Sicherheitsaspekte bei der Einf¼hrung von BYOD in Unternehmen

download Sicherheitsaspekte bei der Einf¼hrung von BYOD in Unternehmen

of 20

  • date post

    22-Oct-2014
  • Category

    Business

  • view

    299
  • download

    4

Embed Size (px)

description

Einführung in Bring Your Own Device mit Fokus auf Sicherheitsaspekte, die bei der Einführung einer Bring-Your-Own-Device-Strategie zu beachten sind.

Transcript of Sicherheitsaspekte bei der Einf¼hrung von BYOD in Unternehmen

Sicherheitsaspekte bei der Einfhrung von Bring Your Own Device in Unternehmen

Sicherheitsaspekte bei der Einfhrungvon Bring Your Own Device in Unternehmen

Philipp Kumar

Hype oder Trend?Eigene WahrnehmungEinfhrung und Sicherheitsaspekte

1

Philipp Kumarakquinet AGCompetence Center Mobile LsungenSchwerpunkteMobile UnternehmenslsungenMobiltechnologien

2

14.08.13

Copyright 2013 akquinet AG

ber mich

2

3

14.08.13

Copyright 2013 akquinet AG

Business Consulting

JAVA

Business SolutionsJBossWebsphereOSGi

Mobile SolutionsAndroidiPhone

Innovative Solutions

User ExperienceAnalyseKonzeption

Open Source

Microsoft / .NET

Dynamics NAV

Dynamics AX

Dynamics CRM

Sharepoint / .NET

Branchenlsungencare concepteasy sanopus curare

Telematik

Internationale Projekte

Outsourcing

IT-Consulting&Projekte

Outsourcing & Services

RZ-Betrieb

BusinessProcessOutsourcing

SAP

SAP-Security&Compliance

BRM/BRO (BusinessRulesManagement)

SAP ConsultingCRM, SCM, SRMLogistik, Finance

SAP Development

SAP TechnologieSAP Basis

Open Text

akquinet AG

3

4

14.08.13

Copyright 2013 akquinet AG

Einfhrung in BYOD

Herausforderungen

Sicherheitsanforderungen und -manahmen

Wann passt BYOD zu Ihrem Unternehmen?

Inhalte

4

Bild: Allgemein zu Bring Your Own Deviceoder Handy im Firmenkontextoder Handy am Arbeitsplatz

Einfhrung in BYOD

5

Was ist BYOD?

Mobilgert gehrt Mitarbeiter

Mobilgert erhltZugriff auf IT des UnternehmensDatenSoftware

Im Kontext dieses Vortrags v.a.Smartphones, Tablets

6

14.08.13

Copyright 2013 akquinet AG

Bisweilen erstaunlicher Dissenz ber die Begrifflichkeiten(3) Weniger: Notebooks

6

BYOD: Einsatz und Erwartungen

43 % der Unternehmen erlauben, eigene Gerte mit Firmennetzwerk zu verbinden81 % dieser Unternehmen erhoffen sich, damit Mitarbeiterzufriedenheit zu erhhen74 % erwarten Effizienzsteigerungen, weil Mitarbeiter mit Gerten vertraut sind40 % wollen so als moderner AG wahrgenommen werden53 % der Unternehmen lehnen Einsatz privater Gerte am Arbeitsplatz ab (Wartungs- und Sicherheitsaufwand)

7

14.08.13

Copyright 2013 akquinet AG

Quelle: Bitkom, http://www.bitkom.org/73623_73615.aspx, 2012

7

Ziele von BYOD

Hufig genannt:

Zufriedenheit und Motivation der Mitarbeiter

Erhhung Effizienz der Mitarbeiter

Senkung Anschaffungskosten Arbeitgeber

8

14.08.13

Copyright 2013 akquinet AG

(1) MA drfen aktuelle Gerte einsetzen, i.d.R. benutzerfreundlicher in der Bedienung, Spafaktor. Emotionale Bindung mit Gert.(1) MA beteiligt an Gerte-/Softwareauswahl(2) Vertrautheit mit Gert,(3) Frage ist, ob das im Verhltnis zu den Kosten fr Security und Wartung stehtAlle Punkte sind mindestens zu hinterfragen und nicht automatisch gegeben.

8

Herausforderungen

!

9

Organisatorische Herausforderungen

Welche Informationen drfen aufPrivatgerten verarbeitet werden?Zu welchem Zweck?

Nutzungs-/Lizenzkosten

Buchhaltung / Kostentrennung

Ein-/Ausschluss bestimmter Plattformen

...Literaturberblickspapier Consumerisation und BYOD, BSI, 2013

10

14.08.13

Copyright 2013 akquinet AG

10

Rechtliche Herausforderungen

Haftung

Datenschutz

Bindende Vereinbarungen mit MA

LiteraturLeitfaden Bring Your Own Device, Bitkom, 2013

11

14.08.13

Copyright 2013 akquinet AG

Haftung z.B. bei Verlust. Wem gehren die Daten? Wer haftet bzw. kann wie haftbar gemacht werden?Datenschutz: Beruflichen Daten, die vor Zugriff geschtzt werden mssen, sei es technisch durch private Apps aber auch z.B. durch Verwandte.Aber auch private Daten des MA auf dem Gert, die die Firma nicht sehen soll.Trennung berufliches und privates auf dem Gert notwendig

11

Technische Herausforderungen

In erster Linie Consumer- und keine Business GertePlattform-FragmentierungGerte-FragmentierungInnovations-/Update-ZyklenAdministrative Kontrolle ber Privatgertebertragungssicherheit...

12

14.08.13

Copyright 2013 akquinet AG

(1) I.d.R. weniger Augenmerk auf Sicherheit, mehr auf Usability und Innovation.Bzgl. BYOD v.a. Consumer-Markt interessant, damit v.a. Android und iOS, dahinter abgeschlagen Windows, andere Systeme haben kaum Relevanz(3) Manche Gerte, v.a. Android, stark hersteller-angepasst => Keine Android-Updates, Sicherheitslecks in Herstellersoftware(5) Privatgerte werden ja zunchst durch Ihre Anwender administriert. Das ndert sich bei BYOD, oder muss sich in vielen Fllen ndern.(6) Gerte oft eben extern mobil und nicht im intern im WLAN des Bro

12

Sicherheitsanforderungen/-manahmen

13

Sicherheitsanforderungen

Gerteverschlsselung

Gerteverwaltung

Gert aus der Ferne zurcksetzen

Trennung private von berufliche Daten und Anwendungen

14

14.08.13

Copyright 2013 akquinet AG

(1) Must-have, damit Daten nicht ohne weiteres gelesen/extrahiert werden knnen, insb. auch nach Verlust der Gerts(2)Zentrales Verwalten der Gerte inkl. Entferntes Einspielen von Betriebsystem- und App-UpdatesRichtlinien z.B. Passwortkomplexitt oder Erzwingen von Sperrbildschirmen.Admin-Konzept und Admin-Privilegien spezieller Apps, die mehr Rechte haben als normale Apps(3) Remote Wipe. Last-Resort-Manahme nach Verlust, hilfreich zur Schadensbegrenzung(4) Zwei komplett getrennte Bereiche, zwischen denen keine Daten ausgetauscht werden. Beruflicher Bereich deutlich eingeschrnkter als privater.

14

Sicherheitsanforderungen

GerteverschlsselungiOS Android GerteverwaltungiOS Android Gert aus der Ferne zurcksetzeniOS Android Trennung private von beruflichen Daten und AnwendungeniOS Android

15

14.08.13

Copyright 2013 akquinet AG

(1) iOS kann das seit Version 4 (Ende 2010), Android seit Version 4 (Ende 2011) mittlerweile auch.Vorsicht Android-Fragmentierung, gibt Gerte, die das nicht knnen, weil sie keine Updates bekommen.(2)Gute Untersttzung auf iOS und Android, die es erlaubt, spezielle Apps/Dienste zu haben, die das Gert administrieren knnen.(3) Remote Wipe. Geht auf iOS und Android. Rechtlich auch hier eine Vereinbarung notwendig, weil ja auch private Daten gelscht werden.(4) Verschlsselter Business-Container. Leider noch keine native OS-Untersttzung.Viele Mobile-Device-Management-Lsungen bieten das an. Vorsicht geboten, weil diese Lsungen nur so sicher sind wie das zugrundeliegende BetriebsystemAllein deshalb lohnt es sich, BYOD zu beschrnken auf bestimmte Gerte

15

Private vs. berufliche Daten/Apps

WegeKeine explizite Trennung

Virtualisierung

Verschlsselter Container

16

14.08.13

Copyright 2013 akquinet AG

Nicht explizit trennen.Wird ohne genaue Regelung oft gemacht. Android z.B. trennt Apps in eigene SandboxesIst ein mglicher Weg, aber erfordert besondere Vorsicht und Sensibilisierung bei MA und hohe Vertrauensbasis.Bei sensiblen Daten rechtlich bedenklichVirtualisierungErfordert Eingriff in das Betriebssystem und damit ein angepasstes Betriebsystem. Gerte-Rooting deshalb erforderlich. Solche Lsungen sind vergleichsweise sicher, aber fr BYOD m.E. nicht praktikabel, hoher Aufwand und Garantie erlischtVerschlsselter Business-ContainerEinige MDM-Lsungen bieten das an. Auch hier Administrationsrechte der Firma erforderlich.

16

Wann passt BYOD zu Ihrem Unternehmen?

17

(1) BYOD oder nicht BYOD?

Wird wirklich Mitarbeitermotivation-/zufriedenheit erhht?Wie ticken Ihre Mitarbeiter?

Werden meine Mitarbeiter mit eigenen Gerten effizienter?Gegenber Firmengerten

Spart BYOD Geld?Effizienzsteigerung/Investionssenkungvs. Support-/Security-Aufwand

18

14.08.13

Copyright 2013 akquinet AG

18

(2) Stufen von BYOD

(1) E-Mails und Kalender

(2) Verzeichnisdienste, Kollaborationsdienste, Dateizugriff

(3) Mobile Geschftsprozesse

19

14.08.13

Copyright 2013 akquinet AG

(1) MDM-System empfohlen. Oftmals reicht Exchange und ActiveSync als MDM. Viele Firmen machen das, ohne explizitzu regeln.(2) MDM-System mit administrativen Rechten auf dem Gert notwendig. Klare Vereinbarungen mit MA sinnvoll. (3) Beispiele: Sales-Anwendungen fr Vertriebler, Zeiterfassung/Abrechnungs-Apps, individualisierte Firmenlsungen (z.B. CareViva). Lieber Firmengert stellen?

Grobe Einteilung. berlegen Sie sich, welche Stufe am ehesten das ist, was sie in Ihrem Unternehmen machen mchtenStufe 1 vergleichsweise leicht zu handhaben und erhht Mitarbeitereffizienz. Deshalb sehr oft gegeben, wenn auch implizit.Stufe 2: Hngt schon sehr davon ab, wie oft ihre MA unterwegs sind. Ggf. reicht Ihnen sogar ein Thin-Client, der keine der abgefragten Daten lngerfristig speichert, z.B. einfacher Browser mit bestimmten Richtlinien Problem solcher Lsungen: Nicht oder nur sehr begrenzt offlinefhig.Wenn offlinefhig und Daten ablegen: Rechtliche Vorkehrungen sinnvoll und MDM-Lsung mit Business-Container empfohlenStufe 3: Hier sptestens fragen: Wollen sie das auf den Privatgerten Ihrer Mitarbeiter machen oder nicht doch Gerte stellen?Mischform denkbar: Sie legen einen Pool von Gerten fest, aus denen die MA whlen knnen. Gerte gehren der Firma (rechtlich leichter) oder dem MA (z.B.