SMARTPHONE SECURITY. Sichere Integration mobiler Endgeräte

Transkript

1 Sichere Integration mobiler Endgeräte

2 ÜBERSICHT PROFI MOBILE SERVICES.mobile PROFI Mobile Business Agenda Workshops Themen Business Case Design Business Case Zielgruppe / -markt Zielplattform BPM fachlich Design Roadmap Benennung Verantwortlichkeiten Budgetierung Security Berechtigungskonzept Mobile Device Management Quell Code Security Security Applikationsanbindung IT-Systems Bereitstellung IT Backup & Recovery Staging (Prod, Dev, Test) Anbindung Applikationen Anbindung Cloud Services Development & Design Plattform Knowledge Dev Tools Testing User Interface Design Application Lifecycle Management BPM technisch Deployment Schulung Support & Betrieb Application Support Infrastructure Support Ressourcen für Betrieb Definition von SLAs Schulung 2

3 AGENDA 01 Einleitung 02 Anforderungen 03 Hersteller / Betriebssysteme 04 Bedrohungen 05 Policy 06 Mobile Device Management 3

4 EINLEITUNG Gründe für Smartphones / Tablets gibt es viele Mobiler Zugriff auf s, Kalender, Kontakte Dokumente Eigene Anwendungen zur Datenverarbeitung Direktes Aktualisieren von zentralisierten Daten (Web / eigene Apps) 3rd-Party Apps Hohe Benutzer-Akzeptanz, Alternative zu echten Notebooks / PCs Oft bereits in Verwendung müssen nur professionell genutzt werden können 4

5 EINLEITUNG die Herausforderungen werden aber nicht weniger: Beschaffung: Gestellt oder Bring Your Own Device? Geräte-Auswahl: Wird diese vom Unternehmen vorgegeben? Welche? Security: Welche Daten werden verwendet und wie werden diese abgesichert? Umgang: Welche Regeln gibt es für die Verwendung der Smartphones? 5

6 ANFORDERUNGEN Welche Anwendungen werden genutzt? Welche Daten werden lokal abgelegt? Wie werden die Daten übertragen? Mail / Kalender / Kontakte Genau so kritisch, wie der Inhalt der s ist Dokumente Sensibler Inhalt? Verschlüsselte Übertragung? Cloud-basiert? Verschlüsselte Ablage? Apps Welche Dienste müssen durch Apps abgebildet werden? Lokale Datenhaltung? Wie abgesichert? Verschlüsselte Datenübertragung? End-to-End oder nur transportverschlüsselt? 6

7 HERSTELLER / BETRIEBSSYSTEME RIM BlackBerry Sicherste Infrastruktur, wenn auch weit weniger flexibel In Deutschland fast ausschließlich in mittleren bis großen Unternehmen Geräte bleiben hinter dem aktuellen Stand der Technik Nokia Symbian & Windows Mobile Spielt defacto am Markt keine Rolle mehr. Beide System sind sehr eingeschränkt durch MDM verwaltbar. Abwärtskompatibilität sollte jedoch vorher geprüft werden. Windows Phone 7 Nicht konkurrenzfähig: kaum verbreitet / akzeptiert. Abgelöst durch Windows Phone 8 Windows Phone 8 Gleiche User-Experience wie auf der Windows 8 Desktop-Version Systemintegration: Management auch via SCOM 2012 SP1 oder intune möglich App-Store Angebot stark wachsend aber noch weit entfernt vom Apple App-Store Bisher im Business-Bereich wenig bis gar nicht etabliert, jedoch durch Microsoft stark gepusht 7

8 HERSTELLER / BETRIEBSSYSTEME Google Android Offenes System mit hoher Marktdurchdringung Preis-Leistungs-Verhältnis interessant, breites Spektrum an Endgeräten und Anbietern Updateversorgung für alle Hersteller / Modelle unterschiedlich (Folgeeffekte beachten!) Offene Entwicklerplattform, sehr einfaches Einstellen von Apps in den Appstore Apps können auch ohne Umweg über den Marketplace installiert werden SAFE: SamsungsAnsatz einer erweiterten MDM-API. Bspw. pushen von Exchange-Konfigurationen. Apple ios Vollständig proprietäres System (Hardware / Betriebssystem / Appstore) Geringe Auswahl an Modellen Hochpreisig Planbarer Lebenszyklus bzgl. Updates Kontrollierter Appstore prüft jede einzelne App Wenig flexibel was APIs angeht (z.b. für AntiVirus- oder VPN-Clients) 8

9 BEDROHUNGEN Inbesitznahme des Gerätes PIN Sperre umgehen falls gesetzt: Vollzugriff auf alle Daten, ggf. sogar auf VPN-Verbindungen Speicherkarten-Inhalt auslesen Apps Neugierige : Apps nutzen Zugriffsrechte für Übertragung von (sensiblen) Daten Spyware: Apps, deren eigentliches Ziel das Sammeln von Daten ist Bösartige Apps: (DroidDream, RuFraud; oft pirated clones von gutartigen Apps): full remote control Verbindungen Angriffe über WLAN / Bluetooth (und GSM) Verbindungen auf das Endgerät Abhören des Traffics, Cookiejacking, Session Hijacking... Malicious Content Mail: Zentrales Scannen sinnvoll Web: DriveBy Angriffe QR-Codes: Direktes verlinken auf infizierte Seiten 9

10 MOBILE DEVICE MANAGEMENT MDM ist eine technische Maßnahme zur Durchsetzung und Kontrolle der Mobile Device Policy: Die Policy definiert, was erfüllt sein muss, dass ein Gerät als hinreichend sicher betrachtet wird Sie kann niemals vollständig durch MDM abgebildet werden Nur die durch den Hersteller gegebenen Schnittstellen können bedient werden Flexibilität ist wichtiges Kriterium (Reaktion auf OS-Updates, neue Features) Features über die reinen OS-Schnittstellen hinaus: Self-Service Portal Corporate Appstore Compliance Enforcement, u.a. durch ActiveSync Reverse Proxy Steuerungs-SMS: Eigenes Device oder Internet-Gateway? Anti-Malware-Client File Encryption Sicheres Surfen im Internet ( Surf Protection / Site Advisor etc.) 10

11 MOBILE DEVICE MANAGEMENT 11

12 POLICY Konfiguration Definierte Grundkonfiguration App Black- / Whitelisting Security PIN Remote Wipe / Lock Jailbreak Malware Update Policy Sorgfaltspflicht / Verhaltensregeln Umgang, Aufbewahrung, Beaufsichtigung, Weitergabe, Verwendung von Schnittstellen / Kamera Kostenmanagement Private Nutzung Roaming / Datenroaming In-App-Käufe 12

13 OFFENE PUNKTE Datei-Management Übertragung Speicherung Bearbeiten Synchronisieren App-Management Verteilung meist über persönliche itunes Accounts, Abrechnung über Spesen Zentraler Einkauf von kostenpflichtigen Apps. Beispiel Apple VPP root -Rechte / Persistenz Anwender hat immer die Möglichkeit zum Zurücksetzen Einstellungen können teilweise vom Anwender überschrieben werden Behandlung von Zugriff auf sensible Daten Apps, die z.b. auf das Telefonbuch zugreifen icloud als Datenspeicher in US Rechenzentren 13

14 BRING YOUR OWN DEVICE Die Vorteile liegen auf der Hand: Keine Kosten für das Unternehmen Geringer Schulungs- und Supportaufwand Hohe Benutzerakzeptanz Die Nachteile sind etwas weniger offensichtlich Heterogene Device-Landschaft Kein einheitliches Nutzungskonzept Keine eindeutige Sicherheitslage Erhöhter Administrationsaufwand Schwieriger Support und vor allem gibt es konzeptionelle Fragen: Einflussnahme des Unternehmens auf ein privates Gerät: Enforcement, Datenlöschung, Wie werden initiale, laufende und eventuell ungeplante Kosten geregelt? Regelung der erwarteten Erreichbarkeit: Soll man in der Freizeit erreichbar sein? 14

15 CONTAINERIZATION Sicheres Separieren sensibler Daten Verschlüsselte Übertragung Verschlüsselte Speicherung Gesonderter Passwortschutz Vollständig remote zu verwalten Vollständige Trennung heißt vollständige Trennung : Synchronisieren wenn App nicht geöffnet? Bearbeiten z.b. von Anhängen mit Apps außerhalb des Containers Benachrichtigungen über Termine Anrufer-Namensauflösung Datenübertragung via NOC? Network Operation Center von Good 15

16 VIELEN DANK FÜR IHRE AUFMERKSAMKEIT MARCUS HOCK CONSULTANT TEL: THORSTEN PHILIPP ADMINISTRATOR / DATENSCHUTZBEAUFTRAGTER TEL: T.PHILIPP@PROFI-AG.DE