Bring Your Own Disaster? PRIVATE ENHETER: De ansatte tar med sine private mobilenheter på jobben. Dette skaper nye utfordringer for IT-avdelingene. Hva betyr dette for sikkerheten? Av TED TØRAASEN Sikkerhet: Trenden med «Bring your own device» (BYOD) er i sterk vekst. Alle prognoser peker i retning av at vi kun har sett starten. Ofte er ledelsen i firmaene en pådriver av BYOD som følge av egne behov og ønsker. Derfor er dette noe it-avdelingene må forholde seg til, uavhengig av om de ønsker det eller ikke. En internasjonal undersøkelse viser at it-ansvarlig er langt mindre positiv til BYOD enn firmaledelsen, mer om dette senere. Hva er «Bring Your Own Device»? «Bring Your Own Device», ofte forkortet til BYOD, beskriver en forholdsvis ny trend hvor de ansatte tar med sine private enheter og benytter dem i en jobbsammenheng. Det vil si at dette er enheter som ikke er valgt ut av itavdelingen, men av brukerne selv. I andre tilfeller er det enheter som bedriften eier, men som er valgt ut av brukerne. Dette utgjør en utfordring for dem som har ansvar for it hos bedriften, ikke minst når det kommer til sikkerhet. Brukstypen kan inkludere at man kobler seg på jobbens trådløse nettverk for å spille Angry birds eller Wordfeud, eller at man sjekker jobb e-posten på en privat telefon eller et nettbrett, når man fysisk ikke er på kontoret. Begge disse tingene gir en sammenblanding av jobb og privat. Mye av grunnen til at det blir slik, er at de ansatte ikke ønsker å drasse på både jobbens og private enheter. Derfor ender man opp med en situasjon hvor enhetene benyttes til både privat- og jobb-bruk. Når enheter blir valgt ut av it-avdelingen er det som oftest basert på mange faktorer som blant annet muligheten til enkel administrasjon og mulighet for å sikre enheten tilstrekkelig. For BYOD-enheter blir dette vanskeligere, fordi enheten er valgt ut av brukeren og kan være av en hvilken som helst type. Dette blir ytterligere komplisert av at brukerne kan være eierne og er ansvarlige for vedlikeholdet av enhetene. Dermed er det ingen garanti for at enheten er oppdatert i forhold til bedriftenes krav til operativsystem og programvare-fikser. For bedriftsutleverte enheter er det mulig å sikre en standardisering for hva som er installert og hvordan den oppdateres. Dette ivaretar sikkerheten på endepunktene og gir visse garantier for hva som kobler seg til bedriftens systemer. Enhetstyper Enheter som faller under denne kategorien er normalt telefoner, nettbrett og bærbare datamaskiner. Veldig ofte er nå hovedfokuset på smarttelefoner og nettbrett, siden problemstillingen med BYOD rundt bærbare datamaskiner ikke er noe nytt. Enhetene er selvsagt ikke begrenset til de nevnte typene og vi kan risikere å se at andre enhetstyper dukker opp i fremtiden. Nettbrett er et perfekt eksempel på hvordan ny teknologi kan bre om seg raskt og bli adoptert av vanlige brukere. Disse enhetene har jo også vist seg å bli brukt til jobbrelaterte oppgaver, selv om de i utgangspunktet var tiltenkt privatbruk. De omtalte enhetene kan deles inn i to hovedgrupper: Bærbare datamaskiner i en som dekker både PC og Mac; Nettbrett og smarttelefoner i en annen. Denne inndelingen baserer seg på to ting: operativsystem og hvor «nye» de er. «Nye» benyttes som et begrep i forhold til hvor lenge it-avdelingene har hatt erfaring med administrasjon av denne typen enheter. Smarttelefoner og nettbrett skiller seg fra bærbare datamaskiner ved at de (foreløpig) kjører andre operativsystemer. Disse operativsystemene kommer som oftest med begrensninger i forhold til hva som er tillatt. Hvorfor BYOD Når det gjelder BYOD vil man finne forskjellige meninger om det er en god ide og om det er noe man bør tillate. En undersøkelse gjort på vegne av antivirusselskapet Trend Micro «Mobile Consumerization Trends & Perceptions IT Executive and CEO Survey» gir noen tall på dette. Undersøkelsen er fra februar 2012 og inkluderer spurte i England, USA og Tyskland. Ifølge undersøkelsen mener 73 prosent av de spurte administrerende direktørene at BYOD er noe de ansatte har rett til, mens kun 44 prosent av de it-ansvarlige mente det samme. Dette er en ganske betydelig forskjell. Det er ikke så vanskelig å forstå at de it-ansvarlige er mer skeptiske til BYOD. Det er tross alt dem som må håndtere utfordringene som kommer i kjølvannet. Plutselig har de ansatte flere enheter som kobler seg på nettet og i utgangspunktet er dette brukereide enheter som it-avdelingen ikke har kontroll på. Uavhengig av dette er 18 N & K nr. 5 2012
it-folkene fortsatt ansvarlig for at enhetene har tilgang til bedriftssystemene og at sikkerheten opprettholdes. Sett fra bedriftsledernes ståsted er BYOD et gode som de ansatte forventer og som er viktig for å holde på eksisterende ansatte og ansettelse av nye. Det er mange som hevder at produktiviteten vil være langt bedre blant de ansatte om de selv kan velge sine arbeidsverktøy. Det er tross alt de som kjenner jobben sin best. Hvordan dette stiller seg på kostnadssiden vil blant annet være avhengig av om den ansatte selv betaler for enheten eller ikke. Sikkert som... Det eneste som ser ut til å være sikkert med BYOD per i dag er at det er noe brukerne forventer. Når vi også ser at ledelsen i de fleste firmaer ser på dette som et gode og noe de ansatte skal få lov til, må it-avdelingene forholde seg til dette. Det store dilemmaet for it-avdelingene er selvsagt hvordan de skal håndtere det økende antallet enheter. Hvordan skal man sikre noe man ikke administrerer? Uten muligheten til å sikre enhetene, vil it-avdelingene ikke ha noe annet alternativ enn enten å isolere enhetene og gi de begrenset tilgang, eller å gi full tilgang og håpe på det beste. I mange miljøer i dag vil det nok i praksis være alternativ nummer to som regjerer. Skal vi støtte oss på noen tall, kan vi igjen titte på undersøkelsen fra Trend Micro. Ifølge denne rapporten skal tilnærmet 50 prosent av bedriftene som har tillatt BYOD ha opplevd sikkerhetsbrudd. Dette skal være som følge av at brukereide enheter fikk tilgang til bedriftens nettverk. Selv om rapporten ikke går i detalj om sikkerhetsbruddene, må det ansees som veldig alvorlig med så høye tall. Som nevnt tidligere er ikke disse tallene fra Norge, men det er grunn til å tro at vi ikke skiller oss så betydelig fra resten av verden på dette punktet. Hvis vi kobler dette med noen norske tall, kan det gi et litt mer interessant bilde. Vi har fått en forhåndstitt på noen rykende ferske data. «Bring your own Device Mobilsikkerhet på vikende front» er en undersøkelse utført av analyseinstituttet Norstat på vegne av Coxit PR i samarbeid med Watchcom Security Group. Denne rapporten er N & K nr. 5 2012 19
basert på et representativt utvalg av toppledere i 200 norske virksomheter basert på virksomhetens størrelse, regionale tilstedeværelse og bransjemessige tilhørighet. Et av poengene som er veldig interessant her er at over 60 prosent av de spurte ikke anser bruk av privat it- og mobilutstyr på jobb som en sikkerhetsrisiko for virksomheten. Når vi ser dette i sammenheng med at nesten 50 prosent av bedriftene i Trend Micro-undersøkelsen hadde opplevd sikkerhetsbrudd som følge av BYOD-bruk, ser vi at det kan være et misforhold mellom oppfattelsen og virkeligheten. Bryter vi ned tallene, ser vi at det er bedrifter mellom seks og femti ansatte som anser sikkerhetsrisikoen som minst. Blokkere alt? Skal man derfor anta at det å sperre for all bruk av BYOD-enheter er den rette fremgangsmåten? Dette ville muligens være den enkleste løsningen sett fra it-avdelingens side, men for de fleste bedrifter vil nok dette kreve en del jobb for å få til siden de færreste har en enhetsspesifikk tilgangskontroll. Uansett ser det ikke ut til at ledelsen i bedriftene ønsker seg dette, ikke minst fordi de ansatte ser på BYOD som noe helt naturlig. I konkurransen om de smarte hodene, kan dette være av betydning. Det ser ut til at de fleste mener at de ansatte uansett vil finne måter å benytte sine private enheter på jobb eller i jobbsammenheng. Brukere vil klare å knytte seg til bedriftstjenestene, selv om de ikke får hjelp til dette. De som velger å ignorere brukernes evne til å komme seg på nett selv, risikerer å miste kontrollen helt. Det finnes selvsagt nettverk der ute som er tilstrekkelig sikre til at det ikke er sannsynlig at brukerne vil kunne ta i bruk BOYD-enheter uten klarering og hjelp. Erfaringen tilsier at dette er mindretallet. IBM er et av de firmaene som har valgt å støtte BYOD i større skala. Per i dag støtter de private enheter for omkring 80 000 ansatte. Målet er å utvide dette til alle 400 000 ansatte i hele verden. Dette sier it-direktør Jeanette Horan i IBM. Horan gir følgende grunn for at de har en BYOD-strategi. Hvis ikke vi støttet dem, regnet vi med at de ansatte selv vil finne ut av hvordan de kunne ta i bruk BYOD-enhetene. Det ville være et problem siden det potensielt kunne lede til at sensitive bedriftsdata kunne komme på avveie. BYOD-strategien handler i bunn og grunn om å hjelpe de ansatte til å jobbe på den måten de selv ønsker. De er best egnet til å finne ut hvilke verktøy som er rett for den jobben de trenger å utføre. Hva er problemet? De potensielle problemene handler om flere ting: Muligheten for at sensitive bedriftsdata kommer på avveie; Problemet ved at enheter som kan ha blitt kompromittert kobles til på innsiden av nettverket og på denne måten omgår de normale sikkerhetssystemene; Enheter kan inneholde lagrede passord for tjenester som e-post. «Problemene» starter med hvordan denne typen enheter blir håndtert. En undersøkelse om BYOD og brukere, utført for produsenten av sikkerhetsprogramvaren ESET kom blant annet med følgende konklusjoner: til bedriftsrelaterte oppgaver. en enhet de selv bruker til jobb. matisk låsning av enheten. sjon er lagret ukryptert på enheten. privat enhet til jobb, sier at deres arbeidsplass ikke har en policy for håndtering av BYOD. vært et offer for malware eller hacking av en personlig enhet. eller offentlige Wi-Fi-nettverk når de kobler seg til bedriftens nettverk. Disse tallene er ikke fra Norge, men USA. Vi mangler tilsvarende Bring Your own Device-trenden skaper nye utfordringer og forventninger. (Smartphones) datagrunnlag fra Norge. Uansett om dette ikke stemmer helt overens med norske forhold er det tydelig at bruken av disse private enhetene ikke er optimal når de også benyttes til bedriftens systemer og data. Det at enhetene er eid av brukerne og ikke av bedriften, legger også begrensninger for bedriftene. Hva kan de faktisk tillate seg i en policy for Bring Your Own Device? Her ligger det et potensielt problem i forhold til de legale aspektene. Hvilke rettigheter har arbeidsgiver på en enhet som eies av de ansatte? For internasjonale bedrifter vil man nok trenge å avklare lovverket i Norge før man forsøker å innføre en felles policy for BYOD over landegrensene. En potensiell utfordring ved privat eide enheter basert på Apple ios kan være synkronisering med icloud. Dette kan være en veldig bra sikkerhetskopieringsfunksjon for privatbrukeren, men det er tvilsomt at bedriften ønsker at deres dokumenter skal ende opp der. Hva kan man gjøre? Det er helt klart at man må starte med en strategi og en policy for hva som er lov og ikke. Det står bedriften fritt å instruere arbeidstageren i hvordan en arbeidsoppgave skal utføres og med hvilket utstyr. Dette betyr at det er ikke fritt frem for de ansatte å ta seg til rette. Problemet er at mange bedrifter ikke har en sikkerhetsstrategi og klare regler for håndteringen av mobile enheter. Den norske undersøkelsen gjort på vegne av Coxit PR og Watchcom Security Group gir oss noen tall på utbredelsen av slike strategier i Norge. 20 N & K nr. 5 2012
Norske virksomhetsledere ble spurt: Har virksomheten en sikkerhetsstrategi (policy) for implementering av mobile enheter? På dette spørsmålet var svaret at 53 prosent av bedriftene har en policy for mobile enheter. Det betyr at nesten halvparten av bedriftene ikke har en policy for dette. Thomas Reinsborg i Watchcom kommenterer tallene på følgende måte: «Uten sikkerhetspolicy tilknyttet implementering av mobile enheter er det også tilnærmet umulig for virksomhetens medarbeidere å vite hva som er akseptert og god praksis, sammenlignet med hva som absolutt ikke er akseptert og hva som er dårlig praksis». Videre sier han «Det er et lederansvar å få på plass sikkerhetsstrategier på vegne av virksomheten og en av de aller viktigste områdene nå for tiden er mobile sikkerhetspolicier samt policy for implementering av private enheter i jobbsammenheng.» Graver vi noe dypere i tallene, finner vi at størrelse på bedriften er vesentlig i forhold til om man har en policy for mobile enheter. Når vi kommer til bedrifter med over 50 ansatte, har så mye som 80 prosent en sikkerhetsstrategi for mobile enheter. Det som ikke går fram av undersøkelsen er hvor vidt denne strategien favner. Er det her snakk om bærbare datamaskiner som tilhører bedriften, eller dekker det også privateide nettbrett? Ta kontrollen Når man ønsker å ta kontroll over BYOD-enheter finnes det forskjellige Verden har endret seg, det er nå nødvendig å også sikre mobile enheter som nettbrett og smarttelefoner. (Symantec) Dette er et eksempel på den virtuelle jobbtelefonen til VMware. Ikonet for privattelefonen er merket med rødt. metoder. Noe av utfordringen i forhold til BYOD er at de fleste enhetene ikke ble laget med bedriftsmarkedet som målgruppe. Disse enhetene er tilpasset privatbrukerne og krever derfor litt drahjelp for å oppfylle sikkerhetskravene til bedriftene. Unntaket er selvsagt Blackberry, men disse enhetene er det få sluttbrukere som ville velge som en privat telefon. I Gartner sin nyeste rapport om mobile administrasjonssystemer (MDM) får vi vite at i slutten av 2010 var det mer enn 30 produsenter av smarttelefoner i markedet og mer enn 10 forskjellige mobiloperativsystemer. Selv om det var mange aktører, sto fire av dem for 89 prosent av markedet. Disse fire var Apple, Android, RIM og Symbian. Dette forteller oss at BYOD kan vise seg å være veldig fragmentert for it-avdelingene, men at det i praksis sjeldent vil være det. La oss titte på noen løsninger. Mobile Device Management (MDM) er administrasjonssystemer for mobile enheter. Ifølge Gartner var det mer enn 60 tilgjenglige systemer av denne typen på markedet da de laget sin rapport. Denne type systemer vil kunne gi en oversikt over konfigurasjonen på enhetene og hvorvidt de har blitt «jailbreaket». Har får man muligheten til å styre tilgangskontrollen slik at enheten krever et sterkt passord isteden for kun en PIN-kode. Det er normalt mulig å pushe applikasjoner til enheten. Ikke minst gir det muligheten til å slå på kryptering og sletting av enheter som har kommet på avveie. Sletting av enheten kan være litt kinkig hvis enheten er brukereid. Det samme er det når en ansatt slutter, siden ikke alle systemer har et skille mellom firmadata og private data. Mange av disse systemene baserer seg på en sikker container som inneholder mail og kalender-funksjonalitet. Disse har mye til felles med virtualisering, som vi titter på nedenfor. De er normalt mer begrenset, og det er ikke fritt frem å installere hvilke som helst applikasjoner i dem. Virtualisering på mobile enheter hadde vi en artikkel om i Nettverk & Kommunikasjon nummer 4. Det skjer spennende ting på denne fronten, og dette er muligens den mest ideelle løsningen for alle parter. Ved å lage virtuelle enheter kan man effektivt skille jobb og privat på telefonen. Det vil også gi mulighet til at man kan la andre låne enheten med en blank virtuell enhet slik at de ikke kan ødelegge noe eller få tilgang til informasjon de ikke skal ha. Det er klart en fordel at man kan slette hele enheten hvis en bruker slutter, uten å påvirke innholdet på den private delen. Samtidig kan arbeidsgiveren få fulle administrasjonsrettigheter på den virtuelle arbeidstelefonen, selv om enheten er eid av brukeren. Dette kan også gjøre det lettere å håndtere ting uten at de legale aspektene blir trøblete. Noe av minuset med viritualisering er at det normalt fører til et minste felles multiplum. Det betyr at brukeren ikke nødvendigvis får den opplevelsen som var forventet. Dette er selvsagt en stor utfordring i forbindelse med BYOD, hvor brukeren velger en enhet i forhold til hva han eller hun liker å jobbe med. Per i dag N & K nr. 5 2012 21
kjenner vi ikke til noen løsning for dette som fungerer på ios, og det er jo en av de mer dominante plattformene når brukeren skal velge selv. En annen virtualiseringsløsning er «Virtual desktop infrastructure» (VDI) hvor arbeidsflaten leveres fra en server. Dette gir en klar fordel i forbindelse med sikkerheten. Her kan man blant annet kreve to-faktor autentisering. Alle dokumenter og applikasjoner befinner seg på en server og ikke på den lokale enheten. Dette løser problemer med at en mistet enhet kan inneholde bedriftssensitiv informasjon. Tilgangen kan veldig enkelt fjernes om enheten skulle gå tapt, selv om dette ikke bør være et problem hvis man benytter to-faktor autentisering. Nok en gang kan det tenkes at de ansatte vil savne det originale grensesnittet til enheten. På den andre siden kan man få tilgang til programmer som ikke er tilpasset enheten man arbeider på. Redusere administrasjon Introduksjon av fremmede enheter i nettverket kan skape en overveldende situasjon når det gjelder administrasjon. Det er ønskelig å legge forholdene best mulig til rette for BYODenhetene om man ikke ønsker å sperre dem helt ute. Dette kan ta mye tid om det ikke finnes automatiserte rutiner som de ansatte kan benytte seg av. I tillegg til at de ansatte har flere enheter, vil nok utskiftingsfrekvensen være høyere når de ansatte selv velger. Den beste metoden for å gjøre dette så smertefritt som mulig for alle parter er hvis brukerne selv har en mulighet til å konfigurere enheten i henhold til bedriftens policy for mobile enheter. Smartphones har en slik løsning som heter Ansattportalen som legger forholdene til rette for at de ansatte selv kan innrullere en enhet i bedriftens systemer. På denne måten kan man få levert konfigurasjon og programmer på en enkel måte. Denne løsningen vil blant annet gi en applikasjonsportal hvor de ansatte kan hente ned de programmene som er ønsket og nødvendig. Dette vil også gi en god mulighet til håndtering av lisenser i forhold til installasjoner. Dette kan for eksempel benyttes ved at bedriften kjøper et antall lisenser på sikkerhetsprogramvare og tilbyr disse gratis til de ansatte via portalen. Dette kan hjelpe til å styre de ansatte En selvbetjeningsportal kan gjøre det mulig for brukerne å registrere sitt eget utstyr. Her kan de også få den konfigurasjonen de trenger, samt programmer. (Smartphones) i riktig retning ved at løsningene er lette å ta i bruk og gratis. Hvor starter man /konklusjon Det er noen ting som bør være standard på alle enheter, uavhengig av om de kun brukes privat. Auto-lock, kryptering og passord som er sterkere enn PIN-kode. Skal man ha en kontroll på BYOD kan det være en fordel at bedriften eier enheten selv om den ansatte får en mulighet til å velge den ut. Dette vil redusere sjansen for at det blir problemer i forhold til eierskap og rettigheter for bedriften. Det er lite tvil om at man må ha en strategi og policy i forhold til mobile enheter i dag. Det betyr ikke at man er nødt til å tillate det for alle, eller at det er riktig å la de ansatte ta det i bruk. Det er uansett viktig at de ansatte vet hva de har å forholde seg til. Hvis man ikke er i en situasjon hvor det er for stor risiko å tillate BYOD-bruk, bør man definitivt vurdere hva dette kan gjøre med produktiviteten og ansattes tilfredshet. Ønsker man å innføre en BYODstrategi, kan det være smart å ta kontakt med en leverandør som har erfaring på området og som kan gi råd, eventuelt levere en løsning. Vi har i forbindelse med denne artikkelen pratet med Symantec, Watchcom Security Group og Smartphones som alle har fokus på sikkerhet og løsninger omkring mobile enheter. BYOD trenger ikke bety Bring Your Own Disaster. Tar man kontrollen unngås den mulige katastrofen. Over 60 prosent av bedriftene anser ikke privat it- og mobilutstyr som noen sikkerhets risiko. (Coxit PR/Watchcom Security Group) Kun 53 prosent av bedriftene har en policy for mobile enheter. (Coxit PR/Watchcom Security Group) 22 N & K nr. 5 2012