Accept
Активный пользователь
- Регистрация
- 05.06.2025
- Сообщения
- 6 407
- Реакции
- 6 420
- Баллы
- 113
Мобильные устройства стали практически единственным типом средств корпоративных коммуникаций во время пандемии.
Поэтому решение задачи обеспечения информационной безопасности (information security) при удаленном доступе к корпоративным ресурсам - это не блажь, а вопрос активной жизни или ее отсутствия.
Под катом мы рассмотрим варианты защищенных смартфонов, а также оценим связанные с их эксплуатацией (не)удобства.
А то мы не знали?
Бесплатный сыр известно где, поэтому все бесплатные удобные приложения кормятся нашими данными и нашим временем на рекламу. Чем больше данных о нас известно, тем более точно можно подобрать рекламу. А ещё можно взять с пользователя деньги за то, чтобы эту рекламу не показывать. Но его данные всё равно собирать.
К такому бартеру мы уже давно привыкли и согласились … по умолчанию.
Есть менее очевидные проблемы, когда данные могут собираться «на продажу». Например, на части китайских смартфонов встроенный медиаплеер не даёт просмотреть видео без разрешения доступа к журналу звонков и сообщений. ИБэшники такие приложения называют grayware. Такие приложения ещё не вредоносные, но потенциально небезопасные, потому что ставят ваши данные под угрозу.
В случае с корпоративными устройствами ситуация осложняется тем, что в даркнете кроме домашнего видео могут оказаться и секреты родной компании.
Хочу айфон!
Логично, когда будущий владелец смартфона сначала определяет актуальные угрозы, потом выбирает эффективные меры защиты и, наконец, соответствующее устройство.
Но, как правило, подавляющее большинство пользователей следует другой логике. Сначала выбирают мобильное устройство, а потом вспоминают о желании защитить хранимые на нем данные.
Начнём с айпадов и айфонов.
Apple не первый год убеждает, что очень ценит данные своих пользователей и дорожит их доверием.
И в это начинаешь верить, когда приходится подтверждать установку каждого приложения, когда не можешь заблокировать потерянное устройство и т.п.
Но однажды служба поддержки Apple Care, деликатно спросив подтверждения пользователя, может подключиться к экрану любого iOS устройства и даже показывать на нём свой курсор. Никакой дополнительный софт типа TeamViewer для этого ставить не нужно! Всё идёт в комплекте с устройством. Текст пользовательского соглашения в этой части перед сном лучше не читать, так как бессонница гарантирована. «… Используется сторонний софт, который может передавать данные как во время сеанса связи с Apple Care, так и после». Мило!
Кстати, спасает от такого «подключения» установка запрета скриншотов.
Теперь немного о контейнеризации.
В iOS все приложения, URL и аккаунты разделяются на «управляемые» и «неуправляемые». В контексте рассматриваемой темы назовем их «корпоративными» и «личными». Единственное действие, которое возможно запретить пользователю между корпоративными и личными ресурсами – это Open In. После этого пользователь не может передать вложение из корпоративной почты в личный WhatsApp в виде файла, но может, например, скопировать туда весь его текст через буфер обмена. Apple называет это защитой от «непреднамеренных» утечек.
Единственный выход – использовать для доступа и обработки корпоративных данных специальный софт. Например, «защищенный почтовый клиент» с шифрованием или без него. Удобство и функциональность не гарантируется, но стоимость увеличится почти наверняка.
В чём устройства Apple действительно хороши (кроме суперского дизайна), так это в противодействии мобильной криминалистике. Извлечь данные с айфона, не зная пароля доступа к нему, практически нереально.
Да, и не используйте вход по биометрии, иначе вам покажут экран вашего айфона и ваш Face ID разблокирует все данные, как не крутись…
Айфоном не вышел, достался Android…
Вариант, когда Айфон – это не ваш выбор.
Вы можете выбрать себе Android-смартфон на любой вес, цвет и запах. Но в этом и проблема – в их разнообразии. У каждого производителя своя сборка Android. Обновлений безопасности можно и не дождаться. Мы подробно писали об этой проблеме в одной из прошлых статей.
Какие механизмы защиты может предложить такой смартфон?
Начнём с контейнеров, потому что здесь они заметно лучше, чем на iOS. Начиная с Android 6, на устройстве можно создать т.н. «рабочий профиль», который для пользователя выглядит как папка или отдельный рабочий стол или, в случае с китайскими производителями, дополнительные пиктограммки на иконках рабочих приложений.
Приложения в рабочем профиле могут быть ограничены корпоративным администратором так, что вынести из них данные вне рабочего профиля будет нельзя. В рабочем профиле свой буфер обмена, можно запретить передачу файлов из профиля и т.д. Приложение в профиле работает так, как будто приложений вне профиля нет. В профиле можно размещать отдельные рабочие приложения или копии тех, которые есть на устройстве. Всё вроде безопасно, но есть нюанс.
Допустим, вы настроили на смартфоне рабочий профиль и разместили в нём Gmail. Пользователь не сможет скопировать почтовое вложение или его текст в WhatsApp за пределы профиля, но ничего не мешает пользователю хранить вложения в Google Drive. Пожалуй, единственным массовым почтовым клиентом для Android, у которого нет встроенной возможности сохранять вложения на всевозможные облака, является почтовый клиент Samsung. Но и с ним нужно быть осторожным. Если не запретить пользователю добавлять свои учётные записи в рабочий профиль, то он сможет скопировать в них любые скачанные письма так, что ни одна DLP система не пронюхает. Достаточно просто заменить в них почтовый ящик отправителя. Это делается одним кликом.
Наиболее общим решением проблемы безопасности, как и в случае с iOS, являются специализированные приложения, в которых by design нет возможности умыкнуть корпоративную собственность. Иногда «под этим соусом» в продуктах не реализуют часть бизнес-функций, пытаясь безальтернативно втюхать что-нибудь сырое и глюкавое.
Идеального решения не существует. Поэтому выбирая security-смартфон, вам необходимо сформулировать - с какими угрозами готовы согласиться, а с какими - нет. С отсутствием каких сервисов вы готовы согласиться, а с отсутствием каких - нет.
Не договорившись с собой, вы рискуете пожалеть впоследствии о своем выборе.
Поэтому решение задачи обеспечения информационной безопасности (information security) при удаленном доступе к корпоративным ресурсам - это не блажь, а вопрос активной жизни или ее отсутствия.
Под катом мы рассмотрим варианты защищенных смартфонов, а также оценим связанные с их эксплуатацией (не)удобства.
А то мы не знали?
Бесплатный сыр известно где, поэтому все бесплатные удобные приложения кормятся нашими данными и нашим временем на рекламу. Чем больше данных о нас известно, тем более точно можно подобрать рекламу. А ещё можно взять с пользователя деньги за то, чтобы эту рекламу не показывать. Но его данные всё равно собирать.
К такому бартеру мы уже давно привыкли и согласились … по умолчанию.
Есть менее очевидные проблемы, когда данные могут собираться «на продажу». Например, на части китайских смартфонов встроенный медиаплеер не даёт просмотреть видео без разрешения доступа к журналу звонков и сообщений. ИБэшники такие приложения называют grayware. Такие приложения ещё не вредоносные, но потенциально небезопасные, потому что ставят ваши данные под угрозу.
В случае с корпоративными устройствами ситуация осложняется тем, что в даркнете кроме домашнего видео могут оказаться и секреты родной компании.
Хочу айфон!
Логично, когда будущий владелец смартфона сначала определяет актуальные угрозы, потом выбирает эффективные меры защиты и, наконец, соответствующее устройство.
Но, как правило, подавляющее большинство пользователей следует другой логике. Сначала выбирают мобильное устройство, а потом вспоминают о желании защитить хранимые на нем данные.
Начнём с айпадов и айфонов.
Apple не первый год убеждает, что очень ценит данные своих пользователей и дорожит их доверием.
И в это начинаешь верить, когда приходится подтверждать установку каждого приложения, когда не можешь заблокировать потерянное устройство и т.п.
Но однажды служба поддержки Apple Care, деликатно спросив подтверждения пользователя, может подключиться к экрану любого iOS устройства и даже показывать на нём свой курсор. Никакой дополнительный софт типа TeamViewer для этого ставить не нужно! Всё идёт в комплекте с устройством. Текст пользовательского соглашения в этой части перед сном лучше не читать, так как бессонница гарантирована. «… Используется сторонний софт, который может передавать данные как во время сеанса связи с Apple Care, так и после». Мило!
Кстати, спасает от такого «подключения» установка запрета скриншотов.
Теперь немного о контейнеризации.
В iOS все приложения, URL и аккаунты разделяются на «управляемые» и «неуправляемые». В контексте рассматриваемой темы назовем их «корпоративными» и «личными». Единственное действие, которое возможно запретить пользователю между корпоративными и личными ресурсами – это Open In. После этого пользователь не может передать вложение из корпоративной почты в личный WhatsApp в виде файла, но может, например, скопировать туда весь его текст через буфер обмена. Apple называет это защитой от «непреднамеренных» утечек.
Единственный выход – использовать для доступа и обработки корпоративных данных специальный софт. Например, «защищенный почтовый клиент» с шифрованием или без него. Удобство и функциональность не гарантируется, но стоимость увеличится почти наверняка.
В чём устройства Apple действительно хороши (кроме суперского дизайна), так это в противодействии мобильной криминалистике. Извлечь данные с айфона, не зная пароля доступа к нему, практически нереально.
Да, и не используйте вход по биометрии, иначе вам покажут экран вашего айфона и ваш Face ID разблокирует все данные, как не крутись…
Айфоном не вышел, достался Android…
Вариант, когда Айфон – это не ваш выбор.
Вы можете выбрать себе Android-смартфон на любой вес, цвет и запах. Но в этом и проблема – в их разнообразии. У каждого производителя своя сборка Android. Обновлений безопасности можно и не дождаться. Мы подробно писали об этой проблеме в одной из прошлых статей.
Какие механизмы защиты может предложить такой смартфон?
Начнём с контейнеров, потому что здесь они заметно лучше, чем на iOS. Начиная с Android 6, на устройстве можно создать т.н. «рабочий профиль», который для пользователя выглядит как папка или отдельный рабочий стол или, в случае с китайскими производителями, дополнительные пиктограммки на иконках рабочих приложений.
Приложения в рабочем профиле могут быть ограничены корпоративным администратором так, что вынести из них данные вне рабочего профиля будет нельзя. В рабочем профиле свой буфер обмена, можно запретить передачу файлов из профиля и т.д. Приложение в профиле работает так, как будто приложений вне профиля нет. В профиле можно размещать отдельные рабочие приложения или копии тех, которые есть на устройстве. Всё вроде безопасно, но есть нюанс.
Допустим, вы настроили на смартфоне рабочий профиль и разместили в нём Gmail. Пользователь не сможет скопировать почтовое вложение или его текст в WhatsApp за пределы профиля, но ничего не мешает пользователю хранить вложения в Google Drive. Пожалуй, единственным массовым почтовым клиентом для Android, у которого нет встроенной возможности сохранять вложения на всевозможные облака, является почтовый клиент Samsung. Но и с ним нужно быть осторожным. Если не запретить пользователю добавлять свои учётные записи в рабочий профиль, то он сможет скопировать в них любые скачанные письма так, что ни одна DLP система не пронюхает. Достаточно просто заменить в них почтовый ящик отправителя. Это делается одним кликом.
Наиболее общим решением проблемы безопасности, как и в случае с iOS, являются специализированные приложения, в которых by design нет возможности умыкнуть корпоративную собственность. Иногда «под этим соусом» в продуктах не реализуют часть бизнес-функций, пытаясь безальтернативно втюхать что-нибудь сырое и глюкавое.
Идеального решения не существует. Поэтому выбирая security-смартфон, вам необходимо сформулировать - с какими угрозами готовы согласиться, а с какими - нет. С отсутствием каких сервисов вы готовы согласиться, а с отсутствием каких - нет.
Не договорившись с собой, вы рискуете пожалеть впоследствии о своем выборе.
