Miért fontos a vállalati mobileszközök védelme?

Sok cégnél a laptopok védelme évek óta rendezett: titkosítás, frissítéskezelés, vírusvédelem, eszköznyilvántartás. A céges telefonoknál viszont gyakran még mindig az a hozzáállás, hogy „csak egy telefon”. Pedig a munkatársak zsebében lévő eszközön ma ott van a céges levelezés, a CRM, a megosztott dokumentumok és nem ritkán a hitelesítő alkalmazás is, amellyel más rendszerekbe lépnek be.

A telefon belépési pont

Egy elveszett vagy kompromittált céges telefon nemcsak a rajta tárolt adatokat veszélyezteti, hanem mindazt, amihez hozzáférést ad. Ha a telefon a második hitelesítési tényező, akkor a védelme a teljes hozzáférési lánc része.

A leggyakoribb kockázatok

• Elvesztés és lopás: a leggyakoribb és leginkább kézzelfogható eset. A kérdés nem az, hogy előfordul-e, hanem az, hogy mennyi idő alatt tud reagálni a cég.
• Elavult javítási szint: egy ismert sérülékenységet tartalmazó szoftververziót futtató eszköz akkor is kockázat, ha soha nem veszik el.
• Rootolt vagy manipulált eszköz: ha a rendszer integritása sérült, a beépített védelmi mechanizmusokra sem lehet támaszkodni.
• Céges és magánadat keveredése: ha minden egy helyen van, kilépéskor vagy elvesztéskor nehéz csak a céges adatot eltávolítani.
• Ellenőrizetlen alkalmazások: bármi telepíthető, ami hozzáférhet a céges adatokhoz.
• SIM-csere: a lopott telefonba helyezett új SIM-kártya gyakran az első lépés a visszaélés felé.

„Remélt” és „ellenőrizhető” védelem

A legtöbb cégnél van valamilyen szabály a telefonokra: képernyőzár kötelező, magánalkalmazás nem ajánlott. A kérdés az, hogy ezt valaki ellenőrizni tudja-e. Az ellenőrizhető védelem négy dolgot jelent:

1. Eszközlista: pontosan tudja, hány céges eszköz van, kinél és milyen állapotban.
2. Javítási szint: eszközönként látja, mely biztonsági frissítés fut rajta.
3. Sértetlenség: rendszeres ellenőrzés jelzi a rootolt vagy manipulált készüléket.
4. Reakcióidő: elvesztés esetén percek alatt zárolni vagy törölni tudja a céges adatot.

A négy védelmi réteg

• Eszköz: felügyelt, ismert javítási szinten, ellenőrzött sértetlenséggel.
• Adat: titkosítva, munkaprofilban elkülönítve a magánadatoktól.
• Hozzáférés: csak megfelelő állapotú eszköz érheti el a céges rendszereket.
• Reakció: zárolás, törlés, riasztás – a felhasználó elérhetőségétől függetlenül.

NIS2 és GDPR: mit lehet és mit nem lehet állítani?

A NIS2-irányelvet átültető 2024. évi LXIX. törvény és a GDPR 32. cikke (az adatkezelés biztonsága) is megfelelő technikai és szervezési intézkedéseket vár el. Az eszközfelügyelet képességei – eszköznyilvántartás, javítási szint, sértetlenség-ellenőrzés, távoli zárolás és törlés, szerepkörhöz kötött távsegítség – segíthetnek ezeknek az intézkedéseknek a kialakításában és dokumentálásában.

Fontos azonban tisztán látni: egy eszköz vagy szoftver önmagában nem garantál megfelelőséget. Azt, hogy egy szervezetnek konkrétan milyen intézkedésekre van szüksége, a saját kockázatelemzése és az auditora határozza meg. Az eszközvédelem ebben a folyamatban bizonyítékot és dokumentálható állapotot ad.

Mivel érdemes kezdeni?

Leltár

Gyűjtse össze, hány céges telefon és tablet van, kinél, milyen modell és milyen szoftverszint. Már ez is gyakran meglepetést okoz.

Alapszabályok

Képernyőzár, titkosítás, alkalmazásszabályok – központilag, egységesen, nem eszközönként kézzel.

Javítási szint

Határozza meg az elvárt minimális javítási szintet, és kövesse, mely eszközök maradnak le.

Elvesztési eljárás

Legyen leírva, kinek kell bejelenteni egy elveszett eszközt, ki zárol, és milyen esetben töröl teljesen vagy csak munkaprofilt.

8 pontos önellenőrző lista

1. Tudja, hány céges mobileszköz van használatban, és kinél?
2. Látja eszközönként a biztonsági javítási szintet?
3. Észrevenné, ha egy eszközt rootoltak vagy manipuláltak?
4. Percek alatt tudna zárolni egy elveszett telefont, akkor is, ha a felhasználó nem elérhető?
5. Tudna csak céges adatot törölni, a magánadatok érintése nélkül?
6. Központilag szabályozza, milyen alkalmazások futhatnak?
7. Kizárható a nem megfelelő eszköz a céges rendszerekből?
8. Dokumentálni tudja mindezt egy belső audit vagy egy ügyfélkérdés esetén?

Ha több kérdésre is „nem” vagy „nem tudom” a válasz, érdemes felmérni a jelenlegi állapotot. Kérjen ajánlatot – segítünk eldönteni, mely képességekre van valóban szüksége.