BYOD v roce 2019

Koncept „přines si své zařízení“, anglicky „bring your own device“, vznikl někdy okolo roku 2004 a je tady s námi již téměř 15 let. Za tuto dobu se značně změnil trh práce a technologie, které lidé používají pro práci. Vzrostl počet tzv. freelancerů, trh je přesycen tablety a chytrými telefony.

I když koncept BYOD může vypadat jako zajímavá úspora peněz, korporátní zaměstnavatelé tuto možnost vyhodnocují jako velmi rizikovou a pokud dovolí svým zaměstnancům využívat jejich vlastní iPady či iPhony, i na tato zařízení aplikují firemní bezpečnostní politiku a instalují své prověřené systémy pro správu mobilních zařízení (MDM), jako je například Airwatch od společnosti VMware či na Android specializovaný ESET Endpoint Security od stejnojmenné společnosti.

Výrazně je vidět rozdíl ve vnímání nebezpečí z BYOD, pokud porovnáme využívání vlastních zařízení ve vyvinutých ekonomikách západních evropských států, Severní Ameriky a naopak Indie, Ruska či Brazílie. V západní Evropě a USA podle průzkumu z roku 2013 využívalo vlastní zařízení 44 % lidí, v Rusku, Brazílii či UAE to bylo 75 % lidí. Je to dáno i tím, že rozvinutější země jsou častějším cílem kyberútoků.

Podle nedávných průzkumů MarketsandMarkets dosáhne trh s BYOD obratu více než 266 miliard dolarů a oproti roku 2018 vzroste o 25%.

Přestože s fenoménem vlastních zařízení je spojeno mnoho rizik, jsou tu i pozitiva. Hlavním finančním přínosem BYOD je snížení nákladů na nákup telefonů, notebooků a tabletů, což je markantní zejména ve firmách, kde se často mění zaměstnanci, nebo u firem závisejících na dočasné pracovní síle.

BYOD představuje ekonomickou výhodu pro malé společnosti, které se vyhýbají placení za nový hardware, uživatel se zde více zajímá o zabezpečení svých osobních i odborných informací, osobní zařízení je často rychlejší a lepší než staré počítače přidělené IT oddělením malých společností.

Kromě finančního přínosu je ale podle průzkumu, který prováděla v roce 2016 společnost LinkedIn, neméně důležitým faktorem mobilita zaměstnanců, jejich spokojenost a produktivita. Podle společností, které se tohoto průzkumu zúčastnili, byla mobilita důvodem v 63 % případů zavedení BYOD, a spokojenost a produktivita jako další dva hlavní důvody v 56 a 55 % případů.

Pokud nevlastníte zařízení, které používají vaši pracovníci, nemáte žádnou zodpovědnost za nahrazení zastaralých modelů nejnovějšími technologiemi. Musíte však převzít zodpovědnost za firmware a možná bezpečnostní rizika těchto zařízení a tento úkol vyžaduje technickou pomoc specializovaného softwaru, kterým může být například již výše jmenovaný Airwatch.

Rizik je samozřejmě mnohem víc než přínosů a tady jsou některá z nich.

Fyzická bezpečnostní rizika

• Zaměstnanci nosí na pracoviště vlastní zařízení
• Zaměstnanci v terénu se připojují do sítě z lokace, kde jim je poskytnuta konektivita

Možnost ztráty nedostatečně zabezpečených přístrojů obsahujících citlivá firemní data je velkým rizikem, protože data uložená na ztraceném či ukradeném zařízení mají často velmi vysokou hodnotu a v případě prodeje dat o vaší firmě může dojít k vážným bezpečnostním problémům. Tento problém nastává i v okamžiku, kdy sice svým zaměstnancům techniku poskytujete, ale oni využívají k ukládání pracovních informací i své soukromé zařízení. Jak tomuto riziku čelit?

Edukací a využitím systémů pro správu mobilních zařízení, která mohou sledovat polohu zařízení, uzamknout ho, či v případě odcizení vzdáleně smazat.

Škodlivý software na zařízeních BYOD

Ať už se vaši zaměstnanci připojují k síti v kanceláři nebo ze vzdáleného místa, riskujete, že se případný škodlivý software z jejich zařízení rozšíří i do vaší podnikové sítě.

Rizika škodlivého softwaru, kterým čelíte, spadají do tří kategorií:

• Rizika plynoucí z e-mailu
• Internetová rizika
• Wi-fi rizika

Čelíte zde například nebezpečí trojských koní šířených pomocí e-mailových příloh, kdy dokumenty ve formátech pdf, doc a dalších mohou v sobě skrývat škodlivý software. Pokud tedy zaměstnanec přistupuje na svém zařízení jak k firemnímu, tak k soukromému mailu, je velká šance že časem svůj počítač zaviruje, což nese riziko i pro firemní síť. A věřte tomu, že zavirovaná firma není legrace ani v případě několika zaměstnanců, natož u velké firmy nebo korporace.

Špatně se také ošetřuje situace, kdy zaměstnanec na svém počítači stahuje nelegální software nebo filmy a využívá torrenty.

Dalším internetovým rizikem je cross-site scripting (XSS) využívající slabé místo ve webové aplikaci, kdy útočník vloží do této aplikace škodlivý kód a následně se může díky „account hijacking“ dostat k přihlašovacím údajům své oběti. Tento typ útoku je spojen i se sociálním inženýrstvím, protože je někdy nutné donutit budoucí oběť ke spolupráci, aby se útok podařil dle představ útočníka.

Vaši zaměstnanci také využívají svá zařízení připojená k různým wi-fi hotspotům v hotelech, restauracích apod. Právě nebezpečné hotspoty jsou další cestou, jak se dostat nejprve do špatně zabezpečeného zařízení a následně do cíle, tedy vaší sítě a vašich firemních dat.

Správa mobilních zařízení ve vaší firmě by díky MDM systému měla být schopna pravidelně kontrolovat zařízení zaměstnanců, a pokud by nalezla bezpečnostní riziko, okamžitě napadené zařízení od sítě odpojit. Stejně tak pokud MDM eviduje, že nějaké mobilní zařízení nebylo dlouho aktualizováno, mělo by dojít k jeho odpojení od firemní sítě do té doby, než bude situace napravena. To je jednodušší u velkých firem, které si často díky certifikátům či jiným bezpečnostním opatřením vynutí instalaci klienta MDM, protože bez něj není možné se k firemním datům dostat. U menších firem to tak jednoduché být nemusí a bude nutné zaměstnance motivovat. Například bezplatným antivirem, aby na tuto „bezpečnostní hru“ přistoupili.

Jaké jsou alternativy k BYOD?

Kromě striktního zamezení přístupu soukromých zařízení do firemní sítě, což IT a Security oddělením na už tak nízké popularitě nepřidá, je možné aplikovat i další moderní přístupy.

Jedním z nich je koncept POCE „Personally owned, company enabled“, což je vlastně rozvinutí původního konceptu BYOD, kdy přístup k firemní síti a datům je možný pouze v případě využití firemního portálu a VPN.

COPE neboli „Corporate owned, personally enabled“ znamená, že zařízení patří a je ve správě společnosti, ale povoluje použití zařízení i pro soukromé účely.

Další trend, který se může časem ukázat jako populární, je takzvaný CYOD, tedy „choose your own device“, kdy si zaměstnanec může vybrat zařízení, které mu vyhovuje tak, aby si nemusel kupovat sám zařízení, které by chtěl. Firma mu ho nabídne, bude ho spravovat a vyhne se bezpečnostnímu riziku. Zda takovéto zařízení bude zaměstnanec moci používat i soukromě, je pak již čistě na každé společnosti a jejích bezpečnostních pravidlech.

Vzhledem k neustálému růstu trhu BYOD a zrychlující se náhradě standardních desktopových aplikací mobilními, se na trhu s bezpečností profilují jako klíčoví hráči známé společnosti - Citrix Systems, IBM, VMWare, Fortinet, Symantec, Kaspersky Lab  a další.

Největším trhem pro bezpečnost BYOD je region Severní Ameriky díky využití pokročilých bezpečnostních technologií v mobilních zařízeních, tím nejrychleji rostoucím trhem je ale asijsko-pacifická oblast. Zde hraje velkou roli počet obyvatel tohoto regionu a  obrovský počet mobilních zařízení v této části světa.

 

Zdroj: comparitech, ESET, Technology Signals, Big Country