Bankovní institut vysoká škola Praha Katedra informatiky a kvantitativních metod
BYOD – Studie nasazení Diplomová práce
Autor:
Bc. Jan Kotalík, DiS. Informační technologie a management
Vedoucí práce:
Praha
Ing. Lubomír Jankových, CSc.
Duben 2014
Prohlášení: Prohlašuji, ţe jsem diplomovou práci zpracoval samostatně a v seznamu uvedl veškerou pouţitou literaturu. Svým podpisem stvrzuji, ţe odevzdaná elektronická podoba práce je identická s její tištěnou verzí, a jsem seznámen se skutečností, ţe se práce bude archivovat v knihovně BIVŠ a dále bude zpřístupněna třetím osobám prostřednictvím interní databáze elektronických vysokoškolských prací.
V Praze dne
30.4.2014
Jan Kotalík
Poděkování: Rád bych poděkoval vedoucímu práce Ing. Lubomíru Jankových, CSc.za to, ţe mi věnoval svůj čas a cenné rady.
Anotace Tato práce pojednává o fenoménu Bring Your Own Device (BYOD) a bezpečnosti firemních dat. První část této práce je teoreticky laděná a snaţí se přiblíţit problematiku BYOD. Jsou zde zmíněny důvody jejího vzniku a stručně rozebrány přínosy i rizika BYOD. Teoretická část pokračuje informacemi o zajištění bezpečnosti firemních dat s hlavním zaměřením na mobilní telefony a tablety. Druhá část práce je zaměřena na studii nasazení BYOD v konkrétním firemním prostředí. V této části práce je provedena analýza a zhodnocení současného stavu firemní IT infrastruktury. Na analýzu navazuje návrh změn bezpečnostní politiky, pro zajištění vyšší bezpečnosti dat. Klíčová slova: BYOD, Studie nasazení, bezpečnost dat, mobilní telefon, tablet
Annotation This thesis discusses the phenomenon of Bring Your Own Device (BYOD) and the security of corporate data. The first part of this work is theoretically focused and is trying to clarify the BYOD issue. There are mentioned reasons for its origin and briefly discussed the benefits and risks of BYOD. The theoretical part continues with information of assuring security of corporate data with the main focus on mobile phones and tablets. The second part is focused on the study on BYOD in specific corporate environment. In this part of the thesis there is an analysis and evaluation of the current status of corporate IT infrastructure. The analysis is followed by a suggestion for changes in security policy, to ensure a higher security of the data. Keywords: BYOD, Deployment study, data security, mobile phone, tablet
Obsah Úvod ........................................................................................................................................... 7 2
3
Problematika BYOD .......................................................................................................... 8 2.1
Důvody vzniku BYOD ................................................................................................ 8
2.2
Vlastnictví zařízení ...................................................................................................... 9
2.3
Moţnosti dnešních mobilních zařízení ...................................................................... 10
2.4
Různé přístupy manaţerů k BYOD ........................................................................... 11
2.5
Přijetí BYOD zaměstnanci vs. vyspělost trhu............................................................ 12
2.6
Podnikové zdroje konceptu BYOD ........................................................................... 15
Analýza přínosů a rizik ..................................................................................................... 16 3.2
4
Řízení rizik BYOD .................................................................................................... 18
3.2.1
Omezení dopadu rizik......................................................................................... 19
3.2.2
Vyváţení řízení rizik a soukromí........................................................................ 22
Bezpečnost firemních dat ................................................................................................. 24 4.1
Základní bezpečnostní poţadavky na data ................................................................. 25
4.2
Základní pojmy analýzy rizik .................................................................................... 27
4.3
Moţná protiopatření ................................................................................................... 30
4.4
Nároky na správu zařízení ......................................................................................... 34
4.5
Moţnosti zabezpečení dat .......................................................................................... 35
4.5.1
Kategorizace firemních informací podle naléhavosti zabezpečení .................... 36
4.5.2
Specifické zranitelnosti mobilních zařízení........................................................ 37
4.6
Poţadavky na ochranu informací dle naléhavosti zabezpečení ................................. 38
4.6.1
Zabezpečení informací kategorie 1 – rutinní podnikové informace ................... 41
4.6.2
Zabezpečení informací kategorie 2 – důleţité obchodní informace ................... 44
4.6.3
Zabezpečení informací kategorie 3 – citlivé obchodní informace ..................... 46
4.6.4
Zabezpečení informací kategorie 4 – tajné informace........................................ 48
4.7
Bezpečnostní politika ................................................................................................. 49 -5-
5
6
Případová studie nasazení konceptu BYOD ve vybrané firmě ........................................ 52 5.1
Charakteristika vybrané firmy ................................................................................... 52
5.2
Stávající stav IT infrastruktury .................................................................................. 53
5.2.1
Server .................................................................................................................. 55
5.2.2
Klientské stanice ................................................................................................. 56
5.2.3
Antivirová a antispamová ochrana ..................................................................... 58
5.2.4
Bezdrátová síť..................................................................................................... 59
5.2.5
Správa hesel ........................................................................................................ 59
5.2.6
Firewall ............................................................................................................... 59
5.2.7
Data, jejich sdílení a bezpečnost ........................................................................ 60
5.2.8
Zálohování .......................................................................................................... 60
5.2.9
Fyzické zabezpečení ........................................................................................... 61
5.3
Analýza bezpečnostních rizik .................................................................................... 62
5.4
Navrhované změny v současné infrastruktuře ........................................................... 64
5.4.1
Server .................................................................................................................. 64
5.4.2
Klientské stanice ................................................................................................. 64
5.4.3
Antivirová a antispamová ochrana ..................................................................... 65
5.4.4
Bezdrátová síť..................................................................................................... 66
5.4.5
Správa hesel ........................................................................................................ 67
5.4.6
Firewall ............................................................................................................... 68
5.4.7
Data, jejich sdílení a bezpečnost ........................................................................ 68
5.4.8
Zálohování .......................................................................................................... 72
5.4.9
Fyzické zabezpečení ........................................................................................... 72
5.4.10
Speciální poţadavky na mobilní zařízení ........................................................... 73
Závěr ................................................................................................................................. 75
Seznam pouţité literatury ......................................................................................................... 76
-6-
Úvod Bring Your Own Device (BYOD) je problematika, která se dotýká čím dál tím většího mnoţství zaměstnanců. Jedná se o fenomén, kdy si zaměstnanci sami vybírají techniku, která jim pomáhá vykonávat svou práci efektivněji. Tuto techniku zaměstnancům firma kupuje, nebo si zaměstnanci nosí do zaměstnání vlastní notebooky, mobilní telefony, tablety a ostatní zařízení. Doby, kdy lidé ve svém zaměstnání vyuţívali pouze firemní techniku, jsou pryč. Některé firmy dokonce své zaměstnance podporují v pouţívání vlastních zařízení. Ať uţ z důvodu zjednodušení dodávek zařízení pro zaměstnance, nebo z důvodu ulehčení práce manaţerů. Ti stejně nedokázali uhlídat své zaměstnance v donášení zařízení, která zvyšují jejich pracovní výkonnost. Otázka tedy nezní, zda toto jednání povolit, ale jak jej povolit. S problematikou pouţívání heterogenní směsi IT zařízení na pracovišti a moţnostmi dnešních mobilních zařízení (ať jiţ notebooků, mobilních telefonů, nebo tabletů) souvisí i zvýšená obava o bezpečnost firemních dat. Mobilní zařízení, které nosí velké mnoţství zaměstnanců neustále u sebe, můţe mít ve své paměti velké mnoţství citlivých firemních dokumentů, které lze snadno zneuţít. Proto je zapotřebí věnovat dostatečnou pozornost zabezpečení dat proti zneuţití při ztrátě, nebo krádeţi tohoto zařízení. Cílem této práce je představení konceptu BYOD, analýza jeho přínosů a rizik se zaměřením na bezpečnost firemních dat a případová studie nasazení tohoto konceptu v podmínkách vybrané firmy. Pro zpracování této práce jsem si zvolil vyhotovení teoretického rozboru problematiky BYOD a bezpečnosti dat, který je následován praktickou částí vycházející z tohoto rozboru. Ve studii nasazení zhodnocuji své teoretické znalosti a navrhuji pravidla zabezpečení IT infrastruktury tak, aby byla zajištěna dostatečná bezpečnost firemních dat a zároveň nebyli příliš omezováni uţivatelé. Tento postup jsem zvolil, protoţe problematika BYOD pro mne znamená nový pohled na bezpečnost dat a nerad bych zanedbal některá z ní vyplívající bezpečnostní rizika.
-7-
2 Problematika BYOD 2.1 Důvody vzniku BYOD V následujícím textu budu pouţívat zkratku “BYOD” i pro případy “vyber si vlastní zařízení,” ne jen pro “přines si vlastní zařízení,” protoţe jsou zde oprávněné důvody, proč chce zaměstnavatel zařízení vlastnit. Tak jako tak je v obou případech výsledkem heterogenní směs zařízení, kterou si přejí uţivatelé. Jeden z důvodů proč povolit zaměstnancům vlastní zařízení pro pracovní pouţití je ten, ţe starat se o dvě zařízení (firemní a osobní) a mít dvě telefonní čísla je náročné. Jistě, lidé mají jiţ delší dobu doma svá zařízení a v zaměstnání firemní zařízení, ale protoţe svá zařízení nosí s sebou většinu času, mohou být nastavena pravidla tak, ţe zaměstnanci prostě mohou pouţívat svá zařízení pro firemní i osobní účely. Můţe to být osobní zařízení, které je vyuţito k pracovnímu nasazení, nebo naopak firemní zařízení, které je vyuţito k osobním účelům. Lidé vyřizují osobní záleţitosti s pomocí firemních telefonů a doma vyřizují pracovní hovory, takţe povolení obojího vyuţití na jednom zařízení je poměrně logická volba. [17] Zvýšená dostupnost chytrých telefonů a tabletů jasně zvyšuje zájem o BYOD, ale je důleţité nepodceňovat přístup zaměstnanců k pouţívání této techniky. Přístup k dostupným, výkonným a přenosným zařízením znamená, ţe lidé jsou nyní "připojeni" více neţ kdy jindy. Pro většinu z nich se tato konektivita vztahuje na pracovní ţivot úplně stejně jako na ten soukromý – být neustále dohledatelný a na příjmu jim zjednodušuje ţivot a dovoluje jim lépe dělat svou práci. [7, 27]
-8-
2.2 Vlastnictví zařízení Otázka vlastnictví zařízení můţe být sloţitější, neţ se na první pohled zdá. Některé organizace – obzvláště ty ve státní sféře, zdravotnictví a armádě – se potýkají s otázkou: Kdo má být vlastníkem zařízení? Na tuto otázku zatím není jasná odpověď. Zásadní otázka zní, zda potřebujeme zařízení opravdu vlastnit, abychom nad ním mohli převzít kontrolu a spravovat je. Konzervativnější organizace se často rozhodnou, ţe potřebují zařízení opravdu vlastnit. Ve výsledku zde máme tři různé přístupy k vlastnictví, kontrole a správě zařízení, které jsou zde seřazeny podle popularity: Sdílená správa– Firemní zásady pro dodavatele zařízení a zaměstnance jsou zkombinovány do jednoho celku. Většinou ve významu "Pokud vyuţíváte osobní zařízení pro přístup k firemním zdrojům, udělujete firmě právo na správu, uzamčení, nebo i kompletní smazání tohoto zařízení. A to i v případech, které mohou v konečném důsledku skončit ztrátou osobních dat a aplikací." Toto je většinou zajištěno psanou smlouvou, která vyjmenovává podmínky správy zařízení pro obě strany. Firemní
vlastnictví
a
provoz–
Organizace
zakoupí
a
vlastní
zařízení,
a to i v případech kdy povolí jeho pouţití pro osobní účely. Zaměstnanci, kteří nechtějí pouţívat telefonní sluţby na těchto zařízeních (nemusí mít volné minuty pro hovory s rodinnými příslušníky a známými) mohou vlastnit osobní zařízení tak dlouho, dokud jej nepouţívají pro přístup k podnikovým zdrojům. Odkup zařízení – Organizace odkoupí zařízení od uţivatele. V některých případech, kdy nelze zařízení odkoupit, jsou zaměstnanci odrazováni od pouţití těchto zařízení. V ostatních případech jej organizace odkoupí za předem stanovenou částku (například 1Kč) a povolí uţivateli pouţití tohoto zařízení pro osobní účely. Také se zaváţe k odprodeji zařízení za stejnou částku v případě odchodu zaměstnance z organizace. Zpětný odprodej je zaveden z důvodu lepšího přijetí tohoto přístupu zaměstnanci. [17]
-9-
2.3 Možnosti dnešních mobilních zařízení Datové přenosy a nové schopnosti mobilních telefonů a tabletů přináší na problematiku bezpečnosti trochu jiný úhel pohledu. Fakt, ţe na zařízení zaměstnance mohou být uloţeny a zpřístupněny firemní informace, jako e-maily, kontakty, kalendáře a dokumenty, je dostatečně silný argument k zamyšlení, zda je opravdu dobré toto duální pouţití zařízení. Tento problém nemají pouze mobilní telefony a tablety. Mnoho zaměstnanců pracuje doma – i ve své kanceláři – na vlastním počítači. Gartner odhaduje, ţe více neţ 15% středně velkých podniků dovoluje svým zaměstnancům pouţívat osobní notebook v práci. Také někteří uţivatelé hrají hry, kontrolují osobní e-mail, nebo poslouchají svou oblíbenou hudbu na pracovních počítačích. "Pozornost je zaměřena na mobilní zařízení, ale problém je univerzální. Kde je hranice? Ţádná není. Vlastnictvím majetku (mobilní telefon nebo počítač), je prevence zneuţití nebo prolomení ochrany jiná? Riziko je pořád stejné" říká Michael Voellinger, ředitel společnosti Telwares specializované na konzultační sluţby pro 1000 největších amerických firem. To je důvod, proč jednat se zaměstnanci jako s dospělými lidmi a pouţívat pravidla zaloţená na principu "důvěřuj, ale prověřuj". [17]
- 10 -
2.4 Různé přístupy manažerů k BYOD Jak sestaví vedoucí IT k proudu iPadů, iPhonů a Androidů tekoucímu do podniku v rukou zaměstnanců? 1. Je to nepovolená invaze vedená naivními uţivateli, která prodraţuje správu a oslabuje bezpečnost. Musí být zastavena, nebo alespoň oslabena. 2. Je to nepovolený trend, který naznačuje, ţe je něco špatně se stavem IT tak, jak je v organizaci nastaven a provozován. Moţná se jedná o překvapivé zjištění, ţe se IT někde zapomnělo a ztratilo kontakt s uţivateli. 3. Je to pozitivní vývoj, který by IT mělo podporovat a vyuţít. Výhody získají uţivatelé, IT i podnik jako celek. Pokud se přiklání k první variantě, je vedoucí IT nejspíše člověk, který těţko povede firemní IT kupředu. Nejlepší odpověď je 3, ale ani odpověď číslo 2 není špatná. Značí schopnost vedoucího IT přemýšlet o svém plánu rozvoje podnikové informatiky a změnit ho tak, aby se co nejvíce blíţil dnešní realitě. Bohuţel, mnoho organizací si pořád vybírá moţnost číslo 1. Proč je reakce vedoucího IT na fenomén "nošení vlastních zařízení" tak důleţitá? Protoţe po technologické stránce shrnuje většinu problémů, kterým dnes čelí dnešní podniky. Nyní chci ukázat, proč je první odpověď špatná odpověď. Díky sérii studií provedených firmou CISCO, máme čísla ukazující, ţe se zavedení BYOD firmě vyplatí.Průměrné zvýšení finančních zisků po jeho zavedení odpovídá zhruba 1300 americkým dolarům ročně na kaţdého mobilního uţivatele. Se správně zavedeným a udrţovaným BYOD se můţe zvýšit na přibliţně 1650 amerických dolarů ročně. [3] Moţná nejpodstatnějším argumentem pro vedoucího IT s odporem k riziku je ţe proaktivní BYOD strategie ve skutečnosti zvyšuje bezpečnost a soulad s nastavenými pravidly. [17] "Být nejlepší ve svém oboru sniţuje ceny i rizika," říká Andrew Borg, mobilní analytik společnosti Aberdeen. [17] To znamená mít přístup k řízení postavený na základě stanovených bezpečnostních zásad a vyuţívat principy správy IT sluţeb (ITSM – IT Service Management). Tento přístup by měl mít své místo v kaţdé větší organizaci. Většina společností není nejlepší ve svých oborech, závisí na neefektivních přístupech zaměřených na drahá koncová zařízení a nutí zaměstnance tato řešení obcházet.
- 11 -
Navíc rozvoj mobilní heterogenity mění roli podnikového IT. Nyní stojí podnikání mnohem více na podpoře podnikového IT. Jsou zaváděny stále dokonalejší ERP systémy a nástroje pro spolupráci. Mobilita je proto většinou podniků dneška viděna jako jedna z nejdůleţitějších výhod. Víceméně polovina společností ji vidí jako cestu pro další zvýšení produktivity zaměstnanců. [17] Výsledkem zavedení BYOD je, ţe uţivatelé dostanou nástroje, které chtějí nebo potřebují, podnik dostane dodatečnou flexibilitu a schopnost lépe fungovat, IT vyhraje lepší záruku bezpečnosti a lepšího dodrţování pravidel.
2.5 Přijetí BYOD zaměstnanci vs. vyspělost trhu Hloubkový
průzkum
trendů
BYOD od společnosti Ovum [7]
odhalil
chování
jasný
rozdíl
zaměstnanců
v
mezi
vyspělými trhy a rozvíjejícími se, rychle rostoucími trhy. (viz Obrázek 1) Rozdílné postoje zaměstnanců v těchto
trzích
k
pouţití
mobilních zařízení v pracovní době a mimo ni je zajímavý zástupce
pro
přístupu
různých
a zjištění
kde
rovnováhy
demonstraci kultur
leţí
mezi
hranice osobním
a pracovním
ţivotem.
Data
z průzkumu
poskytují
důkaz
o tom,
lidé
rychle
ţe
na
rostoucích trzích chtějí "ţít, aby pracovali" a pouţijí k připojení jakékoliv
Obrázek 1: Rozdílné přijetí BYOD [11]
zařízení,
které
potřebují k výkonu své práce bez
ohledu na to, jestli je osobní nebo dodané zaměstnavatelem. - 12 -
Ve vyspělých trzích se zaměstnanci usadili v pohodlných vzorech pracovních návyků a jsou preciznější v oddělení svých pracovních a osobních území. Toto rozdvojené chování bude v budoucnu utvářet rozdílné vzory podnikové mobility na vysoce rostoucích trzích ve srovnání s vyspělými trhy, ale také bude diktovat, které trhy budou těţit nejvíce z této nadcházející revoluce v tom, jak a kde pracujeme. [11] Rozvíjející se trhy Silnější preference pro BYOD mezi zaměstnanci na rozvíjejících se trzích jsou příznačné z několika důleţitých důvodů. Zaprvé je zde niţší mnoţství mobilních telefonů a tabletů, které firmy poskytují svým zaměstnancům, coţ vede k tomu, ţe kaţdý, kdo cítí potřebu mít mobilní zařízení, které by mu pomohlo s prací, pouţije své vlastní. Zadruhé demonstruje vyšší míru spokojenosti s rozostřením hranice mezi pracovním a osobním ţivotem, neţ je k vidění mezi zaměstnanci z vyspělých trhů. Zaměstnanci ve vysoce rostoucí, rozvíjející se ekonomice jako je Brazílie, Jiţní Afrika a Malajsie prokázali, ţe mají pruţnější postoje k pracovní době, a jsou rádi, ţe v případě potřeby pouţívají svá vlastní zařízení při práci. V ekonomikách, kde výdobytky konzumního způsobu ţivota nejsou ještě tak rozšířené jako v rozvinutých trzích, se zdá být mezi odborníky častější jev, kdy svůj pracovní ţivot staví před osobní. Převaţující postoj můţe být zobrazen takto: Zaměstnanci na trzích s vysokým růstem častěji "ţijí, aby pracovali", spíše neţ aby viděli práci pouze jako prostředek k financování svého soukromého ţivotního stylu "pracovat, abych ţil" – coţ by se dalo říci o většině zaměstnanců na rozvinutých trzích. Samozřejmě jsou zde i výjimky. 62,8% zaměstnanců ve Španělsku přináší svá vlastní zařízení do práce, to je o hodně více, neţ průměr rozvinutého trhu s hodnotou 44,4%. Toto chování má nejspíše co do činění s ekonomickými problémy: lidé jsou ochotni pouţít veškeré nutné prostředky k vyniknutí při své práci, protoţe její ztráta by byla potenciálně katastrofální vzhledem k vysoké míře nezaměstnanosti. [11]
- 13 -
Obrázek 2: Rozloţení vyuţití BYOD [11]
Rozvinuté trhy V rozvinutých trzích jako je například Francie, kde je podíl BYOD nejniţší (30.9%) [11], zaměstnanci demonstrují hluboce zakořeněné typy chování, které vyţadují jasné oddělení pracovního a soukromého času, a mnohem niţší spokojenost s rozmazáním hranic mezi osobním a pracovním ţivotem. To můţe být dáno převládajícím názorem "pracuji, abych ţil", ale jde také o jiný postoj k soukromí a snaze skrýt své osobní aktivity před jakoukoliv autoritou – ať uţ státem, nebo zaměstnavatelem. Zejména Evropané si vţdy zuřivě chrání svá práva na soukromí s ohledem na regionální historii monitorování ze strany autoritářských vlád, a cenzuru osobní komunikace. Jinde se postoje liší: v zemích, jako jsou USA, které nemají takovou historii, je soukromí do značné míry vedlejší záleţitost, v jiných, kde cenzura buď aktivně probíhá nebo je v ţivé paměti obyvatel, jako je Brazílie nebo Rusko, převládá názor, ţe autority mohou tak jako tak vţdy vidět, co děláte – takţe nezáleţí na tom, kdo je vlastníkem zařízení, které pouţívají ať uţ pro práci nebo osobní účely. Jak se BYOD rozšiřuje po celém světě, hnán rychlým růstem vyuţití osobních chytrých telefonů, tyto rozdíly v postoji ukazují v zajímavém světle agilní, jednoduše kontrolovatelnou praxi viděnou v rozvíjejících se trzích, proti nepoddajné praxi ve vyspělých ekonomikách, která vyţaduje jiný styl řízení a kontroly. [11]
- 14 -
2.6 Podnikové zdroje konceptu BYOD Do firmy se dá přinést prakticky cokoliv. Tyto objekty se nechají zařadit do dvou skupin. V první skupině jsou zahrnuta všechna zařízení, na která se dá sáhnout (zařízení s určitou funkcí), druhá skupina obsahuje vše, na co sáhnout nelze (sluţby a software). Zdroje vnášené do firmy lze rozdělit na dvě skupiny [5]: Skupina 1 – BYOM (Bring Your Own Material) / vlastní materiál BYOD – Bring Your Own Device – jde o smartphone, notebook, telefon, tiskárnu, čtečky, USB disky, flash disky, prostě jakýkoliv hardware, který zaměstnanci chtějí přinést do firemního prostředí. BYON – Bring Your Own Network – jedná se o větší skupinu konkrétních zařízení, která spolu komunikují – například mobilní telefon a notebook, notebook a tiskárna, server a PC. BYOP – Bring Your Own Person – lidé. Kdyţ zaměstnanci mají v zaměstnání vlastní techniku, proč by si nemohli přivést i vlastní "zaměstnance"? Pokud jsou kamarádi a známí některých zaměstnanců odborníci na právě řešený problém, není těţké je také přivést do firmy a vyuţít jejich znalostí. [5] Skupina 2 – BYOS (Bring Your Own Service) / vlastní služba BYOS můţe být jakákoliv soukromá sluţba, kterou zaměstnanci provozují na prostředcích zaměstnavatele – mail, online hra, správa soukromého webu nebo například provoz vlastního virtuálního stroje nebo virtuálního disku BYOE – Bring Your Own Environment/ Ecosystem – zavlečení celého prostředí do prostor firmy – například vlastní testovací prostředí, která jsou zapůjčena pro účely učení a přenosu zkušeností jiné firmě – typicky hands-on nabídky firem, které zapojí např. HW appliance do infrastruktury firmy a zaměstnanci si jej vyzkouší. Po vypršení testovacího období je jiţ na zaměstnavateli a zaměstnancích, zda zapůjčené prostředí odkoupí nebo vrátí. BYOA – Bring Your Own Application – instalace vlastní aplikace pro pracovní účely. V tomto případě je ovšem sloţitější otázka legálnosti. Pokud se jedná o freeware nebo open-source projekt, nemůţe nikdo nic namítat. U komerčního software záleţí na konkrétních licenčních podmínkách, zda dovolují pouţití pro komerční účely a jaká jsou omezení při tomto pouţití. [5]
- 15 -
3 Analýza přínosů a rizik 1.1
Přínosy BYOD
Zvýšená produktivita Pouţití techniky v práci se za poslední léta výrazně zvýšilo, zatímco pouţívání papíru a ručního zpracování dat je na ústupu. [36] Ve školství jsou například jiţ ţáci základních škol stále častěji vychováváni k vyuţití moderních technologií.Jsou jim půjčovány nebo pořizovány tablety a počítače. Poslední výzkumy [18] ukazují, ţe tento proces výuky dovoluje studentům být interaktivněji zapojen do vzdělávacího procesu. V podnikové sféře pouţití moderních technologií vzrostlo z důvodu "zelených opatření" [13] a organizace zjišťují, ţe pokud se postaví do pozice ekologicky šetrných firem, ušetří peníze a zajišťují si vyšší podporu okolí pro své produkty a sluţby. Vyuţití technologií zvyšuje celkovou produktivitu zaměstnanců, podle průzkumů však vychází najevo, ţe zaměstnanci jsou ještě výkonnější, pokud pracují na zařízení, která je jejich vlastní. [36] Nižší náklady pro firmu Zpracování dat s vyuţitím výpočetní techniky zvyšuje produktivitu práce. Cenou za tuto vyšší produktivitu jsou výdaje na nákup velkého mnoţství počítačů a tabletů, které mohou být velmi vysoké. Většina technologií pouţitá v organizacích je aktuální a bezproblémově pouţitelná pouze po omezené časové období, poté se stává zastaralou a je zapotřebí hledat vhodnou náhradu. Pokud dovolíme zaměstnancům nosit a pouţívat jejich vlastní zařízení, mohou mít neustále aktuální technologie bez toho, aby zaměstnavatel neustále platil výdaje za nové modely zařízení. Tato praxe se zdá být velmi přínosná pro mnoho organizací, protoţe se v době ekonomického poklesu sniţují výdaje v rozpočtech. BYOD přesouvá výdaje od společností na uţivatele povolením vyuţití osobních zařízení. [36] Vyšší pohodlí pro uživatele Pravidla BYOD také dovolují uţivatelům pouţít takové technologie, které jsou pro ně pohodlné a které preferují, spíše neţ ty které jim přikazuje pouţívat organizace. Uţivatelé také mohou vylepšovat své vybavení častěji, neţ si můţe dovolit organizace s předem danými rozpočty. [36] - 16 -
1.2
Rizika BYOD
Složitá podporavelkého množství různých zařízení Přestoţe povolení BYOD znamená výhodu, je zde několik rizik, která zajímají IT podporu. Především, neexistuje ţádné standardní zařízení, které by pouţívali všichni uţivatelé. IT podpora proto musí umět vyřešit problém s velkým mnoţstvím různých zařízení obsahujících různé operační systémy i software. Proto je velmi obtíţné odhalit pravou příčinu problému se zařízením, pokud uţivatel potřebuje pomoc. [36] Neexistující kontrola nainstalovaných aplikací Organizace nemohou určit jaké typy aplikací jsou nainstalovány na zařízení, coţ velmi znesnadňuje zajištění bezpečnosti. Přestoţe zaměstnanci by nejspíše na pracovním počítači nestahovali hry a další zábavní software, v případě BYOD je jejich chování jiné. Protoţe zařízení je jejich vlastní a slouţí i k zajištění zábavy v osobním volnu, jistě stahují nespočet různých aplikací a her pro své osobní potřeby. [36] Bezpečnostní rizika Pouţití BYOD zvyšuje riziko prolomení zabezpečení a úniku citlivých informací. Kdyţ zaměstnanec opouští zaměstnání, neodevzdává zařízení, takţe firemní aplikace a ostatní data mohou být stále na jejich zařízení. To můţe vést k tomu, ţe některá firemní data nejsou dostatečně zabezpečena. Také jsou zde některá zákonná omezení, kterým je obtíţné vyhovět, pokud zařízení nepatří společnosti. Například poţadavky zákona o ochraně osobních údajů, nebo zachování listovního tajemství. [36] Problémy s infrastrukturou Různá zařízení pracují různou rychlostí a s různými operačními systémy. Pro IT pracovníky můţe být obtíţné nastavit a udrţovat infrastrukturu tak, aby splňovala poţadavky všech pouţitých zařízení. Moţnost nosit svá vlastní zařízení také automaticky znamená vyšší počet aktivních strojů, neţ kdyby je poskytovala pouze organizace, a tím vyšší zatíţení infrastruktury. Zaměstnanci si přinesou své telefony, tablety a počítače do práce a tímto vzroste zatíţení Wi-Fi sítě i firemních serverů. [36]
- 17 -
3.2 Řízení rizik BYOD Osobní zařízení v podniku mohou znamenat mnoho rizik. Některá jsou všeobecně uznávaná a některá méně chápaná. Tým sloţený z bezpečnostních expertů vybraných z 1000 vedoucích firem zaměřených na bezpečnost (The Security for Business Innovation Council – SBIC) si myslí, ţe ztracené nebo ukradené BYOD zařízení patří k největším firemním bezpečnostním rizikům.Nebezpečí zde je jasné. Přestoţe ztracené BYOD zařízení můţe obsahovat citlivé informace, podle Osterman Research, můţe být pouze necelých 25% zařízení vzdáleně vymazáno. [6, 26] Zaměstnavatelé díky nekontrolovaným zařízením BYOD často ztrácejí přehled o únicích informací a tím ztrácejí kontrolu nad vlastními daty. Pokud je e-mail doručen do mobilního telefonu nebo tabletu, neexistuje moc moţností dohledu nad přístupem k datům. V případě phishing útoku (podvrţený e-mail, který se tváří jako pravý) neexistuje ve firemní síti důkaz, ţe proběhl a zjištění původu tohoto e-mailu je velmi problematické. Pokud BYOD obchází příchozí filtry nastavené na firemní zařízení, jsou zařízení náchylnější k zavlečení škodlivého software. Nejvíce jsou postiţena zařízení s otevřeným systémem jako je Android. Zařízení obcházející odchozí filtry zvyšuje riziko špatného dodrţení zákonů a předpisů o ochraně osobních údajů nebo listovním tajemství. Jak vyuţití BYOD roste, zvyšují se i bezpečnostní rizika. Je lákavé řešení vypořádat se s riziky uzamčením osobního zařízení stejným způsobem jako jsou uzamykána firemní zařízení. Firmy často při tomto postupu narazí na velmi tvrdou zeď osobního vlastnictví a soukromí. Uţivatelé se obávají přílišného sledování a zapojení pracovního ţivota i do soukromí. Proto je velmi vhodné pouţít kompromisní přístup, vysvětlit kaţdému uţivateli jak funguje bezpečnostní politika BYOD, ukázat co vše lze vzdáleně nastavit na zařízení, která data jsou přenášena na firemní servery a proškolit jej v zásadách bezpečnosti při práci s daty. [6, 26]
- 18 -
3.2.1 Omezení dopadu rizik Zaměření na aktivaci zařízení. Aktivace je společným jmenovatelem u mnoha organizací s velkou úspěšnou populací BYOD. Spíše neţ brát BYOD jako náhradu firemních zařízení, je lepší jej pojmout jako strategii k umoţnění mobility pro ty, kteří nikdy nevlastnili firemní zařízení. Pokud chce vedení společnosti poskytnout snadný přístup k firemní síti a datům, mělo by zváţit omezení přístupu k starším systémům, které se pomocí moderních zařízení špatně ovládají. Místo povolení přístupu ke všem klíčovým síťovým zdrojům je vhodné vybrat a publikovat pouze některá data v nových mobilních aplikacích. Uţivatelé dostanou data, která potřebují, a společnost má jistotu, ţe tato data jsou dostatečně zabezpečena a rychle vymazána v případě potřeby. Pro zajištění bezpečného a efektivního vyuţití BYOD v podniku musí IT a bezpečnostní politika spolupracovat na nasazení správných nástrojů jako jsou šifrované datové kontejnery a izolované aplikace, pro které postačuje jednodušší správa. Tato jednodušší správa dovoluje vykonávat méně kroků pokaţdé, kdyţ uţivatel chce pouţít nový typ zařízení. [26] Zjednodušené povolení nových zařízení Díky neustálému přítoku dalších zařízení můţe být pro IT zaměstnance jejich registrace do sítě a instalace potřebného software velmi zdlouhavá a náročná. Existují však řešení, která dovolí pověřeným zaměstnancům tato zařízení jednoduše přidávat do databáze povolených zařízení a přiřazovat jim uţivatelské účty (například Tools4ver User Management Resource Administrator). Pokud bude potřeba, mohou si zaměstnanci jednoduše registrovat svá zařízení i sami. [36] Povolení registrací pouze pro některá zařízení Na trhu existuje mnoho značek a druhů zařízení, která mohou zaměstnanci pouţívat, organizace se proto můţe rozhodnout, která zařízení povolí a bude je podporovat. Zaměřením na uţší skupinu zařízení dostanou IT pracovníci moţnost lépe je poznat díky tomu řešit problémy vznikající při pouţívání rychleji a kvalitněji. Pokud se uţivatel rozhodne zaregistrovat nové zařízení, dojde nejdříve k prověření, zda se jedná o podporovaný typ zařízení. Pokud toto zařízení nesplňuje některou z podmínek, bude automaticky odmítnuta ţádost o tuto registraci. [36]
- 19 -
Instalace výkonného antivirového software a poučení zaměstnanců Díky instalaci výkonného antivirového software na kaţdém mobilním zařízení lze lépe odhalit potencionálně škodlivé aplikace, které zneuţívají bezpečnostní chyby v operačním systému zařízení a zvýšené pravomoci pro přístup k zařízení (telefonní seznam, výpis komunikace, soubory uţivatele, přístup k síti, GPS poloha, ...). [36] Poučení zaměstnanců o bezpečnostních rizicích je spíše doplňková moţnost, protoţe zařízení je jejich a v soukromí nemusí brát takové ohledy na dodrţování firemní bezpečnostní politiky. Přesto je vhodné doporučit instalaci software pouze z ověřených zdrojů (oficiální obchod s aplikacemi). Pro ostatní zdroje, kde hrozí zvýšené riziko výskytu nebezpečných aplikací a zneuţití osobních i firemních dat, je vhodné provádět kontrolu instalačních souborů i s pomocí antivirového programu na osobním počítači. Zajištění bezpečnosti Povolením BYOD v organizaci se stává bezpečnost velkým problémem. Kaţdý zaměstnanec pro výkon své práce potřebuje určitý objem různě citlivých firemních dat, která bude mít neustále uloţena na svém zařízení. Během vyuţívání tohoto zařízení musí být vynucena minimální hranice ochrany dat. Stupeň ochrany je určen podle citlivosti zpracovávaných dat. Pro rutinní informace se můţe jednat jen o nutnost zadání PIN kódu před kaţdým pouţitím zařízení. Při zpracování přísně tajných informací můţe být vyţadováno dvoustupňové přihlašování do systému, šifrování obsahu celého zařízení a automatické bezpečné vymazání veškerého obsahu po několika neúspěšných pokusech o přihlášení. Více informací o zabezpečení jednotlivých typů dat je uvedeno v kapitole 3 (Bezpečnost firemních dat). V případě ztráty nebo odcizení zařízení je velmi vhodné aţ nutné mít moţnost jednoduchého vzdáleného uzamčení a vymazání obsahu zařízení. Ztráta části uloţených dat je většinou menší riziko pro firmu, neţ moţnost jejich zneuţití neoprávněnou osobou. Ochranu před ztrátou veškerých uloţených dat můţe poskytnout například automatická synchronizace kontaktů, pošty a vybraných souborů s firemním serverem, nebo automatické zálohování obsahu zařízení při připojení k počítači (přes datový kabel, nebo bluetooth). Pokud zaměstnanec odejde ze společnosti, vezme si své zařízení s sebou, takţe je důleţité, aby kaţdému odcházejícímu zaměstnanci byl zamezen přístup k důleţitým firemním datům. S centrálním nastavením přístupu můţe být uţivatelský účet automaticky deaktivován ihned - 20 -
po odchodu ze společnosti. S touto deaktivací dojde také k odebrání práv pro přístup k síti a všem střeţeným datům. Tím je zajištěno, ţe ţádný z odchozích zaměstnanců nadále nemá přístup k důleţitým materiálům. Díky takovémuto opatření lze snáze vyhovět všem zákonným poţadavkům a potřebám auditu, protoţe nikdo ze zaměstnanců nemá přístup k aplikacím a datům, které nepotřebuje ke své práci. Posílení infrastruktury Před povolením BYOD a nastavením jeho politiky je vhodné provést analýzu stavu a propustnosti sítě i serverů, popřípadě zátěţový test celé infrastruktury. Tím lze zjistit, kolik zařízení můţe v jednom okamţiku bezpečně přistupovat k firemním datům. Jakmile se počet aktivních zařízení začne blíţit tomuto výkonovému maximu, je zapotřebí posílit infrastrukturu. Podle zjištěného slabého místa se jedná například o pořízení výkonnějšího serveru nebo diskového pole, posílení konektivity nebo přikoupení dalších přístupových bodů. Dále je vhodné upravit podnikové aplikace tak, aby se k nim nechalo přistupovat z více různých zařízení, které mají různé operační systémy i rozlišení displeje. Přístup k firemnímu e-mailu je většinou moţný téměř všech zařízení, ale například navštívit portál pro firemní spolupráci jiţ můţe být na zařízeních s menším displejem problematické a je vhodné zváţit pořízení mobilní verze tohoto portálu. [5, 7, 36]
- 21 -
3.2.2 Vyvážení řízení rizik a soukromí Doporučení k obsahu smlouvy o BYOD Program BYOD musí obsahovat smlouvu definující podmínky vyuţití osobního zařízení pro práci, práva a povinnosti podniku i koncového uţivatele. Níţe jsou uvedena doporučení pro obsah smlouvy, kterou uţivatelé musí přijmout dříve, neţ společnost umoţní přístup k podnikovým aplikacím a datům na osobním mobilním zařízení: Podepsání smlouvy je nutným předpokladem pro vyuţití osobního mobilního zařízení pro práci. Je vyţadováno okamţité hlášení ztracených zařízení, včetně maximálního časového intervalu mezi ztrátou a hlášením. Jsou stanovena práva společnosti s ohledem na monitorování a mazání obsahu zařízení. Uţivatel musí výslovně souhlasit, ţe nebude vinit firmu z jakékoliv ztráty osobních údajů. Jedná se o záměrné i náhodné vymazání obsahu zařízení. Jsou upravena práva společnosti pro následující případy: o Monitorování zařízení. o Zadrţení zařízení v případě právního sporu. o Mazání obsahu zařízení (celé zařízení nebo firemní data). Je vyţadováno pouţití firemního účtu pro ukládání podnikových dat v cloudu. Koncoví uţivatelé jsou odpovědní za zálohování osobních dat. Jsou přesně vymezeny hranice firemních a uţivatelských odpovědností pro údrţbu zařízení, podporu a placení nákladů za konektivitu. Zaměstnanci musí odstranit vybrané aplikace na ţádost společnosti. Je definováno zamezení přístupu do firemní sítě kaţdému zařízení, které obsahuje nainstalované zakázané aplikace nebo které má vypnuté bezpečnostní mechanismy (JailBreak/Root operačního systému). Jsou definovány důsledky porušení smlouvy.
- 22 -
Uţivatelé musí souhlasit s tím, ţe předají část kontroly nad zařízením firemnímu IT. Například pokud se zařízení ztratí, musí uţivatelé zavolat napřed firmě, aby mohly být učiněny kroky k vymazání obsahu zařízení. Následně firemní IT změní veškeré přístupové údaje k účtům a teprve po těchto krocích můţe být kontaktován mobilní operátor s ţádostí o zablokování SIM karty. Toto řízení je rozšířené v průmyslu jako základní nastavení na všech zařízeních. Ale úspěch či neúspěch BYOD spočívá v nastavení pravidel. "Mnozí uţivatelé chtějí pouţívat smartphonyjako rozšíření pracovní plochy. To je katastrofa v praxi," řekl Ahmed Datoo, marketingový ředitel Citrix Inc. "Uţivatelé chytrých telefonů nemají trpělivost pouţívat osmimístná hesla, včetně velkých písmen, čísel a speciálních znaků s ohledem na časté pouţívání. Navíc stačí pouze jedna nehoda s vymazáním obsahu zařízení a uţivatelé začnou odstraňovat firemní aplikace pro správu zařízení." Celých 26% z 500 000 společností vyuţívajících BYOD spravovaný řešením Fiberlink MaaS360 pouţívá pravidla nevyţadující hesla. Dalších 53% společností vyţaduje čtyř aţ pětimístný PIN, 16 % 6 –7 čísel, a necelá 2% vyţaduje alfanumerické heslo. Přestoţe hacker můţe rychleji proniknout přes krátký kód PIN, jakmile má zařízení v rukou, zaměstnavatelé jsou ochotni připustit tato obchodní rizika a sniţují minimální poţadavky na zabezpečení zařízení a jeho kontrolu. [26, 29]
- 23 -
4 Bezpečnost firemních dat Před zabezpečením firemních dat je nutné umět ohodnotit jejich cenu, posoudit bezpečnostní rizika a investovat do protiopatření. Bezpečnost můţeme chápat jako souhrn opatření slouţících pro minimalizaci hrozeb, sníţení rizik a soubor administrativních, technických, logických a fyzických opatření slouţících jako prevence a detekce neautorizovaného vyuţití dat. Protoţe se jedná o velmi obsáhlou problematiku, je zapotřebí stanovit bezpečnostní rámec, který se nechá rozdělit na jednotlivé domény. Pro zjednodušení mohou tyto domény adresovat pouze zásadní vlivy na data a mohou vypadat následovně: komunikační bezpečnost – ochrana přenášených dat a zamezení nepověřených datových přenosů fyzická bezpečnost – ochrana před přírodními hrozbami (poţár, povodeň), fyzickými útočníky (zábrany, detektory pohybu) a zničením zařízení (pád z výšky, utopení) personální bezpečnost – ochrana před vnitřními útočníky (při výběru nových pracovníků, vykonávání jejich práce i po ukončení pracovního poměru) zabezpečení infrastruktury– ochrana infrastruktury informačních systémů a dat v ní uchovávaných před významnými hrozbami jakými jsou například neautorizovaný přístup, škodlivý software (viry, trojské koně, špionáţní software), nebo výpadky systému. Základní bezpečnostní atributy v těchto doménách jsou: důvěrnost– prevence neautorizovaného vyzrazení dat. integrita – prevence neautorizované úpravy dat. dostupnost – prevence ztráty přístupu k datům. Kromě těchto základních bezpečnostních parametrů můţeme sledovat i další, jako například: autentičnost – lze ověřit identitu subjektu, kterému patří elektronický podpis nebo který provedl určitou operaci v informačním systému. odpovědnost – stanovení konkrétní odpovědnosti vlastníka, správce a uţivatelů informačního systému. Protokolování činnosti uţivatelů. nepopiratelnost – autor nemůţe tvrdit, ţe neprovedl operaci v informačním systému. Bez přístupu k unikátním a tajným přístupovým údajům nelze přistupovat k datům v informačním systému. - 24 -
spolehlivost – technická spolehlivost (vysoká střední doba mezi dvěma poruchami) jednotlivých částí infrastruktury i koncových zařízení, bezchybnost funkce důleţitých aplikací. [19]
4.1 Základní bezpečnostní požadavky na data Důvěrnost Důvěrnost znamená vynucení nezbytné míry utajení informací. Toto utajení musí být zajištěno v celém průběhu pořizování, zpracování i ukládání dat. K porušení důvěrnosti vedou různé situace, například můţe dojít k útoku překonávajícímu mechanismy zabezpečení, sledování síťového provozu, odpozorování stisků kláves, zobrazení informací nepovolaným osobám, krádeţi zařízení nebo ošálení obsluhy s vyuţitím sociálního inţenýrství. Dále mohou být porušena pravidla důvěrnosti uţivateli, kteří záměrně nebo svou nepozorností vyzradí citlivé informace tím, ţe je před odesláním další osobě nezašifrují, nebo zapomenou vyuţít zvláštních opatření při zpracování citlivých dat. [19] Integrita Integrita dat je zajištěna, pokud je zajištěna přesnost dat se zaručeným obsahem a jsou dodrţována opatření zamezující neautorizovaným změnám. Komunikační prostředky (hardware i software) musí data uchovávat a zpracovávat správně, přesně a při datových přenosech nesmí docházet k neţádoucím změnám. Musí existovat ochrana interních systémů a infrastruktury před vnějším rušením a neoprávněnou změnou původní informace. Integritu můţe útočník narušit s pomocí počítačového viru nebo trojského koně, tedy programu tvářícího se jako korektní a uţitečná aplikace přidávající "zadní vrátka" do systému. Tato "zadní vrátka" pak slouţí útočníkovi ke skrytému přístupu do systému, kde můţe získat, změnit či smazat citlivá data. Oprávnění uţivatelé mohou narušit integritu dat vlastní chybou, či záměrně smazáním důleţitých souborů při uvolňování diskového prostoru nebo například nesprávným zadáním dat do účetnictví. [19]
- 25 -
Dostupnost Jedná se o zajištění spolehlivosti a včasného "doručení" dat a zdrojů autorizovaným jednotlivcům. Informační systémy a sítě musejí být dimenzovány tak, aby poskytovaly dostatečný výkon pro všechny aktivní uţivatele (výkon je zde definován například datovou propustností sítě, dobou čekání na poţadovaná data, nebo vykonání příkazu), musí také být schopny se rychle zotavit po výpadku a tím zajistit minimální narušení produktivity. Je velmi vhodné omezit úzká místa a zavést redundantní mechanismy. Dostupnost můţe být omezena útočníkem snaţícím se sníţit produktivitu či vyřadit konkrétní systém zcela z provozu (například DDoS útok), chybou v hardware nebo software. Proto jsou vyuţívány záloţní zařízení pro moţnost rychlé náhrady důleţitých systémů. Zaměstnanci jsou často proškolováni k provádění zásahů do systému tak, aby jej rychle uvedli do funkčního stavu. [19] Běžná denní praxe S bezpečností dat se setkáváme nevědomě i při kaţdodenních činnostech. Nejedná se jen o ochranu souborů, ale i jiných forem dat. Na koncerty a rušná místa s sebou bereme jen minimum potřebných dokladů, v MHD dáváme pozor na kapsáře, při pouţívání platební karty kryjeme klávesnici rukou během zadávání PIN kódu, ale i přes tato bezpečnostní opatření můţe dojít ke ztrátě nebo zneuţití těchto chráněných údajů. Tato zneuţití jsou způsobena změnami v hrozbách a rizicích spolu s technologickými změnami. Nová zařízení jsou sama o sobě většinou bezpečnější, ale nové technologie se nechají také snadněji zneuţít. Moderní operační systémy s více funkcemi poskytují více moţností pro zneuţití bezpečnostních chyb a miniaturizace a sniţování ceny elektroniky například vede k jednodušší výrobě malých a kvalitních odposlouchávacích zařízení. Úplná eliminace rizik tak není moţná. Ochrana dat pouze sniţuje pravděpodobnost úspěchu útoku, tj. útočník například musí vynakládat nesrovnatelně více prostředků k dosaţení cíle. [19]
- 26 -
4.2 Základní pojmy analýzy rizik Cílem této kapitoly je vysvětlit základní pojmy pouţívané při analýze rizik. Analýza rizik by měla odpovědět na otázky, jaké hrozby působí na společnost, jak moc jsou aktiva společnosti zranitelná vůči hrozbám, jak vysoká je pravděpodobnost zneuţití konkrétních zranitelností a jaký dopad budou mít uskutečněné hrozby na funkci společnosti. V analýze rizik se pouţívají následující pojmy: Aktivum Hrozba Zranitelnost Protiopatření Riziko [1] Aktivum Aktivum je jakákoliv část vlastnictví subjektu, která má pro tento subjekt hodnotu. Tato hodnota můţe být sníţena působením hrozby. Aktiva se dělí na hmotná (například nemovitosti, počítačový hardware nebo mobilní telefony) a nehmotná (například informace, morálka pracovníků nebo pověst firmy). Aktivem můţe být i sám subjekt, neboť hrozba můţe ohrozit celou jeho existenci. Základní charakteristikou aktiva je hodnota aktiva. Tato hodnota je určena objektivním vyjádřením obecně vnímané ceny, subjektivním oceněním důleţitosti aktiva pro subjekt nebo kombinací obou postupů. Při hodnocení aktiva jsou brána v úvahu následující hlediska: 1. pořizovací náklady či jiná hodnota aktiv 2. důleţitost aktiva pro existenci či chování subjektu 3. náklady na překlenutí případné škody na aktivu 4. rychlost odstranění případné škody na aktivu 5. specifická hlediska (dle konkrétního případu) [1]
- 27 -
Hrozba Hrozba je síla, událost, aktivita nebo osoba, která má neţádoucí vliv na aktiva nebo můţe způsobit škodu, respektive poškodit organizaci jako celek.Hrozby mohou být lidského nebo přírodního původu a mohou být úmyslné nebo náhodné. Mohou pocházet zevnitř i zvenčí organizace. Hrozbami mohou být například poţár, přírodní katastrofa, krádeţ zařízení, získání přístupu k informacím neoprávněnou osobou, chyba obsluhy nebo změna kurzu koruny oproti jiné měně. Škoda, kterou způsobí hrozba při jednom působení na určité aktivum, se nazývá dopad hrozby. Dopad hrozby můţe být odvozen od absolutní hodnoty ztrát, do které jsou zahrnuty náklady na znovuobnovení činnosti aktiva nebo náklady na odstranění následků škod způsobených subjektu hrozbou. Základní charakteristikou hrozby je její úroveň. Úroveň hrozby lze hodnotit podle následujících faktorů: Nebezpečnost: schopnost hrozby způsobit škodu Přístup: pravděpodobnost, ţe se hrozba svým působením dostane k aktivu (získá k němu přístup). Tento faktor můţe být vyjádřen například frekvencí výskytu hrozby. Motivace: zájem vyvolat hrozbu vůči aktivu. Odhad motivace spočívá v pochopení záměrů jednotlivců i skupin, jejich cílů a politiky. To vše je zapotřebí analyzovat s ohledem na předchozí činnost těchto útočníků. Údaje pro identifikaci hrozeb a odhad pravděpodobnosti jejich výskytu lze získat například od vlastníků nebo uţivatelů aktiv, odborných pracovníků, externích expertů nebo specializovaných firem. Při aktuálním hodnocení je zapotřebí přihlíţet i k vnitřním zkušenostem z incidentů a k minulým hodnocením hrozeb. Dále je moţné nahlédnout do dříve zpracovaných katalogů hrozeb. Při pouţití těchto katalogů je třeba mít na paměti, ţe hrozby se mohou měnit, zejména v závislosti na sociálně ekonomických změnách prostředí a technologickém vývoji. [1]
- 28 -
Zranitelnost Zranitelnost je nedostatek, slabina nebo stav analyzovaného aktiva, který můţe hrozba vyuţít pro uplatnění svého neţádoucího vlivu. Tato vlastnost aktiva vyjadřuje, jak citlivé je aktivum na působení dané hrozby. Výskyt zranitelnosti sám o sobě nepůsobí škodu. Pro způsobení škody musí existovat hrozba, která této zranitelnosti vyuţije. Zranitelnosti, pro kterou neexistuje hrozba, nemusí být přiřazeno protiopatření, ale mělo by být zajištěno monitorování pro případ změn této zranitelnosti a výskytu hrozeb. Zranitelnost vzniká všude tam, kde dochází k interakci mezi hrozbou a aktivem. Základní charakteristikou zranitelnosti je její úroveň. Úroveň zranitelnosti aktiva je hodnocena podle následujících faktorů: Citlivost: náchylnost aktiva být poškozena danou hrozbou. Kritičnost: důleţitost aktiva pro analyzovaný subjekt. [1]
Protiopatření Protiopatření je postup, proces, procedura, technický prostředek nebo cokoliv, co bylo speciálně navrţeno pro zmírnění působení její hrozby, sníţení zranitelnosti nebo dopadu hrozby. Protiopatření jsou navrhována s cílem předcházet vzniku škody nebo s cílem usnadnit překlenutí následků vzniklé škody. Z hlediska analýzy rizik je protiopatření charakterizováno efektivitou a náklady. Efektivita protiopatření vyjadřuje, nakolik protiopatření sníţí účinek hrozby. Do nákladů na protiopatření se započítávají náklady na pořízení, zavedení a provozování protiopatření. Výběr vhodného protiopatření spočívá v optimalizaci, kdy se hledají nejúčinnější protiopatření, jejichţ realizace přinese co nejmenší náklady. [1] Riziko Riziko vzniká vzájemným působením hrozby a aktiva. Úroveň rizika je určena hodnotou aktiva, následkem pro jeho vlastníka či celou organizaci, zranitelností aktiva a úrovní hrozby. Riziko je kombinací pravděpodobnosti naplnění scénáře incidentu a jeho následků. Při návrhu protiopatření se pouţívá pravidlo, které stanovuje, ţe náklady vynaloţené na sníţení rizika musí být přiměřené hodnotě chráněných aktiv nebo hodnotě škod vzniklých dopadem hrozby. [1] - 29 -
4.3 Možná protiopatření Při správném nastavení míry ochrany dat by měla v ideálním případě být minimalizována všechna bezpečnostní rizika. Pokud má ochrana dat slabiny, jsou označovány jako zranitelná místa. Moţnost vyuţití těchto zranitelných míst k narušení integrity, důvěrnosti nebo dostupnosti se nazývá hrozbou. Hrozby lze rozdělit na úmyslné, náhodné nebo přírodního charakteru (viz Tabulka 1). [19] Úmyslné
Náhodné
Přírodního rázu
Odhalení / odposlech
Chyby a opomenutí
Zemětřesení
Podvod / narušení integrity
Vymazání souboru
Blesk / Elektrostatický výboj
Narušení dostupnosti
Nesprávné směrování
Poţár
Přisvojení / krádež
Fyzické nehody
Povodeň
Tabulka 1: Příklad ohroţení dat [19] Protiopatření mohou být administrativní, fyzická nebo logická. Podle doby zásahu těchto opatření je lze rozdělit na: preventivní – odstranění zranitelných míst. heuristická – sniţují riziko dané určitou hrozbou za pomocí zkoumání jejího principu a přijímání včasných protiopatření. detekční a opravná – zjišťují pokus o útok na data a minimalizují vliv zjištěného útoku Rizikem označujeme kombinaci pravděpodobnosti vyuţití zranitelného místa k útoku a rozsahu škod napáchaných tímto útokem. Existence hrozby představuje riziko. Pro zajištění správné ochrany dat je zapotřebí provést analýzu rizik, při které zodpovídáme následující otázky: Jaké data chceme chránit a proti jakým vlivům? Jaké jsou priority při ochraně dat? Kolik můţeme do ochrany investovat prostředků? Kaţdá změna hrozeb, aktiv a ochranných opatření můţe velmi významně ovlivnit rizika, proto je zajištění ochrany dat v praxi neustálým procesem. Příští odstavce slouţí jako malý příklad opatření slouţících k zajištění základních potřeb při ochraně dat.
- 30 -
Ochrana důvěrnosti Důvěrnost je zajišťována většinou s pomocí šifrování. Pro její zajištění můţeme vyuţít následujících kryptografických metod: jednocestná hash funkce symetrická kryptografie. asymetrická kryptografie. Jednocestná hash funkce (Otisk) Hash je jednocestná funkce, která nám z libovolně dlouhého textu vytvoří krátký řetězec konstantní délky. Výsledný řetězec (otisk) by měl maximálně charakterizovat původní text. Jednocestnou funkcí se rozumí algoritmy, které nejsou výpočetně náročné. Je však výpočetně velice náročné k výsledku nalézt původní text. Jelikoţ se otisk počítá z libovolně dlouhého textu, ke konkrétnímu otisku je teoreticky moţné najít nekonečně mnoho původních textů. Jednocestné funkce jsou konstruovány na výpočetních operacích nízké úrovně (především bitové operace a posuny) a jsou tedy výpočetně velmi rychlé a efektivní. Algoritmy pro výpočet otisku nejsou v ţádném případě šifrovacími algoritmy (uţ vzhledem k nejednoznačnosti obecně neexistuje inverzní funkce), ale pouţívají se v roli kvalitního otisku prstu dat(fingerprint). Tato kryptografická metoda je vhodná pro zajištění konzistence přenášených dat – pokud jsou data při přenosu jakkoliv změněna, jejich otisk se výrazně liší. Samotná data nejsou změněna a jsou přenášena v čitelné podobě. Symetrická kryptografie Při výběru této šifry si komunikující strany předem musí vyměnit tajný šifrovací klíč. Ten budou sdílet a pouţívat při veškeré komunikaci. Nesmí však dopustit, aby se k němu dostala třetí osoba. Odesílatel zprávu zašifruje tajným klíčem. Na výsledek pak příjemce aplikuje dešifrovací algoritmus, pro který pouţije týţ tajný klíč. Dešifrování se vyruší s šifrováním a příjemce získá původní zprávu. Symetrická šifra má v jistém smyslu autorizační účinek. Z pohledu příjemce mohl zprvu zašifrovat pouze odesílatel, protoţe nikdo jiný neţ odesílatel a příjemce nemá k dispozici tajný klíč. - 31 -
Asymetrická kryptografie U těchto šifer se vţdy pouţívá pár šifrovacích klíčů. Jeden klíč pro šifrování a druhý pro dešifrování. Operace šifrování a dešifrování jsou u některých šifer zaměnitelné, proto u asymetrických šifer nemluvíme o šifrovacím a dešifrovacím klíči, ale o veřejném a soukromém klíči. Postup při komunikaci vyuţívající asymetrickou šifru: 1. Příjemce zprávy si musí vygenerovat dvojici klíčů: veřejný klíč a soukromý klíč 2. Příjemce si uloţí svůj soukromý klíč do důvěryhodného úloţiště klíčů. Např. na disk, na čipovou kartu atd. Soukromý klíč je aktivem příjemce, které si musí střeţit. 3. Příjemce distribuuje svůj veřejný klíč do celého světa. Klidně můţe svůj veřejný klíč vystavit volně ke staţení na internet. 4. Odesílatel po obdrţení veřejného klíče příjemce šifruje zprávu jeho veřejným klíčem. 5. Příjemce dešifruje přijatou šifrovanou zprávu svým soukromým klíčem a získá původní zprávu. Základní vlastností šifrování na bázi asymetrických algoritmů je skutečnost, ţe je relativně jednoduché za vyuţití veřejného klíče šifrovat text, ale na základě znalosti veřejného klíče a veřejným klíčem šifrované zprávy je velice obtíţné získat původní zprávu. Obecně platí, ţe asymetrické šifrovací algoritmy jsou výpočetně mnohem náročnější neţ symetrické algoritmy. Obecné informace o šifrování Šifrování je prováděno buď při ukládání dat, nebo při jejich přenosu. V praxi je vyuţíván například software typu Pretty Good Privacy (PGP) nebo infrastruktura veřejných klíčů PKI. V méně náročných podmínkách lze zajistit důvěrnost i pouhým řízením přístupu k datům pomocí přístupových seznamů. Je moţné vyuţít následující modely řízení, nebo jejich kombinace: MAC – mandatory access control – Vlastník dat pouze můţe ovlivnit, kdo má přístup k datům, ale jiţ nemůţe ovlivnit, jak k těmto datům uţivatelé přistupují. DAC – discretionary access control – Vlastník dat můţe ovlivnit, kdo má k datům přístup i jak k těmto datům přistupuje.
- 32 -
RBAC – role based accesscontrol – Přístup k datům je nadefinován pro určité systémové role, které jsou přidělovány uţivatelům. Při nastavování pravidel pro zajištění důvěrnosti nesmíme zapomínat na spolehlivé ověření identity uţivatelů přistupujících k datům. Je moţné vyuţít autentizačních protokolů Kerberos, RADIUS nebo vyuţití PKI klíčů. [12] Ochrana integrity Integrita je většinou zajišťována pomocí digitálních podpisů. Tato funkcionalita je zahrnuta například v programech na bázi PGP, OpenSSL, nebo Entrust PKI. V méně náročných podmínkách ji lze zajistit i pomocí výše zmíněného řízení přístupu spolu s prostředky umoţňujícími navrácení dat do stavu před chybou, havárií nebo útokem. Jako podpůrné prostředky pro zachování integrity dat slouţí i antivirový software a firewall. Pro zajištění integrity dat lze vyuţít i jejich šifrování. Šifrovaná data jsou velmi jednoduše chráněna proti změnám při přenosu, protoţe při jakékoliv, i minimální, změně obsahu přenášené zprávy dojde k velkým změnám dat při jejich dešifrování a nahlášení chyby. Uţivatel nebo cílový systém tedy ihned ví, ţe s daty není něco v pořádku. [19] Ochrana dostupnosti Dostupnost elektronicky zaznamenaných dat je závislá na spolehlivosti hardware, operačního systému a aplikací, které tato data zprostředkovávají uţivatelům. Zvýšení dostupnosti zajišťují on-line kopie dat, off-line zálohy, záloţní zdroje a vyuţití robustního software, operačního systému i hardware. [19]
- 33 -
4.4 Nároky na správu zařízení Přestoţe si mohou zaměstnanci do zaměstnání pravidelně nosit svůj vlastní stolní počítač, není toto chování tak časté. Nejčastěji zaměstnanci chtějí pro pracovní vyuţití pouţívat své chytré mobilní telefony a tablety, které nosí téměř neustále u sebe. Tato zařízení jsou proto zranitelnější neţ stolní počítače. Obecné zásady pro zabezpečení by měly být snadno pouţitelné jak na mobilní telefony a tablety, tak i na stolní počítače a notebooky, kde je jejich implementace ve většině případů jednodušší. Bohuţel, pro stolní počítače a přenosná zařízení existují rozdílná měřítka. Většina současných přenosných zařízení prozatím nedisponuje stejně dobrými moţnostmi pro správu a bezpečnost, jakou nabízejí počítače. Například je celkem jednoduché vyţadovat šifrování, certifikáty a ostatní bezpečnostní nástroje po Windows PC, bez ohledu na to, kdo je vlastní, takţe je moţné zajistit, ţe domácí počítač je zabezpečený stejně jako firemní. Pro počítače Mac není zabezpečení tak jednoduché, ale pořád je moţné. Schopnosti mobilních zařízení jsou velmi odlišné zařízení od zařízení. BlackBerry, iOS, některá zařízení s OS Android a Windows Mobile mohou zaručit bezpečnost a správu dat jako na PC, pokud je vyuţito připojení k odpovídajícímu serveru vzdálené správy. Velmi málo bezpečnostních pravidel lze pouţít na Windows Phone 7 a většinu zařízení se systémy Android a Symbian. Nástroje třetích stran tuto realitu začínají měnit, prozatím je férovým jednáním říci, ţe na všech těchto zařízeních nelze spravovat přístroj a data na stejné úrovni jako na běţném počítači. Je zapotřebí nalézt kompromis mezi sadou nástrojů pro IT správu zařízení, jakou mají dnešní firemní počítače, a zaměstnaneckou správou, kde je kaţdý zaměstnanec zodpovědný za své vlastní zařízení. Tento kompromis je jiný pro kaţdé odvětví lidské činnosti a závisí i na místní kultuře. [17]
- 34 -
4.5 Možnosti zabezpečení dat Protoţe zaměstnanci vyuţívající BYOD vnášejí do firemního prostředí hlavně mobilní telefony a tablety, zaměřuji se v následující kapitole na ochranu dat v těchto zařízeních. Stolní počítače a notebooky slouţí jako pracovní nástroje pro firemní účely jiţ dlouhá léta. S tím souvisí jejich snazší zabezpečení, kde lze na pevný disk nahrát různé aplikace pro ochranu dat před jejich zneuţitím a jejich správu. Operační systémy mobilních telefonů a tabletů jsou ve většině případů vyvíjeny s ohledem na snazší pouţitelnost v rukou jednotlivců. Velké mnoţství přístrojů je navrhováno spíše jako multimediální zařízení neţ pracovní nástroj. Proto je obtíţnější zabezpečit takováto přenosná zařízení neţ stolní počítač. Zabezpečení mobilních telefonů a tabletů často vyţaduje osobnější přístup zaměstnanců IT a řešení zabezpečení nejsou tak univerzální jako ve světě stolních počítačů. O (ne)bezpečnosti chytrých mobilních telefonů bylo publikováno velmi mnoho článků a zpráv (například zdroje[4, 15, 16, 20, 22, 23, 24, 25, 28, 30, 31, 35]). Většina z těchto článků ukazuje mobilní telefony a tablety jako potencionální zdroj problémů a zranitelné místo firemní infrastruktury. Tyto informace naznačují, ţe BYOD bez řádné správy není vhodné firemní řešení. Se zranitelnými místy se však nechá počítat a při správném nastavení bezpečnostní politiky lze koncept BYOD pouţít bez zásadních negativních dopadů na bezpečnost firemních informací. Velké mnoţství společností nepotřebuje vysoké úrovně bezpečnosti informací a i mnoho firem zabývajících se obranou a financemi našla způsob jak podporovat iPhony a iPady. Příkladem z poslední doby jsou například Bank of America, Citigroup, Nationwide Insurance nebo Standard Chartered.Obrázek 4 ukazuje, jak dobře lze zabezpečit jednotlivé mobilní platformy.
- 35 -
4.5.1 Kategorizace firemních informací podle naléhavosti zabezpečení Aby byla zajištěna odpovídající ochrana firemních informací a zároveň nebyli všichni zaměstnanci zbytečně obtěţováni přísnými pravidly, je nutné zavést určitou kategorizaci informací. Tato kategorizace informací zajistí, ţe po zaměstnancích bude vyţadováno dodrţování jen tak přísných pravidel, jaká jsou zapotřebí pro jejich práci. Obchodník pracující s rutinními podnikovými informacemi bude mít mnohem více volnosti při výběru zařízení i přístupových hesel neţ generální ředitel pracující s tajnými informacemi. Po zváţení bezpečnostních rizik jsem se rozhodl vyuţít rozdělení firemních informací do 4 kategorií. Kategorie firemních informací: 1. Rutinní podnikové informace. 2. Důleţité obchodní informace. 3. Citlivé obchodní informace. 4. Tajné informace. Mnoho společností potřebuje pro své potřeby směs čtyř kategorií popsaných výše. Koneckonců zaměstnavatel bude pravděpodobně podporovat zaměstnance, kteří jsou zapojeni do citlivých jednání stejně jako ty, kteří mají malý nebo vůbec ţádný přístup k citlivým firemním datům. Strategie jejich podpory by měla odráţet tuto vnitřní rozmanitost. Pravda o mobilních zařízeních zní, ţe neexistuje univerzální řešení, které by fungovalo všem. Pokud není po zaměstnancích vyţadováno vyuţití osobních a firemních počítačů se stejnou úrovní bezpečnostních poţadavků, jakou má nastavené jejich mobilní zařízení, pak je firemní bezpečnostní politika nastavena špatně. Mohlo by to znamenat větší bezprostřední bezpečnostní riziko, neţ je pouţití mobilních zařízení. [17]
- 36 -
4.5.2 Specifické zranitelnosti mobilních zařízení Mobilní zařízení představují díky svému postavení v dnešní společnosti vyšší bezpečnostní riziko neţ běţné stolní počítače nebo notebooky. Dnešní mobilní telefony a tablety představují vyspělé zařízení s výpočetním výkonem odpovídajícím minulé generaci stolních počítačů, obsahují velké mnoţství zneuţitelných periferií i citlivých dat a je běţné nosit s sebou mobilní telefon téměř všude. Z toho plyne vyšší riziko ztráty nebo odcizení telefonu i se zneuţitelnými daty uvnitř. Obrázek 3 ukazuje moţné způsoby zneuţití napadeného mobilního telefonu ve prospěch útočníka. Způsoby zneuţití mobilního telefonu obsahují: Moţnost krádeţe kontaktů, SMS zpráv a uloţených dat. Zneuţití mikrofonu, kamery a GPS přijímače na zařízení pro sledování oběti. Odesílání drahých Premium SMS a potvrzovacích kódů elektronického bankovnictví. Odesílání napadených e-mailů a zpráv na sociální sítě. Zneuţití výpočetního výkonu a připojení k internetu ve prospěch útočníka. [32]
Obrázek 3: Anatomie napadeného mobilního zařízení [32]
- 37 -
4.6 Požadavky na ochranu informací dle naléhavosti zabezpečení
Obrázek 4: Porovnání moţnosti zabezpečení mobilních platforem [17]
Kategorie 1: Rutinní podnikové informace. Řidiči kamionů, obchodní zástupci, prodavači, grafičtí designéři, weboví vývojáři,opraváři a údrţbáři, osobní trenéři, restauratéři – lidé v těchto profesích přicházejí do styku s běţnými informacemi, které jsou jen zřídka osobně nebo právně citlivé. Pokud je jejich smartphone ztracen nebo ukraden, je největší problém rekonstrukce některých údajů, zajištění zablokování telefonního čísla a nákup a instalace nového zařízení. Existuje riziko, ţe zloděj můţe přistupovat na firemní e-mail, proto je třeba okamţitě změnit heslo na serveru. Povinné zabezpečení zahrnuje PIN k pouţívání zařízení. Vhodné, ale ne nezbytné, je zabudované zabezpečení se správou platnosti přístupových klíčů a nutnost pouţití silných hesel, vzdálené vymazání, SSL šifrování přenášených e-mailů a dalších údajů a politika "vymazání obsahu po x neúspěšných pokusech". - 38 -
Kategorie 2: Důležité obchodní informace. Obchodní manaţeři, veterináři, osobní asistenti, odborní konzultanti, správci IT, učitelé, redaktoři, kameramani, programátoři, většina středních manaţerů – lidé v těchto profesích a pozicích mají přístup k některým osobním a finančním údajům, které nemohou zničit firmu, ale mohou způsobit ekonomické nebo PR škody, kterým je lepší zamezit. Mohou mít také přístup k některým interním systémům s pomocí hesel, které by mohly být ve špatných rukou zneuţity. Pokud je jejich smartphone ztracen nebo ukraden, úsilí na vyřešení situace přesahuje moţnosti jednotlivce a můţe vyţadovat změnu sdílených hesel, informování obchodních partnerů. Většinou také znamená krátkodobou ztrátu konkurenčních výhod. Poţadované funkce pro zabezpečení a správu jsou komplexní heslo pro pouţití zařízení, vypršení platnosti hesla, vzdálené vymazání, SSL šifrování přenášených e-mailů a dalších údajů a "vymazání obsahu po x neúspěšných pokusech". Mezi vhodné, ale ne nezbytné, zabezpečení patří VPN a/nebo dvoustupňové přihlašování k citlivým systémům a datovým skladům, šifrování obsahu zařízení. Kategorie 3: Citlivé obchodní informace.Účetní, auditoři, bankéři, lékaři, HR pracovníci, právníci, produktoví manaţeři, výzkumní pracovníci, vedoucí oddělení, hlavní IT administrátoři, vedoucí marketingu a prodeje, generální ředitelé ve většině firem a všichni jejich asistenti – lidé v těchto pozicích pracují s velmi důvěrnými informacemi (právní, finanční, produktové a osobní) a obvykle mají rozsáhlý přístup ke klíčovým interním datovým skladům a systémům. Pokud je jejich smartphone ztracen nebo ukraden, mohlo by to mít váţné finanční důsledky, jako jsou náklady na oznámení, pokud jsou v zařízení nechráněné osobní údaje, a ztrátu konkurenceschopnosti, pokud se jedná o odhalení obchodních tajemství, platů zaměstnanců a podobných informací. Poţadované funkce pro zabezpečení a správu jsou komplexní heslo pro pouţití zařízení, vypršení platnosti hesla, vzdálené vymazání, SSL šifrování přenášených e-mailů a dalších dat, "vymazání obsahu po x neúspěšných pokusech", VPN a/nebo dvoustupňové přihlašování i citlivým systémům a datovým skladům, šifrování obsahu zařízení. Vhodné, ale ne nezbytné, zabezpečení je schopnost řízení přístupu k určitým sítím, vypnutí vestavěného fotoaparátu, a kontrola nainstalovaných aplikací. - 39 -
Kategorie 4: Tajné informace. Armádní dodavatelé, špióni, policie, diplomaté, vojenští pracovníci, kongresmani a jejich poradci – lidé v těchto profesích pracují s důvěrnými informacemi, které by mohly váţně ohrozit ţivoty jednotlivců nebo narušit celou společnost. Poţadované funkce pro zabezpečení a správu jsou komplexní hesla k pouţívání zařízení, vypršení platnosti hesla, vzdálené vymazání, okamţité šifrování e-mailů a dalších dat podle vojenských protokolů, vymazání obsahu po x neúspěšných pokusech podle vojenských protokolů (několikanásobné přepsání paměti zařízení), přístup k VPN, citlivým systémům a datovým skladům za pomoci dvoustupňového ověřování s pomocí fyzického zařízení (hardwarový klíč), šifrování obsahu zařízení podle vojenských standardů, podporou MIME a normy FIPS 140 a moţností vzdáleného "uzamčení" přístupu k sítím a citlivým aplikacím. [17]
- 40 -
4.6.1 Zabezpečení informací kategorie 1 – rutinní podnikové informace Pokud se vaše firma zabývá běţnými informacemi, je docela snadné, aby pouţívala kromě BlackBerry všechny druhy smartphonů. Apple iOS Systém iOS pouţitý v iPhonu, iPadu a iPodu Touch podporuje PIN i všechny doporučené schopnosti pro tuto kategorii. Šifrování e-mailů i SSL šifrování přenášených zpráv jsou nativní schopnosti iOS. Vynucení dodrţování těchto pravidel můţe být problém. Pokud nemůţete věřit uţivatelům, ţe je nastaví sami, lze pouţít Apple Configurator Utility pro nastavení bezpečnostních profilů. Pro jistotu, ţe uţivatelé tyto profily skutečně nainstalují, je nutné ručně synchronizovat zařízení přes USB kabel s počítačem. Pokud lze uţivatelům věřit, mohou jim být tyto profily zaslány jen jako odkaz na web, odkud je lze stáhnout a nainstalovat. Dále můţete pouţít aplikace třetích stran pro správu mobilních zařízení, jako například AirWatch, Boxtone, Citrix Zenprise, Good Technology, Mobile Iron, Symantec, Sybase Afaria, Tangoe nebo mnoho dalších. Tyto také podporují over-the-air management, bezpečnostní audit nebo nastavení zabezpečení, které Apple Configurator Utility neumí. Pokud pouţíváte Microsoft Exchange 2007 nebo 2010, můţete vynutit ochranu PIN kódem a vypršení platnosti hesla s pomocí EAS (Exchange ActiveSync) pravidel. Také můţete přes EAS vydat příkaz k dálkovému vymazání zařízení. Organizace pouţívající Lotus Notes mohou chránit e-maily heslem zkombinováním Domino 8.5.1 nebo novějšího s aplikací Lotus Notes Traveler, která je volně dostupná z AppStore. Notes Traveler také poskytuje vzdálené vymazání e-mailů, kalendáře a kontaktů. Přestoţe tato aplikace umí vymazat obsah celého zařízení nebo jej zamknout, neumí vynutit bezpečnostní poţadavky pro celé zařízení, jen pro přístup k Notes. Pokud jsou tato pravidla důleţitá, lze zváţit vyuţití některého nástroje pro správu zařízení od třetí strany. Kdyţ vyuţíváte firemní Gmail, jste nuceni pouţívat i EAS pravidla.
- 41 -
Google Android Zařízení s OS Android mohou být nastavena, aby vyţadovala PIN nebo vlastní odemykací obrazec předtím, neţ mohou být pouţity. Zařízení s Android 2.2 a novějším můţe vyţadovat heslo a můţe být vzdáleně vymazáno. Také podporuje SSL šifrování datových přenosů, ale nepodporuje šifrování obsahu zařízení. Android 3.0 pro tablety podporuje šifrování, pravidla EAS (Exchange ActiveSync) pro vypršení hesel, historii hesel a sloţitost hesel. Totéţ umí i Android 4.X pro mobilní telefony i tablety. Pro bezpečnější pouţití zařízení, jako je šifrování uloţené pošty, s OS Android do verze 3.0 existují nejspíše jen dvě moţnosti. První je aplikace TouchDown od společnosti NitroDesk, která poskytuje přístup k Exchange 2003 a 2007, stejně jako dovoluje vynucení EAS poţadavků na PIN a dálkové vymazání. Je velmi důleţité vědět, ţe mnoho starších zařízení, která hlásají kompatibilitu s Exchange (například Motorola Milestone) nativně nepodporuje EAS pravidla, jen nezabezpečenou synchronizaci. Proto se zabudovaný poštovní klient nedokáţe připojit k Exchange serveru který vyuţívá EAS pravidla. Druhou moţností je nasazení nástroje pro správu od třetí strany (například Good for Android), který zprostředkovává e-mailovou komunikaci, kalendář a kontakty mezi zařízením a Exchange nebo Notes serverem. Aplikace můţe poţadovat heslo, šifrovat zprávy a ostatní data a dálkově vymazat všechna data uloţená uvnitř aplikace. Samozřejmě, její vyuţití vyţaduje nasazení serveru, se kterým klient komunikuje (například Good for Enterprise) Pro prostředí s Lotus Notes má IBM Android verzi své aplikace Lotus Notes Traveler, která zajišťuje bezpečný přístup k Notes a datům staţeným s Notes, stejně jako vzdálené smazání těchto dat. Microsoft Windows Mobile Windows Mobile splňuje nutný poţadavek na PIN i vhodné poţadavky na zvýšenou bezpečnost. Většinu z nich lze vynutit pouţitím MS Exchange a jeho EAS pravidel. SSL šifrování přenášených zpráv je nativní schopnost tohoto operačního systému. Pokud pouţíváte Lotus Notes s Domino 8.5.1 nebo novějším, můţete vyuţít aplikaci Lotus Notes Traveler pro vzdálené vymazání Notes e-mailů, kalendáře a kontaktů. Nemůţe však vynutit pravidla pro pouţití celého zařízení, umí omezit jen přístup k Notes.
- 42 -
Microsoft Windows Phone Nejnovější mobilní OS od Microsoftu má menší podporu zabezpečení neţ Windows Mobile. V této kategorii podporuje nutnost zadání PIN a následující rozšířené schopnosti: SSL šifrování přenášených e-mailů, a dálkové vymazání. Nepodporuje šifrování dat v zařízení ani pravidla pro vynucení komplexních hesel. Podporovaná bezpečnostní pravidla můţete vynutit díky pouţití EAS kompatibilního serveru jako Microsoft Exchange, nebo firemního Gmailu. Nokia Symbian Mnoho zařízení podporuje poţadavek na PIN, stejně tak jako rozšířené moţnosti. Pro uţivatele EAS nabízí Symbian podmnoţinu EAS pravidel a moţností správy, která se ale liší zařízení od zařízení. Pro uţivatele Notes existuje aplikace Lotus Travelerpro zabezpečení Notes e-mailů, kalendáře, kontaktů a k dálkovému vymazání dat. BlackBerry BlackBerry podporuje PIN i všechny doporučené poţadavky na tuto kategorii – pokud firma pouţívá ke svému Exchange nebo Notes serveru navíc software BES (BlackBerry Enterprise Server) nebo BES Express pro správu zařízení BlackBerry. Zdarma dostupný software BES Express dělá správu BlackBerry zařízení, uskutečnitelnou pro menší firmy, které pouţívají Microsoft Exchange nebo Lotus Notes. Bez BES mohou mít zařízení BlackBerry s verzí OS niţší neţ 10 nastavený PIN a mohou šifrovat přenášené zprávy. BlackBerry verze 10 podporují základní EAS pravidla. Pokud pouţíváte Microsoft Exchange a chcete pouţívat jeho EAS pravidla místo závislosti na BES (například pokud podporujete i jiné smartphony neţ BlackBerry), existují nástroje třetích stran, které naučí BlackBerry podporovat EAS. Například AstraSync a NotifySync.
- 43 -
4.6.2 Zabezpečení informací kategorie 2 – důležité obchodní informace Pokud zpracováváte důleţité obchodní informace, je o něco obtíţnější přijmout i jiné smartphony jiné neţ BlackBerry, ale s jistotou můţete podporovat iOS, Windows Mobile a Nokia Symbian. Apple iOS Systém iOS splňuje všechny poţadavky na tuto kategorii, stejně jako doporučené moţnosti jako například podporu VPN. Problematika a schopnosti pro kategorii 2 jsou popsané výše v doporučeních pro kategorii 1. Jen se z doporučených moţností stávají nutné podmínky pouţití. Jediný problém při pouţití v kategorii 2 je omezená podpora VPN v sítích s prvky společnosti Cisco, která nedovoluje vyuţití souborů pro distribuci Cisco profilů. Pro nastavení VPN profilu je zapotřebí vše nastavit ručně nebo pouţít Apple Configurator Utility, Mac OS X Lion Server nebo pouţít aplikaci třetí strany. Tím se zvyšuje náročnost nasazení VPN přístupu pro podniky s větším mnoţstvím zařízení. Google Android Operačnímu systému Android verze 2.X schází sluţby pro zajištění mnoha poţadavků této kategorie, jako například šifrování obsahu zařízení a vypršení platnosti hesel. Operační systém podporuje PPTP/IPsec VPN, ale nemusí být dostupný ve všech zařízeních (výrobci zařízení jej nemusí implementovat). Android 3.X a 4.X jiţ odstranil mezery v šifrování obsahu zařízení a pravidlech vypršení platnosti hesel. Pokud poţadujete ochranu e-mailu, kalendáře a kontaktů a pouţíváte kompatibilní VPN, lze pro uţivatele OS Android mírně slevit z poţadavků na zabezpečení kategorie 2. Nelze je totiţ splnit všechny.
- 44 -
Microsoft Windows Mobile Windows Mobile podporuje všechny poţadované schopnosti pro tuto kategorii, stejně jako doporučenou podporu pro VPN. Problematika nasazení a schopnosti těchto zařízení jsou popsány výše v zabezpečení pro kategorii 1. Přesto, pro rozsáhlé nasazení velkého mnoţství zařízení v prostředí s platformou Microsoft je vhodné pouţít software Microsoft System Center Mobile Device Manager, který přidává uţivatelům moţnost samoobsluţného provozu (například pro reset hesel) a můţe zvládat obsluhu několika tisíc uţivatelů napříč několika doménovými řadiči, pokud jsou ve stejném Active Directory lese. Microsoft Windows Phone Tento operační systém podporuje většinu z poţadavků na zabezpečení pro tuto kategorii s jedinou výjimkou – pravidly pro sloţitost hesla. Nepodporuje ţádné z doporučených moţností pro tuto kategorii. Problematika nasazení a schopnosti zařízení jsou stejné, jako jsou popsané výše pro kategorii 1. Nokia Symbian Nokia podporuje všechny poţadavky na zabezpečení zařízení v této kategorii, stejně jako doporučenou podporu VPN sítí. Problematika nasazení a schopnosti zařízení jsou stejné, jako jsou popsané výše pro kategorii 1. BlackBerry Telefony BlackBerry podporují všechny poţadavky na zabezpečení zařízení v této kategorii, stejně jako doporučenou podporu VPN sítí. Problematika nasazení a schopnosti zařízení jsou stejné, jako jsou popsané výše pro kategorii 1.
- 45 -
4.6.3 Zabezpečení informací kategorie 3 – citlivé obchodní informace V tomto oboru podnikání – finanční sluţby, právě sluţby, HR, zdravotnictví – je jiţ zapotřebí rozhodnout, která zařízení mohou být pouţita a která jiţ nevyhovují, coţ se nemusí líbit všem uţivatelům. Apple iOS Jak iPhone, tak iPad splňují poţadavky pro tuto kategorii. Problematika nasazení a schopnosti zabezpečení kategorie 3 jsou popsány výše v zabezpečení pro kategorii 1. Kde mohou nastat problémy, jsou doporučené schopnosti zařízení. Lze deaktivovat fotoaparát a omezit přístup k určitým WI-FI sítím (připojení pouze k sítím s povoleným SSID) s pouţitím Apple Configurator Utility, Mac OS X Lion serveru nebo s pouţitím aplikací třetích stran. Podobně můţete pouţít aplikace třetích stran pro omezení uţivatelů pouze na některé aplikace. S pouţitím Apple Configurator Utility, Mac OS X Lion serveru nebo aplikací třetích stran lze deaktivovat AppStore, Safari a iTunes, ale jedná se o velmi tvrdé opatření, které velmi omezuje samotné pouţití iPhonu jako pracovního nástroje. Google Android Zařízením s Android verze 2.X chybí sluţby pro většinu poţadavků na zabezpečení v této kategorii a proto nemohou být legitimně pouţity nikým, kdo zpracovává citlivé obchodní informace. Android 3.X a 4.X splňují základní poţadavky pro tuto kategorii, ale jiţ nepodporují doporučené zabezpečení. Microsoft Windows Mobile Windows Mobile splňuje všechny poţadavky pro tuto kategorii, ale je zapotřebí pouţívat aplikace Microsoft System Center Mobile Device Manager, Good for Enterprisenebo Mobile Iron pro řízení doporučených schopností pro správu a omezení uţivatelů v instalaci aplikací. Zbylá problematika a schopnosti zařízení jsou popsány výše v popisu zabezpečení pro kategorii 1.
- 46 -
Microsoft Windows Phone Operační systém Windows Phone postrádá sluţby pro zajištění většiny poţadavků v této kategorii. Proto uţivatelé zpracovávající citlivé obchodní informace nemohou legitimně pouţít ţádné Windows Phone zařízení. Nokia Symbian Nokia splňuje většinu poţadavků pro tuto kategorii. Problematika nasazení pro kategorii 3 je popsána výše u zabezpečení pro kategorii 1. Pro získání doporučených schopností, jako je například deaktivace fotoaparátu nebo zamezení instalace nepovolených aplikací, se mi nepodařilo najít ţádný nástroj třetích stran. BlackBerry Zařízení BlackBerry podporují všechny poţadované funkce pro tuto kategorii, pokud pouţíváte plnou verzi BES, Lotus Notes, BES for Exchange nebo zdarma dostupný BES Express. Pro získání doporučených schopností je zapotřebí vlastnit placenou verzi BES pro obě e-mailové platformy (Lotus Notes, Microsoft Exchange). Problematika a schopnosti zabezpečení pro kategorii 3 jsou více rozepsány výše u zabezpečení pro kategorii 1.
- 47 -
4.6.4 Zabezpečení informací kategorie 4 – tajné informace Kdyţ se Vaše podnikání zabývá zpracováním ţivotně důleţitých údajů, jako například v armádě, existují pouze dvě proveditelné moţnosti: BlackBerry a Windows Mobile. Apple iOS iOS nesplňuje armádní poţadavky na šifrování (FIPS) s výjimkou podpory pro šifrování pošty S/MIME v iOS 5 a novějším. Dále neposkytuje dostatečný stupeň řízení přístupu k sítím a aplikacím a není moţné vyuţít fyzickou podporu pro dvoustupňovou autentifikaci. Můţe být vyuţit v armádních organizacích, ale pouze pracovníky, jejichţ úroveň pověření nevyţaduje tato extrémně vysoká bezpečnostní opatření. Google Android Operační systém android postrádá sluţby pro poskytnutí většiny z poţadovaných funkcí, takţe nemůţe splňovat poţadavky na zabezpečení této kategorie. Microsoft Windows Mobile Nativně, Windows Mobile nemůţe splňovat armádní poţadavky jako je podpora fyzické dvoustupňové autentifikace a šifrování vyhovující armádním poţadavkům (FIPS), ale software Good for Government přidá do zařízení všechny tyto funkce, takţe takto upravené zařízení lze bez problémů pouţít. Microsoft Windows Phone Operačnímu systému Windows Phone schází sluţby pro poskytnutí poţadovaných sluţeb v této kategorii, takţe nemůţe být legitimně pouţito v podnikání kategorie 4. Nokia Symbian Zařízení Nokia nesplňují armádní poţadavky na šifrování dat (FIPS) a neposkytují řízení přístupu k sítím a aplikacím. Mohou být vyuţity v armádních organizacích, ale jen těmi pracovníky, jejichţ úroveň pověření nevyţaduje tato extrémně vysoká bezpečnostní opatření. BlackBerry Pokud je pouţita placená verze BES a BlackBerry Smart Card Reader (čtečky čipových karet), některé modely splňují poţadavky na zabezpečení kategorie 4. [17]
- 48 -
4.7 Bezpečnostní politika Bezpečnostní politika představuje dokument, který v písemné formě shrnuje plán společnosti na ochranu podnikových prostředků a informačních technologií. Je povaţována za "ţivý dokument", který je zapotřebí aktualizovat podle změn technologických poţadavků a potřeb. Zásady bezpečnostní politiky by neměly být závislé na pouţití konkrétní platformy a celá politika by měla být dostatečně obecná, aby nebylo zapotřebí ji měnit při kaţdé aktualizaci informačního systému. Zajištění stoprocentní bezpečnosti je poměrně drahá záleţitost. Proto je zapotřebí najít kompromis mezi kvalitou zabezpečení a prostředky, které jsme ochotni na toto zabezpečení vynaloţit. Téměř ţádná organizace si nemůţe dovolit pokrýt všechny oblasti bezpečnosti. Vynaloţený kapitál a zátěţ personálu by byly tak vysoké, ţe se úsilí o dokonalou bezpečnost jiţ nevyplácí. Pro zjištění správného stupně zabezpečení je zapotřebí vzít v úvahu jaká data firma zpracovává, jak jsou citlivá na zneuţití a jací uţivatelé tato data zpracovávají. [14] V zásadě je v bezpečnostní politice zapotřebí řešit následující bezpečnostní prvky: Autentizace uživatelů Autentizace uţivatelů je nejčastěji řešena zadáním uţivatelského jména a hesla. Tato jednoduchá autentizace můţe být nahrazena nebo spojena s dodatečnými technickými či biometrickými nástroji a certifikáty. Kaţdé řešení má své výhody a nevýhody. Nejpouţívanější metoda, přihlášení jménem a heslem, je také nejméně bezpečná, protoţe lze poměrně snadno zjistit a zneuţít přístupové údaje. Díky této slabině můţe útočník získat nejen přístup k uţivatelským datům a firemní infrastruktuře, ale také vystupovat pod cizí identitou a škodit jménem jiného uţivatele. Proto je důleţité stanovit minimální povolenou sloţitost (minimálně délku) hesla a zajistit pravidelné obměny těchto hesel. Zároveň je doporučeno doplnění tohoto základního zabezpečení technickým nástrojem, například čipovou kartou. Není doporučeno pouţívání příliš sloţitých hesel v kombinaci s jejich častou obměnou, protoţe si uţivatelé nebudou schopni pamatovat nová hesla. Tato nová hesla poté často skončí napsaná na monitoru nebo klávesnici, čímţ je sníţena bezpečnost firemních dat i celé infrastruktury. Realistická doba poţadavku na změnu hesla je zhruba tři měsíce. [14]
- 49 -
Ochrana před viry a malwarem Ochrana před viry a malwarem je zásadní součást zabezpečení i pro běţné uţivatele. Ve firemním prostředí potřeba kvalitního řešení roste s důleţitostí zpracovávaných dat. Správně nastavená ochrana je umístěna na několika úrovních: Poštovní server – zabraňuje průniku škodlivého softwaru prostřednictvím elektronické pošty Internetová brána – zabraňuje průniku škodlivého softwaru přes internetové stránky Pracovní stanice – chrání před nákazou přenášenou hlavně přes výměnná média Pokud je to moţné, měla by být ochrana poštovního serveru, internetové brány i klientských stanic zaloţena na různých antivirových jádrech, aby bylo zachycení virů co nejefektivnější. Pokud je na všech úrovních pouţit antivirový balík stejného výrobce, získáme pouze vyšší odolnost proti selhání nebo vypnutí ochrany na stanicích či serverech. Bohuţel nezískáme vyšší odolnost proti chybné detekci hrozby konkrétním antivirovým řešením. [14] Patch management Patch
Management
je
dalším
velmi
důleţitým
bodem
bezpečnostní
politiky.
V nejjednodušším případě se jedná jen o zapnutí automatických aktualizací operačních systémů i všech nainstalovaných aplikací, u kterých je tato moţnost dostupná. V dnešní době je stále evidentnější, ţe útočníci čím dál častěji cílí na aplikace třetích stran (typicky jsou to produkty firmy Adobe a internetové prohlíţeče), proto je nutné pravidelně aktualizovat veškerý software na počítači. Celá situace je dnes sloţitější také proto, ţe dodavatelé počítačů dnes instalují na PC velké mnoţství aplikací, které běţní uţivatelé nevyuţijí a často ani nevědí, ţe je mají, ale které představují bezpečnostní riziko. Jako doplňková ochrana k pravidelným, ideálně automatickým aktualizacím je doporučeno pouţívat v podniku co nejmenší mnoţství aplikací a jejich verzí. Čím více různých aplikací je vyuţíváno v podnikové síti, tím vyšší je riziko napadení. Samotnou kontrolu aktuálnosti software lze zajistit například s pomocí některých antivirových programů. Pro větší podnikové sítě existují sofistikované nástroje umoţňující automatické záplatování velkého mnoţství stanic i serverů. Důleţitost aktualizací pro konkrétní aplikaci není měřena důleţitostí aplikace samotné, ale jejím rozšířením. [14]
- 50 -
Zálohování a archivace Provádění záloh podnikových dat je nutnost. Jejich cílem je přesunout aktuální data z produkčních stanic a serverů na místo, kde budou uschována pro případné obnovení při selhání produkčních strojů. Zálohování by mělo být automatizované (uţivatelé sami nebudou zálohovat svá data) a pravidelně kontrolované. Při zálohování je nutné stanovit, jak dlouho do minulosti se bude záloha vytvářet. V opodstatněných případech lze sáhnout i k archivaci dat, kdy jsou v archivu drţena veškerá data z historie firmy. Pro většinu malých a středních firem nemá smysl nákladně archivovat soubory, většinou jim postačuje archivace elektronické pošty ve stavu, v jakém přišla a odešla. Archivace elektronické pošty je ze zákona stejně důleţitá jako archivace obchodní korespondence. Důsledkem toho, ţe je dnes většina faktur posílána elektronicky ve formátu PDF, je dokonce archiv elektronické pošty vyţadován zákonem o účetnictví. Hlavní rozdíl mezi zálohováním a archivací je ten, ţe zálohování vám vrátí data do stavu v momentě zálohy. Archivace vrátí všechna data, která do okamţiku archivace vznikla. [14] Periodická kontrola bezpečnostní politiky Poslední klíčovou oblastí je pravidelná kontrola bezpečnostní politiky. Při malém mnoţství zařízení lze kontroly provádět manuálně, ale s přibývajícím mnoţstvím zařízení se tato manuální kontrola stává prakticky nerealizovatelnou. Pro zajištění kontrol v rozsáhlých sítích existují plně automatizované systémy skenující zařízení v síti a zjišťující zranitelnost (například GFI LanGuard). [14]
- 51 -
5 Případová
studie
nasazení
konceptu
BYOD
ve vybrané firmě 5.1 Charakteristika vybrané firmy V případové studii budu popisovat IT infrastrukturu firmy zaměstnávající zhruba 25 zaměstnanců. Tato firma se zabývá obchodem a sluţbami v oblasti zahradní mechanizace a zemědělství. Firma vznikla v roce 1991 jako společnost, orientovaná na obchod a sluţby poskytované zejména pro zemědělství. V roce 1993 byla oblast podnikání rozšířena o import, velkoobchod a prodej zahradní techniky a nářadí. Jak firma rostla, rostla i potřeba nákupu nových součástí IT infrastruktury. Tato infrastruktura stála na okraji zájmu vedení společnosti a byla vybudována postupně pouze z nutnosti sdílet podnikové informace mezi pracovníky. Architektura nebyla předem promyšlena, veškeré vybavení bylo nakupováno bez ohledu na rezervy do budoucna a celá infrastruktura byla značně poddimenzována. V posledních 5 letech jiţ vedení firmy bere IT infrastrukturu jako uţitečnou součást firmy, takţe dovolilo alespoň částečnou rekonstrukci IT, při které byly vyměněny hlavní server, Ethernetswitch a několik nejstarších koncových stanic. Vedoucí pracovníci firmy si po letech provozu (a několika ztrátách dat způsobených chybou hardware) začínají uvědomovat, ţe firemní data jsou důleţitá a je třeba je chránit. Nyní nejsou ve firmě zavedena ţádná pravidla bezpečnostní politiky, ani pravidla pro kategorizaci informací a práci s nimi.
- 52 -
5.2 Stávající stav IT infrastruktury Pokusím se popsat stav zabezpečení IT infrastruktury a navrhnout její změny tak, aby po mnou navrţených změnách odpovídala konfigurace IT poţadavkům na bezpečnost dat a nová pravidla zbytečně nezatěţovala uţivatele. Pro zjištění stávajícího stavu bylo zapotřebí provést rychlý "audit" nejdůleţitějších částí systému. Napřed jsem si musel upřesnit, jaký atribut nebo atributy infrastruktury bude audit hodnotit. [2, s.113] V mém případě šlo o rychlé zhodnocení stavu zabezpečení infrastruktury a dat v následujících oblastech: Server – nainstalované sluţby, zálohování, zabezpečení proti výpadku napájení Klientské stanice – nainstalované aplikace, zabezpečení přístupu k datům, zálohování, stáří stanice Antivirové řešení – soupis všech technologií chránící uţivatele proti virům a spamu Bezdrátová síť – fyzické zabezpečení, zabezpečení přístupu Správa hesel – existence pravidel, kvalita hesel Firewall – soupis technologií pro filtrování komunikace Data, jejich sdílení a bezpečnost – existence a dodrţování pravidel pro vytváření, uchování a přenos Zálohování – existence a dodrţování plánu zálohování Fyzické zabezpečení – stav zabezpečení infrastruktury proti fyzickému útoku
- 53 -
Ve stávajícím stavu je veškerá infrastruktura firemní. Uţivatelé si sami vybírají vybavení, které budou pouţívat, firma toto vybavení nakoupí a poté dovolí uţivatelům vyuţívat je i pro soukromé vyuţití. Tím vzniká velmi heterogenní prostředí, které má téměř všechny znaky BYOD. Jediná změna oproti klasickému BYOD je moţnost vyuţívat tvrdší vynucení bezpečnostní politiky u jednotlivých zařízení. Bohuţel v současném stavu nejsou stanovena ţádná pravidla bezpečnostní politiky. Obrázek 5 zobrazuje současný stav počítačové sítě firmy. V areálu jsou dvě budovy, které jsou propojeny jedním spojem typu Ethernet. V budově ředitelství je umístěna hlavní část síťové infrastruktury včetně serveru, hlavního Ethernet switche, dvou Wi-Fi přístupových bodů a většiny koncových stanic. V provozní hale je umístěn pouze jeden provozní Ethernet switch, ke kterému jsou připojeny stanice vyuţívané provozními pracovníky, jeden Wi-Fi přístupový bod a síťová multifunkční tiskárna.
Obrázek 5: Současná struktura počítačové sítě [vlastní]
- 54 -
5.2.1 Server Středobodem celé podnikové sítě je jeden server slouţící primárně jako databázový, souborový a poštovní zároveň. Jako operační systém serveru a jádro pro správu souborů slouţí Microsoft Windows Server 2008, dále je nainstalován Microsoft SQL Server 2008, který je zapotřebí pro chod skladového a obchodního systému GeStore. Jako software pro poštovní server je zvolen Kerio Connect. Součástí konfigurace serveru je i správa Active Directory, která by měla slouţit pro distribuci software a aktualizací systému, nastavování uţivatelských práv pro přístup k datům v koncových stanicích i datům uloţeným na tomto serveru. Bohuţel je tato sluţba vyuţívána pouze pro nastavení práv pro přístup k datům na firemní server. Koncové stanice nejsou k doméně Active Directory připojeny, protoţe administrátorský přístup k serveru má pouze jeden externí správce sítě. Firemní IT pracovník má pouze běţná uţivatelská práva. Instalace nového software a opravy koncových stanic firemním IT pracovníkem by při připojení počítačů do domény nebyly moţné. Krom těchto hlavních činností server funguje i jako DNS (Domain Name Server) a DHCP (Dynamic Host Configuration Protocol) server. Je do firemní sítě připojen přes jeden síťový adaptér LAN o rychlosti 100MBps. Provoz serveru při výpadku elektrického proudu je zajištěn pomocí záloţního zdroje UPS (Uninterruptible Power Supply), který zajišťuje bezpečný chod cca 30 minut. Server je nakonfigurován tak, aby se bezpečně vypnul jiţ po pěti minutách funkce na záloţní zdroj.
- 55 -
5.2.2 Klientské stanice Kaţdý zaměstnanec pracující v kanceláři má přidělen jeden osobní počítač (stolní počítač, nebo notebook) a jeden mobilní telefon. Zaměstnanci, kteří často cestují a potřebují firemní data u sebe, pouţívají notebooky, zbytek uţivatelů pracuje na stolních počítačích.V současné době je poměr mezi notebooky a stolními počítači zhruba 50:50. Tyto stroje jsou obměňovány, pouze pokud jiţ výkonově nestačí na nově aktualizovaný software nebo pokud přestanou fungovat. Proto je moţné setkat se i s 15 let starými stroji. Operační systémy pouţitých zařízení a jejich procentuální zastoupení: Stolní PC a notebooky: o MS Windows XP
– 60%
o MS Windows 7
– 25%
o MS Windows 8
– 10%
o Mac OS X Lion
– 5%
Mobilní telefony a tablety: o Android 4.X
– 80%
o iOS 6.X
– 10%
o Windows Phone 8
– 10%
Počítače a notebooky Zabezpečení všech firemních počítačů je nedostatečné a počítače nejsou nijak systematicky spravovány. Kaţdý počítač je nakonfigurován tak, aby zaměstnanci mohli sami libovolně měnit veškeré nastavení a instalovat libovolné aplikace (právo administrátorského přístupu). Zabezpečení počítačů proti neoprávněnému pouţití a ztrátě dat je plně v rukou zaměstnanců. Většina počítačů není nikdy zálohována a přístupová hesla jsou velmi slabá (1-5 znaků, většinou jsou to snadno odvoditelná hesla jako iniciály jmen uţivatele nebo slovníková hesla). Kaţdý počítač na firmě je v rukou zaměstnance IT pouze při koupi nového stroje, nebo kdyţ něco přestane fungovat. Při kaţdém servisním zásahu do počítače jsou zaměstnancem IT mimo oprav funkce také znovu zapnuty automatické aktualizace systému a obsah disku je prověřen antivirovým programem. Ve většině případů jsou si uţivatelé počítačů vědomi rizik spojených s neaktuálním operačním systémem a automatické aktualizace nechávají zapnuté alespoň v reţimu upozornění na nově vydané. - 56 -
Mobilní telefony a tablety V okamţiku zjišťování stavu IT infrastruktury, ţádný ze zaměstnanců nevyuţíval tablet, proto bude následující popis věnován pouze mobilním telefonům. Zabezpečení mobilních telefonů pro pouţití ve firmě neexistuje. Kaţdý zaměstnanec, který dostane mobilní telefon nebo si přinese vlastní, jej vybalí z krabičky a rovnou začne pouţívat. Nikdo ze zaměstnanců nepouţívá na pracovním telefonu ani ochranu proti neoprávněnému pouţití, ani antivirový software. Zaměstnanci mají v 70% případů nastavenou synchronizaci kontaktů s Google účtem nebo iTunes. Další obsah telefonu není pravidelně zálohován. Nové verze operačních systémů pro mobilní telefony zaměstnanci instalují pouze v případě, ţe jim je vnucen přímo operačním systémem telefonu (vynucené aktualizace Over The Air v systému Android). Nikdo ze zaměstnanců se nezajímá o bezpečnost a aktuálnost systému v telefonu. V paměti mobilních telefonů jsou uloţeny firemní kontakty, e-maily a citlivé obchodní informace, které ve většině případů nejsou zálohovány. Tato skutečnost činí ze ztráty nebo krádeţe těchto mobilních telefonů závaţné bezpečnostní riziko.
- 57 -
Zranitelná místa klientských stanic Během počáteční analýzy jsem detekoval následující zranitelná místa klientských stanic: Starý hardware, který jiţ dlouho přesluhuje plánovanou ţivotnost i udávanou střední dobu mezi poruchami. Obzvláště kritické je vyuţívání velmi starých pevných disků.Některé slouţí jiţ cca 15 let. Vyuţívání administrátorských účtů na kaţdém počítači. Ve firmě je zvykem, ţe uţivatelé si do počítače instalují vlastní software dle vlastního uváţení. Uţivatelské účty ani mobilní telefony nejsou chráněny heslem nebo je pouţito velmi slabé a snadno odvoditelné heslo. Je vyuţíván software, který neprochází ţádnou kontrolou. S tím souvisí i časté zavlečení škodlivého software na pevné disky. Chybí správa a zálohy mobilních telefonů. Není moţné z ukradeného nebo ztraceného zařízení vzdáleně odstranit citlivá data.
5.2.3 Antivirová a antispamová ochrana V současné době je jako antivirová ochrana klientských stanic pouţit program NOD32 od firmy ESET. Údaje o licenci programu a aktualizační databáze je umístěna na firemním serveru, ke kterému přistupují klientské stanice. Aktualizace si server stahuje automaticky od výrobce a poté je rozesílá na všechny stanice. S tím je spojeno bezpečnostní riziko. Obchodník, který je celý týden mimo firmu, je zároveň celý týden bez moţnosti aktualizace antivirového programu. Pro ochranu firemní pošty jsou vyuţity integrované ochrany v software poštovního serveru Kerio Connect. Vestavěný antispam v Kerio Connect zabraňuje přijímání nevyţádané pošty. Je přítomna ochrana proti získávání e-mailových adres – tzv. Directory Harvest Attack (DHA), anti-phishing a anti-spoofing, heuristická analýza a filtrování nevyţádané pošty, vlastní seznamy povolených a zakázaných odesílatelů a RBL (Real-time blacklist), greylisting v cloudu. Veškerá poštovní komunikace prochází kontrolou antivirového programu Sophos. Mobilní telefony ve firmě nevyuţívají ţádné antivirové řešení.
- 58 -
5.2.4 Bezdrátová síť Bezdrátová síť firmy vyuţívá tři přístupové body (protokol Wi-Fi G – 54MBps). Ty jsou rozmístěny po areálu firmy tak, aby pokryly všechna důleţitá místa signálem a zároveň se k nim nedostaly nepovolané osoby. Proto jsou umístěny mimo běţné zorné pole návštěv v pravidelně uzamykaných kancelářích. Kaţdý přístupový bod vysílá 2 různé SSID (Service Set Identifier) identifikátory sítě. Jedno SSID je určeno pro firemní síť, kde mají zaměstnanci přístup k veškeré infrastruktuře a síti internet, druhé SSID je určeno pro firemní hosty a tito hosté mají přístup pouze k síti internet a omezenou šířku pásma pouze na 8Mbps. Obě sítě jsou zabezpečeny pomocí mechanismu WPA2-PSK (Wi-Fi Protected Access – Pre-Shared Key) vyuţívající šifru AES (Advanced Encryption Standard). Firemní SSID je zabezpečeno neslovníkovým heslem obsahujícím 14 znaků (kombinace písmen a číslic), SSID pro hosty je chráněno jednoduchým slovníkovým heslem skládajícím se z 9 znaků.
5.2.5 Správa hesel V současné době neexistuje ţádná správa hesel. Pokud operační systém nebo vyuţívaný program nevyţaduje zadání hesla, ţádný ze zaměstnanců jej nepouţívá. V případě potřeby zadání hesla zaměstnanci volí jednoduchá a snadno prolomitelná hesla. Není výjimečné vyuţití hesel obsahujících pouze první znak ze jména nebo příjmení zaměstnance, iniciály zaměstnance nebo jména rodinných příslušníků a domácích mazlíčků.
5.2.6 Firewall Všechny počítače ve firemní síti vyuţívají pouze firewall integrovaný v operačním systému PC (Windows Firewall, Mac OX X firewall), toto řešení je dle mého názoru nedostatečné. Oba tyto typy firewallu poskytují pouze základní řízení přístupu aplikací k síti, ale jiţ neřeší kompletní filtrování síťového provozu.
- 59 -
5.2.7 Data, jejich sdílení a bezpečnost Ve firmě není zaveden ţádný systém řízení přístupu k datům. Neexistuje ani rozdělení dat podle jejich citlivosti pro firmu. Firemní data jsou uloţena z větší části na koncových stanicích a několik málo souborů je uloţeno na firemním serveru. Adresářová struktura na serveru je velmi chaotická, protoţe kaţdý zaměstnanec si sám vytváří adresáře a soubory kopíruje náhodně do některého z adresářů, který se mu zalíbí, popřípadě přímo do kořenového adresáře. Jednatel firmy přesouvá a přejmenovává adresáře, takţe uţivatelé mají problém najít data, která na server uloţili. Všichni zaměstnanci mají přístup ke všem datům, která jsou uloţena na firemním serveru, ale sdílení výstupů práce jednotlivých zaměstnanců je problematické. Zaměstnanci své nově vytvořené soubory na firemní server jiţ nenahrávají, a pokud je zapotřebí spolupráce více zaměstnanců, je nejčastěji vyuţito přeposílání jednotlivých souborů přes e-mail. Toto řešení sniţuje produktivitu práce, protoţe zaměstnanec, který data potřebuje, čeká i několik hodin, neţ je dostane. Účetní data jsou uloţena pouze na jedné koncové stanici (počítač v účtárně). Tato stanice obsahuje cca 8 let starý hardware a není pravidelně zálohována. Z toho plyne vysoké riziko ztráty veškerých účetních dat. Zabezpečení firemních dat před ztrátou nebo zneuţitím je velmi malé. K datům má přístup kaţdý, kdo získá fyzický přístup k zařízení nebo firemní síti. Firemní data jsou uloţena na velkém mnoţství koncových stanic a nejsou šifrována.
5.2.8 Zálohování Není vypracován ţádný plán záloh a všechny zálohy koncových stanic jsou ponechány na dobrovolnosti zaměstnanců. Zaměstnanci však zálohy neprovádějí nebo je provedou maximálně jednou ročně. Proto existuje velmi vysoké riziko ztráty firemních dat. Jediná data, která jsou pravidelně zálohována, jsou uloţena na firemním serveru. Kaţdý den po pracovní době je automaticky zálohován na externí USB disk, který je neustále připojen k tomuto serveru. Tento pevný disk obsahuje zálohy dat dovolující návrat ke stavu starému aţ 14 dní.
- 60 -
5.2.9 Fyzické zabezpečení Areál firmy je oplocen a střeţen elektronickým zabezpečovacím systémem napojeným na pult centrální ochrany. Do budovy ředitelství mohou vstoupit pouze pracovníci, kteří zde pracují a vlastní klíč od hlavního vchodu, nebo návštěvy, které jsou vpuštěny některým pracovníkem budovy. Toto je zajištěno bezpečnostními dveřmi s kováním bez venkovní kliky. Veškeré síťové prvky v budově ředitelství jsou umístěny na veřejnosti nepřístupných místech. Serverovna s hlavním switchem je neustále uzamčena a klíč je umístěn ve firemním trezoru, do kterého má přístup pouze jednatel firmy a jeho asistentka. Kabeláţ ke koncovým zařízením je vedena v kabelových lištách mimo běţný dosah veřejnosti. Bezdrátové přístupové body Wi-Fi jsou umístěny v pravidelně uzamykaných kancelářích mimo běţné zorné pole (uschované uvnitř kancelářského nábytku). Do těchto místností nemají návštěvy bez doprovodu zaměstnance firmy přístup. Do provozní haly mají přístup všichni zaměstnanci firmy a všichni zákazníci firmy, protoţe součástí této haly je i přijímací kancelář. Síťové prvky i provozní počítače v této hale jsou umístěny do částí kanceláře, kam mají přístup pouze zaměstnanci firmy. Provozní Ethernet switch a přístupový bod Wi-Fi jsou umístěny uvnitř obsluţného pultu ve velmi špatně přístupném místě.
- 61 -
5.3 Analýza bezpečnostních rizik Při návrhu nové politiky je zapotřebí vzít v úvahu slabiny stávajícího stavu a bezpečnostní rizika, která mohou nastat. Pro přesnější zjištění pravděpodobnosti vzniku bezpečnostních rizik a jejich dopadu na společnost jsem vyuţil Průzkum stavu informační bezpečnosti v ČR 2009 [8]. Protoţe se jedná o téměř pět let starý dokument, porovnal jsem zjištění z tohoto dokumentu se zjištěními v Internet Security Threat Report 2013 od společnosti Symantec [33] a Security Threat Report 2014 od společnosti Sophos [32]. Z porovnání mi vyšlo, ţe hlavní bezpečnostní rizika pro infrastrukturu a stolní počítače zůstávají od roku 2009 stejná a pouze se mírně mění poměr jejich zastoupení. Dnešní počítačové viry se stávají nebezpečnějšími a umí se lépe schovávat před antivirovými programy. Rychlý vývoj však zaznamenala rizika pro mobilní telefony a tablety. U těchto zařízení existuje velký potenciál pro zneuţití, který by mohli útočníci vyuţít a velmi rychle stoupá počet i agresivita škodlivého software pro tato zařízení.
Bezpečnostní incidenty s nejzávažnějším dopadem 35%
31%
30% 25% 20% 15% 10%
17% 11%
10%
10%
8%
7% 3%
5% 0%
Obrázek 6: Bezpečnostní incidenty s nejzávaţnějším dopadem [8]
- 62 -
3%
1%
1%
1%
1%
1%
Nejzávaţnější bezpečnostní incidenty vyobrazuje Obrázek 6 a jejich průměrné přímé finanční dopady ukazuje Tabulka 2. Z těchto dat vycházím při návrhu konkrétních bezpečnostních opatření. Průměrné přímé finanční dopady nejvážnějších bezpečnostních incidentů Porucha hardware
152 000 Kč
Výpadek proudu
123 000 Kč
Počítačový virus
108 000 Kč
Nevyžádaná elektronická pošta
86 000 Kč
Selhání WAN
74 000 Kč
Selhání LAN
39 000 Kč
Chyba programového vybavení
20 000 Kč
Tabulka 2: Průměrné přímé finanční dopady nejváţnějších bezpečnostních incidentů [8]
Pro minimalizaci dopadů rizik pro společnost jsem určil několik důleţitých bodů(poţadavků), které by měly být brány v potaz při návrhu změn bezpečnostní politiky a IT infrastruktury: Existence záloţního napájení pro důleţité části infrastruktury Dostupnost záloţního hardware Vysoká odolnost proti škodlivému software Časté zálohování důleţitých dat Existence záloţního spojení WAN Kvalitní filtr nevyţádané elektronické pošty
- 63 -
5.4 Navrhované změny v současné infrastruktuře 5.4.1 Server Při pouţívání serveru navrhuji vyšší vyuţití Active Directory, které bude slouţit pro distribuci software a aktualizací systému, nastavování uţivatelských práv pro přístup k datům v koncových stanicích i datům uloţeným na tomto serveru. S tím souvisí i připojení koncových stanic k doméně Active Directory a omezení uţivatelských práv na těchto stanicích. Firemní IT pracovník by měl obdrţet administrátorská práva pro přidávání a úpravu doménových účtů.
5.4.2 Klientské stanice Pro zvýšení bezpečnosti dat je zapotřebí zajistit, aby na všech koncových stanicích byl nainstalován operační systém s plnou podporou výrobce a včetně pravidelných aktualizací. Proto je zapotřebí důkladně zkontrolovat a provést upgrade 60% firemních počítačů, na kterých jsou nainstalována téměř 13 let stará Windows XP, kterým končí technická podpora 8. dubna 2014. [21] V dnešní době připadá v úvahu pro většinu pracovních stanic přechod na operační systém Microsoft Windows 8.1. Zhruba 6 stolních počítačů však nesplňuje ani minimální hardwarové poţadavky pro spuštění tohoto systému a proto bude zapotřebí je vyměnit za nové stroje. Pro zajištění vysoké spolehlivosti koncových stanic je vhodné udrţovat jejich stáří zhruba3– 4 roky. Údrţba počítače starého více neţ 3 roky znamená aţ 2,5x vyšší náklady neţ u počítače mladšího 3 let. Také průměrná doba odstávky staršího počítače stoupne aţ o 40% z 3,5 hodiny na 5 hodin. [34]
- 64 -
Po vyřazení Windows XP se změní zastoupení operačních systémů v počítačích a noteboocích následujícím způsobem: Stolní PC a notebooky: o MS Windows 7
– 25%
o MS Windows 8
– 70%
o Mac OS X Lion
– 5%
Mobilní telefony a tablety: o Android 4.X
– 80%
o iOS 6.X
– 10%
o Windows Phone 8
– 10%
Výhodou odstranění Windows XP a přechodu na Windows 8.1 je sníţení počtu softwarových platforem, snazší distribuce aktualizací a lepší podpora řízení účtů pomocí Active Directory. Nové počítače také mají vyšší výpočetní výkon, coţ se můţe projevit zvýšenou produktivitou práce, protoţe uţivatelé nebudou muset čekat aţ starý, dosluhující počítač vykoná poţadovanou operaci.
5.4.3 Antivirová a antispamová ochrana Současné antivirové řešení od firmy ESET se osvědčilo na firemních stolních počítačích, ale bohuţel mu chybí ochrana mobilních zařízení, moţnost vzdáleného vymazání obsahu zařízení a firewall. Za poslední 3 roky nebyl na firemním počítači s antivirovým programem ESET NOD 32 nalezen škodlivý software. Při návrhu nové bezpečnostní politiky navrhuji rozšíření stávající firemní licence antivirového programu na ESET Endpoint Security, který obsahuje v jedné multilicenci všechny potřebné komponenty pro ochranu firemních zařízení: Ochrana pracovních stanic – Antivirová a antispywarová ochrana firemních počítačů. Obsahuje skenování zaloţené na technologii cloud, kontrolu výměnných zařízení a vzdálenou správu koncových stanic.
- 65 -
Ochrana mobilních zařízení– Zabezpečí mobilní zařízení nejen před hrozbami na internetu, ale také před nechtěnými výdaji za podvodné hovory. Zabudovaný modul Anti-Theft umoţní zařízení po krádeţi či ztrátě sledovat, lokalizovat a případně i vzdáleně promazat. Bohuţel není dostupný pro iOS a Windows Phone. Tyto dvě platformy jsou uzavřené a dle mně dostupných informací není v nabídce ţádný antivirový program. [10] Ochrana souborového serveru– Antivirová a antispywarová ochrana s optimalizací na serverové operační systémy. Firewall– Blokuje neautorizovaný přístup do firemní sítě a poskytuje ochranu před hackerskými technikami získání citlivých dat. Vzdálená správa–Snadná správa všech stanic a mobilních zařízení s nainstalovaným řešením ESET z jednoho místa. Umoţňuje vzdálenou instalaci, aplikaci bezpečnostní politiky, vytváření reportů a další funkce. [9] Ochrana firemní pošty integrovaná v poštovním serveru Kerio Connect se osvědčila. Do firemních e-mailových schránek se dostane maximálně jeden nevyţádaný e-mail (SPAM) ze sta doručených. Nepodařilo se mi nalézt jediný infikovaný soubor v příloze e-mailu, která prošla kontrolou integrovaného antivirového řešení.
5.4.4 Bezdrátová síť Stávající systém zabezpečení bezdrátové sítě se osvědčil a podle logů z přístupových bodů jej vyuţívají pouze oprávnění uţivatelé. Proto v současné době není zapotřebí zvyšovat bezpečnostní opatření. V případě prolomení zabezpečení Wi-Fi sítě je moţné kdykoliv jednorázově změnit přístupová hesla.
- 66 -
5.4.5 Správa hesel Po připojení koncových zařízení do domény Active Directory bude moţné vynutit nutnost vyuţití sloţitých hesel pro všechny uţivatele. Kaţdý zaměstnanec bude muset zvolit heslo splňující minimální poţadavky podle nejcitlivější kategorie dat, se kterou pracuje: Kategorie 1: Rutinní podnikové informace o Minimálně 6 znaků. o Musí být pouţita minimálně jedna sada znaků: malá písmena, velká písmena, číslice nebo speciální znaky. o Platnost hesla je maximálně 6 měsíců. o Při změně hesla nesmí být vyuţito ţádné z posledních 3 pouţívaných hesel. Kategorie 2: Důleţité obchodní informace o Minimálně 8 znaků. o Musí být pouţity minimálně dvě sady znaků: malá písmena, velká písmena, číslice, speciální znaky. o Platnost hesla je maximálně 3 měsíce. o Při změně hesla nesmí být vyuţito ţádné z posledních 6 pouţívaných hesel. Kategorie 3: Citlivé obchodní informace o Minimálně 10 znaků. o Musí být pouţity minimálně tři sady znaků: malá písmena, velká písmena, číslice, speciální znaky. o Platnost hesla je maximálně 3 měsíce. o Při změně hesla nesmí být vyuţito ţádné z posledních 6 pouţívaných hesel. S daty z kategorie 4: Tajné informace nikdo z firmy nepracuje, proto je z dalšího návrhu bezpečnostní politiky vynechávám. Pro mobilní telefony a tablety spadající do kategorie 1 lze udělit výjimku ve sloţitosti přístupových hesel. Pokud telefon umoţňuje vzdálené vymazání veškerého obsahu, lze vyuţít i čtyřmístný PIN kód nebo odemykací obrazec systému Android. Je počítáno s tím, ţe obsah mobilního telefonu bude vymazán dříve, neţ případný zloděj stihne prolomit toto slabé heslo.
- 67 -
5.4.6 Firewall Navrhované antivirové řešení ESET Endpoint Security obsahuje výkonný firewall. Tento firewall můţe být nakonfigurován administrátorem nebo fungovat v automatickém reţimu. V případě firemního pouţití bude nakonfigurován administrátorem a síťová komunikace bude povolena pouze prověřeným firemním aplikacím. Ostatní komunikace bude zakázána. Tím je zajištěno, ţe kaţdá koncová stanice bude dostatečně chráněna před útoky ze sítě internet i před únikem citlivých dat zapříčiněným škodlivou aplikací.
5.4.7 Data, jejich sdílení a bezpečnost Ve firmě je zapotřebí zavést systém určování citlivosti dat a vytvořit na firemním serveru pevnou adresářovou strukturu. Do této pevné adresářové struktury budou roztřízena veškerá stávající data z firemního serveru a dále nahrána veškerá firemní data ze všech koncových stanic. Pro jednodušší rozlišení citlivosti dat budou tato data z firemního serveru sdílena na jednotlivé koncové stanice v podobě tří síťových jednotek. Kaţdá síťová jednotka bude obsahovat data pouze jedné kategorie. Kaţdý zaměstnanec bude mít ke svému účtu Active Directory přiřazena práva pro přístup k odpovídajícím jednotkám. Pokud zaměstnanec získá přístupová práva pro vyšší kategorii dat, automaticky získá i přístupová práva pro všechny kategorie niţší. Kategorie 1: Rutinní podnikové informace Přístup k těmto datům je povolen pouze zaměstnancům firmy. V případě, ţe se tato data dostanou na veřejnost, nebude se jednat o velký bezpečnostní problém. Je důleţité uchovat integritu dat, ale při částečné ztrátě nebo poškození lze data dohledat nebo znovu vytvořit. Jedná se o adresy a zákazníků, firemní telefonní seznam nebo běţné pracovní dokumenty. Pravidla pro uchovávání: 1. Všechna data jsou uloţena v odpovídajícím adresáři na firemním serveru, kopie se můţe nacházet na koncové stanici zaměstnance s odpovídajícím oprávněním. 2. Pokud jsou data umístěna na přenosná média (CD, DVD) nebo vytištěna, musí být média nebo úvodní stránka dokumentu viditelně označena. 3. Koncové stanice náchylné na nákazu škodlivým software by měly být kontrolovány antivirovým programem alespoň 1x měsíčně. - 68 -
Pravidla pro přenos: 1. Pokud je nutné přenášet data kategorie 1 k externím partnerům, bude vţdy přenášena nejmenší moţná část těchto dat, která postačuje partnerovi k vykonávání jeho práce. 2. V případě přenosu přes síť internet nebo pomocí jiného veřejného kanálu by měla být data šifrována. 3. Tyto informace nesmí být vynášeny z firmy, pokud nesplňují předchozí poţadavky. Pravidla pro likvidaci: Není zapotřebí vynakládat zvýšené úsilí při likvidaci těchto dat. Kategorie 2: Důležité obchodní informace Data v této kategorii jsou důleţitá pro chod firmy a musí být chráněna před neautorizovaným přístupem. Jedná se o některé osobní a finanční údaje, které nemohou zničit firmu, ale mohou způsobit ekonomické nebo PR škody, kterým je lepší zamezit. Jedná se také o přístup k některým interním systémům s pomocí hesel, které by mohly být ve špatných rukou zneuţity. Příklad informací kategorie 2 jsou platy zaměstnanců, personální data, citlivá zákaznická data, účetní doklady, firemní projekty a firemní smlouvy. Pravidla pro uchovávání: 1. Všechna data jsou uloţena v odpovídajícím adresáři na firemním serveru, kopie se můţe nacházet na koncové stanici zaměstnance s odpovídajícím oprávněním. 2. Pokud jsou data umístěna na přenosná média (CD, DVD) nebo vytištěna, musí být média nebo úvodní stránka dokumentu viditelně označena. 3. Koncové stanice náchylné k nákaze škodlivým software by měly být kontrolovány antivirovým programem alespoň 1x měsíčně. 4. Integrita dat by měla být pravidelně kontrolována. 5. Všechny firemní programy i server by měly být nakonfigurovány tak, aby zabránily neoprávněným změnám konfigurace a dat. 6. Data nesmí být volně přístupná. Tištěné dokumenty musí být uzamčeny ve skříni, koncové stanice nesmí být ponechány bez dozoru.
- 69 -
Pravidla pro přenos: 1. Hesla a šifrovací klíče nesmí být přenášeny jako prostý text. Toto omezení platí pro elektronickou podobu i tištěné dokumenty. 2. Data mohou být vynesena z organizace, pouze pokud je to nutné pro chod firmy. V tomto případě musí být data zašifrována a musí být přenášena nejmenší moţná část těchto dat. 3. Pro šifrování dat je zapotřebí vyuţít silný šifrovací algoritmus s dostatečně dlouhým klíčem. Pravidla pro likvidaci: Jakmile nejsou data potřeba, měla by být bezpečně zlikvidována. Tištěné materiály musí být skartovány pomocí skartovacího zařízení, nepřepisovatelná média zničena, přepisovatelná média musí být bezpečně přepsána pomocí speciálního programu nebo fyzicky zničena. Kategorie 3: Citlivé obchodní informace Data v této kategorii jsou velmi důleţitá pro chod firmy a musí být chráněna před neautorizovaným přístupem. Jedná se o velmi důvěrné informace (právní, finanční, produktové a osobní) a v přístupu k těmto datům je zahrnut rozsáhlý přístup ke klíčovým interním datovým skladům a systémům. Prozrazení těchto informací můţe mít váţné finanční důsledky a ztrátu konkurenceschopnosti firmy. Příkladem dat kategorie 3 jsou informace o rozjednaných kontraktech, předběţných smlouvách, stavy a pohyby firemních účtů nebo plánovaných projektech. Pravidla pro uchovávání: 1. Všechna data jsou šifrována a uloţena v odpovídajícím adresáři na firemním serveru, šifrovaná kopie se můţe nacházet na koncové stanici zaměstnance s odpovídajícím oprávněním. 2. Pokud jsou data umístěna na přenosná média (CD, DVD) nebo vytištěna, musí být média nebo úvodní stránka dokumentu viditelně označena. 3. Koncové stanice náchylné na nákazu škodlivým software by měly být kontrolovány antivirovým programem alespoň 1x měsíčně. 4. Integrita dat by měla být pravidelně kontrolována.
- 70 -
5. Všechny firemní programy i server by měly být nakonfigurovány tak, aby zabránily neoprávněným změnám konfigurace a dat. 6. Data nesmí být volně přístupná. Tištěné dokumenty musí být uzamčeny ve skříni, koncové stanice nesmí být ponechány bez dozoru. 7. Data musí být uchovávána v šifrované podobě nebo na vyjímatelných datových nosičích uloţených v trezoru. Pravidla pro přenos: 1. Hesla a šifrovací klíče nesmí být přenášeny jako prostý text. Toto omezení platí pro elektronickou podobu i tištěné dokumenty. 2. Data mohou být vynesena z organizace, pouze pokud je to nutné pro chod firmy. V tomto případě musí být data zašifrována a musí být přenášena nejmenší moţná část těchto dat. 3. Pro šifrování dat je zapotřebí vyuţít silný šifrovací algoritmus s dostatečně dlouhým klíčem. Pravidla pro likvidaci: Jakmile nejsou data potřeba, musí být bezpečně zlikvidována. Tištěné materiály musí být skartovány pomocí skartovacího zařízení s kříţovým řezem, nepřepisovatelná média zničena, přepisovatelná média musí být minimálně 7x přepsána pomocí speciálního programu nebo fyzicky zničena.
- 71 -
5.4.8 Zálohování Server Kaţdý den po pracovní době je automaticky zálohován na externí USB disk, který je neustále připojen k tomuto serveru. Tento pevný disk obsahuje zálohy dat dovolující návrat ke stavu starému aţ 14 dní. Jednou týdně bude vytvořena firemním IT pracovníkem záloha na druhý externí pevný disk, který ihned po dokončení zálohy bude odpojen a uloţen v trezoru. Tento pevný disk bude obsahovat minimálně 4 po sobě jdoucí týdenní zálohy. Stolní počítače a notebooky Zaměstnanci musí veškeré výstupy své práce ukládat minimálně 1x týdně na firemní server do předem určených adresářů. Pokud je nutná spolupráce více zaměstnanců, musí být výstupy ukládány minimálně 1x denně. Na všech koncových stanicích musí být prováděny 2x ročně kompletní zálohy obsahu pevných disků. Tyto zálohy budou ukládány na externí disk a pro kaţdou koncovou stanici bude drţena jedna záloha. Mobilní zařízení Mobilní zařízení musí být napojena na firemní poštovní server přes protokol ActiveSync. Díky tomuto propojení budou neustále synchronizovány kontakty, e-mail a kalendář v mobilním zařízení a na firemním serveru. Firemní data musí být alespoň 1x měsíčně zálohována. Toto lze zajistit například automatickou synchronizací obsahu mobilního zařízení s aplikací v počítači pomocí technologie Bluetooth.
5.4.9 Fyzické zabezpečení Fyzické zabezpečení infrastruktury je ve stávajícím stavu dostatečné.
- 72 -
5.4.10 Speciální požadavky na mobilní zařízení Apple iOS 1. Telefon nebo tablet pro firemní pouţití musí být registrován ve sluţbě iCloud. 2. V nastavení telefonu/tabletu musí být povolena moţnost nalezení přes iCloud.com. 3. Nesmí být proveden JailBreak operačního systému. 4. Zaměstnanec musí souhlasit s tím, ţe při ztrátě nebo odcizení telefonu pracovník IT okamţitě po ohlášení maţe obsah zařízení díky sluţbě iCloud. 5. Pro přístup k zařízení v kategorii dat 1 můţe být pouţit přístupový PIN kód s minimálně čtyřmi znaky. 6. Kontakty, pošta a kalendář zařízení musí být synchronizovány s firemním účtem pro e-mail. Google Android 1. Telefon nebo tablet pro firemní pouţití musí být mít nainstalován firemní antivirus ESET Mobile Security. 2. Zaměstnanec musí souhlasit s tím, ţe při ztrátě nebo odcizení telefonu pracovník IT okamţitě po ohlášení maţe obsah zařízení díky ESET Mobile Security. 3. Pro přístup k zařízení v kategorii dat 1 můţe být pouţit přístupový PIN kód s minimálně čtyřmi znaky nebo odemykací obrazec. 4. Kontakty, pošta a kalendář zařízení musí být synchronizovány s firemním účtem pro e-mail. Microsoft Windows Phone 1. Telefon nebo tablet pro firemní pouţití musí být registrován ve sluţbě windowsphone.com. 2. Nesmí být proveden JailBreak operačního systému. 3. Zaměstnanec musí souhlasit s tím, ţe při ztrátě nebo odcizení telefonu pracovník IT okamţitě po ohlášení maţe obsah zařízení díky sluţbě windowsphone.com. 4. Pro přístup k zařízení v kategorii dat 1 můţe být pouţit přístupový PIN kód s minimálně čtyřmi znaky. 5. Kontakty, pošta a kalendář zařízení musí být synchronizovány s firemním účtem pro e-mail.
- 73 -
Nokia Symbian 1. Telefon nebo tablet pro firemní pouţití musí být mít nainstalován firemní antivirus ESET Mobile Security a aplikaci Mail For Exchange. 2. Zaměstnanec musí souhlasit s tím, ţe při ztrátě nebo odcizení telefonu pracovník IT okamţitě po ohlášení maţe obsah zařízení díky ESET Mobile Security. 3. Pro přístup k zařízení v kategorii dat 1 můţe být pouţit přístupový PIN kód s minimálně čtyřmi znaky. 4. Kontakty, pošta a kalendář zařízení musí být synchronizovány s firemním účtem pro e-mail.
- 74 -
6 Závěr Při zpracování této práce jsem prošel velké mnoţství informací zabývajících se problematikou BYOD a bezpečnosti dat. Většina materiálů se shodovala na tom, ţe dobře spravovaný BYOD můţe znamenat velkou výhodu pro firmu, která jej podporuje. Naopak, pokud firma nemá zavedená pravidla pro pouţití osobních zařízení a správu dat v nich, jedná se o "časovanou bombu" na poli firemní bezpečnosti. Mezi přínosy BYOD patří zvýšená produktivita zaměstnanců, niţší náklady firmy na nákup nových zařízení a vyšší pohodlí pro uţivatele, protoţe pouţívají taková zařízení, která jsou pro ně nejvhodnější. Všechny tyto výhody jsem opravdu pozoroval i ve firmě, kterou jsem si vybral pro studii nasazení. Po nasazení BYOD do firmy se projevila i některá rizika. Uţivatelé čekají o něco déle na vyřešení specifických problémů s konkrétními zařízeními, protoţe kaţdé vyuţité zařízení je jiné a firemní IT pracovník je nezná tak důkladně jako jejich uţivatelé. Dále je na BYOD zařízeních nainstalováno velké mnoţství potencionálně nebezpečných aplikací, kterých se uţivatelé nechtějí vzdát (většinou hry získané z neoficiálních zdrojů). Zlepšení však zaznamenala bezpečnost firemních dat. V minulosti docházelo minimálně 2x ročně k ztrátám dat vlivem krádeţe, poruchy nebo ztráty zařízení. Nyní jsou zařízení zabezpečena silnějšími hesly a data jsou pravidelně zálohována. Navíc existuje moţnost nechat obsah zařízení vzdáleně vymazat. Díky oficiálnímu nasazení BYOD a stanovení pravidel pro správu a pouţití IT infrastruktury firma získala vyšší zabezpečení svých dat. Vyšší cena za licence programů a dodrţování stanovených pravidel nedosahuje ani výše nákladů na odstávky, servis a pokusy o záchranu dat z porouchaných zařízení v původním stavu. Díky získaným zkušenostem z návrhu bezpečnostní politiky pro malou firmu a pozorovanému zlepšení kvality IT sluţeb mne koncept BYOD příjemně překvapil. Původně jsem jej bral pouze jako snahu zaměstnanců ušetřit si starosti s nošením více zařízení, ale musel jsem přehodnotit názor. Zaměstnanci, kteří v mnou sledované firmě vyuţívají BYOD, pracují rychleji a jsou schopni některé problémy vyřešit okamţitě i mimo pracovní dobu bez sníţení bezpečnosti firemních informací.
- 75 -
Seznam použité literatury Tištěná literatura [1] SMEJKAL, Vladimír a RAIS, Karel. 2013. Řízení rizik ve firmách a jiných organizacích. Praha : GRADA, 2013. ISBN 978-80-247-4644-9. [2] SVATÁ, Vlasta. 2011. Audit informačního systému. Příbram : PBtisk, 2011. ISBN 97880-7431-034-8.
Internetové zdroje [3] BRADLEY, Joseph. 2013. New Analysis: Comprehensive BYOD Implementation Increases Productivity, Decreases Costs. Cisco Blogs. [Online] 22. Květen 2013. [Citace: 7. Září 2013.] http://blogs.cisco.com/news/new-analysis-comprehensive-byod-implementationincreases-productivity-decreases-costs/. [4] BRANDOM, Russell. 2014. The dangers behind Apple's epic security flaw. The Verge. [Online]
24.
Únor
2014.
[Citace:
1.
Březen
2014.]
http://www.theverge.com/2014/2/24/5442576/inside-apples-epic-security-flaw. [5] BRZÁK, Kamil. 2012. BYOD je pouze začátek (zprostředka). hepterida. [Online] 27. Srpen 2012. [Citace: 25. Srpen 2013.] http://hepterida.com/2012/08/27/byod-je-pouzezacatek-zprostredka/. [6] CASEY, Kevin. 2012. 6 Risks Your BYOD Policy Must Address. InformationWeek. [Online]
19.
Listopad
2012.
[Citace:
21.
Srpen
2013.]
http://www.informationweek.com/smb/mobile/6-risks-your-byod-policy-mustaddress/240142320?pgno=1. [7] Cook, Ian. 2012. BYOD – Research findings released. CXO Unplugged. [Online] 28. Listopad
2012.
[Citace:
18.
Srpen
2013.]
http://cxounplugged.com/2012/11/ovum_byod_research-findings-released/. [8] Ernst & Young. 2009. Průzkum stavu informační bezpečnosti v ČR 2009. [Online] 3. Prosinec
2009.
[Citace:
24.
http://www.tate.cz/files/download/PSIB_CR_2009.pdf.
- 76 -
Březen
2013.]
[9] ESET. 2014. Internetová a IT ochrana pro firmy. ESET Endpoint Security. [Online] 2014. [Citace: 28. Březen 2014.] http://www.eset.com/cz/firmy/produkty/endpoint-security/. [10] —. 2014. Kde najdu produkt ESET pro Windows Phone a iOS? ESET Centrum technické podpory.
[Online]
6.
Leden
2014.
[Citace:
28.
Březen
2014.]
https://servis.eset.cz/index.php?/Knowledgebase/Article/View/334/18/kde-najdu-produkteset-pro-windows-phone-a-ios#.UzlW24VFvk0. [11] ESTESO, Elena. 2012. BYOD: an emerging market trend in more ways than one. Logicalis.
[Online]
28.
Listopad
2012.
[Citace:
8.
Září
2013.]
http://www.logicalis.com/pdf/Logicalis%20White%20Paper%20Ovum%282%29.pdf. [12] FLOPS. 2011. Základy šifrování: symetrická a asymetrická kryptografie. FLOPS: Magazín pro IT profesionály. [Online] 30. Duben 2011. [Citace: 9. Březen 2014.] http://www.flops.cz/zaklady-sifrovani-symetricka-a-asymetricka-kryptografie. ISSN 18046851. [13] Greenfeathers. 2014. Green Directory. Greenfeathers.in. [Online] 9. Duben 2014. [Citace: 9. Duben 2014.] http://www.greenfeathers.in/greendirectory/greendirectory.php. [14] HOUSER, Robert. 2013. Priority bezpečnostní politiky v malých a středních firmách. SystemOnLine. [Online] 2013. [Citace: 20. Březen 2014.] http://www.systemonline.cz/itsecurity/priority-bezpecnostni-politiky-v-malych-a-strednich-firmach.htm. ISSN 1802-615X. [15] HRON, Lukáš. 2012. Android má trhliny v zabezpečení. Škodlivé aplikace zjistí citlivá data.
iDNES.cz.
[Online]
5.
Květen
2012.
[Citace:
1.
Březen
2014.]
http://mobil.idnes.cz/nektere-aplikace-dokazou-prolomit-zabezpeceni-systemu-android-psm/mob_tech.aspx?c=A120415_182722_mob_tech_LHR. [16] —. 2012. Nejnovější Android je zranitelný. Detekuje jen zlomek známého malwaru. iDNES.cz.
[Online]
17.
Prosinec
2012.
[Citace:
1.
Březen
2014.]
http://mobil.idnes.cz/android-malware-0iu/mob_tech.aspx?c=A121213_142630_mob_tech_LHR. [17] InfoWorld. 2013. Mobile and BYOD Deep Dive PDF special report. InfoWorld. [Online]
14.
Únor
2013.
[Citace:
16.
Srpen
http://computerworld.com.edgesuite.net/insider/InfoWorld-BYOD-DeepDive.pdf.
- 77 -
2013.]
[18] JOHNSON, W.L., RICKEL, J.W. a LESTER, J.C. 2000. Animated pedagogical agents: face-to-face interaction in interactive learning environments. International Journal of Artificial Intelligence in Education. 2000, Sv. 11, stránky 47-78. [19] MARŤÁK, Pavel. 2005. Bezpečnost dat v praxi. SystemOnLine. [Online] 26. Duben 2005. [Citace: 20. Srpen 2013.] http://www.systemonline.cz/clanky/bezpecnost-dat-vpraxi.htm. [20] MENN, Joseph. 2014. Apple security flaw could allow hackers to beat encryption. Routers.
[Online]
22.
Únor
2014.
[Citace:
1.
Březen
2014.]
http://www.reuters.com/article/2014/02/22/us-apple-flaw-idUSBREA1L01Y20140222. [21] Microsoft. 2014. Konec podpory pro Windows XP. Microsoft Windows. [Online] 23. Březen 2014. [Citace: 27. Březen 2014.] http://windows.microsoft.com/cs-cz/windows/endsupport-help. [22] MIKUDÍK, Radek. 2013. iOS 7 trpí bezpečnostní chybou. Zamknutá obrazovka vydá citlivá
data.
iDNES.cz.
[Online]
24.
Září
2013.
[Citace:
1.
Březen
2014.]
http://mobil.idnes.cz/ios7-bezpecnostni-chyba-0sc/iphone.aspx?c=A130923_222821_iphone_ram. [23] NAKASO, Dan. 2014. iOS apps pose greater risk of data breach, study finds. SiliconBeat.
[Online]
18.
Únor
2014.
[Citace:
1.
Březen
2014.]
http://www.siliconbeat.com/2014/02/18/ios-apps-pose-greater-risk-of-data-breach-studyfinds/. [24] NIELSEN, Lisa. 2011. 7 Myths About BYOD Debunked. THE Journal. [Online] 11. Září 2011. [Citace: 25. Srpen 2013.] http://thejournal.com/articles/2011/11/09/7-byodmyths.aspx. [25] NOVÁK, Jiří. 2012. BYOD: Poraďte si s vlastními přístroji zaměstnanců. ICT Manažer. [Online] 2. Leden 2012. [Citace: 22. Srpen 2013.] http://www.ictmanazer.cz/2012/01/byodporadte-si-s-vlastnimi-pristroji-zamestnancu/. [26] PHIFER, Lisa. 2013. BYOD security strategies: Balancing BYOD risks and rewards. TechTarget.
[Online]
28.
Leden
2013.
[Citace:
20.
Únor
2014.]
http://searchsecurity.techtarget.com/feature/BYOD-security-strategies-Balancing-BYODrisks-and-rewards. - 78 -
[27] POUR, Václav. 2012. BYOD: Zabezpečte mobilní přístroje zaměstnanců. ICT Manažer. [Online] 9. Leden 2012. [Citace: 22. Srpen 2013.] http://www.ictmanazer.cz/2012/01/byodzabezpecte-mobilni-pristroje-zamestnancu/. [28] PRIGG, Mark. 2014. Rogue download alert as security experts reveal there are over 10 MILLION compromised Android apps. Mail Online. [Online] 7. Únor 2014. [Citace: 1. Březen
2014.]
http://www.dailymail.co.uk/sciencetech/article-2554312/Rogue-download-
alert-security-experts-reveal-10-MILLION-compromised-Androidapps.html#ixzz2vTL2JgVQ. [29] RUBENS, Paul. 2012. 4 Steps to Securing Mobile Devices and Apps in the Workplace . eSecurityPlanet.
[Online]
9.
Duben
2012.
[Citace:
21.
Srpen
2013.]
http://www.esecurityplanet.com/mobile-security/4-steps-to-securing-mobile-devices-andapps-in-the-workplace-mdm-byod.html. [30] SCHWARTZ, Mathew J. 2013. Mathew J. Schwartz. InformationWeek. [Online] 6. Srpen 2013. [Citace: 1. Březen 2014.] http://www.informationweek.com/mobile/windowsphone-8-crypto-weakness-equals-wi-fi-risk/d/d-id/1111059. [31] SMITH, Gina. 2012. 10 myths of BYOD in the enterprise. TechRepublic. [Online] 16. Únor 2012. [Citace: 14. Srpen 2013.] http://www.techrepublic.com/blog/10-things/10-mythsof-byod-in-the-enterprise/3049/. [32] Sophos. 2014. Security Threat Report 2014. [Online] 6. Leden 2014. [Citace: 24. Březen 2014.] http://www.sophos.com/en-us/medialibrary/PDFs/other/sophos-security-threat-report2014.pdf. [33] Symantec. 2013. Internet Security Threat Report 2013. [Online] 15. Duben 2013. [Citace:
24.
Březen
2014.]
http://www.symantec.com/content/en/us/enterprise/other_resources/bistr_main_report_v18_2012_21291018.en-us.pdf. [34] TechAisle. 2009. TechAisle White Paper: Cost of Maintaining PCs. [Online] 20. Květen 2009. [Citace: 26. Březen 2013.] http://techaisle.com/WhitePaperCostofMaintainingaPC.pdf.
- 79 -
[35] WHITTAKER, Zack. 2013. BlackBerry issues 'critical' security warning for Z10 phones.
ZDNet.
[Online]
18.
Červen
2013.
[Citace:
1.
Březen
2014.]
http://www.zdnet.com/blackberry-issues-critical-security-warning-for-z10-phones7000016948/. [36] WIECH, Dean. 2013. The Benefits And Risks Of BYOD. Manufacturing business technology.
[Online]
28.
Leden
2013.
[Citace:
http://www.mbtmag.com/articles/2013/01/benefits-and-risks-byod.
- 80 -
18.
Srpen
2013.]
