26.04.2012 - Киев, Украина.
Нашу обычную жизнь уже невозможно представить без мобильных технологий, и они стремительно завоевывают все новые виды применения в бизнесе, однако редко кто осознает риски, связанные с использованием мобильных устройств. Ко всему прочему, мобильные устройства в глазах преступников уже стали лакомым кусочком.
Этой статьей мы открываем серию очерков, чтобы дать ответы на вопросы – что такое мобильная безопасность, какие на данный момент есть актуальные проблемы и что нас ожидает в ближайшем и отдаленном будущем.
Под понятием „мобильное устройство” могут быть объединены довольно разнородные вещи, поэтому уточним, что здесь мы будем говорить о таких мобильных устройствах, в которых можно хранить и обрабатывать данные предприятия, и которые используются в повседневной жизни также и вне офиса. Эта серия статей будет посвящена мобильным телефонам нового поколения, которые работают под операционной системой Android или iOS, однако рассматриваемые вопросы можно отнести и ко всем видам портативных компьютеров (ноутбуки, планшеты и т.п.), а также к другим подобным устройствам – например, цифровым персональным ассистентам.
Почему именно этот вопрос попал в нашу повестку дня? Если отвечать кратко, цитируя результаты опроса технологических тенденций LMT (http://trends.teliasonera.com/lmt-lv/2012/03/01/lmt-tehnologiju-tendence...), то 53% из более чем 1000 пользователей смартфонов в Латвии используют свой телефон для решения как рабочих, так и повседневных вопросов.
Риски утечки конфиденциальной информации
На наш взгляд, любое предприятие, разрешив использовать мобильные устройства, подвергается различным рискам, где наиболее существенный риск связан с потерей или утечкой конфиденциальной информации.
Используя мобильные устройства, например – используя свой смартфон для чтения рабочей электронной почты, в них, естественно, попадают данные предприятия, потеря которых может привести к финансовым убыткам, ущербу для репутации и создать даже юридические последствия. Хотя в Латвии на данный момент мало дискуссий о таких случаях, однако это лишь вопрос времени.
Важные или конфиденциальные данные можно потерять разными способами, и наиболее типичные их них:
• Потеря данных вместе с самим устройством;
• Потеря данных вследствие небезопасного соединения;
• Потеря данных в результате работы вредоносного программного обеспечения.
Потеря данных, сохраненных на мобильном устройстве
Без специального программного обеспечения данные, например, электронная почта предприятия на устройствах Android и iOS типично хранится без шифрования или с использованием слабого шифрования. В результате этого в случае потери или кражи устройства у нового владельца есть возможность получить доступ к данным, хранящимся в устройстве. Недавний эксперимент, проведенный компанией Symantec, еще раз подтвердил то, что абсолютное большинство людей, по меньшей мере, частично изучает содержание найденного мобильного устройства.
(http://www.symantec.com/content/en/us/about/presskits/b-symantec-smartph...).
Сначала может показаться, что, например, электронная почта не содержит конфиденциальной информации о предприятия, однако серьезно подумав, становится ясно, что первое впечатление было ошибочным, так как в электронной почте могут находиться как договоры, так и конфиденциальная и менее конфиденциальная внутренняя переписка, описание новых, еще неопубликованных продуктов, по сути, практически все, что создано на предприятии и хранится в электронном виде.
К тому же, безвозвратная потеря даже одного устройства, и с ним и потеря данных может отрицательно повлиять на продуктивность предприятия – так как очень вероятно, безвозвратно утеряны, например, контактная информация потенциального партнера по бизнесу. Кто делает регулярное резервное копирование своих мобильных устройств?
Free Wi-Fi hotspot...
Использование небезопасных соединений – это еще один из видов, при котором пользователь мобильного устройства может, сам того не осознавая, передать свои конфиденциальные данные неизвестным лицам. Например, любой „свободный” пункт доступа беспроводного интернета является потенциальным источником риска, если через него пересылаются данные предприятия. Такие пункты беспроводного доступа есть как в кафе и барах, так и в гостиницах и аэропортах. Используя такие пункты доступа, нам приходится в большей мере довериться как той компании, которая установила и поддерживает этот пункт доступа, так и всем окружающим людям, которые используют тот же пункт доступа одновременно с нами. Остается только надеяться, что ни у кого из них нет злого умысла, так как технически довольно несложно перехватить связь беспроводной сети вместе со всем содержимым, циркулирующим в нем.
Вредоносное программное обеспечение
Мобильные устройства подвержены более высокому риску от вредоносного программного обеспечения, чем устройства, установленные в защищенной инфраструктуре типичного предприятия. Необходимо принимать во внимание также и то, что платформы, используемые в мобильных устройствах, довольно новые и стремительно развивающиеся, что имеет и негативные последствия – безопасность этих платформ нередко неэффективна и оставлена полностью в распоряжение пользователя. Этот повышенный риск становится риском всей инфраструктуры предприятия, если допускается добавление таких устройств к внутренним ресурсам предприятия. Если мобильное устройство содержит вредоносное программное обеспечение, оно может распространиться дальше.
Другое сетевое подключение – „черный вход” в инфраструктуре предприятия
Типичные мобильные устройства могут подключиться еще к какой-нибудь сети, даже в ситуации, когда они уже соединены с внутренней сетью предприятия, что создает возможность для потенциального злоумышленника использовать эту сеть, чтобы получить доступ к внутренней инфраструктуре предприятия, обойдя внешнюю защиту (брандмауэр).
Очевидно, что использование мобильных устройств на предприятии связано с различными рисками. О том, как управлять этими рисками, чтобы все же безопасно использовать свой любимый iPad и в рабочих нуждах, мы напишем в следующих статьях.
