Aká je bezpečnosť vlastného telefónu
Pri prístupe k firemným aplikáciám a O365
Väčšina zamestnancov si dnes pozrie firemný e-mail alebo správu z Teams aj na vlastnom telefóne — cez obedovú prestávku, na ceste domov, večer. Táto bežná prax sa označuje ako BYOD (Bring Your Own Device) a z pohľadu firmy prináša špecifickú otázku: ako chrániť firemné dáta na zariadení, ktoré firme nepatrí a ktoré nemôže ani nemá plne kontrolovať.
- Čo je BYOD a prečo je to bezpečnostná otázka
- Aké riziká prináša vlastný telefón
- Dva prístupy: správa celého zariadenia vs. ochrana len firemných aplikácií
- Ako to vyzerá v praxi s Outlookom, Teams a SharePointom
- Čo firma vidí a čo nevidí na súkromnom telefóne
- Čo sa stane pri strate telefónu alebo odchode zamestnanca
- Praktické odporúčania pre firmu
Čo je BYOD a prečo je to bezpečnostná otázka
BYOD znamená, že zamestnanec používa svoje súkromné zariadenie — najčastejšie telefón — na prístup k firemným systémom: e-mailu, Teams, SharePointu, prípadne aj interným aplikáciám. Pre firmu je to lákavé z pohľadu nákladov aj pohodlia zamestnancov, no zásadne sa tým mení bezpečnostný model. Firemné dáta zrazu putujú na zariadenie, ktoré si zamestnanec sám vybral, sám aktualizuje (alebo neaktualizuje), zdieľa ho prípadne s rodinou a inštaluje si na ňom čokoľvek z obchodu s aplikáciami — bez toho, aby to firma akokoľvek riadila.
Aké riziká prináša vlastný telefón
- Chýbajúce alebo slabé zabezpečenie zariadenia — telefón bez PIN kódu, biometrie alebo šifrovania predstavuje priamy prístup k firemným dátam pre kohokoľvek, kto sa k nemu dostane.
- Neaktualizovaný operačný systém — starší telefón môže obsahovať dávno známe a verejne zdokumentované zraniteľnosti, ktoré firma nemá šancu ovplyvniť.
- Aplikácie z neznámych zdrojov — na súkromnom telefóne bežia aplikácie, ktoré by IT oddelenie na firemnom zariadení nikdy nepovolilo, a niektoré z nich môžu byť škodlivé.
- Zdieľané zariadenie — telefón, ktorý používa aj partner alebo deti, zvyšuje riziko neúmyselného prístupu k firemným dátam.
- Neriadené kopírovanie dát — príloha z pracovného e-mailu sa jedným klikom uloží do galérie fotiek alebo osobného cloudového úložiska telefónu, mimo dosahu firmy.
Dva prístupy: správa celého zariadenia vs. ochrana len firemných aplikácií
Firmy majú v zásade dve možnosti, ako súkromné telefóny zapojiť do firemného prostredia bezpečne. Rozdiel medzi nimi je zásadný — najmä z pohľadu toho, čo firma na súkromnom zariadení skutočne ovláda.
| Prístup | Čo riadi | Vhodné pre |
|---|---|---|
| Správa celého zariadenia (MDM) | Celý telefón — zámok obrazovky, nastavenia, v krajnom prípade aj úplné vymazanie | Firemné telefóny vo vlastníctve spoločnosti |
| Ochrana firemných aplikácií (MAM / App Protection) | Iba dáta vo firemných aplikáciách (Outlook, Teams, OneDrive), zvyšok telefónu sa nedotýka | Súkromné telefóny zamestnancov (BYOD) |
Pri BYOD sa v praxi takmer vždy odporúča druhý prístup — ochrana na úrovni aplikácií, nie celého zariadenia. Zamestnanci logicky odmietajú, aby si firma nárokovala kontrolu nad celým ich súkromným telefónom, a firma na to ani nepotrebuje viac, než ochrániť svoje vlastné dáta.
Ako to vyzerá v praxi s Outlookom, Teams a SharePointom
V prostredí Microsoft 365 sa toto riadi tzv. politikami ochrany aplikácií (App Protection Policies) v rámci nástroja Intune, spolu s podmieneným prístupom (Conditional Access). V praxi to znamená napríklad:
- Prístup k firemnému e-mailu alebo SharePointu je povolený len z aplikácií, ktoré túto politiku podporujú (napríklad Outlook alebo Teams, nie ľubovoľná e-mailová aplikácia v telefóne).
- Otvorenie firemnej aplikácie si vyžaduje vlastný PIN kód alebo biometriu, nezávisle od zámku telefónu.
- Kopírovanie textu či prílohy z firemnej aplikácie do osobnej aplikácie (napríklad WhatsApp alebo súkromný e-mail) je zablokované.
- Uloženie firemného súboru „Uložiť ako" je možné len do firemného úložiska (SharePoint, OneDrive for Business), nie do osobného cloudu.
- Dáta firemných aplikácií sú šifrované nezávisle od zvyšku telefónu.
Čo firma vidí a čo nevidí na súkromnom telefóne
Toto je otázka, ktorá zamestnancov pri BYOD najviac zaujíma — a odpoveď je práve dôvodom, prečo je prístup cez ochranu aplikácií (MAM) pre súkromné telefóny výrazne vhodnejší než plná správa zariadenia (MDM).
Čo sa stane pri strate telefónu alebo odchode zamestnanca
Pri ochrane firemných aplikácií je možné vykonať tzv. selektívne vymazanie — z telefónu sa odstránia iba firemné dáta (obsah Outlooku, Teams, OneDrivu), zatiaľ čo osobné fotky, správy a aplikácie zostanú bez zmeny. Ide o výrazný rozdiel oproti plnému vymazaniu zariadenia, ktoré sa pri súkromných telefónoch používa len výnimočne a spravidla si vyžaduje explicitný súhlas zamestnanca už pri zapojení telefónu do firemného prostredia.
Praktické odporúčania pre firmu
- Nastavte podmienený prístup (Conditional Access) — prístup k O365 z mobilu povoľte len v kombinácii s viacfaktorovým overením a politikou ochrany aplikácie.
- Zaveďte politiky ochrany aplikácií (App Protection Policies) pre Outlook, Teams a OneDrive — PIN, šifrovanie, zákaz kopírovania do osobných aplikácií.
- Blokujte prístup z rootovaných alebo jailbreaknutých telefónov, ktoré majú obídené bezpečnostné mechanizmy operačného systému.
- Vyžadujte minimálnu podporovanú verziu operačného systému, aby sa vylúčili zariadenia so známymi, neopravenými zraniteľnosťami.
- Majte jasnú a zamestnancom komunikovanú BYOD politiku — nech presne vedia, čo firma na ich telefóne vidí, riadi a čo sa stane pri odchode zo spoločnosti.
- Zaraďte BYOD do onboardingu a offboardingu — pri nástupe nastavenie ochrany, pri odchode overené selektívne vymazanie firemných dát.
Vlastný telefón zamestnanca nemusí byť bezpečnostnou hrozbou, pokiaľ firma rozlišuje medzi kontrolou zariadenia a ochranou svojich dát. Práve tento druhý, cielenejší prístup umožňuje firemné dáta reálne ochrániť bez toho, aby zasahoval do súkromia zamestnanca mimo firemných aplikácií.