Tablets im Business: Gadget oder sicheres Werkzeug?

Transkript

1 Mobile Device Management Tablets im Business: Gadget oder sicheres Werkzeug? Mobile Device Management Andrej Schiefer CSI Consulting AG, Senior Information Security Consultant

2 Agenda Mobile Device Management () Warum Anforderungen und Funktionen Marktüberblick Was geht / Was geht nicht? Alternativen Request for Information (RfI) -Service Servicesicht Verwaltung mobiler Devices Kosten Fazit 2

3 Warum : Vielfalt Mobile Operating System Year-over-Year Change 1Q11-1Q12 Android 145.0% ios 88.7% Symbian -60.6% BlackBerry OS -29.7% Linux 9.4% Windows Phone 7/ Windows Mobile 26.9% Other 33.3% Total 49.9% Quellen: IDC - Press Release, 24. Mai 2012, Android Version Distributions, 4. September 2012, ios Version Distributions, Mai 2012, 3

4 Warum : Bedrohungen und Risiken BEDROHUNG 1 Datenpreisgabe durch Geräteverlust / -diebstahl RISIKO (ENISA) BESCHREIBUNG High 2 Unabsichtliche Datenpreisgabe High 3 Angriffe auf Geräte ausser Betrieb High 4 Phishing Medium Freier Zugriff auf ungeschützten Speicher durch Verlust oder Diebstahl. Unabsichtliche Preisgabe von Daten vom Smartphone durch Benutzer. Das Smartphone wurde nicht ordnungsgemäss entsorgt und die Daten bleiben für jeden lesbar. Abgreifen von Passwörtern und anderen sensitiven Daten durch Fake-Apps oder SMS-, -Nachrichten. 5 Spyware Medium Installierte Spyware sammelt unentdeckt persönliche Daten. 6 Network Spoofing Medium 7 Überwachung Medium 8 Diallerware Medium 9 Financial malware Medium Einsatz von gefälschten Access Points (WiFi oder GSM), um die Kommunikation für weitere Attacken zu kontrollieren. Gezieltes Überwachen / Abhören eines ganz bestimmten Benutzers über das Smartphone. Malware macht Gebrauch von Premium-Diensten oder Nummern zum abzocken. Spezifische Malware zum Abgreifen von Kreditkarteninformationen, Bankangaben oder Bank-Transaktionen. 10 Network-Überlastung Low Kein verfügbares Netz wegen Überlastung. Quelle: European Network and information Security Agency (ENISA), Top Ten Smartphone Risks, in: Smartphones: Information security risks, opportunities and recommendations for users, , 4

5 Warum : Sicherheitsvorkommnisse Quellen:

6 : Allgemeine Anforderungen Provisionierung und Patchmanagement Zentrale Konfiguration Restriktionen Policies Remote Wipe Zentrales Unlock und Reset Inventarisierung OS Version / Last Update Installierte Apps Erkennung modifizierter Geräte (Jailbreak, Rooting) Zertifikatsmanagement Logging 6

7 : Funktionen Kernfunktionalitäten richten sich nach den spezifisch vorhandenen OS-Schnittstellen Beispiel ios: icloud Beispiel Android: Geräteverschlüsselung Einige nutzen Active Sync im Hintergrund (MS Exchange Server erforderlich) Einige integrieren sich über spezielle Apps Verschlüsselte Container-Lösungen Achtung: Nicht nur Technik, sondern auch Prozesse! 10' / 26. Mai

8 : Überblick -Lösungen 8

9 : Was geht / Was geht nicht? Unterschiedliche Reifegrade der OS-Plattformen unterschiedliche Managementschnittstellen Einschränkungen bedürfen Support-Prozesse zur Lösung Neue OS-Funktionen evtl. ohne -Schnittstellen Gefühlte Sicherheit Whitelist / Blacklist BYOD - Abgabe der Kontrolle an Arbeitgeber Verschlüsselte Container: Trennung zwischen Privat und Business Eigene Container-Welt Gehärteter -Server Unsichere Marktentwicklung der Anbieter 9

10 Alternative Lösungen zu Webapplikationen (Datenspeicherung auf Backend) MS Exchange Active Sync FindMyiPhone (Apple Service) Secure Wipe Function iphone Configuration Tool 10

11 Request for Information -Service Organisation X Ende

12 RfI -Service: Servicesicht Verwaltung mobiler Devices Aktuelle Situation keine einheitlichen Regelungen unterschiedliche Sicherheitsanforderungen (Policies und Umsetzung) unterschiedliche Gerätetypen Unterschiede in Nutzung von privaten und dienstlichen Geräten unterschiedliche Prozesse? Portaldienst, Rechnungskontrolle OE Y OE X Geräte-, SIM-Karten- Kauf teilweise Konfigurationen Mobile- Security, Security- Policies OE X Geräte- Logisitk? Geräte- Inventar teilweise Software- Inventar, Verteilung Soll-Situation Situation Optimum Einheitlicher Service vom Einkauf über Betrieb bis Sicherheit Kosteneffizienz durch einheitlichen Service (Skaleneffekte) gleich hohe Qualität zu gleichen Preisen für unterschiedlich grosse OE Minimum Vereinheitlichung der Sicherheitsfunktionen (u.a. Anforderungen, Policies, Umsetzung, Prozesse zur Sicherheit) 12

13 RfI -Service: Mögliche Services Informationen über Geräte und Produkte Beratung über neue Geräte und Testen neuer Geräte Geräte und Abos bestellen, Verträge verlängern, künden Geräte in Betrieb nehmen und konfigurieren Geräte und Abonnemente verwalten, kontrollieren Geräte reparieren, ersetzen Datenaustausch mit Mailsystem herstellen und kontrollieren Self Service Portal für Benutzer Erfüllt durch Richtangebote 13

14 RfI -Service: Kosten Richtangebote Bereitstellung zentrale Serverlösung [ CHF einmalig ] Betrieb zentrale Serverlösung [ CHF pro Jahr ] Lösung 1 Lösung 2 Lösung 1 Lösung 2 Kosten Serverlösung ca ca ca Konfiguration Systeme & Roll Out [ CHF einmalig ] Gebühren Nutzung und Services [ CHF pro Jahr ] Lösung 1 Lösung 2 Lösung 1 Lösung 2 Kosten Endgeräte (400) ca ca ca ca Total ca. 200'000 ca ca ca Kosten pro Gerät ca. 500 ca. 210 ca. 175 ca. 250 Mittlere Kosten pro Jahr und Gerät [ CHF ] Kauf Geräte 250 Alle 2 Jahre neues Gerät à 500 CHF Gebühren Gerätemanagement ca. 300 Total 1' Pro Monat 50 CHF für Abo und Gebühren Mittlere Kosten pro Gerät gemäss Richtangebot (TCO 4 Jahre) 14

15 Fazit zur Verwaltung von mobilen Devices und Durchsetzung von Policies für grosse Anzahl notwendig Strategie, Ziele, Vorgaben und Verantwortlichkeiten zum Einsatz mobiler Devices müssen vorgängig bestimmt werden Standardisierte Betriebsprozesse müssen den Einsatz von begleiten bietet nur so viel wie die OS-Hersteller an Schnittstellen zur Verfügung stellen Be aware of the Risk! Know your business case! Deploy! Use and manage mobile devices securely as tools! 15

16 Tablets im Business: Daten- und Policy-Management Vielen Dank für Ihre Aufmerksamkeit Quelle:

17 Folien-Muster 10' / 26. Mai 2011 CSI Consulting AG Schaffhauserstr Zürich CSI Consulting Kornhausplatz AG Bern T: F: