Paklauskite savęs paprasto klausimo: kiek jūsų įmonės darbuotojų skaito darbo el. paštą telefone? Mūsų praktikoje atsakymas beveik visada yra „visi“. Dabar antras klausimas: kiek iš tų telefonų įmonė galėtų užrakinti ar išvalyti, jei jie šiandien dingtų? Atsakymas dažniausiai – „nė vieno“.
Kompiuteriams įmonės skiria dėmesio: antivirusinė programa, atnaujinimai, šifravimas, slaptažodžių politika. Telefonai lieka asmeninėje zonoje, nors juose yra tas pats paštas, Teams susirašinėjimai, OneDrive dokumentai, klientų kontaktai ir dažnai – antrasis prisijungimo veiksnys prie visų įmonės sistemų. Vagiui ar radėjui tai pilnas raktų ryšulys.
Šiame straipsnyje paaiškinsime, kas iš tiesų nutinka pametus telefoną, kuo skiriasi asmeninių ir įmonės įrenginių rizika, ką konkrečiai daro mobiliųjų įrenginių valdymo (MDM) sistema ir kaip ją įdiegti taip, kad darbuotojai nejaustų, jog įmonė lenda į jų asmeninį gyvenimą.
Kas nutinka, kai dingsta telefonas su įmonės paštu
Įsivaizduokite įprastą situaciją: pardavimų vadybininkas paliko telefoną taksi penktadienio vakarą. Pastebėjo šeštadienį ryte. IT žmogui pranešė pirmadienį, nes „savaitgalį nenorėjo trukdyti“.
Per tas 60 valandų telefonas galėjo būti atrakintas, jei turėjo paprastą PIN arba jo neturėjo visai. Jame atidarytas Outlook su visais laiškais, įskaitant tuos, kuriuose kolegos siunčia sutartis ir slaptažodžius. Atidarytas Teams su vidiniais pokalbiais. OneDrive su kainodaros lentelėmis. Ir svarbiausia – autentifikavimo programėlė, kuri patvirtina prisijungimą prie Microsoft 365. Turint telefoną ir pašto prieigą, slaptažodį galima pakeisti, o antrąjį veiksnį patvirtinti tame pačiame telefone.
Be MDM įmonė šioje situacijoje gali tik pakeisti darbuotojo slaptažodį ir tikėtis, kad telefonas užrakintas. Ji negali patikrinti, ar jis buvo šifruotas, negali nuotoliniu būdu pašalinti įmonės duomenų ir negali įrodyti auditoriui ar Valstybinei duomenų apsaugos inspekcijai, kad asmens duomenys nebuvo prieinami tretiesiems asmenims. O būtent to pagal BDAR reikia įvertinti per 72 valandas.
Su MDM ta pati situacija atrodo kitaip: darbuotojas praneša, IT per kelias minutes nuotoliniu būdu užrakina įrenginį ir pašalina įmonės duomenis, o sistema rodo, kad įrenginys buvo šifruotas ir apsaugotas sudėtingu kodu. Incidentas lieka įrašu žurnale, ne pranešimu priežiūros institucijai.
BYOD ar įmonės įrenginiai: skirtinga rizika, skirtingos taisyklės
Lietuvos įmonėse dominuoja mišrus modelis: dalis darbuotojų naudoja įmonės telefonus, dalis – savo (BYOD, angl. bring your own device). Abu variantai gali būti saugūs, bet reikalauja skirtingo požiūrio.
Įmonės įrenginys yra įmonės turtas. Jį galima valdyti pilnai: nustatyti, kokios programos leidžiamos, priverstinai šifruoti, reikalauti atnaujinimų, blokuoti nežinomus programų šaltinius, o išeinant darbuotojui – išvalyti visą. Darbuotojas žino, kad tai darbo įrankis, todėl pasipriešinimo mažai.
Asmeninis įrenginys yra darbuotojo nuosavybė, ir įmonė neturi teisės matyti jo nuotraukų, žinučių ar programų. Čia MDM veikia kitaip – sukuria atskirą darbo profilį arba valdo tik įmonės programas. Įmonė mato ir valdo tik tą dalį: Outlook, Teams, OneDrive, autentifikavimo programėlę. Pametus telefoną išvaloma tik ji, asmeniniai duomenys lieka. Išeinant iš darbo – tas pats.
Lentelė, kurią naudojame aiškindami skirtumą vadovams:
| Klausimas | Įmonės įrenginys | Asmeninis įrenginys (BYOD) |
|---|---|---|
| Ką įmonė valdo | Visą įrenginį | Tik darbo profilį ar programas |
| Ką įmonė mato | Programas, nustatymus, vietą (jei įjungta) | Tik darbo programų būklę |
| Pametus telefoną | Išvalomas visas įrenginys | Išvalomi tik įmonės duomenys |
| Darbuotojui išeinant | Įrenginys grąžinamas ir išvalomas | Pašalinamas darbo profilis |
| Privatumo rizika | Maža, įrenginys darbinis | Valdoma techninėmis ribomis |
Nė vienas modelis nėra geresnis. Svarbu, kad būtų pasirinktas sąmoningai ir surašytas politikoje, o ne susiklostęs savaime.
Ką konkrečiai daro MDM
Mobiliųjų įrenginių valdymas nėra viena funkcija, o taisyklių rinkinys, kurį sistema taiko automatiškai. Svarbiausios:
- Šifravimas ir ekrano užraktas. Įrenginys privalo būti šifruotas ir turėti bent šešių skaitmenų kodą ar biometriją. Be to įmonės paštas tiesiog neatsidaro.
- Nuotolinis užrakinimas ir valymas. Pametus ar pavogus – iš valdymo konsolės per kelias minutes, be darbuotojo dalyvavimo.
- Programų politika. Įmonės programos diegiamos automatiškai, o kopijuoti duomenis iš Outlook į asmeninį WhatsApp ar išsaugoti priedus į asmeninį debesį galima uždrausti.
- Atnaujinimų reikalavimas. Telefonas su dviejų metų senumo operacine sistema nebegauna prieigos, kol neatsinaujina.
- Sąlyginė prieiga. Prie Microsoft 365 prisijungti galima tik iš įrenginių, kurie atitinka politiką. Tai sujungia MDM su Microsoft Entra ID ir užkerta kelią prisijungimams iš atsitiktinių įrenginių.
- Inventorius. Įmonė bet kada žino, kiek įrenginių turi prieigą prie jos duomenų, kokios jų versijos ir kada paskutinį kartą jungėsi.
- Atsijungusio darbuotojo tvarka. Paskyros išjungimas Entra ID automatiškai pašalina darbo duomenis iš visų jo įrenginių.
Šios taisyklės taip pat yra tai, ko reikalauja TIS2 ir DORA reikalavimai dėl prieigos kontrolės ir turto valdymo. Auditoriui klausimas „kaip valdote mobiliuosius įrenginius“ be MDM atsakymo neturi.
Kaip įdiegti be darbuotojų pasipriešinimo
Dažniausia MDM nesėkmės priežastis nėra techninė. Tai darbuotojai, kurie išgirdo „įmonė kontroliuos mano telefoną“ ir tiesiog nesidiegė. Mūsų patirtis rodo kelis dalykus, kurie veikia.
Pirma, pasakykite tiesą apie tai, ką įmonė mato, o ko ne. Parodykite konsolę. Darbuotojas, matantis, kad ten tik jo darbo profilio būklė, o ne nuotraukos ir žinutės, nusiramina. Surašykite tai politikoje paprastais sakiniais.
Antra, pradėkite nuo vadovų. Jei direktorius ir skyrių vadovai įsidiegė pirmi, likusiems tai nebėra „kontrolė“, o įprasta tvarka.
Trečia, padarykite tai paprasta. Diegimas turi užtrukti kelias minutes ir būti aprašytas keliais paveikslėliais. Jei reikia skambinti į helpdesk, padės IT priežiūros komanda, bet dauguma susitvarko patys.
Ketvirta, susiekite su nauda darbuotojui. Pametęs telefoną jis žinos, kad niekas nepasieks jo darbo duomenų ir jam nereikės aiškintis. Naujas įrenginys gaus visas darbo programas automatiškai.
Penkta, nustatykite terminą ir po jo įjunkite sąlyginę prieigą. Kol MDM neprivalomas, dalis darbuotojų jo niekada neįsidiegs. Kai darbo paštas neatsidaro be jo, klausimas išsisprendžia per savaitę.
Nuo ko pradėti
- Suskaičiuokite, kiek įrenginių šiandien turi prieigą prie įmonės pašto. Microsoft 365 administravimo centre tai matoma iš karto ir skaičius dažniausiai nustebina.
- Nuspręskite dėl modelio: įmonės įrenginiai, BYOD ar mišrus. Surašykite vieno puslapio politiką, ką įmonė valdo ir ko nemato.
- Įjunkite minimalias taisykles: šifravimą, ekrano užraktą ir nuotolinį valymą. Tai pašalina didžiausią riziką per pirmą savaitę.
- Susiekite MDM su sąlygine prieiga prie Microsoft 365, kad politika būtų ne rekomendacija, o sąlyga.
- Jei nėra kam to prižiūrėti, mūsų mobiliųjų įrenginių valdymo paslauga apima diegimą, politikų nustatymą ir kasdienę priežiūrą, o pametus telefoną – reakciją iš helpdesk.
Telefonas yra toks pat įmonės kompiuteris, tik mažesnis ir dažniau pametamas. Elgtis su juo reikia atitinkamai.
