14 mythes over mobility en security

Vroeger was het beveiligen van mobiele bedrijfsdevices nog gemakkelijk. De IT-afdeling stelde volledig dichtgetimmerde laptops en Blackberries ter beschikking aan medewerkers. Heel wat security professionals kijken met weemoed terug naar die tijd, want de komst van de smartphones heeft een hoop veranderd. Maar ook anno 2014 is security goed aan te pakken. Zolang we de focus maar leggen op de data en niet op de apparaten. Veertien mythes over mobility en beveiliging.

Het grootste probleem is dat het allemaal zo snel is gegaan. Plotseling waren de smartphone, tablet en BYOD er en veel organisaties weten nu nog steeds niet precies wat ze ermee aan moeten. In de vaart van die razendsnelle mobiele revolutie zijn tientallen mythes ontstaan. In dit artikel wordt het waarheidsgehalte van de 14 belangrijkste mythes op het gebied van mobiele security onder de loep genomen. Welke zijn waar, welke niet?

Mythe 1: Malware is de grootste bedreiging voor mobility

NIET WAAR

Mobiele malware was de laatste tijd flink in het nieuws, maar de echte bedreiging ligt in het kwijtraken of openbaar worden van bedrijfsdata, vooral door verloren of gestolen devices. Het is voor een vinder of dief relatief eenvoudig om tools zoals remote wiping te ontwijken, door het device simpelweg uit het netwerk te halen. Daarnaast is herhaaldelijk aangetoond dat het zelfs mogelijk is informatie te halen uit versleutelde data. 

Mythe 2: MDM of containers bieden afdoende beveiliging

NIET WAAR

Mobile Device Management en containers zijn weliswaar verschillende manieren om devices te beveiligen, maar ze horen bij elkaar omdat van beide wordt aangenomen dat ze op zichzelf al beveiliging bieden – maar niets is minder waar.

MDM-oplossingen geven controle over en inzicht in het gebruik van een device, maar ze zijn niet gemaakt voor securitydoeleinden. Ze geven dus een misplaatst gevoel van veiligheid, sterker nog: in het beste geval biedt een MDM-oplossing alleen beveiliging op device-niveau. Realistische organisaties willen echter volledig inzicht hebben in het gebruik van mobiele oplossingen binnen het bedrijf. Zowel in de devices en de apps als de data. Beveiliging op device-niveau is daarvoor niet voldoende.

Containers hebben een soortgelijk probleem: ook daarvan wordt verondersteld dat ze een afgesloten zone vormen op een mobiel device, waarin bedrijfsdata volkomen veilig zijn. Ze kunnen echter gemakkelijk worden gecompromitteerd door inspectietools op het device, net zoals de keyloggers in desktop-malware doen. Daar komt nog bij dat containers tegen alle trends in juist barrières tegen integratie opwerpen.

Noch MDM, noch containers beveiligen bedrijfsdata, vooral niet als er sprake is van clouddiensten. Hoewel ze zeker nuttig zijn, dragen ze niet bij aan mobiele security. Bovendien zijn ze vaak device-specifiek en kunnen behoorlijk irritant zijn voor gebruikers.

Mythe 3: geen BYOD = geen mobiele securitybedreigingen

NIET WAAR

Het afwijzen van BYOD en mobility is een gevaarlijk punt ten opzichte van mobiele security. Het veronderstelt namelijk dat mobiele devices nooit toegang kunnen hebben tot bedrijfsdata zonder dat dat door IT wordt goedgevonden. In tegendeel, smartphones zijn complete computers met een ingebouwde telefoon, tablets en laptops zijn geen speelgoed met een paar simpele appjes. Alle moderne mobiele devices kunnen via een webbrowser bij bedrijfsdata komen. Een afwijzende houding leidt dus tot helemaal niets. Wat goed beveiligd moet zijn, is de toegang tot de data in de backend systemen.

Mythe 4: openbaar wi-fi is nooit veilig

GEDEELTELIJK WAAR

Hoewel er security-risico’s kleven aan het gebruik van openbare, onbeveiligde wi-fi, is het weldegelijk mogelijk er veilig gebruik van te maken, door toepassing van een VPN-connectie. Een VPN (Virtual Private Network) maakt gebruik van speciale verbindingen en encryptie, waardoor op een betrouwbare manier van buitenaf toegang tot bedrijfsinformatie wordt verkregen. Het is met moderne applicatieontwikkelingsplatformen ook mogelijk het device te dwingen gebruik te maken van 3G- of 4G-verbindingen, ook als er vrij toegankelijk wi-fi beschikbaar is. Mobiele netwerken zijn immers aanzienlijk veiliger dan openbare wi-fi. Hoewel we als consument gewend zijn geraakt aan het gebruik van wi-fi, moeten bij bedrijfsmatig gebruik de veiligheidsrisico’s onder ogen worden gezien, zoals onderschepping van datapakketten en subtiele vormen van malware. Dit soort bedreigingen wordt helemaal ontweken door mobiele netwerken te gebruiken in plaats van publieke wi-fi.

Mythe 5: het is óf de user experience óf security

NIET WAAR

In de begintijd van BYOD werd gedacht dat er maar één manier was om mobiele devices goed te beveiligen: ze helemaal dichttimmeren en alleen een streng geselecteerde groep mensen toegang geven tot enkele applicaties. Bij gebrek aan een alternatief legden veel gebruikers zich daar destijds bij neer. Tegenwoordig kunnen security controls heel eenvoudig omzeild worden – wat de meeste gebruikers dan ook doen, gewoon omdat ze vinden dat mobiele informatie ze productiever maakt.

Dat hoeft tegenwoordig allemaal geen probleem meer te zijn. Bedrijven beseffen dat het maar om één ding gaat: de data. Als die goed worden beschermd op serverniveau hoeft dat helemaal geen grote impact te hebben op de productiviteit van de gebruiker. Omdat de data niet worden opgeslagen op het device, hoeft dat apparaat alleen maar gecontroleerd te worden op malware.

Mythe 6: Uw bestaande voorziening voor Data Loss Prevention werkt ook voor mobile

NIET WAAR

Traditionele oplossingen voor Data Loss Prevention gaan ervan uit dat alle data en devices zich achter een beveiligde muur bevinden of dat zware software het device beveiligt. In de mobiele wereld kan de benodigde data zich echter overal bevinden. En als privé-devices ook worden gebruikt voor werk is het behoorlijk lastig om de gebruikers een log securitysysteem op hun device te laten installeren. Nogmaals: het is beter te focussen op de beveiliging van de data, niet van het device.

Mythe 7: Mobiele devices slaan geen gegevens op

NIET WAAR

Deze gedachte komt waarschijnlijk voort uit het idee dat alles wat een mobiel device doet via weblinks gaat en dat er dus geen data worden opgeslagen op het apparaat. Het tegendeel is waar. Op de huidige devices wordt een aanzienlijke hoeveelheid data gecachet, als ‘temporary’ of als ‘saved’ files. Als de bedrijfsapplicaties zo gemaakt zijn dat ze alleen maar informatie tonen die wordt toegezonden vanaf een server is er geen enkele reden tot ongerustheid; dergelijke data worden immers niet opgeslagen op het device. Werken de applicaties niet zo, dan moet gezocht worden naar een mogelijkheid om die gecachete data te beveiligen.

Datachaching is vooral een probleem met HTML5, omdat daarmee elke webpagina automatisch wordt gecachet. Die informatie blijft in het device achter, zelfs als u de cache leegt omdat dat alleen maar overschrijving mogelijk maakt – en de data niet echt verwijdert. Aan de andere kant zijn er applicatieontwikkelingsplatforms die het mogelijk maken het cachingprobleem op een veilige manier op te lossen. Het platform zendt bijvoorbeeld alleen de data die nodig zijn voor een bepaalde taak. Die data zijn bovendien versleuteld en kunnen automatisch en volledig uit de cache worden verwijderd als de gebruiker de taak heeft verricht.

Mythe 8: Gebruikers zijn een bedreiging voor security

WAAR

Dat betekent niet dat alle gebruikers kwaadwillend zijn en voortdurend proberen de bedrijfssecurity te saboteren, maar ze zijn zich in sommige gevallen weldegelijk bewust van de gevaren. Gebruikers doen wat het beste voor ze is, en zijn dus altijd op zoek naar de makkelijkste en snelste manier om hun werk te doen. Zelfs als dat betekent dat ze daarvoor ongeautoriseerde of verboden clouddiensten en devices moeten gebruiken. De gebruikers geven niet zomaar hun lievelingsdevice of favoriete app op; ze willen ook niet werken in een soort afgesloten container die hun werkwijze onmogelijk maakt. En omdat ze in toenemende mate hun eigen devices gebruiken, willen ze niet dat de werkgever daar de volledige controle over krijgt. Bovendien zijn ze bevreesd voor hun privacy. Daarom is het belangrijk dat IT en gebruikers gezamenlijk een veilige mobiele oplossing ontwikkelen die de gebruikers niet te veel beperkt.

Mythe 9: mobiele data wordt alleen maar opgeslagen op het device

NIET WAAR

Aan de andere kant zijn er ook organisaties die geloven dat mobiele data alleen maar worden opgeslagen op het device waarop het wordt ‘gesaved’. Tussen een clouddienst en het mobiele netwerk in is het echter moeilijk te zeggen waar de data precies naartoe gaan. Daarom is er een ‘data-first-approach’ nodig die in de gaten houdt waar de data heen is gegaan en vervolgens passende maatregelen neemt – overigens zonder gevolgen voor de user experience.

Mythe 10: sterke wachtwoorden = mobile security

NIET WAAR

Corporate Password Management geeft een onterecht gevoel van veiligheid, omdat de zogenaamde ‘sterke wachtwoorden’, met hoofd- en kleine letters, numerieke en alfanumerieke symbolen, ontzettend moeilijk te onthouden zijn voor de gebruikers – zeker als ze ook nog regelmatig vernieuwd moeten worden. De touchscreens van mobiele devices missen ook nog eens de feedback van een fysiek toetsenbord, waardoor gebruikers ten einde raad hun passwords maar opschrijven. Dat is nu precies wat we met security NIET willen bereiken. Sterke authenticatie moet gebruikt worden bij toegang tot gevoelige data, maar het is veel beter dat te doen met methoden zoals twee-factoren authenticatie.

Mythe 11: IT moet uitmaken waar data heen gaan

GEDEELTELIJK WAAR

Doordat gebruikers in toenemende mate bekend zijn met technologie, zoeken ze voortdurend op eigen houtje naar manieren om hun productiviteit te verhogen. Dat is op zich mooi, maar het kan rampzalige gevolgen hebben als ze daarbij de veiligheidsrisico’s negeren. Daarom is het belangrijk dat de IT-afdeling nauw samenwerkt met de gebruikers, zodat ze zien hoe werknemers willen werken en hoe ze die processen kunnen beveiligen.

Mythe 12: mobiele devices zijn altijd up to date

NIET WAAR

Een mythe die waarschijnlijk voortkomt uit de wereld van de clouddiensten voor consumenten, is dat mobiele apparaten altijd automatisch up to date gehouden worden via carriers. In werkelijkheid is dat helemaal niet zo. Dit heeft enorme fragmentatie van het ecosysteem tot gevolg waardoor het merendeel van de gebruikers overgeleverd is aan bekende kwetsbaarheden - die zijn opgelost in upgrades die ze nooit te zien krijgen. En hoewel clouddiensten zoals Google Apps en Salesforce.com automatisch updates ondergaan op de server, moeten de apps op de devices met de hand worden geüpdate, zelfs als een nieuwere versie beschikbaar komt.

Mythe 13: publieke appstores zijn altijd veilig

NIET WAAR

Dat Apple de App Store streng bewaakt en controleert, en Google voortdurend security checks uitvoert, geeft geen enkele zekerheid. Malware is een groot probleem in de Google Playstore; recent is aangetoond dat kwaadaardige code zelfs door de meest strenge controles kan worden geloodst. Een ander aspect is dat veel app-ontwikkelaars in heel veel apps toestemming aan de gebruiker vragen om toegang te mogen hebben tot contacten, email en social networks. Daardoor zijn de gebruikers er helemaal aan gewend geraakt om op een onveilige manier met apps om te gaan. Daarom is veilige toegang tot bedrijfsdata zo waardevol. Probeer daarnaast ook zoveel mogelijke veilige apps te vinden die gebruikt mogen worden voor gevoelige werkzaamheden.

Mythe 14: Managementtools bedreigen de privacy en experience van de gebruikers

WAAR

Het gebruik van MDM kan bij medewerkers de gedachte opwekken dat de IT-afdeling hen kan bespioneren bij alles wat ze doen op hun persoonlijke device. Met de groeiende populariteit van BYOD, ligt het voor de hand aan te nemen dat de devices na het werk worden gedeeld met gezin, familie en vrienden. De angst moet dus serieus genomen geworden, zeker omdat het begluren van gebruikers technisch mogelijk is. De zorgen van de gebruiker kunnen niet worden weggenomen door ze ervan te verzekeren dat ze de werkgever kunnen vertrouwen. Wat ook niet werkt, is ze voor de keuze zetten om óf MDM te accepteren, of niet langer van hun eigen device gebruik te mogen maken. In de eerste plaats zullen medewerkers altijd manieren vinden om regels en voorschriften te omzeilen en zich uiteindelijk nergens meer iets van aantrekken. Dat is het ideale recept voor een zwakke plek in de security. Ten tweede werken de gebruikers met hun eigen devices omdat ze vinden dat ze daarmee efficiënter en effectiever kunnen werken dan met de spullen van het bedrijf. Werk samen met de gebruikers om er zeker van te zijn dat hun zorgen worden aangepakt en dat security niet boven hun productiviteit wordt gesteld. Ook hier kan er maar één conclusie zijn: focus op het beveiligen van de toegang tot bedrijfsdata en niet op de gebruikte devices en applicaties.

John Verwaaijen is General Manager Benelux van Magic Software