Secure Work Space Lizenzen für ios und Android. Zur weiteren Verwendung des Produkts nach dem Test müssen Sie Lizenzen erwerben. Nicht in allen Ländern verfügbar. Lizenzen können Sie direkt bei oder bei einem autorisierten Reseller kaufen. Nach dem Upgrade zu einem Produktionssystem sind die Testlizenzen nicht mehr länger verfügbar. Dieses Angebot gilt nicht, wenn es gesetzlich verboten ist. Die Entscheidung über Veränderungen, Verlängerung oder Einstellung liegt in der alleinigen Verantwortung von. ios ist eine eingetragene Marke von Cisco Systems, Inc. und/oder seinen Tochterunternehmen in den USA oder in anderen Ländern. ios wird unter Lizenz von Apple Inc. verwendet. Diese Broschüre wird von Apple Inc. weder gesponsert noch autorisiert oder unterstützt. Android ist eine Marke von Google Inc., die diese Broschüre weder sponsern noch autorisieren oder unterstützen Alle Rechte vorbehalten., BBM sowie zugehörige Warenzeichen, Namen und Logos sind Eigentum von Limited und sind in den USA und anderen Ländern registriert und/oder werden dort verwendet. Alle anderen Marken sind Eigentum ihrer jeweiligen Inhaber.