Lidé nepřijímají IT standardy svého zaměstnavatele a chtějí vykonávat pracovní úkoly pomocí zařízení podle vlastního výběru. Stále více firem proto otevírá své sítě pro širokou paletu přístrojů, od iPadů po zařízení se systémem Android. Firmám tento trend samozřejmě přináší zjevné výhody, zvýšení produktivity i úsporu nákladů. Lidé jsou ochotni sami platit za prostředky k práci, zabývat se pracovními záležitostmi i ve volném čase. Řada studií navíc dokumentuje, že pokud lidé mohou užívat zařízení i aplikace dle svého vlastního výběru, jsou spokojenější a pracují efektivněji.
Jedná se tedy o trend přinášející oboustranný prospěch? Zde právě vzniká dilema; firmy na jedné straně mají zájem o zvýšení produktivity, na druhé straně si ale uvědomují, že záplava různých zařízení s sebou přináší bezpečnostní i další rizika. Pokud firmy nemají vypracovanou adekvátní IT politiku, pak jim často nezbývá, než z důvodů zabezpečení soukromá mobilní zařízení zaměstnancům zakázat, a přijít tak o související výhody.
Podle nezávislého průzkumu (objednaného společností Fortinet), který byl loni proveden mezi 300 IT specialisty s rozhodovací pravomocí v evropských středních a velkých firmách, se až 60 % respondentů trendu BYOD obává. V prostředí IT, které „řídí uživatelé“, nedokáží administrátoři zajistit adekvátní ochranu podnikových dat. 66 % dotazovaných uvedlo, že povolují pouze firemní mobilní přístroje, kde lze přímo vynutit bezpečnostní politiku. Naopak 21 % firem přenechává odpovědnost za zabezpečení koncových bodů vlastníkům/uživatelům těchto zařízení – to je ovšem velmi riskantní přístup.
Nechuť firem k trendu BYOD je pochopitelná, protože zařízení v rukou zaměstnanců často postrádají základní bezpečnostní prvky, jako je antivirus nebo ochrana přístupu heslem. Na zařízeních je pak uložena celá řada citlivých firemních dat a kompromitace koncového bodu může mít pro firmu velmi bolestivé důsledky. Jenže zakázat zaměstnancům používat jejich vlastní zařízení není řešením; když nic jiného, lidé mohou takové opatření různě obcházet.
Bezpečnostní rizika spojená s trendem BYOD je proto efektivnější řešit jinak. Firemní IT oddělení by měla zvážit a případně přijmout základní opatření:
1. Implementace politiky vztažené k mobilním zařízením
Stejně jako u obecné IT politiky je zde třeba vycházet z hlavních cílů a souvisejících hrozeb. IT oddělení si musí určit, kdo a pomocí jaké aplikace může přistupovat k firemním datům. Ideální by bylo nastavit co nejmenší úroveň přístupu – pouze k datům a aplikacím, které lidé opravdu potřebují ke své práci. Nutná je průběžná kontrola zranitelností. Bezpečnostní politika navíc nesmí zůstat jen na papíře, ale je třeba ji prosadit.
2. Software pro vzdálenou správu
Je důležité, aby na všech zařízeních pracujících s firemními daty byly k dispozici základní bezpečnostní funkce, jako je antivirus nebo software pro vzdálené smazání dat. Tento typ softwaru umožňuje také automatické aktualizace zařízení, což omezuje riziko zneužití bezpečnostních zranitelností. Firmy by také měly implementovat systémy, které umožňují zařízení centrálně lokalizovat a sledovat, vzdáleně zamykat, mazat, provádět zálohování i obnovu systému. Tímto způsobem lze chránit, získávat i obnovovat podniká data na mobilních zařízeních i v případě, že došlo k jejich ztrátě nebo krádeži.
3. Blokování zařízení nesplňujících standardy
Prosadit tuto politiku je uměním kompromisu. Zaměstnanci často chtějí používat svá zařízení pro práci, ale zdráhají se instalovat dodatečný software, aby nedošlo ke kolizi s jejich vlastními aplikacemi či daty. Firmy ale mohou trvat na tom, že pro přístup k podnikovým datům je zařízení způsobilé pouze tehdy, pokud si nechají nainstalovat aplikace vyžadované bezpečnostní politikou organizace. Druhou možností je vyžadovat, aby soukromá zařízení byla rozdělena na dvě logické části (partitions) – osobní a pracovní, přičemž nad pracovní částí by mělo plnou kontrolu firemní IT oddělení.
Firmy by si nicméně měly uvědomit, že pro zajištění firemní infrastruktury před riziky spojenými s mobilními zařízeními je třeba zabezpečení postavit spíše na úrovni sítě a aplikací než koncových bodů. Jednotlivé smartphony a tablety lze pomocí softwarových agentů zabezpečit jen obtížně.
Jediným efektivním řešením je zajistit ochranu kritické části podnikové sítě bez ohledu na to, zda se k ní přistupuje z interních nebo externích zařízení. Bezpečnostní strategie vyžaduje řízení na úrovni uživatelů i aplikací. IT oddělení musí být schopné detekovat a řídit používání aplikací v síti i na koncových bodech. Nutností je klasifikace aplikací, behaviorální analýza a propojení určitého chování s konkrétním koncovým uživatelem. Na co nejpodrobnější úrovni je třeba řídit také webové aplikace, a to včetně kontroly toho, zda provoz je šifrován – a to bez ohledu na použitý port a protokol.
Je jasné, že firmy budou muset vyvinout určité úsilí, aby změnily některé své stávající postupy a dokázaly zajistit podporu zaměstnanců i v nové situaci. Trend BYOD je realitou a čím dříve na něj IT oddělení zareagují, tím lépe pro jejich firmu.
Autor působí jako Country Manager pro ČR, SR a Maďarsko ve společnosti Fortinet.
PŘEDPLATNÉ
ČLÁNKY DO MAILU