So konfigurieren Sie MobileIron Threat Defense zur Einhaltung der Datenschutzanforderungen

Transkript

1 So konfigurieren Sie MobileIron Threat Defense zur Einhaltung der Datenschutzanforderungen Hintergrund Unternehmen und Organisationen, die Online-Datenschutzvorschriften unterliegen und personenbezogene Daten bei der Übertragung und auf Geräten sichern müssen, sollten in ihrer Sicherheitsrichtlinie die Kosten und den Imageschaden einer Datenschutzverletzung berücksichtigen. Nach Untersuchungen des Ponemon Institute betrugen die weltweiten durchschnittlichen Kosten einer Datenschutzverletzung ,62 Millionen Dollar. Dies sind die durchschnittlichen Kosten für jeden verloren gegangen bzw. gestohlenen Datensatz mit vertraulichen und sensiblen Informationen ohne Berücksichtigung des Imageschadens für die Organisation. Diese Implementierungsanleitung zeigt Administratoren Schritt für Schritt, wie sie die Erfassung und Anzeige von personenbezogenen Daten durch MobileIron Core, MobileIron Cloud und MobileIron Threat Defense einschränken können. Diese Anleitung war zum Zeitpunkt der Veröffentlichung aktuell. Wir aktualisieren sie, sobald sich Produkte, Operationen und Vorschriften ändern. Diese Mitteilung stellt weder eine Rechtsberatung noch einen Vertrag dar, sondern dient nur der allgemeinen Information. MobileIron garantiert nicht, dass diese Anleitung für jeden Einzelfall geeignet ist, und lehnt jegliche Haftung in diesem Zusammenhang ab. Die Informationen in der Anleitung werden lediglich als Hilfe für Kunden bei der Bewertung der Produkte und Dienste von MobileIron zur Verfügung gestellt. 401 East Middlefield Road Mountain View, CA USA Tel Fax MKT DE-DE v1

2 Die Lösung MobileIron Threat Defense MobileIron Threat Defense (MTD) überträgt einen Teil der personenbezogenen Daten, die an MobileIron Core oder MobileIron Cloud übertragen wurden, über eine API-Schnittstelle zur Verwaltungskonsole des Mandanten für MobileIron Threat Defense. Der Dienst MTD nutzt oder den in MobileIron Go integrierten und mit Zimperium ziap SDK ausgelieferten Client und wird auf dem verwalteten Gerät bereitgestellt, sobald der Benutzer die Registrierung für MobileIron Core oder MobileIron Cloud erfolgreich abgeschlossen hat. Die erfassten Daten, die personenbezogene Daten sein könnten, sind beispielsweise die Telefonnummer(n) des Geräts, der internationale Mobilgeräte-Identifikator (IMEI), die IP-Adressen, die eindeutigen Mobilgeräte- Identifikatoren (UDID), die Daten des globalen Positionierungssystems (GPS-Daten), Cookies, die Adressen für die Medienzugriffskontrolle (MAC) und die Bezeichnungen der auf dem Gerät installierten Apps (die auch personenbezogene Daten enthalten können) sowie Vorname, Nachname und - Adresse des Gerätebenutzers. Vereinheitlichte Endgeräteverwaltung Ab MobileIron Core, Version 9.7 erzwingt die Standard-Datenschutzrichtlinie die Einstellungen in Abbildung 1. Die Bestandserfassung der Apps wird für Geräte mit Android bzw. Android Enterprise auf die Apps im App-Katalog sowie bei ios-geräten auf verwaltete Apps beschränkt. Es werden weder SMS- noch Anruf-Protokolle erfasst. Standortabhängige Aufwachfunktionen in ios werden deaktiviert. Standortdaten werden nicht erfasst. Der Roamingstatus wird deaktiviert. MobileIron Core und von MobileIron Core erfasste und gespeicherte personenbezogene Daten liegen in der Regel im Netzwerk des Kunden oder bei einem Hosting-Anbieter. Die MobileIron Cloud wird als Infrastructure-as-a-Service (IaaS) von Amazon Web Services (AWS) gehostet, das heißt, bei einem öffentlichen Cloud-Anbieter. Alle personenbezogenen Daten, die von MobileIron Core oder der MobileIron Cloud an den Threat Defense Cluster von MobileIron übertragen werden, können mit dem HTTPS-Protokoll mit der TLS-Verschlüsselung Version 1.2 abgesichert werden. Abbildung 1: Standardkonfiguration der Datenschutzrichtlinie bei MobileIron Core *Bei Upgrades von älteren Versionen von MobileIron Core muss die Datenschutzrichtlinie entsprechend der oben dargestellten Konfiguration geändert werden. 2

3 Die Datenschutzkonfiguration für die MobileIron Cloud in Abbildung 2 erfasst standardmäßig den App- Bestand nur aus dem App-Katalog und deaktiviert Standortdaten. Andere personenbezogene Daten wie SMS-Protokoll, Anrufprotokoll, standortabhängige Aufwachfunktionen in ios, Standortdaten und Roaming-Statusdaten werden von dem verwalteten Gerät nicht erfasst. Sobald die Standard-Datenschutzrichtlinie von MobileIron Core in Kraft ist, listet die Seite mit den Gerätedetails in Abbildung 3 nur die Apps auf, die bei Android-Geräten zum App-Katalog und bei ios-geräten zu den verwalteten Apps hinzugefügt wurden. Wenn die Standard-Datenschutzkonfiguration verwendet wird, ist die Ausgabe für installierte Apps in den Gerätedetails der MobileIron Cloud identisch. Abbildung 2 Standardkonfiguration der Datenschutzrichtlinie der MobileIron Cloud Abbildung 3 Gerätedetails bei der App-Bestandsaufnahme in MobileIron Core 3

4 Verwaltungskonsole für MobileIron Threat Defense Die Verwaltungskonsole von MobileIron Threat Defense erlaubt die Maskierung von Vor- und Nachname sowie -Adresse des Mobilgerätebenutzers. Auf diese Weise wird verhindert, dass diese Informationen Administratoren angezeigt werden. Wählen Sie die Benutzersynchronisation aus und maskieren Sie die importierten Benutzerdaten, wenn Sie eine MDM-Konfiguration wie in Abbildung 4 hinzufügen, nachdem Sie die UEM-URL-Adresse sowie Benutzername und Passwort des API-Benutzerkontos eingegeben haben. Diese Einstellungen ergänzen Benutzer aus der UEM-Plattform in der Verwaltungskonsole, die Benutzerdetails werden jedoch durch Sternchen maskiert. Die Einstellung zur Benutzersynchronisation ist zur Integration von MobileIron Core bzw. MobileIron Cloud in die Managementkonsole erforderlich. Abbildung 4 MTD-Einstellungen in der MDM-Verwaltungskonsole 4

5 Die folgende Tabelle enthält die Benutzerrollen und die in der Verwaltungskonsole vergebenen Berechtigungen. Alle Benutzerrollen mit Ausnahme des Endbenutzers können einen Teil der personenbezogenen Daten des Mobilgerätebenutzers sehen, wenn diese nicht beim Import aus der UEM-Plattform maskiert werden. Alle aus der UEM-Plattform importierten Benutzer erhalten die Endbenutzerrolle. Mit dieser Rolle können Benutzer ihre Mobilgeräte mit dem in bzw. MobileIron Go integrierten MTD-Client in der Verwaltungskonsole registrieren, sich jedoch nicht in der Verwaltungskonsole selbst anmelden. Rolle Berechtigungen Alle Benutzerrechte und Zugriff auf alle Elemente der Verwaltungskonsole übernehmen. Mit dieser Konfiguration können mehr Daten bei der Benutzeranmeldung und regelmäßigen Anmeldung des Geräts erfasst werden. Auf diese Weise wird außerdem sichergestellt, dass forensische Daten über das Gerät, das Netzwerk und die App erfasst werden, um eine erkannte Bedrohung des Geräts effektiv zu isolieren. Diese Informationen werden außerdem in der Verwaltungskonsole von MobileIron Threat Defense im Dashboard und im Bedrohungsprotokoll angezeigt, sobald eine Bedrohung auf dem Gerät erkannt wird. Kunden, die weniger Informationen erfassen wollen und dafür bereit sind, auf einen Teil des Bedrohungsschutzes und der Sicherheitsfunktionen zu verzichten, können die in Abbildung 5 angegebene angepasste Konfigurationseinstellung verwenden. Systemadministrator Mobilitätsadministrator Sicherheitsadministrator Kann nur MDM-Einstellungen ergänzen oder hinzufügen. Kann Bedrohungen anzeigen und Gegenmaßnahmen einleiten. Abbildung 5 Konfiguration zur Erfassung der forensischen Daten in der MTD-Verwaltungskonsole L2-Support Das Helpdesk der Ebene 2 übernimmt aus Ebene 1 weitergeleitete Anfragen. L1-Support Risiko/ Compliance Endbenutzer Das Helpdesk der Ebene 1 hat schreibgeschützten Zugriff auf Benutzer, Geräte und Bedrohungen. Schreibgeschützter Zugriff auf die Verwaltungskonsole zur Einhaltung der Compliance und für Audits. Kann nur MTD-Clients in der Verwaltungskonsole registrieren. Kein Zugriff auf die Verwaltungskonsole. Die Verwaltungskonsole hat eine separate Datenschutzeinstellung, die spezifische forensische Daten erfasst, beispielsweise Standort, Binärdateien von Anwendungen sowie das Netzwerk (ggf. mit Informationen des Anbieters), Geräte- und Benutzerdetails. Diese personenbezogenen Daten werden regelmäßig bei der Erstregistrierung des Geräts (bei der UEM-Plattform) im Gerätesynchronisierungsintervall der UEM-Plattform sowie bei einer Bedrohung des verwalteten Geräts erfasst. Mit den Einstellungen zur Konfiguration der forensischen Daten in Abbildung 5 erreichen Sie den stärksten Schutz gegen Bedrohungen und die höchste Sicherheit für ios- bzw. Android-Geräte, wenn Sie die Einstellungen der Standardkonfiguration 5

6 Wenn diese Konfigurationen in MobileIron Core, MobileIron Cloud und in der Verwaltungskonsole von MobileIron Threat Defense verwendet werden und eine App mit Schadsoftware auf dem verwalteten Gerät installiert und ausgeführt wird, werden die folgenden Compliance-Aktionen ausgelöst sowie Benachrichtigungen auf dem Gerät angezeigt, damit der Gerätebenutzer über die Bedrohung und die zur Isolierung der Bedrohung eingeleiteten Compliance-Maßnahmen informiert ist. Diese sind in Abbildung 6 und 7 dargestellt. Abbildung 6 Benachrichtigung über Bedrohungen durch den Mobile@Work-Client auf einem Android-Gerät Abbildung 7 Benachrichtigungen über Bedrohungen durch den Mobile@Work-Client auf einem Android-Gerät 6

7 Das Dashboard in Abbildung 8 und 9 zeigt die forensischen Details der App, wenn eine verdächtige Android-App auf dem Mobilgerät erkannt wird. Dies gilt analog für eine verdächtige ios-app, die auf einem verwalteten iphone, ipad oder ipod erkannt wird. Die Bedrohungszeitleiste zeigt außerdem die IP-Adressen der internen und externen Geräte und deren Verbindung mit einem WLAN einschließlich SSID-Name, Gateway-MAC und IP-Adressen sowie den Namen der Malware-Liste. Die Details Abbildung 8 Dashboard der MTD-Verwaltungskonsole (Bedrohung durch KingRoot) Abbildung 9 Dashboard der MTD-Verwaltungskonsole (Bedrohung durch TowelRoot) des Mobilgerätebenutzers sind maskiert, die Binärinformationen der App werden nicht angezeigt. In den folgenden Beispielen wurden die Schadsoftware-Apps TowelRoot und KingRoot APK auf ein Android-Gerät heruntergeladen. Sie wurden außerdem installiert und ausgeführt. Dazu musste die Scan-Funktion von Google Play Protect deaktiviert und die Installation aus unbekannten Quellen aktiviert werden. Beide Aktionen würden automatisch getrennte Compliance-Reaktionen wegen einer Bedrohung in MobileIron Threat Defense auslösen, wie in den angezeigten Benachrichtigungen in Abbildung 6 und 7 zu erkennen. Das Mobilgerät kann dann in Quarantäne gestellt werden. Dabei werden die -Funktion und alle AppConnect- Apps gesperrt und alle über UEM bereitgestellten Konfigurationen (wie , VPN, WLAN, Identitätszertifikate usw.) entfernt sowie alle verwalteten Apps und deren Content verborgen oder entfernt. 7

8 Anforderungen: MobileIron Core Version 9.7 oder höher MobileIron Cloud Version R54 oder höher Version 9.7 oder höher für ios Version 9.6 oder höher für Android MobileIron Go Version 3.2 für ios und Android MobileIron Threat Defense Management Console Version GA Zusammenfassung Ordnungsgemäß konfigurierte UEM-, Sicherheitsund Sperrrichtlinien ermöglichen zusammen mit MobileIron Threat Defense eine mehrstufige Sicherheitsstrategie und eine automatische Reaktion auf Bedrohungen, um die personenbezogenen Daten des Benutzers bei der Übertragung und Speicherung zu schützen. Die vorhergehende Beschreibung erläutert, mit welchen zusätzlichen Schritten Sie leichter den Umfang der personenbezogenen Daten eines Benutzers schützen können, die von verwalteten ios- oder Android-Geräten erfasst und zu MobileIron Core oder in die MobileIron Cloud sowie die Verwaltungskonsole von MobileIron Threat Defense übertragen werden könnten. Copyright 2018 MobileIron, Inc. 8