Quali sono i problemi con il dispositivo bring-your-own relativo agli smartphone?

Questa è una domanda molto ampia che non ha una risposta singola. Alcune categorie di sfide e rischi includono:

• Controllo ridotto. La società deve prendere qualsiasi dispositivo selezionato dai dipendenti e perde il controllo su di essi. La società potrebbe anche avere una leva ridotta per controllare il software su quei dispositivi.

• Dipendenza. La società diventa dipendente dalla sicurezza e dalla disponibilità dei dispositivi dei suoi dipendenti. Diventa più difficile per la società gestire questi dispositivi.

• Eterogeneità. La società non può più standardizzare su un singolo dispositivo e deve invece essere pronta a supportare un'ampia gamma di dispositivi. Ad esempio, se la società mette a disposizione servizi interni tramite un servizio Web, non può semplicemente scegliere IE: ha garantito che il sito funzionerà con tutti i dispositivi dei dipendenti.

Alcune potenziali protezioni che possono essere considerate includono:

• Sicurezza lato server. Servizi di architettura in modo che siano meno dipendenti dalla sicurezza del dispositivo dell'utente. Ad esempio, archivia i dati su un server (o nel cloud) anziché sul dispositivo dell'utente finale.

• Gestione dei dipendenti. Consenti ai tuoi dipendenti di proteggere i dati sui propri dispositivi. Fornire loro risorse e motivazione per farlo. Informali sulla necessità e aiuta a ridurre gli ostacoli alla sicurezza.

• Servizi basati sul Web. Rendi i servizi interni disponibili tramite Web e HTML5, anziché come applicazioni native. (Ammettiamo, già una pratica comune). Il web è il minimo comune denominatore oggi.

• Tecnologia specifica. Ci sono alcuni prodotti e tecnologie specifiche in fase di sviluppo per affrontare questa sfida. Ad esempio, uno è la crittografia a disco intero o la crittografia software sul dispositivo dell'utente finale. Un altro è l'uso di macchine virtuali o altri meccanismi per fornire una strong separazione tra il lavoro e l'uso personale di un dispositivo, in modo che l'uso personale non possa compromettere la sicurezza dei dati di lavoro e contrapporsi, in modo che le attività personali dei dipendenti rimangano private (come sono nessuno degli affari del suo capo). Ci sono anche prodotti per facilitare la pulizia remota e la disabilitazione remota, se il dispositivo di un dipendente viene perso. Tuttavia, i datori di lavoro che richiedono capacità di cancellazione remota dovrebbero fare di tutto per rendere più facile per i dipendenti eseguire il backup dei loro dispositivi, altrimenti una cancellazione remota può rappresentare una grave perdita per un dipendente.

• Stabilisci confini. Le aziende possono aiutare a stabilire confini chiari. La crescita diffusa di dispositivi sempre connessi (smartphone, ecc.) Ha trasformato il modo in cui le persone lavorano, al punto che molte persone si sentono effettivamente "su chiamata" in lavori dove dieci anni fa questo non sarebbe stato il caso. Vedete molte persone che controllano le e-mail di lavoro al di fuori dell'orario di lavoro e sentono la pressione risultante. Questo può sembrare più efficiente, ma ci sono alcuni motivi per ritenere che a lungo termine comprometta l'efficacia dei dipendenti - così le aziende possono aiutare stabilendo una cultura sana che incoraggia le loro aziende a stabilire i confini e avere una vita personale al di fuori del lavoro. / p>

• Abbraccia la tendenza. Guarda il lato positivo; Il BYOD si sta diffondendo perché apporta grandi vantaggi, come riduzione dei costi tecnologici per le aziende, miglioramento della produttività dei dipendenti, aumento del morale dei dipendenti e maggiore flessibilità per orari di lavoro flessibili. Quindi, non prendere troppo sui rischi - i rischi devono essere gestiti, certamente, ma il compito principale della sicurezza dovrebbe essere quello di dire "sì", per non dire "no". I dipartimenti di sicurezza IT possono considerarlo un'opportunità privilegiata per ottenere una reputazione come fattore abilitante, non un ostacolo al progresso.

Un rischio di BYOD è l'idea che riduce i costi di sysadmin e helpdesk. È un mito ma può danneggiare molto la produttività. Con BYOD, gli utenti stessi si occupano dell'inventario e della sostituzione delle parti guaste. Ma hanno ancora bisogno di connettersi alla rete interna e di essere aiutati con le applicazioni aziendali (cioè il sito intranet), e poiché l'hardware e i sistemi operativi possono essere abbastanza vari con BYOD, i costi amministrativi per queste attività tendono ad aumentare molto. Quindi non abilitare il BYOD come cost-killer; non funzionerà BYOD è lì per far sentire i dipendenti più felici e responsabili.

Un altro problema con BYOD è la conformità. Se l'azienda sviluppa software relativo alla sicurezza e segue alcuni tipi di certificazione (come i livelli EAL 2+), viene preso in considerazione l'ambiente di sviluppo e la presenza di macchine non controllate in quell'ambiente può compromettere il processo di certificazione. Per dichiarare chiaramente le cose, è difficile garantire che nessuna backdoor sia stata inserita nel codice di un'applicazione quando le macchine degli sviluppatori sono fuori dalla portata di qualsiasi politica di sicurezza.

Un terzo rischio riguarda i confini. L'eccellente risposta di @ D.W. afferma che gli utenti dovrebbero porre dei limiti tra il lavoro e la vita personale, dal momento che l'invasione del lavoro nella vita personale è dannosa per quest'ultimo e quindi per la produttività del dipendente nel suo insieme. Funziona anche nella direzione opposta: l'invasione della vita personale in l'area di lavoro può anche distruggere la produttività. È noto che un po 'di cose non lavorative nel lavoro aiuta le persone a passare una giornata di lavoro (questo è il punto delle pause caffè, in realtà); è anche noto che questo può essere esagerato. Se i dipendenti hanno i propri dispositivi, possono portare il proprio tempo libero. La teoria del BYOD è che i dipendenti si sentono responsabilizzati e responsabili e questo li induce a meno allettamenti di quello a cui si concederebbero se il loro ambiente fosse meno aperto. La pratica, come sempre, corrisponde perfettamente alla teoria ... in teoria.

Dove sono, i problemi percepiti sono:

• costi di supporto - che l'azienda sopporterà l'onere di problemi che non sono realmente il suo problema (Ciao helpdesk, come configurare il mio Whizzbang 3728-T per accedere al VPN?)

• che i dispositivi utente non gestiti diventano un canale per malware in un ambiente controllato

• i dati su questi dispositivi non sono adeguatamente protetti e i dispositivi sono più suscettibili alle perdite fisiche

• e a essere compromesso per la perdita di dati

• perdita di dati - laddove l'utente memorizza deliberatamente dati aziendali al di fuori del controllo dell'azienda - ad es. utilizzando un'app basata su cloud per mantenere una rubrica

Personalmente, non sono d'accordo con l'idea che ci dovrebbe essere una rete interna ed esterna molto diversa in termini di sicurezza (sì, la politica del firewall dovrebbe essere diversa - ma solo per ridurre il rumore). Ma dovrei ammettere che non tutti quelli che lavorano qui hanno le competenze / il tempo per mantenere i propri dispositivi a un livello ragionevole.

an administrator cannot force restrictions as easily as with a company-owned device

Questo è difficile.

In primo luogo, la tua affermazione non è necessariamente vera. Dovresti avere controlli adeguati sul posto che limitarsi a portare un dispositivo sul posto di lavoro non fornisce accesso a servizi che potresti considerare limitati.

Una volta che questo è il caso, quindi come amministratore è possibile applicare determinati vincoli su tale accesso. Ora sono disponibili numerosi strumenti che consentono la cancellazione remota e l'accesso remoto, ma in questo caso è necessario risolvere il problema relativo al modo in cui si separano i dati dell'azienda dai dati degli utenti. Dovresti chiedere ai tuoi utenti di rinunciare alla loro privacy? Dovresti spendere soldi dell'azienda per acquistare software di sicurezza da installare su dispositivi non aziendali?

Limitare l'accesso al web (senza funzionalità di download per e-mail) e / o lo schermo remoto è molto importante per risolvere il problema. (Recentemente ho scoperto un puro HTML5 / javascript client VNC - fantastico!)