Die Konkretisierung zum Baustein Smartphone - der Baustein ios

Transkript

1 Die Konkretisierung zum Baustein Smartphone - der Baustein ios Jens Mahnke, Managing Consultant 1

2 Agenda Ziel des Bausteines Aufbau des Bausteines Umsetzungsstrategie Fragen und Antworten

3 Baustein SYS.3.2.3: ios (for Enterprise) Ziel des Bausteines Der Baustein kann als Grundlage für die Erstellung der Sicherheitsrichtlinie dienen Baustein ist strukturiert in: Basis-Anforderungen Standard-Anforderungen Anforderungen für erhöhten Schutzbedarf Einheitliche Anforderungsbasis für alle Zielobjekte Risikobewusste Umsetzungsausprägungen 3

4 Baustein SYS.3.2.3: ios (for Enterprise) Aufbau des Bausteines Beschreibung Spezifische Gefährdungen Anforderungen 4 Weiterführende Informationen Kreuzreferenztabelle zu den elementaren Gefährdungen

5 Baustein SYS.3.2.3: ios (for Enterprise) Auszug aus den spezifische Gefährdungen Jailbreak In den bisherigen Versionen des ios-betriebssystems wurden meist Schwachstellen gefunden, die es ermöglichen, das von der Firma Apple etablierte Sicherheitsframework zu unterlaufen und somit auf Systemprozesse und geschützte Speicherbereiche zuzugreifen. Sogenannte Jailbreaks nutzen diese Schwachstellen aus, um beispielsweise alternative App-Stores oder von Apple unerwünschte Erweiterungen nutzen zu können. Jailbreak-Techniken werden von Angreifern verwendet, um Schadprogramme zu installieren oder andere schädliche Manipulationen auf dem ios-basierten Gerät vorzunehmen. 5

6 Baustein SYS.3.2.3: ios (for Enterprise) Auszug aus den spezifische Gefährdungen Risikokonzentration durch ein Benutzerkonto (Apple ID) für alle Apple-Dienste Mit der Apple ID besteht ein zentraler Zugang zu allen von der Firma Apple zur Verfügung gestellten Diensten (z. B. imessage, FaceTime, icloud, App Store, itunes, ibook-store, iphone-suche oder Synchronisationsdienste). Wenn Unbefugte Zugriff auf eine nicht ausreichend abgesicherte Apple ID erlangen, können sie unter Umständen diese Apple-Dienste unter einer falschen Identität nutzen, die Verfügbarkeit der Apple-ID-basierten Dienste stören, ios-basierte Geräte aus der Ferne lokalisieren oder alle Daten zurücksetzen sowie auf Informationen des Cloud-Dienstes icloud zugreifen. Insbesondere ist es einem Angreifer bei aktivierten icloud-backups möglich, die gespeicherten Daten auf ein eigenes ios-gerät zu klonen. 6

7 Baustein SYS.3.2.3: ios (for Enterprise) Auszug von Anforderungen aus dem Baustein Basis Standard Strategie für die ios-nutzung Planung des Einsatzes von Cloud Diensten Verwendung des Gerätecodes (Passcode) Verwendung der Konfigurationsoption "Automatische Sperre Verwendung der Konfigurationsoption "Gerätesperrung Verwendung der Konfigurationsoption "Maximale Anzahl von Fehlversuchen Verwendung eines komplexen Gerätecodes (Passcode) Verwendung des Fingerabdrucksensors (Touch ID) Verwendung der Konfigurationsoption "Einschränkungen unter ios Verwendung der icloud-infrastruktur Verwendung der Konfigurationsoption für AirPlay 7 Erhöhtem Schutzbedarf Durchsetzung von ComplianceAnforderungen Verwendung der automatischen Konfigurationsprofillöschung Verwendung standortbasierter Policies Keine Verbindung mit Host-Systemen

8 Baustein SYS.3.2.3: ios (for Enterprise) Auszug aus dem Kapitel weiterführende Informationen 8

9 Baustein SYS.3.2.3: ios (for Enterprise) Auszug aus der Kreuzreferenztabelle 9

10 Verzahnung von Anforderungen SYS A10 SYS A13 SYS A4 SYS A3 SYS A1 SYS A9 zusätzliche Absicherung + Benutzerkomfort 10 Basisabsicherung Strategie

11 SYS A1 Strategie für die ios-nutzung Dieser Baustein setzt voraus, dass zu verwaltende ios-geräte in eine MDMInfrastruktur integriert sind. Eine begründete Ausnahme unter Betrachtung von wirtschaftlichen Aspekten kann die Verwaltung einer kleineren, einstelligen Anzahl von Geräten ohne Einsatz eines MDM sein. Wird ein MDM eingesetzt, so MUSS die Verwaltung der Geräte zum Zwecke der vereinfachten Administration und des einheitlichen Aufspielens von sicherheitstechnischen sowie sonstigen Einstellungen über das MDM erfolgen. Hierzu MUSS eine Strategie zur ios-nutzung vorliegen, in der Aspekte wie Endgeräte-Auswahl oder Backup-Strategien festgelegt werden. Es MUSS außerdem geregelt werden, ob zusätzliche Apps von Drittanbietern genutzt werden sollen. 11

12 Auszug von SYS M1 Strategie für die ios-nutzung 12

13 SYS A3 Verwendung des Gerätecodes (Passcode) Mit der Aktivierung des Gerätecodes wird die Sicherheit der Daten auf dem iosbasierten Gerät erhöht und zusätzlich basierend auf der Komplexität des Gerätecodes eine verbesserte Entropie für bestimmte Verschlüsselungscodes zur Verfügung gestellt. Basierend auf dem festgelegten Sicherheitskonzept und dem Schutzbedarf der auf dem ios-basierten Gerät verarbeiteten bzw. gespeicherten Daten MUSS ein angemessen komplexer Gerätecode verwendet werden. 13

14 Auszug von SYS M3 Verwendung des Gerätecodes (Passcode) 14

15 SYS A4 Verwendung der Konfigurationsoption "Automatische Sperre Basierend auf dem Einsatzzweck und Schutzbedarf MUSS die Zeitspanne für die "Automatische Sperre" des Geräts auf einen möglichst niedrigen Wert eingestellt sein. Durch einen niedrigen Wert wird sichergestellt, dass keine unberechtigte Nutzung des unbeaufsichtigten Geräts möglich ist. Durch eine angemessen kurze Zeitspanne für die automatische Sperre wird der Benutzer bei der Einhaltung der Sicherheitsregelungen der Institution unterstützt, sofern das Gerät nicht durch Interaktion mit der Benutzeroberfläche im ungesperrten Zustand verweilt. Bei der Definition des Zeitraums bis zur Passcode-Abfrage MÜSSEN die Anforderungen an den Schutzbedarf und die Benutzbarkeit beachtet werden. 15

16 Auszug von SYS M4 Verwendung der Konfigurationsoption "Automatische Sperre 16

17 SYS A9 Verwendung eines komplexen Gerätecodes (Passcode) Basierend auf dem Schutzbedürfnis SOLLTE zum Zwecke der Wahrung der Vertraulichkeit ein komplexes Passwort verwendet werden. Bei der Regelung der Komplexität (Mindestlänge des Codes, Mindestanzahl an Sonderzeichen) SOLLTE eine Balance zwischen Benutzbarkeit, Risikoakzeptanz und Schutzbedürfnis gewahrt werden. Beispielsweise können die in der Institution etablierten Regelungen für mobile Arbeitsmittel (Notebooks) die Grundlage für die umzusetzende Komplexität bilden. 17

18 Auszug von SYS M9 Verwendung eines komplexen Gerätecodes (Passcode) 18

19 SYS A10 Verwendung des Fingerabdrucksensors (Touch ID) Bei ios-basierten Geräten mit biometrischem Fingerabdrucksensor, der sogenannten Touch ID, SOLLTE dieser den Benutzern alternativ zur Entsperrung des Geräts freigegeben werden, wenn gleichzeitig organisatorisch und technisch geregelt wird, dass die Benutzer komplexere Gerätecodes verwenden müssen. Einhergehend mit der Aktivierung der Touch ID SOLLTE eine Sensibilisierung der Benutzer hinsichtlich der Fälschbarkeit von Fingerabdrücken erfolgen. 19

20 Auszug von SYS M10 Verwendung des Fingerabdrucksensors (Touch ID) 20

21 SYS A13 Verwendung der Konfigurationsoption "Einschränkungen unter ios" Um die Vertraulichkeit und Integrität der verarbeiteten bzw. auf dem Gerät gespeicherten Daten sicherzustellen, SOLLTEN alle nicht benötigten oder erlaubten Funktionen oder Dienste deaktiviert werden. Welche zu deaktivieren sind, muss basierend auf dem Einsatzzweck und dem zugrundeliegenden Schutzbedarf für die Punkte Sperrbildschirm, Unified Communication, Siri, Hintergrundbild, Verbindung mit Host-Systemen und Diagnose- und Nutzungsdaten entschieden werden. 21

22 Auszug von SYS M13 Verwendung der Konfigurationsoption "Einschränkungen unter ios" 22

23 Q&A Fragen und Antworten Q&A 23

24 HISOLUTIONS BEDANKT SICH FÜR IHRE AUFMERKSAMKEIT HiSolutions AG Bouchéstraße Berlin