Verletzliche (mobile) Endgeräte Forum 2

Transkript

1 Group IT Risk Management Verletzliche (mobile) Endgeräte Forum 2 Frank Heinzmann Zürcher Tagung 04. Mai 2006

2 Experten des Podiums Moderation: - Frank Heinzmann, Group IT Risk Management, Zurich Financial Services Co-Moderation: - Ulrich Brügger, Senior Consultant, IBM Schweiz AG Podium: - Dr.jur. René Huber, Datenschutzbeauftragter des Kantons Zug - Dr. Anders Bally, Vice President Business Development & Technology, SECUDE - Prof. Dr. Andreas Rinkel, Hochschule Rapperswil (HSR) - Sascha Pfeiffer, Senior Security Consultant Endpoint Security, Check Point 2

3 Agenda Was verstehen wir unter mobilen Endgeräten? Warum sind mobile Endgeräte allgegenwärtig? Wozu benutzen wir mobile Endgeräte? Was sind unsere Sicherheitsbedenken? Was können wir tun? Diskussion 3

4 Was verstehen wir unter mobilen Endgeräten Die vier Klassen mobiler Endgeräte: Speichergeräte mit austauschbaren Medien (z.b. ZIP Laufwerke, CD/DVD Brenner, SD / (M)MD / CF Geräte) Integrierte Speichergeräte, bei denen die Speichermedien und Lese-/ Schreibvorrichtungen zusammen in einem Gehäuse integriert sind (z.b. USB sticks, externe Festplatten) Personal Electronic Devices (PEDs) mit der Möglichkeit, Daten zu speichern (z.b. Digitalkameras, MP3-Players, Spielkonsolen) Personal Digital Assistants (PDAs), mit eigenem Betriebssystem und der Möglichkeit, Daten zu verarbeiten und drahtlos auszutauschen (z.b. RIM Blackberry, Palm, Psion, PocketPC, Smartphones) Quelle: Information Security Forum 4

5 Warum sind mobile Endgeräte allgegenwärtig? Mobilität Geringe Grösse / Gewicht Lange Batterielebensdauer (drahtlose) Konnektivität Synchronisation mit Kalendern / Bluetooth WLAN Infrarot GSM / GPRS / UMTS USB Leistung Mächtige Applikationen Instant On Riesige Speicherkapazitäten Bedienbarkeit Echtes Plug-And-Play Touchscreen Schrifterkennung Wenig Administrations- / Supportaufwand 5

6 Was sind unsere Sicherheitsbedenken? Mobilität Verlust / Diebstahl von Gerät und / oder Daten Herunterfallen / Defekt Ab- / Mitlesen von Daten durch Dritte (Shoulder Surfing) Datenverlust bei leerer Batterie (drahtlose) Konnektivität Unbewusster Austausch von Daten mit anderen Geräten (USB / drahtlos) Unautorisierter Verbindungsaufbau von / zu anderen Geräten (z.b. Bluejacking) Over-The-Air Viren oder Trojaner (bis ins Firmennetz) Leistung Unzureichender Passwortschutz durch Betriebssystem Keine oder wenige Sicherheitsstandards Kein Protokollieren von Ereignissen Bedienbarkeit Kein zentrales Sicherheitsmanagement (z.t. bei BB) Keine zentrale Softwareverteilung (z.t bei BB) Keine Inhaltskontrollen möglich 6

7 Was können wir tun? Personen: Die Anforderungen des Unternehmens an mobile Endgeräte verstehen, dokumentieren und kommunizieren Organisation: Unternehmensweite Sicherheitsstandards für mobile Endgeräte entwickeln und erlassen Technologie: Technische Sicherheitsmassnahmen auf den Endgeräten implementieren und durchsetzen Prozesse: Zentrale Sicherheitsmanagement Prozeduren für mobile Endgeräte einführen und durchsetzen Einfacher gesagt als getan, oder? 7

8 Diskussionspunkte Welche neuen Anforderungen werden durch die (mobilen) Endgeräte an das Personal notwendig? Welche Schutzmechanismen helfen den Diebstahl solcher Geräte auf ein Minimum an Kosten zu reduzieren? Wie werden die Anwendungsrichtlinien (Policies) überwacht und Nichtbeachtung gesühnt? Wie wird der Kompromiss zwischen Einfacher Bedienung und Sicherheitsprozeduren gewählt und welche organisatorischen und technischen Massnahmen bringen Linderung? Wie muss mit besonders schützenswerten Daten umgegangen werden und wie wird dieser Umgang technologisch unterstützt? 8

9 9

10 Der 6-Step Ansatz des Information Security Forum s (ISF) Quelle: Information Security Forum 10