BYOD

BYOD (bring your own device) to model pracy, w którym pracownicy, współpracownicy lub kontrahenci używają prywatnych laptopów, smartfonów i tabletów do dostępu do zasobów organizacji ^[1]. Rządowy poradnik NSC 800-114 opisuje tę sytuację jako „przyniesienie własnego urządzenia” i odróżnia ją od urządzeń kontrolowanych przez organizację albo przez stronę trzecią ^[2]. BYOD nie jest zagrożeniem samym w sobie, lecz decyzją organizacyjną: przenosi część kontroli nad bezpieczeństwem z działu IT na właściciela sprzętu. Dlatego wymaga spisanej polityki BYOD.

Jak działa

NIST w publikacji SP 800-46 Rev. 2 z lipca 2016 roku traktuje wszystkie urządzenia BYOD jako urządzenia do pracy zdalnej, bo zdecydowana większość z nich jest używana poza siedzibą firmy ^[1]. Organizacja może mieć umowy zobowiązujące właścicieli do zabezpieczenia sprzętu, ale zwykle nie da się ich automatycznie egzekwować ^[1]. W efekcie do wrażliwych zasobów mogą podłączać się urządzenia niezabezpieczone albo zainfekowane złośliwym oprogramowaniem (malware) ^[1].

Typowa ścieżka dostępu z prywatnego urządzenia do firmowych zasobów wygląda jak na schemacie poniżej.

RYS. 1Dostęp z urządzenia BYOD

NIST zaleca, by polityka opierała się na trzech założeniach. Po pierwsze, środowiska zewnętrzne zawierają wrogie zagrożenia ^[1]. Po drugie, sieci między urządzeniem a organizacją nie są zaufane ^[1]. Po trzecie, urządzenia klienckie zostaną w końcu zainfekowane i trzeba zaplanować na tę okoliczność zabezpieczenia ^[1]. Jest to podejście zbieżne z ideą Zero Trust.

Poziomy dostępu

NIST opisuje organizacje, które stopniują dostęp w zależności od tego, kto kontroluje urządzenie ^[1]. Najwięcej zasobów otrzymują komputery firmowe, mniej komputery prywatne, a najmniej prywatne urządzenia mobilne, na przykład tylko poczta przez przeglądarkę ^[1]. Każda organizacja powinna podjąć taką decyzję sama, na podstawie oceny ryzyka ^[1].

NIST wymienia czynniki, które warto uwzględnić: wrażliwość wykonywanej pracy, poziom pewności co do przestrzegania polityki, koszt, miejsce pracy i ograniczenia techniczne ^[1]. Zaznacza też, że uświadamianie użytkowników poprawia bezpieczeństwo urządzeń BYOD, ale nie daje takiego stopnia zgodności jak obowiązkowe zabezpieczenia na sprzęcie firmowym ^[1].

W WordPressie

W małej firmie czy agencji BYOD dotyczy zwykle kont w panelu WordPressa, na hostingu i w poczcie, z których korzysta się na prywatnym telefonie albo domowym laptopie. Dokumentacja WordPressa przypomina, że żadne zabezpieczenia po stronie strony ani serwera nie pomogą, jeśli na komputerze użytkownika działa keylogger ^[7]. Prywatne urządzenie, na którym administrator loguje się do panelu, staje się więc częścią powierzchni ataku strony.

• Sesje. Ekran profilu w panelu ma przycisk „Log Out Everywhere Else”, który wylogowuje z innych urządzeń, na przykład z telefonu albo publicznego komputera ^[5]. Warto go użyć po zgubieniu sprzętu, bo unieważnia to aktywne tokeny sesyjne.
• Hasła aplikacji. Od wersji 5.6 WordPress ma wbudowane hasła aplikacji (application passwords), generowane na ekranie edycji użytkownika i używane do zapytań REST API przez HTTPS ^[6]. Aplikacja mobilna na prywatnym telefonie może dostać osobne hasło zamiast głównego.
• Role. Konto używane z urządzenia prywatnego nie musi mieć roli administratora. Właściwie dobrane role i uprawnienia użytkowników realizują zasadę najmniejszych uprawnień.

Zagrożenia i skutki

NIST zakłada, że urządzenia do pracy zdalnej są szczególnie narażone na zgubienie lub kradzież i trafią w ręce osób, które spróbują odzyskać z nich dane albo użyć ich do wejścia do sieci firmy ^[1]. Komunikacja w sieciach zewnętrznych może zostać podsłuchana, przechwycona lub zmodyfikowana ^[1].

Dopuszczenie urządzeń BYOD do sieci wewnętrznej dodaje znaczne ryzyko, bo sprzęt zarządzany przez samych użytkowników zwykle nie jest zabezpieczony tak dobrze jak firmowy ^[1]. NIST wskazuje dwie dodatkowe konsekwencje: złośliwy ruch z takiego urządzenia może wyglądać na zewnątrz jak ruch samej organizacji, co szkodzi jej reputacji, a urządzenia BYOD mogą atakować się nawzajem we wspólnej sieci ^[1]. Niekontrolowane używanie prywatnego sprzętu łączy się też z shadow IT.

Materiały opublikowane przez UODO podkreślają, że programy BYOD wiążą się z ryzykiem dla bezpieczeństwa danych, co ma znaczenie przy przetwarzaniu danych osobowych w rozumieniu RODO ^[3].

Jak się bronić

Rekomendacje Fundacji Centrum Bezpieczeństwa opublikowane przez UODO proponują, by polityka BYOD określała wymagania dotyczące zabezpieczeń urządzeń, ochronę danych, zarządzanie dostępem i procedurę na wypadek zgubienia lub kradzieży sprzętu ^[3]. Wymieniają też narzędzia MDM do zarządzania prywatnymi urządzeniami używanymi służbowo ^[3].

• Szyfrowanie i blokada. NIST jako sposoby ograniczenia skutków zgubienia lub kradzieży wymienia szyfrowanie pamięci urządzenia, szyfrowanie wszystkich wrażliwych danych albo nieprzechowywanie ich na urządzeniu ^[1]. Szyfrowanie ma sens tylko przy włączonej blokadzie ekranu.
• Silne uwierzytelnianie. Przeciw ponownemu użyciu przejętego urządzenia podstawową ochroną jest silne uwierzytelnianie, najlepiej wieloskładnikowe (MFA) ^[1].
• Szyfrowane połączenia. Ryzyko podsłuchu ogranicza szyfrowanie komunikacji i wzajemne uwierzytelnienie stron ^[1], na przykład przez VPN.
• Kontrola stanu urządzenia. NIST wymienia oprogramowanie antymalware i rozwiązania NAC, które sprawdzają stan zabezpieczeń klienta przed udzieleniem dostępu ^[1].
• Osobna sieć. Urządzenia BYOD używane w siedzibie firmy powinny trafiać do osobnej, zewnętrznej sieci, która nie daje więcej dostępu niż zdalny dostęp ^[1]; to przykład segmentacji sieci.

NIST SP 800-124 Rev. 2 z maja 2023 roku uzupełnia te zalecenia o zarządzanie urządzeniami mobilnymi w całym cyklu życia, od wdrożenia do wycofania, zarówno firmowymi, jak i prywatnymi ^[4].

Historia i przykłady

W Polsce temat porządkuje seria Narodowych Standardów Cyberbezpieczeństwa. Publikacja NSC 800-114, przedstawiona w bazie wiedzy gov.pl 12 kwietnia 2023 roku, zawiera zalecenia dotyczące zabezpieczania urządzeń BYOD używanych do telepracy i zdalnego dostępu, systemów operacyjnych, aplikacji i domowych sieci komputerowych ^[2]. W 2024 roku na stronie UODO opublikowano rekomendacje dotyczące aktualizacji poradnika dla pracodawcy, z osobną częścią o BYOD ^[3].