Предприятия наблюдают бум использования мобильных устройств, имеющих доступ к
данным. Эксперты по безопасности рекомендуют простые шаги для предотвращения
мобильной угрозы.
В одной полупроводниковой фирме, которая вложила 500 миллионов долларов в
исследование новых процессорных технологий, использование сотрудниками
смартфонов и планшетов на рабочих местах ограничено – не только из-за угроз
вредоносных ПО, но и из-за потенциальных утечек, которые эти устройства могут
спровоцировать, благодаря своим интеллектуальным свойствам.
Эта компания – клиент компании Zenprise – заблокировала доступ пользователям
мобильных устройств к незащищенным данным до тех пор, пока те не будут полностью
зашифрованы, и телефоны не будут управляться централизованно, говорит Ахмед
Дату, вице-президент по маркетингу в Zenprise. Дату отказался назвать клиента,
но сказал, что ситуация объясняет то, что потеря данных, а вовсе не вирусы -
основная угроза от мобильных устройств.
"Наибольшее опасение (клиента) заключается в следующем. Допустим, на меня
работает один из тех инженеров, который получил разработки по данной технологии
по почте в мобильном телефоне, а потом он потерял этот аппарат, или его украли.
Это означало бы потерю 500 миллионов долларов (инвестиций в исследования и
разработку)", говорит Дату. "И если всерьез задуматься, то подобные аппараты
действительно гораздо проще потерять, чем, к примеру, ноутбук".
Количество мобильных устройств, взаимодействующих с корпоративными сетями,
резко растет, заставляя компании думать о том, как предотвратить утечку данных.
В октябрьском докладе Forrester Research выдвинул прогноз, что к 2015 в сетях
компаний будет использоваться больше мобильных устройств – смартфонов, iPad и
других планшетов – чем самих компьютеров.
Нашумевший случай утечки интеллектуальной собственности благодаря мобильным
устройствам связан как раз с самим телефоном, который и был этой
интеллектуальной собственностью: Apple iPhone 4. Инженер Apple забыл прототип
данной модели в баре в Редвуде, Калифорния, а человек, нашедший его, продал
аппарат новостному порталу Gizmodo, который опубликовал фотографии нового
устройства.
Отделы информационной безопасности нуждаются в адаптации к новым угрозам,
потому что управление уязвимостями внутри компании в меньшей степени связано с
исправлением ошибок ОС, и в большей степени - защитой данных, говорит Ченкси
Ванг, вице-президент и главный аналитик компании Forrester.
"Если вы собираетесь передать корпоративные данные на мобильное устройство, а
последнее не является тем, чем вы управляете, то вы должны хорошо подумать о
том, доступ к каким данным вы открываете (своим рабочим)", говорит Ванг.
Каждое мобильное устройство имеет разные параметры угроз, делая сложившуюся
ситуацию еще более сложной. Хотя заражение мобильных устройств вирусами и не
является значительной проблемой сегодня, трояны в виде лицензионных приложений
представляют собой опасность. Обычно компании не так явно беспокоятся по поводу
использования BlackBerry, чего не скажешь об iPhone, рассказывает Ванг. А
пользователи Android могут скачать ПО не только с Android Market от Google,
поэтому устройства, работающие на Android, потенциально могут быть более
восприимчивы к атакам через ПО.
В самом деле, в начале месяца исследователи продемонстрировали две ошибки в
ОС Android, которые могут позволить хакерам установить приложения на устройства,
использующие данное ОС, без ведома владельца. На недавней конференции по
безопасности, Джон Оберхайд из Scio Security и Зак Лэниер из Intrepidus Group
объявили, что вредоносное ПО может быть загружено в устройство, например, при
помощи фальшивого
дополнения к подлинной игре на Android.
Вторая ошибка, обнаруженная исследователем по имени Nils, использует
неправильные настройки
браузера на устройстве HTC.
Изменчивость мобильных устройств – еще одна причина, по которой компании
должны следить за своими беспроводными сетями, говорит Правин Багват,
технический директор компании AirTight Networks, которая занимается продажей
продуктов для такой защиты. В то время как взломанные устройства представляют
собой очевидную опасность, маленький форм-фактор смартфонов позволяет хакерам
загружать в них множество различных атакующих программ и распространять их уже
по всему офису корпорации. Попав внутрь сети телефоны могут быть использованы
для фильтрации данных, сказал Багвад.
"До сих пор хакером считался человек, сидящий на автостоянке с ноутбуком и
множеством других приспособлений", говорит он. "Сейчас же, все эти инструменты
доступны в форм-факторе, который помещается на вашей ладони".
Компании, в таком случае, должны следить за своими сетями, чтобы обнаружить
вредоносные устройства и атаки и управлять ими удаленно, чтобы блокировать или
удалять их в случае утечки данных, говорят эксперты. Однако все большее
количество используемых мобильных устройств принадлежит не компании, а рабочим.
По этой причине, компании должны разработать политику безопасности мобильных
устройств и обсудить эти меры со своими работниками, говорит Чун Чен, директор
по производству компании MobileIron.
"В отличие от ноутбуков и ПК, принадлежащих предприятию, такие устройства
принадлежат конечному пользователю", говорит Чен. "Существует много вопросов,
связанных с хранением личных данных таких пользователей. Как же управлять
личными данными и в то же время вопросами безопасности и совместимости?"
В скором времени, по словам экспертов, вопросы, связанные с хранением личных
данных, выйдут на первый план. Должны ли компании следить за местонахождением
конечных пользователей и архивом их SMS, или за звонками? Эти вопросы компании
должны иметь в виду в процессе разработки политики мобильной безопасности.
Пересечение корпоративной политики и использования собственных мобильных
устройств пользователями может превратиться в проблему, говорит Ванг.
"Если вы решили открыть доступ к корпоративным данным персональным мобильным
устройствам, компания должна установить определенный уровень политики
безопасности и оперативных процедур персональных телефонов, прежде чем позволить
рабочим получить доступ к корпоративным данным", сказала она. "Рабочие хотят
иметь доступ к такой информации, но и не хотят отказываться от контроля за
своими устройствами".
