Esitage endale lihtne küsimus: mitu inimest teie ettevõttes loeb töö-e-posti telefonist? Meie kogemuse järgi on vastus peaaegu alati „kõik“. Nüüd teine küsimus: mitu neist telefonidest saaks ettevõte lukustada või kustutada, kui need täna kaoksid? Vastus on tavaliselt „mitte ühtegi“.
Ettevõtted pööravad tähelepanu arvutitele: viirusetõrje, uuendused, krüpteerimine, paroolipoliitikad. Telefonid jäävad isiklikku tsooni, kuigi neis on sama e-post, samad Teamsi vestlused, OneDrive’i dokumendid, kliendikontaktid ja sageli ka kõigi ettevõtte süsteemide teine sisselogimistegur. Varga või leidja jaoks on see täielik võtmekimp.
Selles artiklis selgitame, mis tegelikult juhtub, kui telefon kaob, kuidas risk isiklike ja ettevõtte seadmete puhul erineb, mida mobiilseadmete halduse (MDM) süsteem praktikas teeb ja kuidas seda juurutada nii, et töötajad ei tunneks, et ettevõte sekkub nende eraellu.
Mis juhtub, kui ettevõtte e-postiga telefon kaob
Kujutage ette tavalist olukorda: müügijuht unustab reede õhtul telefoni taksosse. Ta märkab seda laupäeva hommikul. IT-le teatab ta esmaspäeval, sest ta „ei tahtnud nädalavahetusel kedagi segada“.
Nende 60 tunni jooksul oleks telefoni saanud lahti lukustada, kui sel oli lihtne PIN või üldse mitte. Seal on avatud Outlook kõigi kirjadega, sealhulgas nendega, kus kolleegid saadavad lepinguid ja paroole. Teams on avatud sisevestlustega. OneDrive’is on hinnatabelid. Ja mis kõige olulisem, seal on autentimisrakendus, mis kinnitab Microsoft 365 sisselogimisi. Telefoni ja postkasti ligipääsuga saab keegi lähtestada parooli ja kinnitada teise teguri samas seadmes.
Ilma MDM-ita saab ettevõte siin teha vaid töötaja parooli vahetada ja loota, et telefon oli lukus. Ta ei saa kontrollida, kas seade oli krüpteeritud, ei saa ettevõtte andmeid kaugelt eemaldada ega näidata audiitorile või Andmekaitse Inspektsioonile, et isikuandmed ei olnud kolmandatele isikutele ligipääsetavad. GDPR-i järgi on just seda vaja hinnata 72 tunni jooksul.
MDM-iga näeb sama olukord teistsugune välja: töötaja teatab, IT lukustab seadme ja eemaldab ettevõtte andmed kaugelt mõne minutiga ning süsteem näitab, et seade oli krüpteeritud ja kaitstud tugeva pääsukoodiga. Intsident lõpeb logikirjega, mitte teatega järelevalveasutusele.
BYOD või ettevõtte seadmed: erinev risk, erinevad reeglid
Enamik ettevõtteid kasutab segamudelit: mõned töötajad kasutavad ettevõtte telefone, teised oma isiklikke (BYOD, bring your own device). Mõlemad võivad olla turvalised, kuid vajavad erinevat lähenemist.
Ettevõtte seade on ettevõtte vara. Seda saab täielikult hallata: te määrate, millised rakendused on lubatud, nõuate krüpteerimist ja uuendusi, blokeerite tundmatud rakenduseallikad ja kustutate kogu seadme, kui töötaja lahkub. Töötaja teab, et see on tööriist, seega on vastuseisu vähe.
Isiklik seade kuulub töötajale ja ettevõttel ei ole õigust näha tema fotosid, sõnumeid ega rakendusi. Siin töötab MDM teisiti: see loob eraldi tööprofiili või haldab ainult ettevõtte rakendusi. Ettevõte näeb ja kontrollib ainult seda osa: Outlook, Teams, OneDrive, autentimisrakendus. Kui telefon kaob, kustutatakse ainult see osa ja isiklikud andmed jäävad alles. Sama kehtib, kui töötaja lahkub.
Sellise tabeli abil selgitame vahet juhtidele:
| Küsimus | Ettevõtte seade | Isiklik seade (BYOD) |
|---|---|---|
| Mida ettevõte haldab | Kogu seadet | Ainult tööprofiili või rakendusi |
| Mida ettevõte näeb | Rakendusi, seadeid, asukohta (kui lubatud) | Ainult töörakenduste olekut |
| Kui telefon kaob | Kogu seade kustutatakse | Kustutatakse ainult ettevõtte andmed |
| Kui töötaja lahkub | Seade tagastatakse ja kustutatakse | Tööprofiil eemaldatakse |
| Privaatsusrisk | Madal, seade on töö jaoks | Kontrollitud tehniliste piiridega |
Ükski mudel ei ole parem. Oluline on, et see valitakse teadlikult ja kirjutatakse poliitikasse, mitte ei jäeta iseenesest kujunema.
Mida MDM tegelikult teeb
Mobiilseadmete haldus ei ole üks funktsioon, vaid reeglite kogum, mida süsteem automaatselt rakendab. Olulisemad:
- Krüpteerimine ja ekraanilukk. Seade peab olema krüpteeritud ja sellel peab olema vähemalt kuuekohaline pääsukood või biomeetria. Ilma selleta ettevõtte e-post lihtsalt ei avane.
- Kaugkustutamine ja lukustamine. Kui telefon kaob või varastatakse, teete seda haldukonsoolist mõne minutiga, töötaja osaluseta.
- Rakenduste poliitika. Ettevõtte rakendused paigaldatakse automaatselt ja saate keelata andmete kopeerimise Outlookist isiklikku WhatsAppi või manuste salvestamise isiklikku pilve.
- Uuendusnõuded. Telefon, mille operatsioonisüsteem on kaks aastat vana, kaotab ligipääsu, kuni see on uuendatud.
- Tingimuslik juurdepääs (Conditional Access). Microsoft 365 sisselogimine on võimalik ainult poliitikale vastavatest seadmetest. See seob MDM-i teenusega Microsoft Entra ID ja blokeerib sisselogimised juhuslikest seadmetest.
- Inventuur. Ettevõte teab igal hetkel, mitu seadet pääseb tema andmetele ligi, millised versioonid neil on ja millal nad viimati ühendusid.
- Lahkumine. Konto keelamine Entra ID-s eemaldab automaatselt tööandmed kõigist selle inimese seadmetest.
Neid reegleid ootavad ka NIS2 ja DORA ligipääsukontrolli ja varahalduse osas. Kui audiitor küsib „kuidas te mobiilseadmeid haldate“, ei ole MDM-ita ettevõttel vastust.
Kuidas juurutada ilma töötajate vastuseisuta
MDM-i ebaõnnestumise kõige tavalisem põhjus ei ole tehniline. Töötajad kuulevad „ettevõte hakkab minu telefoni kontrollima“ ja lihtsalt ei registreeri seadet. Mõned asjad on meil toiminud.
Esiteks, öelge tõtt, mida ettevõte näeb ja mida mitte. Näidake konsooli. Töötaja, kes näeb, et seal on ainult tema tööprofiili olek, mitte fotod ja sõnumid, rahuneb. Kirjutage see poliitikasse lihtsate lausetega.
Teiseks, alustage juhtkonnast. Kui tegevjuht ja osakonnajuhatajad registreeruvad esimestena, lakkab see kõigi teiste jaoks olemast „kontroll“ ja muutub tavaliseks töövõtteks.
Kolmandaks, tehke see lihtsaks. Registreerimine peaks võtma mõne minuti ja olema kirjeldatud mõne ekraanipildiga. Kui keegi peab kasutajatoele helistama, aitab teie IT-tugi meeskond, kuid enamik inimesi saab hakkama ise.
Neljandaks, siduge see töötaja kasuga. Kui ta telefoni kaotab, teab ta, et keegi ei pääse ligi tema tööandmetele ja ta ei pea midagi selgitama. Uude seadmesse tulevad kõik töörakendused automaatselt.
Viiendaks, seadke tähtaeg ja lülitage pärast seda sisse tingimuslik juurdepääs. Kuni MDM on vabatahtlik, ei registreeru mõned töötajad kunagi. Kui töö-e-post ilma selleta ei avane, laheneb küsimus nädalaga ise.
Kust alustada
- Lugege kokku, mitmel seadmel on praegu ligipääs ettevõtte e-postile. Microsoft 365 haldusportaalis näete seda kohe ja arv tuleb tavaliselt üllatusena.
- Otsustage mudel: ettevõtte seadmed, BYOD või segamudel. Kirjutage ühelehekülgne poliitika selle kohta, mida ettevõte haldab ja mida ei näe.
- Lülitage sisse minimaalsed reeglid: krüpteerimine, ekraanilukk ja kaugkustutamine. See kõrvaldab suurima riski esimesel nädalal.
- Siduge MDM Microsoft 365 tingimusliku juurdepääsuga, et poliitika oleks tingimus, mitte soovitus.
- Kui keegi ei saa seda ettevõttesiseselt hallata, katab meie mobiilseadmete halduse teenus juurutuse, poliitika seadistuse ja igapäevase halduse ning telefoni kadumise korral kasutajatoe reageerimise.
Telefon on lihtsalt ettevõtte arvuti, ainult väiksem ja sagedamini kaduv. Suhtuge sellesse vastavalt.
