Dopo aver implementato telefoni e tablet aziendali, disponiamo di MDM che ci consente di distribuire centralmente le app a tutti i nostri utenti e di eseguire la cancellazione remota in caso di perdita di un dispositivo, ecc. di qualsiasi utilizzo reale per gli utenti devono anche essere in grado di installare app a loro discrezione. Mentre siamo in grado di monitorare quali app vengono installate utilizzando il software MDM, non abbiamo alcun modo reale di identificare quali app presentano, se presenti, un potenziale alto rischio per i nostri dati aziendali.
Per la maggior parte delle app è molto difficile accertare:
-
Indica se i dati sono archiviati in remoto "nel cloud" su un server amministrato dal fornitore dell'app o se tutti i dati sono memorizzati sul dispositivo stesso;
-
Se i dati inviati / ricevuti vengono trasmessi in modo sicuro tra il dispositivo e qualsiasi posizione remota utilizzando un'implementazione sicura nota di SSL;
-
Le località geografiche e le società di hosting in cui i dati vengono archiviati o elaborati in remoto, insieme a qualsiasi reputazione nota di sicurezza dei dati, leglistation locale, applicazione attiva ecc.
-
Se l'app è stata effettivamente pubblicata dalla società che afferma di essere stata;
-
Di quale azienda è stato scritto il codice sorgente e qual è la sua reputazione per lo sviluppo e il testing sicuro?
-
Se alcune società di sicurezza di terze parti hanno già analizzato l'app e le hanno assegnato una valutazione o una recensione particolare?
La superficie di attacco diventa molto sconosciuta quando consentiamo agli utenti di utilizzare app mobili e gli editori di app divulgano molto raramente questo tipo di informazioni.
Per fare un esempio, abbiamo identificato un'app per la scansione di biglietti da visita che memorizza i suoi dati su server in Medio Oriente, al di fuori dell'UE, facendone uso in determinate circostanze illegali secondo la legge britannica sulla protezione dei dati e se usato per contatti commerciali, potrebbe essere utilizzato per l'intelligence competitiva dalle autorità di quella regione in cui si applicano leggi diverse.
Anche se spesso non è un software di reverse engineering, non posso credere che qualcuno abbia davvero il tempo di farlo per ogni app che incontra, quindi deve esserci un approccio realistico che non si basa esclusivamente su supposizioni.
Qualcuno sa di servizi o app in hosting che forniscono qualsiasi tipo di controllo di sicurezza delle app per app di terze parti o un database ricercabile con questo tipo di informazioni? Mentre desideriamo abbracciare la tecnologia e utilizzare le fantastiche app là fuori per scopi aziendali autentici, dobbiamo assicurarci di farlo nei limiti della legge, della conformità contrattuale, ecc. In che modo altri professionisti della sicurezza delle informazioni affrontano questo problema?