Sicurezza dei dispositivi mobili

Transcript

1 Sicurezza dei dispositivi mobili Luca Bechelli Freelance ICT Security Consultant Direttivo e Comitato Tecnico Scientifico CLUSIT - luca@bechelli.net Giovanni'Giovannelli' Sales&Engineer& giovanni.giovannelli@sophos.com& & c4s.clusit.it

2 Mobilis in mobile 2

3 Ha senso parlare di mobile? Fonte: Cisco Systems 3

4 insicurezza Mobile 4

5 insicurezza Mobile 5

6 L approccio Strategia Infrastruttura Abilitante Mobile X management 6

7 Strategia:Quanto siamo lontani? Forrester Research

8 Strategia: Maturità dei modelli Modello COBO (Corporate- Owned, Business Only) COPE (Corporate Owned, Personally Enabled) BYOD (Bring Your Own Device) Benefici per azienda e utente L azienda ha completo controllo del dispositivo, utilizzato solo per motivi lavorativi. Soluzione un po rigida ma ancora adatta per utilizzi particolari dei dispositivi. L azienda seleziona un numero contenuto di tipologie di dispositivi, di sua proprietà e su cui definirà sue policy di gestione e sicurezza. L utente risparmia sull acquisto del dispositivo. Spesa inferiore per l acquisto dei dispositivi per economie di scala Riduzione del costo a carico dell azienda per l acquisto e la connessione del dispositivo mobile. Dal punto di vista dell utente, dispositivo unico per più scopi, maggiore produttività e flessibilità operativa. Svantaggi per azienda e utente Costo di acquisto dei dispositivi a carico dell azienda, l utente è limitato sul fronte delle possibilità di utilizzo personale del dispositivo. Tutto il costo di acquisto dei dispositivi è a carico dell azienda. Per l utente, minore scelta rispetto all acquisto personale. Possibile perdita di dati aziendali o diffusione di malware, e difficoltà legate alla gestione di dispositivi eterogenei. Non gradita la supervisione da parte di esterni del dispositivo personale (invasione della Privacy) 8

9 Strategia: Quale modello? Requisito Numero di dispositivi Sistemi operativi Mobile App e internal App Store Funzionalità EMM richieste Livello di sicurezza richiesto Aspetti legati alla connettività Scelta della soluzione EMM Analisi del TCO Domande Quanti saranno i dipendenti per i quali dovranno essere adottate misure di sicurezza e gestione di dispositivi mobili? E richiesta una segmentazione degli utenti in base al loro ruolo in azienda? E per collaboratori e partner esterni? Quali saranno i sistemi operativi da gestire? (es. ios, OSX, Android, BlackBerry OS, Windows Phone) Quali e quante saranno le App aziendali utilizzate dagli utenti? È richiesto il set up di un Enterprise App store? E previsto l utilizzo di App di terze parti che richiederanno specifico supporto tecnico? Quali delle seguenti funzionalità sono richieste? Mobile Device Management - Mobile Management - Mobile Application Management - Mobile Secure Workspace - Mobile Content Management. Si vogliono predisporre alcune misure base di sicurezza, come restrizioni sul dispositivo, richiesta di passcode, VPN, remote wipe/lock, o un controllo completo su dispositivo, applicazioni, Come si collegano dati? i dispositivi mobili? L azienda dispone già di un infrastruttura di rete Wireless sicura? Si preferisce una soluzione EMM in cloud, hosted, oppure on premise? Con pagamento ricorrente o licenza? Si dispone già di una soluzione EMM da cui si vuole migrare? Quale sarà il costo complessivo (c.d. Total Cost of Ownership - TCO) per la gestione della soluzione? 9

10 Infrastruttura: il Cloud! improbabile escluderlo!! opportunità? " controllo centralizzato " VDI " Multiple Mobile Cloud Protection Engines " Mobile Cloud Computing 10

11 Infrastruttura: dispositivi Android ios Windows Phone BlackBerry MDM Integrato Blocco / Cancellazione remota Cifratura del dispositivo Separazione tra dati aziendali e personali Verifiche di sicurezza fatte a livello di market Verifica di app malevole pre-installazione Sandbox integrata per le applicazioni Multi utente Modalità Ospite Modifiable-per-application user data access Tracciamento remoto del dispositivo Installazione di app da canali alternativi agli store ufficiali Firma delle app Visualizzazione dei permessi durante l installazione delle app Visualizzazione dei permessi durante l aggiornamento delle Presenza di app store di terze parti app Modalità di sblocco del dispositivo Pin, Password, sequenza di blocco, riconoscimento facciale, NFC, bluetooth Pin, Password, Touch ID Password, trascinamento Pin, Password 11

12 Mobile X Management MDM " Policy Enforcement " Autenticazione ai servizi aziendali " Remote control (es: lock & wipe) " Device Provisioning & Inventory " App Distribution, Provisioning, Inventory, Update, Removal 12

13 Mobile X Management MAM " App Store " App Deployment & Configuration " Containerization " App Performance Monitoring " Audit Log " App Update " App Uninstall " App Policy Enforcement & Configuration 13

14 Mobile X Management MCM " Multi-channel content delivery " Content Access Control " Location Based Content Delivery " Altre (dai CMS ) 14

15 Mobile X Management Focus sull Integrazione " NAC " Anti-Malware " I&AM " SIEM " 15

16 Opportunità Le opportunità per la sicurezza: " Autenticazione più forte (OTP via SMS, via APP, autenticazione biometrica, QRCode ) " Inseparabilità " Notifiche e alerting " Mobile Payment " Geolocalizzazione " Barriere e Sicurezza Fisica " Provisioning " Gestione delle Autorizzazioni 16