Datenschutz für Mobilgeräte

Transkript

1 Datenschutz für Mobilgeräte Die richtige Balance 1

2 Copyright 2013 Fiberlink Communications Corporation. Alle Rechte vorbehalten. Dieses Dokument enthält firmeneigene und vertrauliche Informationen von Fiberlink. Dieses Dokument darf ohne die schriftliche Zustimmung von Fiberlink auf keinerlei Art und Weise (einschließlich, aber nicht ausschließlich fotografisch, magnetisch, elektronisch, per Fotokopie oder anderer Aufzeichnung) verwendet, veröffentlicht, verteilt, übertragen oder in einem Datenabfragesystem gespeichert werden. Dieses Dokument dient ausschließlich Informationszwecken, und die darin enthaltenen Informationen können jederzeit unangekündigt geändert werden. Melden Sie Fehler an Fiberlink. Fiberlink bietet keine Gewähr für diese Informationen und lehnt jede Haftung in Verbindung mit diesem Dokument ausdrücklich ab. Fiberlink, MaaS360, damit verbundene Logos sowie die Namen von Produkten und Diensten von Fiberlink sind Marken oder Dienstleistungsmarken von Fiberlink und können in bestimmten Ländern eingetragen sein. Alle anderen Namen, Marken, Bezeichnungen, Logos und Symbole sind Marken, eingetragene Marken oder Dienstleistungsmarken ihrer jeweiligen Besitzer. Die Verwendung einzelner oder aller genannten Informationen unterliegt den spezifischen Geschäftsbedingungen der Vereinbarung. Copyright 2013 Fiberlink, 1787 Sentry Parkway West, Building Eighteen, Suite 200, Blue Bell, PA Alle Rechte vorbehalten. 2

3 Datenschutz für Mobilgeräte: Die richtige Balance Inhaltsverzeichnis Ziele definieren...4 Ansatz wählen...5 Prioritäten zugrundelegen...6 Vor Ausführung prüfen...7 3

4 Wägen Sie die Risikobereitschaft Ihres Unternehmens in Bezug auf den Datenschutz gegen Produktivität und Bedienerfreundlichkeit ab. Datenschutz für Mobilgeräte: Die richtige Balance Für die mobile Verwaltung werden DLP (Data Leak Prevention) und Container immer wichtiger. Innerhalb der letzten Jahre wurden große Fortschritte bei den Tools und Lösungen für die Verwaltung und Sicherheit von firmen- und mitarbeitereigenen Mobilgeräten erzielt. Diese Lösungen entsprechen nun zwar den Geräteschutzanforderungen, weisen jedoch deutliche Mängel in Bezug auf die komplexeren Sicherheitsaspekte auf, die bei Laptop- und verteilten Netzwerkumgebungen üblich sind. Es fehlen insbesondere die umfassenden DLP-Kontrollen von Laptopverwaltungslösungen. Es empfiehlt sich daher, Ihre vorhandene Mobilgeräteverwaltung (MDM, Mobile Device Management) durch zusätzliche, zuverlässigere Sicherheitskontrollen zu ergänzen, um sensible Daten vor der unbeabsichtigten oder böswilligen Verteilung an unbefugte Dritte zu schützen. Ziele definieren Die verfügbaren Technologien basieren auf unterschiedlichen Ansätzen, die verschiedene Stärken und Schwächen aufweisen. Die erste Aufgabe ist daher, Ihre Ziele genau zu definieren. Sie müssen beim Entwickeln Ihrer Ziele und Herangehensweisen die Risikobereitschaft Ihres Unternehmens in Bezug auf den Datenschutz gegen Produktivität und Bedienerfreundlichkeit abwägen. Bedenken Sie dabei Folgendes: Insider stoppen Passcoderichtlinien und Geräteverschlüsselung können einen autorisierten Benutzer nicht davon abhalten, Daten zu kopieren. Dies zu kontrollieren ist Aufgabe der DLP. Möglicherweise wurden in Ihrem Unternehmen bereits erhebliche Investitionen in den Datenschutz geleistet, die weit über Hard- und Software-Beschränkungen für Laptops und Desktop-PCs hinausgehen. Wenn ja, suchen Sie nach Möglichkeiten, um DLP auf den Einsatz von Mobilgeräten auszuweiten. Ihre Richtlinien und Ziele sollten für alle Gerätetypen im Unternehmen konsistent sein. Outsider stoppen MDM-Anbieter stellen großartige Datenschutztools für Mobilgeräte bereit. Mit Erzwingen von Passcodes, Verschlüsselung und der Möglichkeit, Geräteinhalte zu löschen, kann bereits ein Großteil aller Sicherheitsprobleme gelöst werden. Das konsistente und zuverlässige Anwenden und Verifizieren dieser Kontrollmöglichkeiten ist jedoch nach wie vor eine große Herausforderung, insbesondere auf den zahlreichen Varianten der Android-Plattform. Zusätzlich stellen die vielen unterschiedlichen Gerätetypen ein Problem dar, wenn nicht alle Geräte angemessen gesichert werden können. Umfassender, flexibler BYOD-Programmsupport Die Gerätevielfalt ist ein wichtiger Faktor für Ihren Ansatz. Schließlich steht BYOD für Bring Your Own Device und nicht für Bring Your Own IT-Approved Device dies widerspricht dem Grundgedanken eines BYOD-Programms. Während Gerätezertifizierungsprogramme und -prozesse eine gewisse Struktur bieten, benötigt ein vollständig offenes BYOD-Programm technologische Unterstützung, damit wenigstens minimaler Datenschutz gewährleistet werden kann. 4

5 Dual Persona besteht aus der Verwaltung von zwei unabhängigen Benutzerumgebungen zur Trennung von persönlichen und Arbeits -Daten auf einem Mobilgerät. Dual Persona Hierbei geht es nicht mehr nur um die Sicherheit, sondern um die Frage nach Nutzen und Bedarf eines flexiblen BYOD-Programms. In vielen Unternehmen gibt es keinen Bedarf oder keine Richtlinie für robuste DLP- Kontrollen. Bei diesen geht es nicht um die persönlichen Daten der Benutzer sondern ausschließlich um die Kontrolle der Unternehmensdaten. Beim Überdenken Ihrer Ziele kann sich Dual Persona als die passende Lösung für Ihr Unternehmen herausstellen. Dual Persona besteht im Wesentlichen aus der Verwaltung von zwei unabhängigen Benutzerumgebungen zur Trennung von persönlichen und Arbeits -Daten auf einem Mobilgerät. Andere Faktoren Wie überall hat jede Lösung ihren Preis. Umfang, Kosten und Widerstandsfähigkeit müssen bedacht werden. Außerdem spielt die Benutzerfreundlichkeit ein Rolle und wie die Benutzer Ihre Implementierung annehmen und umsetzen werden. Schließlich leben wir heute in einer Demokratie, und Änderungen können nicht von den IT-Abteilungen befohlen werden. Ansatz wählen Nach dem Definieren Ihrer Ziele betrachten wir nun die verfügbaren Ansätze. Container Der Begriff Container gehört zu den Begriffen, die am häufigsten fallen, wenn Lösungen zum Bereitstellen eines getrennten Arbeitsanwendungs- und Datenbereichs beschrieben werden. Oft ist auch von einer Sandbox die Rede. Manchmal werden solche Lösungen auch Dual Persona genannt. Dieser Begriff bezeichnet allerdings eher ein Ziel als eine Lösung (z. B. kann Dual Persona durch Implementieren einer Container-Lösung umgesetzt werden). Bei diesem Ansatz gibt es einen vollständig abgetrennten Sandbox"-Bereich, in dem bestimmte Aktivitäten ausgeführt werden. Datenbewegungen bleiben innerhalb der Sandbox. Weil alle Arbeitsaktivitäten in dieser Sandbox ausgeführt werden, kann der Benutzer den nativen - Client nicht verwenden. Stattdessen bietet die Software innerhalb des Containers Funktionen für s, Kalender und Kontakte. Für die Benutzerzufriedenheit ist bei diesem Ansatz daher eine ordnungsgemäße Implementierung entscheidend. Erklären Sie den Benutzern unbedingt, wie wichtig diese Lösung für die Datenschutzziele des Unternehmens ist. Stripping Diese Lösung fängt sämtliche s ab, extrahiert relevante Inhalte (z. B. Anhänge, Text usw.) und stellt diese in einer getrennten, kontrollierten Anwendung zur Verfügung, um sie anzeigen und/oder bearbeiten zu können. Bei s arbeitet der Benutzer mit dem nativen Client, bis er auf Inhalte zugreifen muss, die aus den s entfernt wurden. Entfernte Inhalte können auf dem Server gespeichert werden, der das Stripping durchgeführt hat oder auf einem mobilen Endgerät, das zum ausschließlichen Öffnen der Inhalte in einer sicheren Anwendung modifiziert wurde. 5

6 Wenn der Fokus Ihres Unternehmens darauf liegt, einen berechtigten Benutzer vom Ausbreiten vertraulicher Daten über ein Mobilgerät abzuhalten, stellen Container, Virtualisierung oder das Stripping von -Anhängen effektive Lösungen dar. Mit einer Stripping-Lösung kann die Benutzeroberfläche unzusammenhängend wirken. Der Benutzer empfängt s ohne Text und ohne Anhänge (viele Lösungen entfernen aus diesem Grund keinen Text) und muss für den sicheren Zugriff auf Text und Anhänge eine weitere Anwendung starten. Virtualisierung Diese Lösung bezieht sich auf eine Technologie, bei der eine Software, genannt Hypervisor, eine virtuelle Maschine auf der Software des Mobilgeräts implementiert wird (nicht auf einem Remote-Server). Bei dieser Art Lösung unterliegt das virtuelle Gerät der vollständigen Steuerung und Verwaltung durch das Unternehmen. Alle Unternehmensanwendungen und -daten befinden sich innerhalb der virtuellen Maschine auf dem Mobilgerät. Datenbewegungen zwischen virtuellem und physischem Gerät werden streng kontrolliert. Dies ist im Wesentlichen dasselbe wie eine Virtual Desktop Infrastructure (VDI) für PCs und Laptops und stellt weitgehend dieselben Anforderungen an die Bereitstellung und Verwaltung. Die Technologie ist vielversprechend. Alle Funktionen der Hardware und Software des Geräts können virtualisiert und gesteuert werden, bis hin zu Netzwerkverbindungen und Hardwarefunktionen. Beispielsweise kann die SIM virtualisiert und beim Wechsel zwischen Netzwerken virtuell geändert werden (zum Verdruss der Anbieter). Da Mobilgeräte noch keine Virtualisierung innerhalb der Hardware (ähnlich wie bei Intel VT oder AMD-V auf PCs) unterstützen, wird diese Technologie jedoch momentan nur selten eingesetzt, insbesondere unter ios. Keine der genannten Lösungen Letztendlich werden sich viele Unternehmen möglicherweise für keine der genannten Lösungen entscheiden. Wenn Sie nicht im Gesundheits- oder Finanzwesen arbeiten, keinen Rechtsvorschriften nach PCI oder HIPAA unterliegen oder festgestellt haben, dass für Ihre speziellen Sicherheitsanforderungen keine Implementierung einer Strategie zur sensiblen Geräte- und Anwendungsverwaltung erforderlich ist, sind zusätzliche Kosten und Komplexität für Benutzer und IT-Abteilungen möglicherweise nicht gerechtfertigt. Prioritäten zugrundelegen Ordnen wir nun alles anhand Ihrer Prioritäten. Priorität Gefährdung durch Insider: Wenn der Fokus des Unternehmens darauf liegt, zu verhindern, dass autorisierte Benutzer vertrauliche Daten über ein Mobilgerät veröffentlichen, stellen Container, Virtualisierung und Stripping von -Anhängen effektive Lösungen dar. Alle sichern Text und Anhänge, bieten aber wie oben beschrieben grundlegend verschiedene Vorgehensweisen. (Bei der Auswahl eines Stripping-Produkts ist darauf zu achten, dass es sowohl Text als auch Anhänge entfernt.) Wenn der Schutz sämtlicher -Daten unbedingt erforderlich ist, bietet die Container-Lösung einige Vorteile, wie bessere Benutzerfreundlichkeit und geringere Komplexität beim Konfigurieren und Verwalten. Theoretisch sind Virtualisierungslösungen bei einer Gefährdung durch Insider angemessen, diese stellen jedoch höhere Anforderungen an Implementierung und Verwaltung. Priorität Gefährdung durch Outsider: Die Gefährdung durch Outsider wird gut abgedeckt durch einen verantwortlichen Umgang damit, welche Geräte zur Verbindung mit dem -System zugelassen werden. Wenn Sie Ihre vorhandene MDM-Lösung dazu verwenden, Verbindungen auf vertraute Geräte zu beschränken, die eine Passcode-Richtlinie, Verschlüsselung und das Löschen per Fernzugriff unterstützen, sind Ihre Daten gut geschützt und mögliche Schäden durch gestohlene oder verlorene Geräte bleiben minimal. Wenn Ihre Priorität die Gefährdung durch Outsider ist, sparen Sie sich die zusätzlichen Kosten und die Komplexität von DLP-Lösungen. Das Schließen der Lücke bei mobilen Daten ist nur dann effektiv, wenn die anderen Lücken ebenfalls geschlossen sind. 6

7 Eine Container- Lösung mit einem sicheren Bereich für Unternehmensdaten auf dem ungesicherten Gerät ist eine Alternative zum Aktualisieren unzertifizierter oder ungeeigneter Geräte, die Benutzer in das Programm einbringen. Priorität Unterstützung durch ein BYOD-Programm: Eine Vorsichtsmaßnahme beim Implementieren eines BYOD-Programms ist ein Prozess der Gerätezertifizierung und das Erstellen einer Liste zugelassener Geräte, die ein Mindestmaß an Sicherheit bieten. Wenn Sie einen solchen implementiert haben, stellen Sie unmittelbar fest, dass der Grad der Unterstützung wichtiger Sicherheitsmerkmale bei den verschiedenen Android-Versionen sehr unterschiedlich ist. BYOD würde optimalerweise genau das beinhalten und einer Vielfalt von Geräten entgegenkommen. Eine Container-Lösung mit einem sicheren Bereich für Unternehmensdaten auf dem ungesicherten Gerät ist eine Alternative zum Aktualisieren unzertifizierter oder ungeeigneter Geräte, die Benutzer in das Programm einbringen. Stripping-Lösungen bieten ähnliche Vorteile, wenn Sie das Extrahieren und Sichern von sowohl -Text als auch -Anhängen unterstützen bzw. dafür konfiguriert wurden. Virtualisierung kann ein umfassendes BYOD-Geräteprofil nicht unterstützen, da die Anzahl von Geräten, die das Ausführen eines Hypervisors unterstützen, begrenzt ist. Priorität - Dual Persona: Es gibt auch überzeugende Gründe für das Implementieren einer Containeroder Stripping-Lösung, die nichts mit der Sicherheit zu tun haben. Da immer mehr Verbrauchergeräte in Unternehmen verwendet werden, vermischen sich unvermeidlich persönliche und Unternehmensdaten, auch wenn noch so viele Anstrengungen unternommen werden, dies zu verhindern. Ein vorsichtigerer Umgang mit Unternehmensdaten auf diesen Geräten ist daher sehr wichtig. Statt Mitarbeitern zu sagen, dass im Fall von Verlust, Diebstahl oder Verlassen des Unternehmens alle Inhalte vom Gerät gelöscht werden müssen, kann ihnen eine Container- oder Stripping-Lösung angeboten werden. Auf diese Weise wird sichergestellt, dass nur Unternehmensdaten und keine persönlichen Daten des Benutzers vom Gerät gelöscht werden. Der Container-Ansatz entspricht diesem Ziel am Besten und stellt unter Umständen das kleinste Übel dar. Dank ihrer Arbeits - Persona können die Benutzer darauf vertrauen, dass sich die IT-Abteilung nicht in ihre persönlichen Angelegenheiten einmischt. Der Stripping-Ansatz ist zum Erreichen einer Dual Persona nicht ganz so gut geeignet, weil er weniger sauber zwischen persönlichen und Arbeitsdaten trennt (der native -Client wird weiterhin sowohl für persönliche als auch für Unternehmensaktivitäten verwendet). Virtualisierung ist hierfür ebenfalls vielversprechend, die Geräteunterstützung aber noch so eingeschränkt, dass sie momentan keine echte Alternative zum BYOD darstellt. Fundierte Entscheidung Kurz gefasst, prüfen Sie alle Möglichkeiten, bevor Sie sich entscheiden. Definieren Sie Ihre Ziele, verstehen Sie Ihre Benutzer und die verfügbaren Technologien sowie deren Einfluss auf Ihr Unternehmen. Informieren Sie sich bereits vor den Präsentationen der Anbieter. Wenden Sie sich an die entsprechenden Anbieter, und prüfen Sie deren Testversionen. Suchen Sie nach Lösungen, die der heutigen mobilen Welt gerecht werden, und überprüfen Sie von Zeit zu Zeit Ihre Ziele. Alle in diesem Dokument erwähnten oder genannten Markenbezeichnungen und dazugehörigen Produkte sind Marken oder eingetragene Marken ihrer jeweiligen Inhaber und sollten entsprechend gekennzeichnet sein. Weitere Informationen Weitere Informationen zu unserer Technologie und unseren Dienstleistungen erhalten Sie unter Sentry Parkway West, Building 18, Suite 200 Blue Bell, PA 19422, USA Telefon Fax sales@fiberlink.com WP_201304_0046 7