hirdetés
hirdetés

Informatika

Megállíthatatlanul terjed a BYOD

Manapság az emberek a munkahelyükre is magukkal szeretnék vinni okostelefonjukat és táblagépüket. És ha már ott van a mobileszköz, miért ne használnák céges feladatok ellátásához is? A kérdés azonban nem ilyen egyszerű.

hirdetés

Világszerte sok fejtörést okoz a vállalatoknak a BYOD (bring your own device) és a BYOA (bring your own application) jelensége. Egyre többen igénylik, hogy saját mobileszközeikkel – okostelefonjaikkal, táblagépeikkel – is hozzáférjenek a céges informatikai rendszerekhez. A Gartner előrejelzése szerint 2018-ra a munkájukat mobilan végző szakemberek 70 százaléka személyi okoseszközökkel dolgozik majd. Ilyen körülmények között a vállalatvezetőknek komolyan el kell gondolkozniuk a jelenség megfelelő kezelésén, és meg kell tenniük a szükséges intézkedéseket. Komoly kihívást jelent számukra, hogy a BYOD következtében könnyen sérülhetnek a szabályok, a bizalom, a szellemi tulajdon és más kritikus üzleti kötelezettségek. A vállalat vezetésének gondoskodnia kell róla, hogy mindez ne történhessen meg.

A második nagy kihívást a munkatársak mobilitással szemben támasztott egyre növekvő elvárásai jelentik. Bárhol, bármikor és bármilyen okoseszközt, illetve alkalmazást használni akarnak. Ez csak magas színvonalú mobileszköz-menedzsmenttel valósítható meg. A harmadik fő kihívás a biztonság. Ha ezt a területet nem kezeli megfelelően a vállalat, a BYOD az ellenőrzés elveszítéséhez vezethet, befolyásolhatja a vállalati hálózat elérhetőségét, továbbá adatvesztést okozhat. A céges környezet védelme érdekében megfelelő hálózati hozzáférési stratégiára és politikára van szükség.

Tiltás helyett szabályozás

– Jóllehet manapság nagyon sokan és sokat beszélnek a BYOD-ról, a jelenség tulajdonképpen nem új keletű. Már évekkel ezelőtt is volt rá példa, hogy a munkatársak saját eszközeiket bevitték a céges környezetbe, igaz, nem olyan mértékben, illetve nem olyan eszközöket, mint ma. Korábban főleg a saját tulajdonú noteszgépek, valamint a nagy adatmennyiségek mozgatására képes USB-kulcsok vándoroltak be a vállalathoz. Ezután következtek a mobiltelefonok, amelyeket vegyesen használtak az emberek hivatalos és privát ügyeik intézésére.

Új helyzetet teremtett, illetve nagyobb kockázatot jelentett a cégek számára, amikor a mobiltelefonokkal már fényképezni is lehetett. Szintén mérföldkőnek tekinthető a közösségi média bevonulása a mindennapi életbe, beleértve a vállalati környezetet is. A mai BYOD alapvetően abban különbözik az eddigi folyamatoktól, hogy az okoseszközök radikális terjedésének és felértékelődésének lehetünk tanúi. Az okostelefonok és tabletek kétségtelenül nagyon sokat tudnak, éppen ezért szabályozatlan használatuk sok kárt okozhat a vállalatnak. Foglalkozni kell tehát a BYOD-dal, kordában kell tartani a jelenséget, úgy, hogy a cég üzleti érdeke, a vállalati információvagyon megbízhatósága, sértetlensége és rendelkezésre állása ne sérüljön – fogalmaz Gasparetz András, a Hétpecsét Információbiztonsági Egyesület elnöke.

Gasparetz András: Kordában kell tartani a jelenséget, úgy, hogy a cég üzleti érdeke, az információvagyon megbízhatósága ne sérüljön
Gasparetz András: Kordában kell tartani a jelenséget, úgy, hogy a cég üzleti érdeke, az információvagyon megbízhatósága ne sérüljön

Elvileg természetesen megteheti egy vállalat, hogy céges környezetben kategorikusan megtiltja a saját okoseszközök használatát. Ez azonban nem tűnik bölcs hozzáállásnak. Az utóbbi években ugyanis váltás történt az emberek mobileszköz-használati szokásaiban. A saját okoseszközök használata egyfajta életstíluselemmé vált. Egyre népesebb azoknak a tábora, akik az interneten második életet élnek, fönt vannak a közösségi hálókon, és napjában többször ellátogatnak oda. Azok a vállalatok, amelyek korábban – üzleti érdekeikre hivatkozva – ellen is álltak a BYOD-nak, ma már nem mernek ezzel próbálkozni.

Rájöttek ugyanis, hogy az emberek mindennapi életéhez hozzátartozó „funny, sexy” eszközök tiltása nagy ellenállást válthat ki. Vélhetően nem kevesen vannak, akik egyszerűen kilépnének, mondván, hogy nem tudnak egész nap okoseszközeik, illetve a közösségi média nélkül létezni. A kedvenc trendi kisokosok állandó közelsége és használata tehát hozzátartozhat az emberek jó közérzetéhez, és ez pozitívan befolyásolhatja a hivatalos munka elvégzését.

Csak kiegészítő

Van olyan vélekedés, hogy a BYOD-dal a cégek költségeket takaríthatnak meg. Ha a munkatársak saját infrastruktúrájukon dolgoznak, nem kell a vállalatnak megvennie a drága eszközöket. Ez az okfejtés azonban egy kicsit sántít: azok az eszközök, amiket a kollégák bevisznek a céghez, jellemzően sokkal nagyobb teljesítményűek és tudásúak, mint amiket a vállalat biztosít. Azonban a céges feladatokat minden bizonnyal el lehet végezni a cég által rendszeresített eszközparkkal is.

– Nem hiszem, hogy a BYOD-dal a vállalatok számottevően lecsökkenthetik IT beszerzési költségeiket. Mint ahogy abban sem hiszek, hogy eljön az idő, amikor mindenki csak saját eszközeit használja majd a munkahelyén. Azokat az informatikai eszközöket, amelyek a vállalat fő tevékenységének elvégzéséhez kellenek, mindig a szervezet fogja biztosítani munkatársai részére. Csak így gyakorolhat kontrollt fölöttük, csak így érhető el az üzletmenet-folytonosság, az egységesség, a szabványosítás. A BYOD mindig csak kiegészítő elem lesz a vállalatoknál, aminek fő célja, hogy a saját eszközök érdekesebbé, színesebbé, mobilabbá tegyék az emberek életét a munkahelyükön is – mutat rá Gasparetz András.

Proaktív magatartás

A szervezetek akkor viselkednek helyesen, ha elfogadják, hogy a munkatársak saját eszközeiket, saját alkalmazásaikat előbb-utóbb integrálják a vállalat rendszerébe, és ezt lehetőleg proaktív módon meg is teszik. Ellenkező esetben megtörténhet (és ez már ma is sok helyen látszik), hogy az emberek partizánakciókat folytatnak, és az informatikusokkal külön-külön egyezkednek. Ha ez a „titkos” folyamat elindul, előbb-utóbb káosz alakul ki, amelyet a későbbiekben roppant nehéz felszámolni.

Jó, ha a cég a BYOD-ra kialakít valamilyen politikát, amelyben világos elveket fektet le a magáneszközök kezelésére vonatkozóan. E politikában pontosan meg kell határozni a BYOD-dal kapcsolatos folyamatokat, így például a vállalati támogatás menetét, vagy azt, hogy miként kerülhetnek fel alkalmazások a saját mobileszközökre.

Oktatás és tudatosítás

Nagyon fontos feladat a BYOD-dal kapcsolatos céges oktatás. A saját eszközök használatát nem elég szabályozni, a tudnivalókat – pontosan dokumentáltan – a dolgozók tudomására is kell hozni. Az oktatás során már megtörtént eseteket, helyzeteket kell megtanítani a munkatársaknak azért, hogy ne kövessék el ugyanazokat a hibákat, amelyeket mások már elkövettek. Mivel azonban a mobileszközök világában – mind a hardver, mind a szoftver oldalán – hihetetlenül gyors a technológiai változás, a hagyományos oktatásra egy tudatosítási programot is érdemes ráépíteni.

A BYOD mindig csak kiegészítő elem lesz a vállalatoknál
A BYOD mindig csak kiegészítő elem lesz a vállalatoknál

Ez utóbbi során olyan elrettentő, közösen kitalált példákat célszerű felvetni, amelyek rávilágítanak a céges információvagyonra leselkedő veszélyekre, illetve arra, hogy a saját mobileszközökön keresztül valóban támadhatóvá válik a céges rendszer. A tudatosítás végső célja, hogy érzékennyé tegye a dolgozókat a veszélyekre, valamint a veszélyeket előrejelző jelenségekre (nem árt például az óvatosság, ha az okoseszköz működése váratlanul lelassul). Gasparetz András a BYOD rejtelmeinek oktatásához az úgynevezett blended learning módszert javasolja. Lényege, hogy a hagyományos oktatási formákat kombinálja az e-learninggel.

A tananyagot jellemzően szemináriumokon sajátítják el az érintettek, a vizsgát viszont, saját mobileszközüket használva, e-learninges felületen teszik le. A tapasztalat szerint az emberek többsége nincs tisztában vele, hogy az okostelefonok és tabletek mekkora potenciális veszélyforrást jelentenek. A szóban forgó mobileszközök – egyelőre legalábbis – viszonylag könnyen megtámadhatók, nincsenek ellátva azokkal a biztonsági megoldásokkal, amelyek az ipari környezet eszközein már megvannak. Ha tehát az okos mobileszköz kapcsolatban áll az ipari környezettel, támadhatóvá teszi azt.

Éppen ezért a szakértő egyértelműen azt javasolja, hogy minden olyan dolgozó, akinek van saját okostelefonja vagy tabletje, vegyen részt az oktatáson. A hatékony oktatás megszervezése természetesen nem kis feladat. Vannak erre szakosodott szervezetek, de a vállalat vezető informatikusainak is tisztában kell lenni a probléma lényegével. Nehezíti a helyzetet, hogy a BYOD-ra nincsenek kész „szakácskönyvek”, ezért jó, ha az informatikusok rendszeresen beszélgetnek egymással, valamint keresik a legjobb gyakorlatokat.

Négy lehetséges forgatókönyv

Tanulságos lehet kicsit mélyebben elemezni az okostelefonok és tabletek vállalati használatát érintő különböző forgatókönyveket, illetve szabályozási tennivalókat. Az egyik oldalon ott van a mobileszköz tulajdonlási kérdése, nevezetesen az, hogy maga az eszköz a vállalat vagy az egyén tulajdonában van-e. A másik oldalon azt kell szem előtt tartani, hogy az okoseszközzel a munkatárs a vállalat vagy a saját alkalmazását, illetve adatát használja-e.

Egyértelmű eset, amikor a vállalat saját mobileszközével kell céges feladatokat ellátni (például terepen méréseket végezni). Ilyenkor nagyon erős szabályozásokat lehet és kell is bevezetni. Ez a szcenárió nem újdonság a vállalatoknál, hiszen korábban, a hordozható számítógépek és a pendrive-ok esetében is így kellett eljárniuk. Most azokat a szabályozásokat ki kell terjeszteni. Szintén viszonylag egyértelmű, amikor valaki a munkahelyén saját eszközével, egyéni alkalmazással nézné meg a gmail-es címére érkező leveleit, vagy böngészne az interneten. Ilyenkor technológiailag a vállalati hálózattól való fizikai elkülönítés a legegyszerűbb megoldás.

Lényegesen izgalmasabb kérdéseket vet fel, ha valaki olyan céges okoseszközzel dolgozik, amelyet szívesen használna magánemberként is
Lényegesen izgalmasabb kérdéseket vet fel, ha valaki olyan céges okoseszközzel dolgozik, amelyet szívesen használna magánemberként is

Ha ez nem megy, legalább szabályozással kell gondoskodni róla, hogy a saját okoseszköz csak a céges információvagyontól elkülönített, úgynevezett demilitarizált zónába léphessen be. Lényegesen izgalmasabb kérdéseket vet fel, ha valaki olyan céges okoseszközzel dolgozik, amelyet szívesen használna magánemberként is. Ebben az esetben a szakértő tanácsa a következő: a cég kösse ki, hogy milyen szoftvereket enged az eszközre rátölteni (akárcsak az asztali vagy a noteszgépeknél), tehát állítson össze egy, a cég által engedélyezett alkalmazáslistát, amely lehetőleg lefedi a felhasználók teljes körű igényeit a médialejátszóktól a játékokig. Ezen belül pedig fontos, hogy a felhasználó által telepített applikációknak milyen rendszerhozzáféréseket engednek meg, például tárhely, GPS, wifi, kamera stb.

Elképzelhető az is, hogy a munkatárs saját okoseszközével akar hozzáférni a cég adataihoz. Ilyen esetre is ajánlott egy céges külsős eszközre is jóváhagyott alkalmazáslista készítése, amelyen azon alkalmazások szerepelnek, amelyekkel hozzá lehet férni a céges adatokhoz. Ezen túlmenően szükségessé válhatnak olyan korlátozások, amelyek bizonyos alkalmazások futásakor jelentkeznek (például a Bluetooth hozzáférés letiltása). Az utóbbi két eset konkrét kezelése nagymértékben függ attól, hogy a mobileszközön milyen operációs rendszer, illetve annak melyik verziója fut, illetve a saját kütyük esetében a vállalat korlátozást vezethet be az operációs rendszer fajtájára és esetleg a verziószámára.

– Az utóbbi időben már az eszközgyártók is foglalkoznak ezekkel a kérdésekkel. Rájöttek, hogy a felhasználóautentikáció-alapú klasszikus informatikai alkalmazások, valamint az eszközautentikáció-alapú okoseszköz-alkalmazások kettősségét valahogy kezelni kell. Az új mobil operációs rendszerekben például induláskor felhasználói profilból is lehet választani, és így akár több, különböző jogokkal felruházott ember is használhatja az eszközt. Vagy különböző módokban is el lehet indítani az okoseszközt, attól függően, hogy céges alkalmazásokat akar az ember futtatni, vagy például a YouTube-on akar szórakozni. Ez utóbbi esetben természetesen a céges adatok le vannak tiltva – hangsúlyozza Gasparetz András.

Figyelemre méltó, hogy egyre több mobileszköz már mintegy hardverszinten támogatja a titkosított adattárolást. Ez azért fontos, mert így az eszköz ellopása, elvesztése esetén sem kerül a vállalati információvagyon illetéktelen kezekbe. További újdonság, hogy bizonyos alkalmazáscsoportoknak úgynevezett konténereket hoznak létre. Ha az illető alkalmazás rendelkezik a megfelelő jogosítvánnyal, hozzáférhet a konténer tartalmához (használhatja a wifit, a helymeghatározást, hozzáférhet bizonyos tárterülethez stb.).

Heterogén eszközpark, több gond

Alaposan megnehezíti az informatikai vezetők dolgát, ha a behozott eszközpark heterogén. Jelenleg gyakorlatilag 3-4 mobil operációs rendszer közül lehet választani, amelyek között sokszor nagyobb a különbség, mint például egy-egy Linux kernel vagy egy-egy Windows verzió között. Nem volna meglepő tehát, ha egyre több vállalat korlátozná a behozható rendszerek körét. A szakértő szerint nagyon fontos, hogy a cégek kialakítsák a BYOD kezelésére vonatkozó pontos folyamataikat. Jól szabályozott környezetben a saját eszközök használata nem jelenthet a vállalatnak jelentős extra terheket. Ha azonban minden egyes esetet egyedileg kezelnek, a rendszer menedzselhetetlenné válik.

Incidenskezelés

A vállalatoknál a BYOD használatára kidolgozandó folyamatoknak igen fontos része az incidensek kezelése is. Nagyon komoly gondot okozhat például egy mobileszköz elvesztése, hiszen így akár a vállalat teljes címtára illetéktelen kezekbe kerülhet.

Ilyen esetekben rendkívül kritikus az időfaktor: a dolgozókkal meg kell értetni, hogy még mielőtt az eszköz keresésére indulnának, jelentsék a problémát a vállalatnak. Az eszköz pillanatok alatt letiltható, illetve újra aktiválható. Hasonlóképpen jobb az óvatosság, ha valami rendellenességet tapasztalnak a mobileszköz működésében. Célszerű ilyenkor a vállalat szakértőivel átnézetni az eszközt, hátha fény derül valamilyen incidensre vagy készülő támadásra.

Mallász Judit
a szerző cikkei

hirdetés
Ha hozzá kíván szólni, jelentkezzen be!
 
hirdetés
hirdetés
hirdetés

Kiadónk társoldalai

hirdetés