Mobile Security Smartphones

Transkript

1 Mobile Security Smartphones Schmelztiegel privater und geschäftlicher Aktivitäten V by keyon (

2 Über Keyon

3 Warum Smartphones Welcher Nutzen wird vom Unternehmen erwartet?

4 Warum Smartphones Welche Anwendungen sollen mobile Nutzbar sein?

5 Warum Smartphones Sind Tablet PCs teil der Mobilen Strategie? Smartphones : Beziehen und lesen von Informationen Tablet PC : Beziehen, lesen, schreiben und senden von Informationen

6 Warum Smartphones Welche Priorität hat der verbreitete Einsatz mobiler Technologien?

7 Warum Smartphones Wie ist der Einfluss auf das Budget für mobile Lösungen?

8 Warum Smartphones Prognose bez. Plattformen auf dem Markt,

9 Warum Smartphones Woher stammen die Smartphone am Arbeitsplatz? Kostenfaktor Smartphone: Beschaffung vs. Betrieb unterschiedlicher Plattformen

10 Warum Smartphones Was sind die Faktoren für die Einführung neuer mobiler Applikationen?

11 Warum Smartphones Welche Faktoren haben die Einführung mobiler Applikationen verhindert? Womit wir beim Thema wären.

12 Mobile Security - Übersicht Sicherheitsaspekte Betriebssystem Datenschutz (GPS, PIM) Applikationen Management (Updates, Policies, etc.) Mobile Security Speicherung von Daten GSM (Telefonie, SMS, Daten) Übermittlung von Daten Klassische Betrachtung Security Smartphones Auch sehr interessant SMS Spoofing Early Media Stream etc. Kommunikation (BlueTooth, Wireless, NFC) Benutzer

13 Herausforderung Mobile Security Worin unterscheidet sich Mobile Security von der PC Security Grundsätzlich ist das Smartphone, analog dem PC, ein unsicheres Gerät. Durch die bewusste und korrekte Nutzung von sicherheitsspezifischen Eigenschaften oder durch die Installation von spezifischen Sicherheitsapplikationen kann ein bestimmter Sicherheitslevel erreicht werden. Reifegrad der Technologien Die Sicherheitseigenschaften von PCs sind reifer als diejenige von Smartphones. Die Smartphones sind aber nicht weit von heute üblichen Sicherheitstechnologien von PCs entfernt.

14 Herausforderung Mobile Security Worin unterscheidet sich Mobile Security von der PC Security Softwareverteilung (Einschränkung der Bezugsquellen) Beschaffung der Geräte Persönliches Smartphones eines Mitarbeiters Einstellung und Verhalten des Benutzers und des Unternehmens Der PC / Laptop ist akzeptiert als Businessgerät. Das Smartphone will aber privat und geschäftlich genutzt werden können. (Spassfaktor, Blackberry by day, iphone by night) Verschiedene Apps kopieren Kontaktdaten (oder andere Informationen) zu einem Server des Anbieters Die Weitergabe von persönlichen Daten kann gewollt sein, um beispielsweise an einer Community teilnehmen zu können Das Unternehmen toleriert die Nutzung persönlicher Apps in der Freizeit Viber, WhatsApp, Chess with Friends, etc.

15 Herausforderung Mobile Security Grundlegende Schutzmechanismen Single Processing, NX Flags, Jails, Sandbox, Virtualisierung Der Zugriff auf Ressourcen erfolgt über definierte APIs. Die Zugriffe unterliegen spezifischen Regeln. Der klassische Ansatz für Virenschutz ist nicht mehr möglich. Signierte Applikationen Es können nur signierte Applikationen von definierten Quellen installiert werden. Benutzer melden verdächtige Applikationen der Bezugsquelle (Android) Device Verschlüsselung, File verschlüsselung Nahezu jedes Smartphone unterstützt die Verschlüsselung von Daten. Die Handhabung der hierzu notwendigen Schlüssel ist aber noch ungenügend. Die Sicherheitseigenschaften der Smartphones sind grundsätzlich genügend. Die Herausforderung besteht in der Trennung von privaten und geschäftlichen Daten und Applikationen.

16 Herausforderung Mobile Security Produkteinnovation Die Innovation der Produkte ist schneller als der Entscheidungsund Integrationszyklus Wir haben uns strategisch vor etwas mehr als einem Jahr für HTC und Windows Mobile 6.5 entschieden. Die Lösung hätte im Q nach der Integration von Exchange 2010 ausgerollt werden sollen. Aktuell sind die Geräte kaum mehr verfügbar und werden von den Benutzern auch nicht mehr akzeptiert.

17 Motivation der Anbieter für Mobile Security Geschäftsmodell der Anbieter von Mobilgeräten Einnahmen durch Verkauf der Hardware Einnahmen durch Verkauf von Apps und Medieninhalten Einnahmen durch Werbung Einnahmen durch Verkauf von Benutzerdaten und Profilen Der geschäftliche Nutzung der Smartphone ist nur begrenzt interessant für die Anbieter, da in diesem Bereich weniger Apps und Medieninhalte bezogen werden. Zudem ist Werbung und der Verkauf von Benutzerdaten unerwünscht. Eine Optimierung hinsichtlich den Anforderungen der geschäftlichen Nutzung bezüglich Sicherheit und Verwaltung der Geräte hat immer zweite Priorität

18 Strategien der Unternehmen Strategie der Unternehmen im Bereich Mobile Security Keine Smartphone Das Unternehmen setzt keine Smartphones ein. Die Mitarbeiter haben mobilen Zugang zu Informationen über Laptops und VPN. Standard Smartphones Sichere Übermittlung der Informationen über SSL. Manuelle oder zentral verwaltete Profile auf dem Smartphone. Keine weitere Einschränkung hinsichtlich der Nutzung des Smartphones. Gehärtetes Smartphones Sichere Übermittlung der Informationen über SSL. Zentral verwaltete Profile (MDM) auf dem Smartphone. Spezifische Einschränkung hinsichtlich der Nutzung des Smartphones (Einschränken der Installation von Apps, Passwort Policies, etc.), Jailbreak detection.

19 Strategien der Unternehmen Strategie der Unternehmen im Bereich Mobile Security Online Remote Zugriffe Das Unternehmen bietet den Zugang zu Unternehmensinformationen nur über Remoteterminals an. Hohe Sicherheit, keine lokale Speicherung von Daten Nur Online Verfügbar, hohe Bandbreite notwendig Trennen / Virtualisieren Das Unternehmen setzt spezifische Sicherheits- und Verwaltungslösung (MDM) ein, welche eine Trennung von privaten und geschäftlichen Daten und Applikationen auf dem Smartphone sowie eine zentrale Verwaltung ermöglicht.

20 Strategien der Unternehmen Strategie der Unternehmen im Bereich Mobile Security Secure Das Unternehmen verschlüsselt seine s, damit diese sicher auf den Smartphones gespeichert sind. Starke Abhängigkeiten hinsichtlich den bestehenden Prozessen (Volltextsuche, Virenscan, Stellvertretungen, Archivierung, Notfallprozessen, etc.) Kein Schutz von Kontakt- oder Kalenderdaten Sicherheitsäquivalenz im Bezug auf den Schutz der privaten Schlüssels auf dem Smartphone.

21 Mobile Security - Vorgehen Sicherheitsäquivalenz - Vorgehen für den Einsatz von Smartphones Klassifizieren von Informationen Letztendlich geht es um den Schutz unternehmensspezifischer Informationen, unabhängig vom Endgerät. Beispiel: Öffentlich, Intern, Vertraulich, Geheim Balance finden zwischen Sicherheit und Benutzerfreundlichkeit. Ziel ist es, dass alle Mitarbeiter die Lösung nutzen können, ohne die Produktivität einzuschränken. Es soll vermieden werden, dass Informationen über Drittkanäle (z.b. private Accounts) ausgetauscht werden.

22 Mobile Security - Vorgehen Sicherheitsäquivalenz - Vorgehen für den Einsatz von Smartphones Bestimmen der Schutzfähigkeit von Systemkomponenten Ein äquivalenter Schutz der Information über ihren gesamten Lebenszyklus hinweg soll gewährleistet werden. Dieser wird erreicht, indem die involvierten Systemkomponenten äquivalente Schutzfähigkeiten besitzen resp. die bestehenden Schutzfähigkeiten akzeptiert werden. Definition der Systemgrenze Strukturanalyse Beurteilung der Schutzfähigkeit Definition und Umsetzung von Massnahmen Gesamtbeurteilung der Schutzfähigkeiten Umsetzung des Anwendungsfalles Periodische Überprüfung der Schutzfähigkeiten

23 Mobile Security - Strategien Sicherheitsäquivalenz - Vorgehen für den Einsatz von Smartphones Definieren und Umsetzen von Massnahmen Beispielsweise Einführen einer MDM Lösung, die einen spezifischen Sicherheitslevel erreicht. Lösung (Beispiel) Mit der eingeführten Lösung können Öffentlich, Intern, und Vertraulich klassifizierte Daten auf Smartphones verarbeitet werden. Geheim klassifizierte Daten können beispielsweise nur innerhalb der Lokationen des Unternehmens oder auf Laptops mit TPM basierter Diskverschlüsselung verarbeitet werden.

24 Ausblick Mobile Computing in weiteren Geräteklassen Analog dem PC, werden die Fähigkeiten der Mobilgeräte immer besser (TPM) Zusätzliche Kommunikationsmöglichkeiten wie Near Field Communication (NFC) für weitere Anwendungen (Bezahlsysteme) Kollaboration von Mobilen Geräten wird neue Anforderungen stellen. (z.b. kann sich ein Smart Phone automatisch mit dem Bordcomputer im Fahrzeug vernetzen um dessen Möglichkeiten für Anzeigen zu verwenden.) Mehrere Geräte pro Benutzer die je nach Bedarf für den Zugriff verwendet werden (Smart Phone, mehrere Tablets etc.)

25 Vielen Dank für Ihre Aufmerksamkeit Vielen Dank für Ihre Aufmerksamkeit