Sicurezza dei dispositivi mobili

Transcript

1 Sicurezza dei dispositivi mobili Luca Bechelli Freelance ICT Security Consultant Direttivo e Comitato Tecnico Scientifico CLUSIT - luca@bechelli.net c4s.clusit.it

2 Mobilis in mobile Ha (ancora) senso parlare di mobile? Fonte: Cisco Systems 2

3 insicurezza Mobile 3

4 insicurezza Mobile 4

5 L approccio Strategia Infrastruttura Abilitante Mobile X management 5

6 Strategia:Quanto siamo lontani? Forrester Research

7 Strategia: Maturità dei modelli Modello COBO (Corporate- Owned, Business Only) COPE (Corporate Owned, Personally Enabled) Benefici per azienda e utente L azienda ha completo controllo del dispositivo, utilizzato solo per motivi lavorativi. Soluzione un po rigida ma ancora adatta per utilizzi particolari dei dispositivi. L azienda seleziona un numero contenuto di tipologie di dispositivi, di sua proprietà e su cui definirà sue policy di gestione e sicurezza. L utente risparmia sull acquisto del dispositivo. Spesa inferiore per l acquisto dei dispositivi per economie di scala Svantaggi per azienda e utente Costo di acquisto dei dispositivi a carico dell azienda, l utente è limitato sul fronte delle possibilità di utilizzo personale del dispositivo. Tutto il costo di acquisto dei dispositivi è a carico dell azienda. Per l utente, minore scelta rispetto all acquisto personale. BYOD (Bring Your Own Device) Riduzione del costo a carico dell azienda per l acquisto e la connessione del dispositivo mobile. Dal punto di vista dell utente, dispositivo unico per più scopi, maggiore produttività e flessibilità operativa. Possibile perdita di dati aziendali o diffusione di malware, e difficoltà legate alla gestione di dispositivi eterogenei. Non gradita la supervisione da parte di esterni del dispositivo personale (invasione della Privacy) 7

8 Strategia: Quale modello? Requisito Numero di dispositivi Sistemi operativi Mobile App e internal App Store Funzionalità EMM richieste Livello di sicurezza richiesto Aspetti legati alla connettività Scelta della soluzione EMM Analisi del TCO Domande Quanti saranno i dipendenti per i quali dovranno essere adottate misure di sicurezza e gestione di dispositivi mobili? E richiesta una segmentazione degli utenti in base al loro ruolo in azienda? E per collaboratori e partner esterni? Quali saranno i sistemi operativi da gestire? (es. ios, OSX, Android, BlackBerry OS, Windows Phone) Quali e quante saranno le App aziendali utilizzate dagli utenti? È richiesto il set up di un Enterprise App store? E previsto l utilizzo di App di terze parti che richiederanno specifico supporto tecnico? Quali delle seguenti funzionalità sono richieste? Mobile Device Management - Mobile Management - Mobile Application Management - Mobile Secure Workspace - Mobile Content Management. Si vogliono predisporre alcune misure base di sicurezza, come restrizioni sul dispositivo, richiesta di passcode, VPN, remote wipe/lock, o un controllo completo su dispositivo, applicazioni, Come si collegano dati? i dispositivi mobili? L azienda dispone già di un infrastruttura di rete Wireless sicura? Si preferisce una soluzione EMM in cloud, hosted, oppure on premise? Con pagamento ricorrente o licenza? Si dispone già di una soluzione EMM da cui si vuole migrare? Quale sarà il costo complessivo (c.d. Total Cost of Ownership - TCO) per la gestione della soluzione? 8

10 Infrastruttura: il Cloud n n improbabile escluderlo! opportunità? u controllo centralizzato u VDI u Multiple Mobile Cloud Protection Engines u Mobile Cloud Computing 10

11 Infrastruttura: dispositivi Android ios Windows Phone BlackBerry MDM Integrato Blocco / Cancellazione remota Cifratura del dispositivo Separazione tra dati aziendali e personali Verifiche di sicurezza fatte a livello di market Verifica di app malevole pre-installazione Sandbox integrata per le applicazioni Multi utente Modalità Ospite Modifiable-per-application user data access Tracciamento remoto del dispositivo Installazione di app da canali alternativi agli store ufficiali Firma delle app Visualizzazione dei permessi durante l installazione delle app Visualizzazione dei permessi durante aggiornamento app Presenza di app store di terze parti Modalità di sblocco del dispositivo Pin, Password, sequenza di blocco, riconoscimento facciale, NFC, bluetooth Pin, Password, Touch ID Password, trascinamento Pin, Password 11

12 Infrastruttura Focus sull Integrazione u NAC u Anti-Malware u I&AM u SIEM u 12

14 Mobile X Management MDM u Policy Enforcement u Autenticazione ai servizi aziendali u Remote control (es: lock & wipe) u Device Provisioning & Inventory u App Distribution, Provisioning, Inventory, Update, Removal 14

15 Mobile X Management MAM u App Store u App Deployment & Configuration u Containerization u App Performance Monitoring u Audit Log u App Update u App Uninstall u App Policy Enforcement & Configuration 15

16 Mobile X Management MCM u Multi-channel content delivery u Content Access Control u Location Based Content Delivery u Altre (dai CMS ) 16

17 Opportunità Le opportunità per la sicurezza: u Autenticazione più forte (OTP via SMS, via APP, autenticazione biometrica, QRCode ) u Inseparabilità u Notifiche e alerting u Mobile Payment u Geolocalizzazione u Barriere e Sicurezza Fisica u Provisioning u Gestione delle Autorizzazioni 17

18 MOBILITY & SECURITY

19 Il Security Model cambia Distributed Access Control Enterprise information is everywhere

20 L architettura di Mobile Security Apps are sand-boxed (cannot access and modify OS kernel) OS on firmware (and sealed) OS has built-in management APIs MobileIron Confidential

21 Gli utenti sono cambiati Privacy Users in Control Apps & Storage Security Titolo - Autore 4

22 I Device sono cambiati Personal Apps Secure Productivity Apps Data Separation No new learning curve High security Better user engagement Titolo - Autore 5

23 Il ruolo dell IT cambia Productivity & No more closed proprietary stacks Best of Breed Apps & Ecosystem Security Titolo - Autore 6

24 USER EXPERIENCE NATIVA Titolo - Autore 7

25 ios Maggiore Sicurezza no sideloading! Managed Apps Per-App VPN Safari per Intranet con SSO Automated deployments Enterprise Adoption Titolo - Autore 8

26 Android Android For Work -Device Owner -Profile Owner (BYOD) Per-App VPN Chrome For Work more to come! Titolo - Autore 9

27 Windows 10 Embedded MDM Agent Separation of data (EDP) Edge for Intranet Browsing Per-App VPN Data Encryption Titolo - Autore 10

28 La Complessità Out-of-the-box configuration Enterprise security requirements Multiple EMM integrations Inconsistent user experience Inconsistent IT experience Blocker to enterprise adoption Not developer s core competency EMM-specific SDKs and wrappers Ongoing maintenance Many use cases now solved through native frameworks using EMM Titolo - Autore 11

29 Una soluzione appconfig.org Titolo - Autore 12

30 AppConfig Community XML schema Best practices for developers Schema for simplifying the use of ios managed app config Developers get consistency across their apps IT gets consistency across vendors Best practices for app developers for key enterprise IT needs: App configuration Security settings Per app VPN EMM gets a better admin experience for MAM Supported by Apple s mobility partners Titolo - Autore 13

31 AppConfig Community Acacus AirWatch Bigtincan BlueJeans Box Boxer Cellcrypt Cisco Jabber Concur Cortext Cotap Deputy Docusign Dropbox Element55 Fliplet Fotonotes GoFormz HipaaChat IBM MaaS360 Ink Screen JAMF CasperSuite Keeper Security Kinvey Kony Lua M-Files Microstrategy MightyMeeting MobileDay MobileIron MobileReach Mobisystems Movius Nachocove OnBase 60+ Partners Oracle PatientSafe ProntoForm Qlik qliqsoft Replicon Roambi Salesforce SDK Salesforce1 ScrollMotion SeeCrypt ServiceMax Showpad SkyGiraffe Socialcast StarMobile SuccessFactors Syncplicity TeamViewer TeamWire Telemessage Telerik Telogis Vaporstream Vigilant Apps Wandera Webalo Workday X1 Xamarin Titolo - Autore 14

32 MOBILITY & CLOUD SECURITY Titolo - Autore 15

33 Cloud Security Challenge Trusted user Trusted device Trusted app Titolo - Autore 16

34 Cloud Security Challenge Trusted user Trusted device Trusted app Employee Login: Username Password Non-compliant Device Identity & Access Management (IAM Vendors) Titolo - Autore 17

35 Cloud Security Challenge Trusted user Trusted device Trusted app Employee Login: Username Password MDM Un-authorized App Identity & Access Management (IAM Vendors) Titolo - Autore 18

36 The Security Model AD Titolo - Autore 19

37 Security & Native Experience Titolo - Autore 20

38 Users & Mobilty PRIVACY IN A MOBILE WORLD

39 Privacy in a Mobile World Gary McConnell 2

49 Titolo - Autore 12

56 Key Take-aways n n n Proactively address Privacy concerns as the younger generation enters the workplace Communication is the way to bridge the Trust Gap The mitigation actions that matter most to employees center on communication: 1. Explain in detail the purpose of the employer seeing certain information 2. Promise in writing that the employer will only look at company information 3. Provide written notification of what the Employer can and can t see Privacy in a Mobile World Gary McConnell 19

57 Clear and frequent communication on the why/what/how of your mobile privacy approach increases employee satisfaction and may reduce legal risk. Over-communication is far preferable to undercommunication. Titolo - Au Privacy in a Mobile World Gary McConnell tore 20