MDM meets MAM. Warum mobile Sicherheit nicht allein durch MDM-Systeme gewährleistet werden kann

Transkript

1 MDM meets MAM Warum mobile Sicherheit nicht allein durch MDM-Systeme gewährleistet werden kann Wulf Bolte (CTO) & Wolf Aschemann (Lead Security Analyst)

2 Wie werden Unternehmen üblicherweise angegriffen? > Das schwächste Glied in der Kette wird gesucht und angegriffen > Das sind momentan Apps... Credits: Sensible World

3 Was kann ein MDM an Schutz leisten? Was kann es nicht leisten? > Anforderungsrechte OS > Black & Whitelisting > Sperrung durch PIN > Sicherung von Daten & Software vor Verlust > Update over the air > Remote lock and wipe > Policy & Provisioning > Anwendungsbezogene Aussagen > Unterschiedliche Sicherheitslevel Ein MDM kann viel, aber nicht genug.

4 Welche Informationen werden benötigt um das Gefahrenpotenzial von Apps einschätzen zu können? > Zugriff auf personenbezogene Daten? > Unternehmensinterne Daten? > Ermöglicht die App ein Userprofiling? > Werden aktuelle Verschlüsselungen verwendet? > Werden Daten anonymisiert/ pseudonymisiert? > Werden geltende Datenschutzrichtlinien eingehalten?

5 Contact address Contact name Contact phone number Contact_address_town Address Data Address (published) Communication Data content sender subject SMS content SMS sender phone number Device Account Data Device account Device account name Device account password Device ID (Dynamic) Android Advertising ID Device name IDFA (Identifier for Advertisers) IDFV (Identifier for Vendors) Device ID (External) WLAN MAC address (connected access point) WLAN SSID (connected access point) Device ID (Public) Bluetooth MAC address WLAN MAC address Device ID (Static) Android ID Blackberry PIN Device serial number GSFID (Google Service Framework ID) IMEI (International Mobile Equipment Identity) UDID (Unique Device Identifier) Device Metadata IP address (local) Operating system version Phone model Device Password Device PIN (Unlock Key) SIM PIN Device Password (External) WLAN password (connected access point) Exif Data Phone metadata Location Data Location data (exact) Location data (coarse) Auf welchen Wegen können diese Informationen für Sicherheit sorgen? > Händisch: Testergebnisse & Sicherheitseinstufungen werden Kunden zur Verfügung gestellt (PDF,CSV,JSON) > Automatisch: Informationen werden dem MDM direkt zur Verfügung gestellt Payment Data Bank account owner BIC (Business Identifier Code) Creditcard number Creditcard owner IBAN (International Bank Account Number) Credits: Flaticon CC 3.0

6 1. Wie müssen MDM und MAM zusammen arbeiten um einen Mehrwert zu generieren? > Sicherheitsinformationen über Apps werden durch Testlabore global für all ihre Kunden angeboten > Aussagekraft: 0 bis 100%, grün bis schwarz etc. > Unternehmen sind jedoch unterschiedlich Credits: Flaticon CC 3.0

7 Was? Passwörter, Standortdaten, personenbezogene Daten Wohin? Empfänger von Datenübertragungen, z.b. der Appanbieter, Trackingdienste, weitere Dritte Wie? Verschlüsselte oder unverschlüsselte Übertragung von Daten Wertung? 2. Wie müssen MDM und MAM zusammen arbeiten um einen Mehrwert zu generieren? > Es besteht die Möglichkeit die Sicherheitsanforderungen des Unternehmens in einer Sicherheitskonfiguration abzubilden > Die Konfiguration (> 280 mögl.) wird dann global auf das Enterprise App Portfolio angewandt und dem MDM automatisch zur Verfügung gestellt

8 Beispiel: Air Berlin Suchanfragen (Flugnummern) werden verschlüsselt an ein Analytics-Netzwerk übertragen. Suchanfragen werden unverschlüsselt an den Appanbieter übertragen. 3. Wie müssen MDM und MAM zusammen arbeiten um einen Mehrwert zu generieren? > Marketing, Vertrieb, Vorstand, Legal etc. eine App, gleiches Risiko? Marketing Vertrieb Vorstand Legal > Sicherheit kann auch im Unternehmen selbst unterschiedlich gehandhabt werden

9 Danke für Ihre Aufmerksamkeit!

10 Kontakt mediatest digital GmbH Goseriede Hannover Wulf Bolte CTO bolte@mediatest-digital.com