Мобильные устройства уже давно стали частью инфраструктуры компании. Планшеты и смартфоны активно используются в бизнес-процессах, храня в себе конфиденциальные данные и коммерческую тайну. Взлом, кража или потеря такого устройства стала серьезной угрозой информационной безопасности.
Результаты исследований Verizon Mobile Security Index 2020 показали, что несмотря на то, что 39% респондентов признались, что их компания пострадала от атак через мобильные устройства, и 66% оценили размер последствий как крупный, только 14% специалистов высказали уверенность в безопасности своих мобильных данных и применяют все меры предосторожности.
Поэтому очень важно построить комплексную систему защиты, которая будет закрывать весь спектр угроз, в том числе, связанных с мобильными устройствами.
Но прежде чем приступить к моделированию защиты, предлагаем разобраться в концепциях использования мобильных устройств в работе.
BYOD
Bring Your Own Device (дословный перевод "Принеси своё собственное устройство") — одна из первых и наиболее сложных концепций.
BYOD означает, что для работы сотрудник использует своё личное устройство, а техническую поддержку и конфигурацию устройства проводит своими силами.
- Сценарий первый: сотрудник использует устройство на работе только для личных целей, но компания, при необходимости, может позвонить сотруднику в нерабочее время.
- Сценарий второй: сотрудник использует устройство, в том числе и для рабочих задач: подключается к сети компании, пользуется корпоративной почтой, приложениями, осуществляет звонки и ведет переписку с контрагентами в мессенджерах. Но sim-карта принадлежит сотруднику, а затраты на связь возмещаются компанией в конце месяца.
- Сценарий третий: сотрудник также использует устройство в рабочих целях, но договор на оказание услуг связи заключается и оплачивается компанией.
Очевидным плюсом такой концепции является стоимость внедрения, так как компания не несет затрат на приобретение устройств. Также, использование личных устройств удобно для сотрудников и повышает их мобильность.
Недостатками, очевидно, являются угрозы безопасности и неконтролируемый парк инфраструктуры, который трудно технически сопровождать.
CYOD
Choose Your Own Device (дословно "Выбери своё устройство") — самая прозрачная концепция, при которой устройство принадлежит компании и техническим сопровождением занимается компания.
Корпоративное устройство используется в бизнес-процессах, и чаще всего не выносится за периметр компании.
Данная концепция позволяет контролировать необходимой уровень безопасности и сравнительно хорошо оказывать техническую поддержку пользователям.
Недостатком, который ограничивает использование данной концепции является её дороговизна. Помимо затрат на обслуживание устройств, компании необходимо приобрести и сами устройства.
COPE
Corporate-Owned, Personally Enabled ("Корпорация владеет, сотрудник включает самостоятельно") — концепция, при которой устройство также выдаётся сотруднику компанией, но при этом техническим сопровождением устройства занимается сам сотрудник.
Наиболее популярный сценарий концепции, когда сотруднику при устройстве на работу выдается корпоративное устройство и корпоративная sim-карта для общения с клиентами.
Преимуществом такой концепции является удобство для пользователей, ведь фактически, на период работы в компании, устройство принадлежит сотруднику. Благодаря тому, что устройства принадлежат компании, за счет предустановки необходимых приложений, можно снизить затраты на ввод устройств в эксплуатацию.
Недостатками такой концепции являются угрозы безопасности, так как техническое обслуживание и управление лежит полностью в ответственности сотрудника.
Запомнить различие концепций легко с помощью таблицы:
В следующих статьях мы поговорим о том, какие угрозы и риски несёт в себе каждая из концепций и какими мерами и средствами обеспечивается безопасность.