Kiedy BYOD = LYPD

Data: 22 stycznia 2014 | Autor: Mikołaj Rutkowski | Brak komentarzy »

Coraz większą popularnością cieszy się możliwość podłączania do firmowych sieci prywatnych urządzeń. Wprawdzie nadal istnieją – całkiem zresztą liczni – puryści, którzy na wszelkie sposoby bronią się przed podłączeniem czegokolwiek do firmowych zasobów (choćby blokując porty USB), ale wiele firm pogodziło się z faktem, że pracownicy w godzinach pracy w jakimś stopniu zajmują się także prywatnymi sprawami i postanowiło im to ułatwić. Na prywatnym sprzęcie – zwykle telefonie lub tablecie mogą oni trzymać służbowe dane, synchronizować go z firmową siecią, odbierać korporacyjną pocztą itd. Stąd określenie BYOD – Bring Your Own Device (przynieś swoje własne urządzenie).

W prasie i na eventach branżowych zazwyczaj szeroko omawia się temat bezpieczeństwa danych firmowych w modelu BYOD. Podnosi się kwestię, że wydając tysiące czy miliony złotych na korporacyjną infrastrukturę bezpieczeństwa, nie można polegać na niefrasobliwych „użyszkodnikach” gotowych zainstalować na swoich terminalach niemal wszystko. Najwięksi czarnowidze wręcz postrzegają BYOD jako furtkę do nieautoryzowanej eksploracji nie tylko zasobów konkretnego urządzenia, ale całej sieci firmowej. Jednocześnie nadal niewiele mówi się o drugiej stronie problemu – o bezpieczeństwie prywatnych danych użytkownika.

Wiadomo, że firmy robią wiele, aby uchronić swoje dane przed wyciekiem i kompromitacją. Co jednak w przypadku, kiedy dane te przechowywane są na urządzeniu należącym do pracownika? Oczywiście można go poprosić (ba – zobowiązać!) do tego, aby wraz z odejściem z pracy takie dane usunął. Jednakże, jak to w życiu, część to zrobi, część nie – przypadkowo lub celowo. Można wymagać, aby w ostatnim dniu pracy pofatygował się do działu IT, który sam dokona wymazania takich danych. Tu jednak pojawia się kolejny problem – naruszenie prywatności (wszak na urządzeniu są też prywatne dane) oraz możliwość odtworzenia skasowanej zawartości. Niezależnie od przyczyn pozostawienia informacji firmowych na urządzeniu, bez wątpienia zostają one do pewnego stopnia wydane na pastwę tych, którzy mogą chcieć je pozyskać.

Niektóre firmy zdecydowały się zatem na przysłowiowy strzał z grubej rury – kasują dane zdalnie. Tych, którym taka możliwość wydaje się czystą fantastyką, odsyłam do Internetu, ponieważ w niniejszym wpisie nie ma miejsca na opisanie technikaliów tego mechanizmu. Pewne jest jednak, że w wielu przypadkach (zwłaszcza popularnych urządzeń firmy Apple, ale nie tylko) jest to możliwe. W jaki sposób? Podam jedynie dwa najprostsze przykłady:

konieczność instalacji dedykowanej aplikacji dostarczonej przez pracodawcę (np. do obsługi poczty korporacyjnej czy synchronizacji plików), której dodatkową funkcjonalnością jest wywoływanie funkcji „czyszczenia” lub twardego resetu urządzenia,
dodanie na urządzeniu firmowego konta Exchange, co równa się traktowaniu go jako zaufanego konta użytkownika, za pomocą którego można uaktywnić proces „czyszczenia” urządzenia.

Naturalnie problemem jest to, że oprócz użytkownika urządzenia, dostęp do powyższych aplikacji ma także dział IT jego firmy. Tym samym może aktywować on zdalnie funkcję wymazywania zawartości urządzenia, a ta nie działa selektywnie, tylko kasuje wszystkie przechowywane na nim dane, łącznie z prywatnymi. Wtedy nasze Bring Your Own Device przekształca się w Lose Your Private Data. Oczywiście zazwyczaj taka możliwość jest opisana w polityce bezpieczeństwa IT, którą pracownik musi zaakceptować przed podjęciem pracy. Czy jednak wszyscy ją dokładnie czytają? Zanim zatem zdecydujemy się na współdzielenie naszych spraw zawodowych i prywatnych w ramach jednego urządzenia, sprawdźmy, jakie konsekwencje może to za sobą nieść. A przynajmniej róbmy regularne kopie zapasowe.