Heimlichkeiten im Büro. Gegen Bring Your Own hilft kein Verbot

Transkript

1 Heimlichkeiten im Büro. Gegen Bring Your Own hilft kein Verbot Evernote GmbH Walchestrasse 9, 8006 Zürich Schweiz 2017

2 Ein White Paper von Evernote Europa ÜBERSICHT 3 Heimlichkeiten im Büro. Gegen Bring Your Own hilft kein Verbot 4 Die Generation Smartphone ist da 6 BYOD/BYOA: Offiziell oder heimlich? 8 Verschiedene Perspektiven: Mitarbeiter, IT, Management 10 Lösbare Risiken: Datenverlust, Malware, Diebstahl 12 Erhöhte IT-Sicherheit bei Evernote Business IMPRESSUM KONTAKT Evernote GmbH Walchestrasse Zürich, Schweiz zurich@evernote.com Web: REDAKTION Ingo Steinhaus LAYOUT Thi Nguyen 2

3 Heimlichkeiten im Büro. Gegen Bring Your Own hilft kein Verbot BYOD/BYOA ist kaum zu vermeiden. Unternehmen sollten es lieber offiziell unterstützen - mit dem erlaubten Einsatz privater Geräte und speziellen Business-Accounts für Webservices. Executive Summary Bring Your Own Device (BYOD) und Bring Your Own App (BYOA) ist in den Unternehmen Realität, da die Mitarbeiter ihren Blick ausschliesslich auf die Vorteile durch höhere Effizienz und grösseren Komfort richten. Für die Enterprise-IT sind diese Konzepte allerdings in erster Linie Sicherheitsherausforderungen. Die Lösung besteht nicht in einem Verbot, sondern im Gegenteil in der Erlaubnis zu BYOD/BYOA. Dafür sollten erstens die Privatgeräte durch Lösungen für Enterprise Mobility Management (EMM) abgesichert werden und zweitens Business- Accounts für populäre und häufig genutzte Tools wie Evernote eingerichtet werden. Martina P. arbeitet noch nicht lange im Unternehmen. Die Stelle im Marketing ist ihr erster richtiger Job. Vorher hat sie ein Praktikum in einer Agentur gemacht und davor einen Bachelor mit Schwerpunkt Digitales Marketing. Die Arbeit macht Spass, ihre Kolleginnen und Kollegen sind freundlich und binden sie direkt in ihre Projekte ein. Sie kommt gut mit ihren Aufgaben klar und gilt beim Management als pünktlich, organisiert und effizient. Das hat seinen Grund: Sie nutzt ihr Smartphone äusserst intensiv für die Selbstorganisation - wie sie das an der Uni und in verschiedenen Praktika auch bisher schon sehr erfolgreich gemacht hat. Einen Kalender ihrer privaten und beruflichen Termine führt sie mit Google. Präsentationen speichert sie in der Cloud, damit sie zu Hause an ihrem Desktop-PC daran weiterarbeiten kann. Aufgaben, Gesprächsergebnisse, wichtige Erkenntnisse und Ausschnitte aus Webseiten, die sie für ihren Job braucht, sichert sie in Evernote. 3

4 Die Generation Smartphone ist da So oder ähnlich sieht der Alltag von Mitarbeitern häufig aus, nicht nur im Marketing. Auch im Controlling, Vertrieb oder Service arbeiten viele Mitarbeiter auf diese Weise. Das Smartphone ist immer griffbereit und wird nicht zum Spielen benutzt, wie viele denken. Ein grosser Teil der Mitarbeiter in den Unternehmen gehören zur Generation Smartphone. Sie nutzen die Geräte virtuos und wollen das natürlich auch im Job machen. Dabei setzen sie ihre gewohnten Apps ein, die ihre persönliche Effizienz erhöhen. Die Herausfoderung dabei: In vielen Unternehmen ist der Einsatz von privaten Smartphones und Webanwendungen verboten. Trotzdem geben nicht alle Firmen ihren Mitarbeitern Mobilgeräte. Laut einer aktuellen Umfrage der Technologieberatung Gartner bekommt lediglich ein Viertel der Angestellten Smartphones oder Tablets vom Arbeitgeber gestellt. Viele Mitarbeiter verstehen diese Zurückhaltung als Aufforderung zur Selbsthilfe: In der Umfrage gaben etwa ein Drittel zu, dass sie regelmässig mit ihrem privaten Smartphone auf das Unternehmensnetzwerk zugreifen. Gut möglich, dass die Dunkelziffer noch deutlich höher liegt. Es ist nur schwer möglich, Licht in dieses Dunkel zu bringen. In einer anonymen Umfrage hat Evernote 219 Mitarbeiter von Unternehmen aus allen Branchen gebeten, Auskunft zur Situation von BYOD/BYOA in ihrem Unternehmen zu geben. 4

5 Die Generation Smartphone ist da Mitarbeiter nutzen private Geräte Mitarbeiter nutzen private Apps erlaubte Apps sind ineffizient Dabei stellte sich heraus, dass fast drei Viertel (72,6%) der befragten Mitarbeiter Privatgeräte wie Smartphones, Notebooks und Tablets nutzen, aber nur zwei Drittel (66,7%) dies auch dürfen. Immerhin, die offizielle Nutzung von Privatgeräten ist inzwischen vergleichsweise weit verbreitet. Und auch Smartphones haben sich als universelles Business-Werkzeug durchgesetzt: Fast 80 Prozent der Mitarbeiter nutzen ein solches Mobilgerät. Und jeder zweite (52,5%) setzt private Apps ein, weil er effizienter mit ihnen arbeiten kann als mit den von der IT angebotenen Apps. Eine nicht zu unterschätzende Minderheit (9,1%) kommt sogar zu dem Fazit: Die erlaubten Apps helfen mir nicht bei meiner Arbeit. Das ist natürlich eine Einladung für die Mitarbeiter, die von Ihnen als besser, komfortabler und effizienter erlebten Apps einfach auch in ihrem Job einzusetzen. 73% 52% 9% 80% der Mitarbeiter nutzt Smartphones 5

6 BYOD/BYOA: Offiziell oder heimlich? Inzwischen erlauben einige Unternehmen ihren Mitarbeitern den Einsatz von privaten Geräten für berufliche Zwecke. Sie setzen dabei auf zwei IT-Konzepte, die unter den Namen Bring Your Own Device (BYOD) und Bring Your Own App (BYOA) bekannt sind. Dabei können Mitarbeiter ihre privaten Smartphones für berufliche Zwecke einsetzen und auch private Apps benutzen. In den USA ist die berufliche Nutzung von Privatgeräten üblich und wird häufig sogar von den Unternehmen gefördert. Nach dem BYOD & Mobile Security Report 2016 von Crowd Research Partners bieten 72 Prozent aller befragten Unternehmen ein offizielles BYOD Programm an. Da in deutschen Unternehmen oft grössere Sicherheitsbedenken bestehen, liegt die Zahl der BYOD-Programme deutlich niedriger. Zahlen des IT-Branchenverbands Bitkom zeigen, dass 2013 lediglich 27 Prozent der Unternehmen Mitarbeiter erlaubten, mit privaten Endgeräten auf das interne Netzwerk zuzugreifen. 6

7 BYOD/BYOA: Offiziell oder heimlich? Drei Merkmale von BYOD Die meisten IT-Organisationen setzen aber, wenn überhaupt, lediglich das Konzept BYOD um. Dabei werden die privaten Mobilgeräte ganz normal in die Anwendungen für Enterprise Mobility Management (EMM) eingebunden und vom Unternehmen gemanagt. BYOD zeichnet sich durch drei Merkmale aus: Das Mobilgerät wird beim EMM-Tool angemeldet. Dadurch hat das Unternehmen grundsätzlich Zugriff darauf. Dies hat unter anderem die Konsequenz, dass die Positionsbestimmung des Betriebssystems nun vom EMM-Tool genutzt werden kann, um den Standort des Smartphones zu ermitteln und damit auch den Aufenthaltsort des Anwenders. Auf dem Gerät selbst wird ein verschlüsselter Business-Bereich installiert, der geschäftliche Daten und Apps enthält. Dies können beispielsweise Apps zum Zugriff auf die Firmenmail sein oder für das Öffnen von Excel-Tabellen und Präsentationen. Dieser Bereich ist vollkommen getrennt vom bisherigen, rein privaten Bereich. Es gibt keine Möglichkeit, Daten vom einen in den anderen Bereich zu verschieben. Die Anbieter von EMM- Tools, etwa AirWatch oder MobileIron, bieten ein sehr breites Spektrum an Werkzeugen, mit denen diese Bereiche verwaltet und mit Apps ausgestattet werden können. Im Business-Bereich können nur zugelassene Apps installiert werden. Unternehmen nutzen deshalb meist einen eigenen Enterprise-Appstore, der neben zum Teil selbstentwickelten Apps für die vom Unternehmen eingesetzten Geschäftsanwendungen eine Auswahl zertifizierter Apps enthält. 7

8 Verschiedene Perspektiven: Mitarbeiter, IT und Management Die Realität in den Unternehmen ist vielen unter dem Begriff Schatten-IT bekannt: Wenn es kein offizielles BYOD/BYOA- Programm gibt, machen sich die Mitarbeiter ihr eigenes. Dafür gibt es neben der zunehmenden Verbreitung von Smartphones und Tablets im privaten Alltag einen sehr wichtigen Grund: In vielen Unternehmen wird die Arbeitsorganisation dynamischer und flexibler. Remote Work als Treiber von BYOD/BYOA In den letzten Jahren haben sich leistungsfähige Mobilgeräte in den Unternehmen verbreitet, vor allem hochwertige Notebooks, die Desktop-Computern beinahe ebenbürtig sind. Ihre Verfügbarkeit sorgte für eine grosse Verbreitung von Remote Work. Dies betrifft nicht nur Aussendienstler im Vertrieb oder den Aftersales-Service, Reparatur oder Wartung, die vor Ort auf Kundendaten und stets aktuelle technische Dokumente in der Cloud zugreifen. Ein grosser Teil der Mitarbeiter benötigt heutzutage nicht mehr unbedingt einen festen Arbeitsplatz. Notebooks und andere leistungsfähige Mobilgeräte erlauben auch das Arbeiten von unterwegs, sei es auf Dienstreise oder sei es im Homeoffice. Solche Entwicklungen wirken als Treiber für BYOD/BYOA. Vor allem von unterwegs ist die Arbeit mit mobilen Apps unkomplizierter und einfacher als mit herkömmlichen Anwendungen. In der Startup-Szene ist es verbreitet, dass Mitarbeiter ihre gewohnten Apps auf den privaten Smartphones einsetzen und auch für geschäftliche Zwecke nutzen. Ein Beispiel aus jüngster Zeit ist der Business-Messenger Slack, der innerhalb kürzester Zeit Millionen Benutzer anziehen konnte. Vor allem Entwickler schätzen die App als praktisches Werkzeug für den schnellen Austausch im Team und nutzen ihn oft für ihre Arbeit - auch wenn er offiziell gar nicht eingesetzt wird. 8

9 Verschiedene Perspektiven: Mitarbeiter, IT und Management BYOD/BYOA ist Realität und fordert die IT heraus Der Einsatz von privaten Mobilgeräten ist in den meisten Unternehmen bereits Realität, auch wenn es offiziell unbekannt ist. Dabei haben Mitarbeiter, ITler und Manager ganz unterschiedliche Perspektiven auf diese Wirklichkeit. Vorteile von BYOD/BYOA Keine Anschaffungskosten für Geräte Hohe Mitarbeiterzufriedenheit dank der grösseren Identifikation mit den Geräten und Apps Höhere Produktivität und Flexibilität, da Aufgaben auch unterwegs erledigt werden können Daten bleiben im Unternehmen Die Mitarbeiter sehen in aller Regel nur Vorteile für sich. Viele Anwender haben die Erfahrung gemacht, dass die bekannten Produktivitäts-Apps ihre Probleme besser lösen als ältere Enterprise-Anwendungen. Diese Apps sind oft sehr durchdacht, so dass sie aus Mitarbeitersicht den herkömmlichen Business- Apps überlegen sind. Hinzu kommt, dass sie öfter und schneller Innovationszyklen durchgehen. Die Anbieter können durch freiwillig geteilte Angaben das Nutzerverhalten automatisch auswerten. Die Ergebnisse befördern die Entwicklung von Neuerungen und die Verbesserung der bestehenden Funktionen. Aus Perspektive der Enterprise-IT ist so etwas natürlich ein Sicherheitsalbtraum. Es werden nicht gemanagte, vollkommen ungeschützte Geräte und Apps eingesetzt, auf denen unverschlüsselte Geschäftsdaten und -Dokumente gespeichert sind und die zudem noch Zugangsdaten zu internen Anwendungen und Netzwerken enthalten. Diese sogenannte Schatten-IT entwickelt sich in zahlreichen Unternehmen im Verborgenen und mit hoher Geschwindigkeit, nicht nur durch private Apps und Geräte. Häufig sind es Teams oder sogar ganze Fachbereiche, die an der offiziellen IT vorbei bestimmte Apps und Cloud-Dienste buchen und nicht gemanagt einsetzen. Hinzu kommt, verlassen Mitarbeiter das Unternehmen, bleiben sensible Geschäftsdaten- und Dokumente auf den privaten Apps und Geräten gespeichert und gehen dem Konzern dauerhaft verloren. Das Management geht vor allem in stark regulierten Unternehmen bei einem Verbot des Einsatzes von privaten Mobilgeräten stillschweigend davon aus, dass sich auch tatsächlich alle daran halten. Wie die anfangs erwähnten Zahlen zeigen, ist das ein Irrtum - das Management weiss nicht einmal, dass es etwas nicht weiss. Denn private Mobilgeräte werden zumeist mit der privaten SIM-Karte genutzt, da ihr Nutzen für den einzelnen Mitarbeiter stärker wirkt als eventuelle Konsequenzen. 9

10 Lösbare Risiken: Datenverluste, Malware und Diebstahl Der Einsatz privater Mobilgeräte und Apps ist aus Sicht der IT-Security gefährlich. Es gibt eine Reihe von Risiken wie Datenverluste oder Malware-Angriffe. Eine 100-prozentige Sicherheit ist auch in diesem Bereich nicht zu erreichen, doch es ist möglich die Risiken sehr stark zu minimieren: Durch den Einsatz von Systemen für Enterprise Mobility Management (EMM). Ohne sie sollte kein Unternehmen mobile Geräte einsetzen. Freie Auswahl von Geräten und Apps Es ist nur schwer möglich, die Nutzung von privaten Mobilgeräten und Apps zu unterbinden. Die beste Reaktion auf heimliches BYOD/BYOA ist, diese Arbeitsweise im Unternehmen zu unterstützen und technisch abzusichern. Ein solches offizielles BYOD-Programm sollte die folgenden Elemente umfassen: Entweder sind Privatgeräte grundsätzlich erlaubt oder das Unternehmen bietet eine grössere Auswahl populärer Smartphones zur Bestellung an. Möglich ist auch die Beschaffung durch die Mitarbeiter selbst und die Zahlung eines Zuschusses. Wenn das Unternehmen sich für Firmengeräte entscheidet, sollte auch hier die private Nutzung offiziell erlaubt sein. Voraussetzung dafür ist eine EMM-Anwendung, die private und geschäftliche Bereiche trennt. Dadurch entsteht eine Lösung, bei der Mitarbeiter und Unternehmen rechtlich abgesichert sind. Ein Enterprise-Appstore sollte ein möglichst breites Spektrum an populären Apps anbieten, die üblicherweise für berufliche Zwecke genutzt werden. Dabei sollten die Wünsche und Bedürfnisse der Mitarbeiter möglichst weitgehend berücksichtigt werden. Je enger die Auswahl, desto höher ist die Wahrscheinlichkeit, dass Mitarbeiter ihre Lieblings-Apps heimlich nutzen. Noch ein Hinweis zum Datenschutz: Die strikte Trennung von privaten und geschäftlichen Daten ist auch aus Datenschutzgründen wichtig. Denn hier entstehen Probleme in zwei Richtungen: Einerseits darf der Mitarbeiter geschäftliche Daten mit seinen privaten Apps nicht nutzen, andererseits darf das Unternehmen auch nicht auf die privaten Daten des Mitarbeiters zugreifen. Beides wäre ein Verstoss gegen gültige Datenschutzregeln. Risiken von BYOD/BYOA Nicht autorisierte Zugriffe auf Geschäftsdaten und -Systeme Unsichere Apps und Sicherheitslücken im Betriebssystem Einfallstor für Malware oder Ransomware Verlorene und gestohlene Geräte Geschäfts-Daten bleiben nach Verlassen der Firma in den persönlichen Cloud-Apps gespeichert Voraussetzungen von BYOD/BYOA Verwaltung der Mobilgeräte durch ein System für Enterprise Mobility Management (EMM) Integration der Mobilgeräte in das Sicherheitskonzept des Unternehmens Vollständige Trennung von privaten und geschäftlichen Daten, wobei letztere verschlüsselt werden Aufbau eines Enterprise- Appstores mit geprüften Apps 10

11 Lösbare Risiken: Datenverluste, Malware und Diebstahl Heimliche Nutzer mit Evernote Business integrieren Anwender, die geschäftliche Daten in ihren privaten Apps speichern, können mit einem einfachen Trick auf die sichere Seite gezogen werden: Das Unternehmen erlaubt den Einsatz einer bestimmten App und ermöglicht den Mitarbeitern, vorhandene private Daten in den Business-Account weiterzuführen. So etwas geht mit der bekannten Workspace-App Evernote. Die im Web, auf Mobilgeräten und dem Computer nutzbare Anwendung hat weltweit mehr als 200 Millionen Anwendern, ein nicht unerheblicher Teil davon in Deutschland. Es wird von vielen Privatleuten, aber auch von sehr vielen Unternehmen, für die Aufzeichnung von Notizen und anderen Daten aller Art eingesetzt. Der Webservice sowie die Apps für alle Betriebssysteme ist bei zahlreichen seiner Anwender so beliebt, dass sie auch im Unternehmen nicht darauf verzichten wollen - und es oft heimlich nutzen. Besser wäre der Einsatz von Evernote Business, eine für Multi- User-Umgebungen optimierte Variante von Evernote Premium. Sie erlaubt den Mitarbeitern den Einsatz ihrer Lieblings-App, berücksichtigt aber Sicherheitsvorgaben und Datenschutzregeln von Unternehmen. Evernote unterstützt dafür zahlreiche Sicherheitsmassnahmen. Aus Unternehmenssicht besteht Evernote Business aus einer komfortablen Admin-Konsole, mit der Mitarbeiterkonten angelegt und Business-Notizbücher definiert werden können. Zu jedem Business-Konto gehört ein Business Home, in dem sich allgemeine, für alle Mitarbeiter freigegebene Business-Notizbücher befinden. Hier können beispielsweise Projekte oder Geschäftsbereiche jeweils eigene Notizbücher erstellen. 11

12 Erhöhte IT-Sicherheit bei Evernote Business Bring Your Own Device (BYOD) und Bring Your Own App (BYOA) sind bei den Mitarbeitern beliebte Ideen, die für sie viele Vorteile bringen. So können sie deutlich flexibler arbeiten und haben auch von unterwegs Zugriff auf ihre gewohnten Anwendungen und Daten. Doch aus Sicht der Enterprise-IT ist BYOD/BYOA in erster Linie ein Sicherheitsrisiko. Deshalb unterstützt Evernote Business eine Reihe von Massnahmen für erhöhte IT-Security: Evernote speichert Passwörter verschlüsselt und nutzt TLS/SSL zur Verschlüsselung der Datenübertragung. Einzelne Notizen können mithilfe von AES (128 bit) verschlüsselt werden. Die Encryption-Keys werden weder auf den Evernote-Servern noch lokal gespeichert. Evernote Business unterstützt Single-Sign-On. Dadurch können die Mitarbeiter ihr Business-Login auch für die Anmeldung bei Evernote benutzen. Zudem ist es möglich, bereits im Unternehmen genutzte Passwortrichtlinien und Lösungen zur Mehr- Faktor-Authentifizierung einzusetzen. Es gibt einen rollenbasierten Zugang für Benutzer und Administratoren. Letztere haben Zugriff auf Sonderfunktionen wie die Administrator Konsole. Ein Benutzermanagement erlaubt es, aktuell aktive und eingeladene Business-Nutzer in Echtzeit zu sehen, zu verwalten bei Bedarf zu sperren. Alle Business-Notizen und- Notizbücher werden dann bei der nächsten Anmeldung vom lokalen Client gelöscht. Gelöschte Notizen und Notizbücher werden lediglich in den Administrator-Papierkorb verschoben und können somit jederzeit wiederhergestellt werden. FAZIT Unser privates Nutzungsverhalten von Apps und Webanwendungen beeinflusst zunehmend die Art und Weise, wie wir in Unternehmen arbeiten möchten. Egal, ob wir geschäftliche Daten und Dokumente auf einem privaten Gerät oder in einer privaten Anwendung speichern, die verstärkte Nutzung beider Varianten muss für Unternehmen einmal durchdacht werden - idealerweise in Zusammenarbeit mit allen Beteiligten, von den Mitarbeitern bis hin zu den Entscheidern. Risiken von BYOD und BYOA sollten hier realistisch eingeschätzt und nicht stärker wahrgenommen werden, als sie tatsächlich sind. Die positiven Potenziale, die sich für die Produktivität und das Arbeitsklima im Unternehmen ergeben, sind den Aufwand in jedem Fall wert. Tipps, wie Mitarbeiter Ihre Lieblingsanwendungenund Geräte bei der Arbeit einsetzen und ihre Produktivität steigern können, finden Sie auf unserer Website evernote.com/intl/de/business Kontakt Evernote GmbH zurich@evernote.com 12