Security in BYOD-Szenarien

Transkript

1 P R Ä S E N T I E R T Security in BYOD-Szenarien Wie viel BYOD kann man sich wirklich leisten? Ein Beitrag von Martin Kuppinger Founder and Principal Analyst KuppingerCole Ltd

2 Kundenherausforderungen The Computing Troika 3 BYOD Es geht nicht nur um Smartphones und Tablets Smartphones Notebooks (und andere Geräte) von Externen im Unternehmen snetz PCs im Home Office Tablets Notebooks von Angestellten PCs im Café/Hot el Und all die neuen Geräte 4 2

3 BYOD-Spektrum Besitz von COPE bis BYOD Keine Kontrolle Grauzone des unkalkulierbaren Corporate Risikos Owned, Full BYOD Personally Enabled Corporate owned Personally owned Corporate Devices Limited BYOD Volle Kontrolle 5 BYOD-Spektrum Risiken vs. (gefühlte) Vorteile BYOD hat seinen Preis Flexibilität Benutzeranforderungen Verwaltetes BYOD Unkontrolliertes BYOD COPE COD Haftung/andere rechtliche Risiken Informationssicherheitsrisiken 6 3

4 Kann man BYOD verhindern? Nein! BYOD is ein Fakt und zwar seit es PCs gibt Aber die Herausforderung wächst mit der Zahl und Vielfalt von Geräten Es geht darum zu kontrollieren was gemacht werden kann Verbote scheitern meist/immer Verbote könnte man auch als den Don Quixote-Ansatz für BYOD bezeichnen Dennoch sollte man fragen: Warum sollte jemand das Haftungsrisiko auf sich nehmen, wenn er sein Gerät mit dem Unternehmensnetz verbindet? Warum sollten Unternehmen die rechtlichen Risiken von BYOD in Kauf nehmen? 7 BYOD die Konsequenzen nicht unterschätzen! Compliant BYOD ist machbar aber nicht umsonst BYOD istin den meistenfällenderteuersteweg, um mobile Geräte zu nutzen Es brauchteinensolidenrechtlichenrahmenvordernutzungvon BYOD Mobile Device Management, Virtualization und mehr sind zwingend Alles, was Informationen statt Geräte schützt, hilft Dennoch sind Haftungsrisiken kaum begrenzbar BYOD ist zudem unumkehrbar 8 4

5 Was das Business wirklich von der IT will Informationsmanagement, nicht Technologie Die Dienste, um den Job optimal zu erledigen Informationsmanagement (und sicherheit) 9 Das KuppingerCole IT Paradigma Leitlinie für die Zukunft der IT IT & Security Management Information Security IT Management Business Service Delivery Service & Information Management IT Service Production & Procurement Service Design Service Management On-Premise Service Requests Information Management Cloud Information Governance Service Governance IT Governance 10 5

6 Die neue IT Organization Von Silos zu einem kundenorientierten Modell 11 Die Ausbreitung der Informationssicherheit Traditioneller Fokus von Information Security Cloud Computing (Deployment Models) Public Cloud Zukünftiger Fokus von Information Security Hybrid Cloud Private Cloud Outsourcing Desktop Systems On-Premise Public Computers Notebooks Internal Users Tablets Partners Smartphones Customers Leads, Prospects Mobile Computing (Device Types) Social Computing (User Populations) 12 6

7 Das KuppingerCole IT Paradigma Was bedeutet das für BYOD? Informationssicherheit muss alle Dienste unabhängig vom Deployment-Modell für alle möglichen Arten von Benutzern (weit über Mitarbeiter hinaus) mit allen Arten von Geräten abdecken Informationssicherheit als Kernfunktion ermöglicht es, einen informationszentrierten Ansatz für BYOD umzusetzen Fokus auf den Schutz von Unternehmensinformationen das möchte das Business Und übrigens: BYOD ist auch ein Weg, dem Business das zu geben, was es braucht, um den Job zu erledigen falls man das über BYOD macht 13 Ansätze für sicheres BYOD Die Standardverfahren Geräte-zentriert Mobile Device Management Wird das immer funktionieren? Und was ist mit klassischen Geräten wie dem PC? Anwendungs-zentriert Mobile Application Management Was ist mit Standardanwendungen (Trennung von Daten in Mail-Apps, )? Was ist mit Web Access? Und was mit Geräten ohne Apps? Netzwerk-zentriert Netzwerksicherheit Was ist, wenn der Zugriff die edge -Sicherheit umgeht? Informations-zentriert Informationsschutz Reifegrad? IRM für alle Geräte wann? 14 7

8 Ansätze für sicheres BYOD Die Rolle der Virtualisierung Desktop Virtualisierung Zugriff auf Corporate Desktop-Umgebung von jedem Gerät Gute Kontrolle, aber immer noch das Risiko von Angriffen z.b. bei gestohlenen Geräten Device Virtualisierung Virtuelle mobile Umgebungen auf mobilen Geräten Private Umgebung als hostos, eher unsicher und unkontrolliert GeschäftslicheUmgebung als guestos, relativ sicher und kontrolliert 15 Ansätze für sicheres BYOD (und mehr ) Die Rolle von Context-/Risk-based Authentication/Authorization Authentifizierungsund Autorisierungsentscheidung Informationsrisiken Kontext- Information 16 8

9 Risiken worum geht es? Bedrohung Typische Risikokategorien Auswrikung auf Geschäftsprozesse Risiko Wahrscheinlichkeit Strategisch (Business) Reputational (Business) Operational (Business) IT Auswirkung auf Asset(s) -Wert 17 Risiken: Die Weiterentwicklung der IT-Sicht Von Systemen zu Prozessen, Informationen und Diensten Systems Systems Services Services Information Governance Process Governance Service Governance Traditional (System Governance) Advanced (Information Governance) Cloud basics (Information and Service Governance) Cloud ready (Full Governance) 18 9

10 Risikobewertungen Probability/ Impact <= 1% < < < < >= <=10% <=25% <=50% <=75% >75% Information Prozesse Services (Systeme) 19 BYOD Von Risiken zu Richtlinien zu einem BYOD-Ansatz Risiken (Informationssicherheit) verstehen Richtlinien definieren Controls definieren Rechtliche Aspekte klären, Verträge und Vereinbarungen Technische Lösungen zur Unterstützung der Richtlinien und Risikovermeidung implementieren 20 10

11 BYOD Ansätze kombinieren Risiken verstehen und Zugriff verhindern BYOD heißt nicht, dass jeder alles ohne Einschränkungen nutzen kann! BYOD ist ein Thema von kontrolliertem Zugriff auf Unternehmensinformationen. Grad der Kontrolle Umfang des Zugriffs Keine Kontrolle = kein/minimaler Zugriff Volle Kontrolle = voller/umfassender Zugriff 21 Technologieauswahl Acht Hauptanforderungen Werden alle Geräte bei BYOD unterstützt? Falls nicht was braucht es zusätzlich? Gibt es eine hohe Wahrscheinlichkeit, dass neue Geräte sofort nach Verfügbarkeit unterstützt werden? Ist der Ansatz rechtskonform? Wie komplex ist das Deployment? Funktioniert ein zentrales, effizientes Management? Wie sieht es mit der Benutzerakzeptanz aus? Werden (zumindest einige der) schwerwiegende Informationssicherheitsrisiken beseitigt? Sorgt die Kombination aller gewählten Ansätze dafür, dass alle schwerwiegenden Informationssicherheitsrisiken adressiert sind (was einschließt, dass manche Informationen vielleicht nicht von allen Geräten, Orten etc. aus nutzbar sind)? 22 11

12 Unternehmensrichtlinien Worauf sie basieren Benutzeranforderungen Rechtliche Aspekte Vertragliche Regelungen Informationsrisiken Unternehmensweite BYOD-Richtlinie Technische Lösungen 23 BYOD kombinierte Ansätze Risiken verstehen und dann Technologien auswählen Es gibt keinen Ansatz für BYOD, der alle Probleme löst BYOD ist immer eine Balance zwischen Benutzerakzeptanz, Geräteunterstützung und Informationssicherheit Die Informationssicherheitsrisiken müssen zuerst verstanden werden Es muss verstanden werden dass es keine Möglichkeit gibt, die Vielfalt der Geräte auf Dauer zu beschränken Es gibt keine Technologie, die alle Anforderungen abdeckt Informationssicherheitsrisiken müssen verstanden werden um die Technologien und Regeln zu wählen, die die schwerwiegenden Risiken adressieren Vertragliche Regelungen sind in Ergänzung unverzichtbar (aber in ihrer Wirkung begrenzt), insbesondere dort, wo man nicht einfach den Zugriff verweigern kann 24 12

13 Kontakt Martin Kuppinger Founder and Principal Analyst KuppingerCole Ltd Ende/Pause 26 13