SMARTPHONE SECURITY. Sichere Integration mobiler Endgeräte

Transkript

1 Sichere Integration mobiler Endgeräte

2 ÜBERSICHT PROFI MOBILE SERVICES.mobile PROFI Mobile Business Agenda Workshops Themen Business Case Design Business Case Zielgruppe / -markt Zielplattform BPM fachlich Design Roadmap Benennung Verantwortlichkeiten Budgetierung Security Berechtigungskonzept Mobile Device Management Quell Code Security Security Applikationsanbindung IT-Systems Bereitstellung IT Backup & Recovery Staging (Prod, Dev, Test) Anbindung Applikationen Anbindung Cloud Services Development & Design Plattform Knowledge Dev Tools Testing User Interface Design Application Lifecycle Management BPM technisch Deployment Schulung Support & Betrieb Application Support Infrastructure Support Ressourcen für Betrieb Definition von SLAs Schulung 2

3 AGENDA 01 Einleitung 02 Anforderungen 03 Hersteller / Betriebssysteme 04 Bedrohungen 05 Policy 06 Mobile Device Management 3

4 EINLEITUNG Gründe für Smartphones / Tablets gibt es viele Mobiler Zugriff auf s, Kalender, Kontakte Dokumente Eigene Anwendungen zur Datenverarbeitung Direktes Aktualisieren von (zentralisierten) Daten (Web / eigene Apps) 3rd-Party Apps Hohe Benutzer-Akzeptanz, Alternative zu echten Notebooks / PCs Oft bereits in Verwendung müssen nur professionell genutzt werden können 4

5 EINLEITUNG die Herausforderungen werden aber nicht weniger: Beschaffung: Gestellt oder Bring Your Own Device? Geräte-Auswahl: Wird diese vom Unternehmen vorgegeben? Welche? Security: Welche Daten werden verwendet und wie werden diese abgesichert? Umgang: Welche Regeln gibt es für die Verwendung der Smartphones? 5

6 ANFORDERUNGEN Welche Anwendungen werden genutzt? Welche Daten werden lokal abgelegt? Wie werden die Daten übertragen? Mail / Kalender / Kontakte Genau so kritisch, wie der Inhalt der s ist Dokumente Sensibler Inhalt? Verschlüsselte Übertragung? Verschlüsselte Ablage? Apps Lokale Datenhaltung? Verschlüsselte Datenübertragung? 6

7 HERSTELLER / BETRIEBSSYSTEME RIM BlackBerry Sicherste Infrastruktur, wenn auch weit weniger flexibel In Deutschland fast ausschließlich in mittleren bis großen Unternehmen Geräte bleiben hinter dem aktuellen Stand der Technik Nokia Symbian Nicht für Touchscreen designed Wird durch Windows 7 Phone ersetzt Windows Mobile Existiert bei Neugeräten de facto nicht mehr Windows 7 Phone Zur Zeit noch nicht konkurrenzfähig, kaum verbreitet / akzeptiert Windows 8 Phone: Desktop-Kernel könnte interessant werden, dauert aber noch 7

8 HERSTELLER / BETRIEBSSYSTEME Google Android Offenes System mit hoher Marktdurchdringung und wachsendem Marktanteil Preis-Leistungs-Verhältnis interessant, breites Spektrum an Endgeräten und Anbietern Updates für alle Hersteller / Modelle unterschiedlich Offene Entwicklerplattform, sehr einfaches Einstellen von Apps in den Appstore Apps können auch ohne Umweg über den Marketplace installiert werden Apple ios Vollständig proprietäres System (Hardware / Betriebssystem / Appstore) Geringe Auswahl an Modellen Hochpreisig Planbarer Lebenszyklus bzgl. Updates Kontrollierter Appstore prüft jede einzelne App Wenig flexibel was APIs angeht (z.b. für AntiVirus- oder VPN-Clients) 8

9 BEDROHUNGEN Inbesitznahme des Gerätes PIN Sperre umgehen falls gesetzt: Vollzugriff auf alle Daten, ggf. sogar auf VPN-Verbindungen Speicherkarten-Inhalt auslesen Apps Spyware : Apps nutzen Zugriffsrechte für Übertragung von (sensiblen) Daten Bösartige Apps: (DroidDream, RuFraud): oft pirated clones von gutartigen Apps Verbindungen Angriffe über WLAN / Bluetooth (und GSM) Verbindungen auf das Endgerät Abhören des Traffics, Cookiejacking, Session Hijacking... Malicious Content Mail: Zentrales Scannen sinnvoll Web: DriveBy Angriffe QR-Codes: Direktes verlinken auf infizierte Seiten 9

10 POLICY Konfiguration Definierte Grundkonfiguration App Black- / Whitelisting Security PIN Remote Wipe / Lock Jailbreak Malware Update Policy Sorgfaltspflicht / Verhaltensregeln Umgang, Aufbewahrung, Beaufsichtigung, Weitergabe, Verwendung von Schnittstellen / Kamera Kostenmanagement Private Nutzung Roaming / Datenroaming In-App-Käufe 10

11 MOBILE DEVICE MANAGEMENT MDM ist eine technische Maßnahme zur Durchsetzung und Kontrolle der Policy: Policy kann niemals vollständig durch MDM abgebildet werden Nur die durch den Hersteller gegebenen Schnittstellen können bedient werden Flexibilität ist wichtiges Kriterium (Reaktion auf OS-Updates, neue Features) Features über die reinen OS-Schnittstellen hinaus: Self-Service Portal Corporate Appstore Compliance Enforcement, u.a. durch ActiveSync Reverse Proxy Steuerungs-SMS: Eigenes Device oder Internet-Gateway? Anti-Malware-Client File Encryption Sicheres Surfen im Internet ( Surf Protection / Site Advisor etc.) 11

12 MOBILE DEVICE MANAGEMENT 12

13 BRING YOUR OWN DEVICE Die Vorteile liegen auf der Hand: Keine Kosten für das Unternehmen Geringer Schulungs- und Supportaufwand Hohe Benutzerakzeptanz Die Nachteile sind etwas weniger offensichtlich Heterogene Device-Landschaft Kein einheitliches Nutzungskonzept Keine eindeutige Sicherheitslage Erhöhter Administrationsaufwand Schwieriger Support und vor allem gibt es konzeptionelle Fragen: Einflussnahme des Unternehmens auf ein privates Gerät: Enforcement, Datenlöschung, Wie werden initiale, laufende und eventuell ungeplante Kosten geregelt? Regelung der erwarteten Erreichbarkeit: Soll man in der Freizeit erreichbar sein? 13

14 VIELEN DANK FÜR IHRE AUFMERKSAMKEIT THORSTEN PHILIPP SYSTEMADMINISTRATOR / DATENSCHUTZBEAUFTRAGTER TEL: T.PHILIPP@PROFI-AG.DE MARKUS HOCK SECURITY CONSULTANT TEL: M.HOCK@PROFI-AG.DE