Uzdodiet sev vienkāršu jautājumu: cik cilvēku jūsu uzņēmumā lasa darba e-pastu savā telefonā? Mūsu pieredzē atbilde gandrīz vienmēr ir „visi”. Tagad otrs jautājums: cik no šiem telefoniem uzņēmums varētu bloķēt vai dzēst, ja tie šodien pazustu? Atbilde parasti ir „neviens”.
Uzņēmumi pievērš uzmanību datoriem: pretvīrusu aizsardzība, atjauninājumi, šifrēšana, paroļu politikas. Telefoni paliek personīgajā zonā, lai gan tajos ir tas pats e-pasts, tās pašas Teams sarunas, OneDrive dokumenti, klientu kontakti un bieži arī otrais pieteikšanās faktors katrai uzņēmuma sistēmai. Zagļam vai atradējam tā ir pilna atslēgu saišķa.
Šajā rakstā skaidrojam, kas patiesībā notiek, kad telefons tiek pazaudēts, kā risks atšķiras personīgajām un uzņēmuma ierīcēm, ko mobilo ierīču pārvaldības (MDM) sistēma dara praksē un kā to ieviest, lai darbinieki nejustu, ka uzņēmums ielaužas viņu privātajā dzīvē.
Kas notiek, kad pazūd telefons ar uzņēmuma e-pastu
Iedomājieties parastu situāciju: pārdošanas vadītājs piektdienas vakarā atstāj telefonu taksometrā. To viņš pamana sestdienas rītā. IT viņš paziņo pirmdien, jo „negribēja nevienu traucēt brīvdienās”.
Šajās 60 stundās telefonu varēja atbloķēt, ja tam bija vienkāršs PIN vai tā nebija vispār. Tajā ir atvērts Outlook ar visu e-pastu, ieskaitot vēstules, kurās kolēģi sūta līgumus un paroles. Teams ir atvērts ar iekšējām sarunām. OneDrive glabā cenu tabulas. Un, galvenais, tajā ir autentifikatora lietotne, kas apstiprina pieteikšanos Microsoft 365. Ar telefonu un piekļuvi pastkastei kāds var atiestatīt paroli un apstiprināt otro faktoru tajā pašā ierīcē.
Bez MDM uzņēmums šeit var tikai nomainīt darbinieka paroli un cerēt, ka telefons bija bloķēts. Tas nevar pārbaudīt, vai ierīce bija šifrēta, nevar attālināti noņemt uzņēmuma datus un nevar uzrādīt auditoram vai Datu valsts inspekcijai, ka personas dati nebija pieejami trešajām personām. Saskaņā ar VDAR (Vispārīgā datu aizsardzības regula, GDPR) tieši to nepieciešams izvērtēt 72 stundu laikā.
Ar MDM tā pati situācija izskatās citādi: darbinieks ziņo, IT dažu minūšu laikā bloķē ierīci un attālināti noņem uzņēmuma datus, un sistēma parāda, ka ierīce bija šifrēta un aizsargāta ar stipru piekļuves kodu. Incidents beidzas kā ieraksts žurnālā, nevis paziņojums uzraudzības iestādei.
BYOD vai uzņēmuma ierīces: atšķirīgs risks, atšķirīgi noteikumi
Lielākā daļa uzņēmumu izmanto jauktu modeli: daži darbinieki lieto uzņēmuma telefonus, citi savus (BYOD, bring your own device). Abi var būt droši, taču tiem nepieciešama atšķirīga pieeja.
Uzņēmuma ierīce ir uzņēmuma īpašums. To var pārvaldīt pilnībā: jūs nosakāt, kuras lietotnes ir atļautas, ieviešat šifrēšanu, pieprasāt atjauninājumus, bloķējat nezināmus lietotņu avotus un dzēšat visu ierīci, kad darbinieks aiziet. Darbinieks zina, ka tas ir darba rīks, tāpēc pretestības ir maz.
Personīgā ierīce pieder darbiniekam, un uzņēmumam nav tiesību redzēt viņa fotoattēlus, ziņojumus vai lietotnes. Šeit MDM darbojas citādi: tas izveido atsevišķu darba profilu vai pārvalda tikai uzņēmuma lietotnes. Uzņēmums redz un kontrolē tikai šo daļu: Outlook, Teams, OneDrive, autentifikatora lietotni. Ja telefons tiek pazaudēts, tiek dzēsta tikai šī daļa, un personīgie dati paliek. Kad darbinieks aiziet, notiek tas pats.
Šo tabulu izmantojam, lai vadītājiem izskaidrotu atšķirību:
| Jautājums | Uzņēmuma ierīce | Personīgā ierīce (BYOD) |
|---|---|---|
| Ko uzņēmums pārvalda | Visu ierīci | Tikai darba profilu vai lietotnes |
| Ko uzņēmums redz | Lietotnes, iestatījumus, atrašanās vietu (ja ieslēgta) | Tikai darba lietotņu stāvokli |
| Ja telefons tiek pazaudēts | Tiek dzēsta visa ierīce | Tiek dzēsti tikai uzņēmuma dati |
| Kad darbinieks aiziet | Ierīce tiek atdota un dzēsta | Darba profils tiek noņemts |
| Privātuma risks | Zems, ierīce paredzēta darbam | Kontrolēts ar tehniskām robežām |
Neviens modelis nav labāks. Svarīgi, lai tas tiktu izvēlēts apzināti un ierakstīts politikā, nevis veidotos pats no sevis.
Ko MDM patiesībā dara
Mobilo ierīču pārvaldība nav viena funkcija, bet noteikumu kopums, ko sistēma piemēro automātiski. Svarīgākie no tiem:
- Šifrēšana un ekrāna bloķēšana. Ierīcei jābūt šifrētai un jābūt vismaz sešciparu piekļuves kodam vai biometrijai. Bez tā uzņēmuma e-pasts vienkārši neatveras.
- Attālā bloķēšana un dzēšana. Ja telefons tiek pazaudēts vai nozagts, to izdara no pārvaldības konsoles dažu minūšu laikā, bez darbinieka līdzdalības.
- Lietotņu politika. Uzņēmuma lietotnes tiek instalētas automātiski, un varat aizliegt kopēt datus no Outlook personīgajā WhatsApp vai saglabāt pielikumus personīgajā mākonī.
- Atjauninājumu prasības. Telefons ar divus gadus novecojušu operētājsistēmu zaudē piekļuvi, kamēr tas netiek atjaunināts.
- Nosacītā piekļuve (Conditional Access). Pieteikšanās Microsoft 365 ir iespējama tikai no ierīcēm, kas atbilst politikai. Tas saista MDM ar Microsoft Entra ID un bloķē pieteikšanos no nejaušām ierīcēm.
- Inventarizācija. Uzņēmums jebkurā brīdī zina, cik ierīču var piekļūt tā datiem, kādas versijas tajās darbojas un kad tās pēdējo reizi savienojās.
- Darbinieka aiziešana. Konta atslēgšana Entra ID automātiski noņem darba datus no visām šī cilvēka ierīcēm.
Šos noteikumus gaida arī NIS2 un DORA attiecībā uz piekļuves kontroli un aktīvu pārvaldību. Kad auditors jautā „kā jūs pārvaldāt mobilās ierīces”, uzņēmumam bez MDM atbildes nav.
Kā ieviest bez darbinieku pretestības
Biežākais iemesls, kāpēc MDM neizdodas, nav tehnisks. Darbinieki dzird „uzņēmums kontrolēs manu telefonu” un vienkārši nereģistrējas. Mums ir palīdzējuši daži paņēmieni.
Pirmkārt, pastāstiet patiesību par to, ko uzņēmums redz un ko neredz. Parādiet konsoli. Darbinieks, kurš redz, ka tajā ir tikai viņa darba profila stāvoklis, nevis fotoattēli un ziņojumi, nomierinās. Ierakstiet to politikā vienkāršos teikumos.
Otrkārt, sāciet ar vadību. Kad uzņēmuma vadītājs un nodaļu vadītāji reģistrējas pirmie, tas visiem pārējiem pārstāj būt „kontrole” un kļūst par parasto darba veidu.
Treškārt, padariet to vienkāršu. Reģistrācijai jāaizņem pāris minūtes, un tā jāapraksta dažos ekrānuzņēmumos. Ja kādam jāzvana palīdzības dienestam, jūsu IT atbalsta komanda palīdzēs, taču lielākā daļa cilvēku tiek galā paši.
Ceturtkārt, sasaistiet to ar ieguvumu darbiniekam. Ja viņš pazaudē telefonu, viņš zina, ka neviens nevar piekļūt viņa darba datiem un viņam nekas nebūs jāskaidro. Jaunā ierīcē visas darba lietotnes parādās automātiski.
Piektkārt, nosakiet termiņu un pēc tā ieslēdziet nosacīto piekļuvi. Kamēr MDM ir neobligāts, daži darbinieki nekad nereģistrēsies. Kad darba e-pasts bez tā neatveras, jautājums atrisinās nedēļas laikā.
No kā sākt
- Saskaitiet, cik ierīcēm šobrīd ir piekļuve uzņēmuma e-pastam. Microsoft 365 administrēšanas centrā to var redzēt uzreiz, un skaitlis parasti ir pārsteigums.
- Izvēlieties modeli: uzņēmuma ierīces, BYOD vai jaukts. Uzrakstiet vienas lapas politiku par to, ko uzņēmums pārvalda un ko nevar redzēt.
- Ieslēdziet minimālos noteikumus: šifrēšanu, ekrāna bloķēšanu un attālo dzēšanu. Tas novērš lielāko risku jau pirmajā nedēļā.
- Sasaistiet MDM ar Microsoft 365 nosacīto piekļuvi, lai politika būtu nosacījums, nevis ieteikums.
- Ja neviens uzņēmumā to nevar uzturēt, mūsu mobilo ierīču pārvaldības pakalpojums aptver ieviešanu, politikas iestatīšanu un ikdienas administrēšanu, bet telefona pazaudēšanas gadījumā arī palīdzības dienesta reakciju.
Telefons ir tikai uzņēmuma dators, mazāks un biežāk pazaudēts. Izturieties pret to atbilstoši.
