Okostelefonjával, tabletjével szinte minden alkalmazott hozzáfér vállalati adatokhoz, és ez bizony jelentősen növeli annak veszélyét, hogy bizalmas információk kerülnek rossz kezekbe. A tét minden korábbinál nagyobb: a Ponemon Institute jelentése szerint egy vállalati adatlopási incidens átlagos napi költsége meghaladja a 21 ezer dollárt - idézi a felmérést JR Raphael, a CSO szerkesztője. Bár a híreket az egyre rafináltabb és egyre nehezebben észlelhető rosszindulatú mobilappokkal kapcsolatos rémisztgetések uralják, szakértők szerint a való világban a mobilos vírusfertőzések meglehetősen ritkák, köszönhetően egyrészt a mobilvírusok természetének, másrészt a mobiltelefonos operációs rendszerekbe épített védelemnek. Az igazi mobilbiztonsági kockázatok néhány elhanyagolt területen találhatóak, és az előrejelzések szerint az idén sok fejfájást okozhatnak a vállalatoknak.
Adatszivárgás
Ettől félnek a leginkább a vállalati adatok védelméért felelő informatikusok. Az teszi különösen bosszantóvá ezt a problémát, hogy az alkalmazottak egyszerű hanyagsága okozza, akik gondolkodás nélkül engedélyt adnak a telepített appoknak arra, hogy hozzáférjenek a mobileszközeiken tárolt információkhoz. A biztonságiak számára komoly kihívást jelent egy olyan mobilapp-értékelő eljárás kidolgozása, amely nem terheli túl a rendszeradminisztrátort, és nem frusztrálja a felhasználókat, állítja Dionisio Zumerle, a Gartner mobilbiztonsággal foglalkozó kutatási igazgatója. A szakember mobilfenyegetettség elleni védelmi megoldások (például Symantec Endpoint Protection Mobile, CheckPoint SandBlast Mobile és Zimperium zIPS Protection) használatát javasolja, amelyek felderítik az appok szivárogtató viselkedését, és automatikusan blokkolják a problémás folyamatokat.
Sajnálatos módon azonban még ezek a szoftverek sem akadályozzák meg mindig az alkalmazottak hibáiból eredő adatszivárogtatásokat, például amikor valaki egyszerűen feltölti a céges fájlokat egy nyilvános felhőszolgáltatásra, rossz helyre másolja be a bizalmas információkat, vagy véletlenül illetéktelen személynek továbbít egy-egy e-mailt. Az ilyen, gondatlanságból elkövetett cselekedetek megakadályozásával küszködik manapság az egészségügyi szektor: a Beazley biztosító adatai szerint 2017 első három negyedévében nem szándékos közzététel okozta az egészségügyi szervezeteknél észlelt adatlopási incidensek 41 százalékát. Az ilyen típusú kiszivárogtatások ellen a leghatékonyabb védelmet az adatvesztést megakadályozó (data loss prevention, DLP-) eszközök nyújtják, amelyeket kifejezetten a bizalmas információk nyilvánosságra kerülésének megelőzésére fejlesztettek ki - beleértve a gondatlanságból eredő kiszivárogtatásokat.
A jó öreg phishing
Akárcsak az asztali számítógépek mellett dolgozókat, a mobilkészülékek használóit sem kerülik el az angolul social engineering gyűjtőnévvel illetett információszerzési módszerek. Bár sokan gondolják úgy, hogy őket ilyen furfanggal nem lehet átverni, a hackerek továbbra is előszeretettel alkalmazzák a bepalizós trükköket. A Verizon által észlelt sikeres adatlopási incidenseknek nem kevesebb, mint 90 százaléka adathalászat eredménye. Miközben az alkalmazottaknak csupán a 7 százaléka válik adathalászati kísérlet áldozatává, ezek a könnyelmű és hiszékeny felhasználók hajlamosak arra, hogy később újra átverjék őket. A Verizon szerint azon munkavállalók 15 százaléka, akiktől egyszer már sikerült bizalmas információkat kicsalni, még ugyanabban az évben legalább egyszer rászedhetők valamilyen adathalász fondorlattal.
Mi több, az IBM egyik kutatása megállapította, hogy a mobileszközök használói háromszor sebezhetőbbek a PC-használóknál alapvetően azért, mert nagyon sokan ma már az okostelefonjukon olvassák el először a beérkező üzeneteket. John "Lex" Robinson, az adathalászat elleni szimulációs tréningeket kínáló PhishMe cég stratégája szerint a BYOD-tendencia a ludas: egyre jobban összemosódik a céges és a személyes eszközhasználat. Mind több munkavállaló kezel egyszerre több postafiókot - személyes és céges fiókok kombinációját - az okostelefonján, és szinte mindenki intéz személyes ügyeket online a munkahelyén. Így azután egyáltalán nem tűnik szokatlannak, ha egy személyesnek tűnő, valójában hackerek küldte levél kerül a munkával kapcsolatos üzenetek közé.
Wifi-re fel?!
Egy eszköz csupán annyira biztonságos, mint a hálózat, amelyen keresztül adatokat továbbít. Egy olyan világban, ahol állandóan nyilvános wifi-hálózatokhoz csatlakozunk, ez azt jelenti, hogy adataink gyakran nincsenek olyan biztonságban, mint ahogyan azt hisszük. A vállalati biztonsággal foglalkozó Wandera kutatása szerint a céges mobileszközök háromszor több ideig használnak wifi-kapcsolatot, mint mobilinternetet. A legutolsó vizsgált hónapban az eszközök közel negyede csatlakozott nyilvános, potenciálisan veszélyes wifi-hálózatokhoz, és 4 százalékuk szenvedett el közbeiktatásos (man-in-the-middle) támadást, melynek során aljas célból lehallgatható a forgalom a két végpont között.
Manapság már nem okoz nehézséget a forgalom titkosítása, és ha nem rendelkezünk VPN-nel, rengeteg kaput hagyunk nyitva a peremeken, figyelmeztet a veszélyekre Kevin Du, a Syracuse University számítástechnika-professzora, akinek szakterülete az okostelefonok biztonsága. Ugyanakkor már nem olyan egyszerű a megfelelő vállalati osztályú VPN kiválasztása, így szinte mindig kompromisszumokat kell kötni. A mobileszközökhöz használt VPN-től intelligensebb működést várunk el, hiszen a készülék áramfogyasztásának minimalizálására kell törekedni. A jól működő VPN csak akkor aktiválódik, amikor feltétlenül szükség van rá, nem amikor a felhasználó meglátogat egy híroldalt, vagy egy megbízható és biztonságos minősítésű appal dolgozik.
Folt nélkül lyukas
Az okostelefonok, tabletek és az IoT-eszközök új fenyegetést jelentenek a vállalatok biztonságára, mivel a hagyományos munkaeszközöktől eltérően nincs garancia a rajtuk futó szoftverek rendszeres frissítésére. Ez különösen igaz az Android-világra, ahol a gyártók túlnyomó többsége nem tartja naprakész állapotban a termékeit (nem frissíti az operációs rendszert, és nem ad ki havi rendszerességgel biztonsági javításokat), valamint az IoT-eszközökre, amelyek közül sokat egyáltalán nem úgy terveztek, hogy gondoltak volna a későbbi frissítésre. Egyszerűen nincs beépített hibajavítási mechanizmusuk, ami egyre nagyobb fenyegetést jelent, hívja fel a figyelmet a veszélyre Du.
Ellopták, elhagyták
Végezetül egy első látásra jelentéktelennek tűnő fenyegetés, amely azonban még mindig rengeteg probléma forrása: az elvesztett, felügyelet nélkül hagyott vagy ellopott eszköz hatalmas biztonsági kockázatot jelent, különösen akkor, ha nem állítottak be rajta erős jelszót és teljes körű adattitkosítást. A Ponemon Institute 2016-os tanulmánya szerint a felmérésben résztvevő személyek 35 százaléka jelezte, hogy vállalatánál nincsenek kötelező előírások a vállalati adatok védelmére. Ami még ennél is súlyosabb probléma: a válaszadók közel fele arról számolt be, hogy készülékeiket nem védi jelszó, pin-kód vagy biometrikus azonosítás, mintegy kétharmaduknál pedig nem titkosítják az adatokat. Hatvannyolc százalékuk ismerte el, hogy néha megadja másnak a jelszavát a személyes vagy vállalati fiókjához. Ezeknek a szomorú tényeknek a tanulsága, hogy nem lehet a felhasználókra hárítani a felelősséget, hanem szigorú biztonsági előírásokat kell alkalmazni a vállalati adatok védelme érdekében.
