2007-02-14 - Microsoft Executive Circle - Mobile Security

351 views
283 views

Published on

Presentation for the Microsoft Roundtable Discussions for CIO's about the managability and security model for the enterprise.

Published in: Technology
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total views
351
On SlideShare
0
From Embeds
0
Number of Embeds
1
Actions
Shares
0
Downloads
0
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide
  • Veel bedrijfskritische gegevens! Een overname-afspraak kan zeer gevoelig liggen!!
  • 30 seconden Focus op dat al die gegevens al in die filofax stonden
  • 30 seconden
  • Mijn vader zei vroeger altijd: als je het kwijtraakt, kun je het maar beter goed kwijtraken
  • Remote selfdestruct, the Dell way Weinig gebruikersacceptatie Gezeur met vliegtuigmaatschappijen
  • De el-cheapo oplossing in het buitenland, ook evil twins
  • 2007-02-14 - Microsoft Executive Circle - Mobile Security

    1. 1. MOBILE SECURITY A PRACTICAL APPROACH (14-2-2007, JAAP VAN EKRIS)
    2. 2. Jaap van Ekris <ul><li>Senior Adviseur DNV (Voorheen CIBIT|SERC) </li></ul><ul><ul><li>Risico en betrouwbaarheid ICT oplossingen, waaronder security </li></ul></ul><ul><ul><li>Vaak betrokken bij overnames en grote projecten </li></ul></ul><ul><li>Eigenaar www.modernnomads.info </li></ul><ul><li>Microsoft Most Valuable Professional Mobile Devices </li></ul>
    3. 3. <ul><li>60% van alle bedrijven zien af van mobile devices vanwege security concerns </li></ul>
    4. 4. Mijn doel <ul><li>Overtuigen van het belang van beveiligen van mobiele devices </li></ul><ul><li>…… ..zonder door te schieten </li></ul><ul><li>Aantonen dat acceptabele beveiliging </li></ul><ul><ul><li>Geen extra geld hoeft te kosten </li></ul></ul><ul><ul><li>Uitlegbaar aan de gebruiker is </li></ul></ul><ul><ul><li>Morgen uit te rollen is </li></ul></ul>
    5. 5. Beveiliging van devices, wat kentallen <ul><li>60% van de bedrijven kent geen security policy voor PDA’s en GSM’s 1 </li></ul><ul><li>83% van alle devices in bedrijven is een persoonlijk eigendom van de medewerker </li></ul><ul><li>75% van de gebruikers heeft geen enkele beveiliging op zijn device 2 </li></ul>1: Bron: Pointsec security 2: Bron: TNS NFO
    6. 6. Agenda <ul><li>De verleiding (  ) </li></ul><ul><li>De gevaren (  ) </li></ul><ul><li>De oplossingen (  ) </li></ul>
    7. 7. De voordelen van mobiel werken <ul><li>Eenvoudige manier om gegevens mobiel mee te nemen en verwerken </li></ul><ul><li>Werken waar en wanneer het de medewerker uitkomt </li></ul><ul><li>Verhoogt de bereikbaarheid/effectiviteit van de medewerker </li></ul><ul><li>Maar te stringente security maatregelen kunnen dit nihileren </li></ul>
    8. 8. Altijd toegang tot je backoffice systemen Route planning Patient dossiers Rit registratie Grote Boze Internet 
    9. 9. Altijd wel een gratis netwerk in de buurt 
    10. 10. Bedreigingen in het paradijs <ul><li>Ongeoorloofde toegang </li></ul><ul><li>Diefstal/verlies </li></ul><ul><li>Vernietiging van het device </li></ul><ul><li>Inbreken op het device </li></ul><ul><li>Afluisteren van communicatie </li></ul>
    11. 11. Ongeoorloofde toegang… <ul><li>Bekijken van vertrouwelijke informatie </li></ul><ul><li>Diefstal van informatie </li></ul><ul><li>Je voordoen als een ander </li></ul>
    12. 12. Wat is er te beschermen? <ul><li>Inhoud van PDA’s: </li></ul><ul><li>Afspraken 85% </li></ul><ul><li>Adresgegevens 80% </li></ul><ul><li>Verslaglegging/aantekeningen 75% </li></ul><ul><li>Creditcardgegevens 40% </li></ul><ul><li>Documenten/spreadsheets 35% </li></ul><ul><li>Wachtwoorden/PIN codes 33% </li></ul><ul><li>E-mail 32% </li></ul><ul><li>Bankgegevens 25% </li></ul><ul><li>Zakelijke analyses 25% </li></ul>Bron: Pointsec security 
    13. 13. Niets nieuws onder de zon… 
    14. 14. Het zijn wel veel gegevens…. GB (Solid State) Bij veel organisaties past alle kritieke bedrijfsinformatie op éé n Ipod! 
    15. 15. Credentials… <ul><li>Mobiel verlengstuk van kritieke bedrijfssystemen </li></ul><ul><li>Rechtstreekse ontsluiting </li></ul><ul><li>Voorbeelden: </li></ul><ul><ul><li>Electronisch Patientdossier </li></ul></ul><ul><ul><li>CRM applicaties </li></ul></ul><ul><ul><li>Orderadministratie </li></ul></ul><ul><li>Alle credentials staan vaak op het device zelf! </li></ul>
    16. 16. Maatregelen tegen ongeoorloofd gebruik… <ul><li>“ On idle”/”Power on” password, beschermt: </li></ul><ul><ul><li>Inkomende poorten </li></ul></ul><ul><ul><li>Gebruikersinterface </li></ul></ul><ul><ul><li>Kan wel inkomende gesprekken aannemen </li></ul></ul><ul><li>Afdwingbaar via policy: </li></ul><ul><ul><li>Activeringstijd </li></ul></ul><ul><li>Verbeteringen met WM6 </li></ul><ul><ul><li>Geen triviale PIN-codes meer </li></ul></ul><ul><ul><li>Langere PIN mogelijk </li></ul></ul><ul><ul><li>Minimale lengte PIN via policy afdwingbaar </li></ul></ul>
    17. 17. Bescherming van specifieke gegevens <ul><li>Encryptie van gegevens met gespecialiseerde applicaties: </li></ul><ul><ul><li>Bescherming van wachtwoorden en bankgegevens 1 </li></ul></ul><ul><ul><li>Bescherming van bestanden 2 </li></ul></ul> 1: zie http://home.planet.nl/~icompare/cryptex.htm 2: Zie http://www.mysoco.com/Product.aspx?ProductID=8
    18. 18. Data-encryptie (WM6) <ul><li>Standaard onderdeel WM6 </li></ul><ul><li>Volledig transparant voor de rechtmatige eigenaar </li></ul><ul><li>Encrypt gegevens op memory card </li></ul><ul><li>Onderdeel van de device policies </li></ul><ul><li>Is wat tricky met geheugen intensieve applicaties zoals TomTom Navigator </li></ul><ul><li>Introduceert wel risico’s bij beschadiging device </li></ul>
    19. 19. Verlies/Diefstal… <ul><li>40% van de mensen is wel eens een GSM kwijt geraakt </li></ul><ul><li>25% is wel eens een laptop/PDA kwijtgeraakt </li></ul><ul><li>Waar worden die spullen verloren? </li></ul><ul><ul><li>40% in de taxi </li></ul></ul><ul><ul><li>20% in een restaurant/cafe </li></ul></ul>
    20. 20. Vernietiging van data… 
    21. 21. Vernietiging van data <ul><li>Remote wipe (WM5 MSFP) </li></ul><ul><ul><li>Local: via policy bij herhaald verkeerd ingeven paswoord </li></ul></ul><ul><ul><li>Remote: via Microsoft Exchange 2003 SP2 </li></ul></ul><ul><ul><li>Via Outlook Web Access met Exchange 2007 </li></ul></ul><ul><li>Vernietiging van alle data op het device zelf </li></ul><ul><li>Verbetering met WM6 </li></ul><ul><ul><li>Ook de geheugenkaart wordt schoongemaakt </li></ul></ul>
    22. 22. Vernietiging van het device… <ul><li>Top 10 doodsoorzaken van mobiele devices: </li></ul><ul><li>Op de grond laten vallen </li></ul><ul><li>Kapotgedrukt in te strakke kleding </li></ul><ul><li>Gebruik in de regen </li></ul><ul><li>Woedend op de grond gegooid </li></ul><ul><li>Huisdier of een kind </li></ul><ul><li>In het toilet laten vallen </li></ul><ul><li>In de zee laten vallen </li></ul><ul><li>Laten liggen op het dak van de auto </li></ul><ul><li>Transpiratie tijdens een training </li></ul><ul><li>In de sneeuw laten vallen </li></ul>Bron: Siemens Mobile 
    23. 23. Beschikbaar houden van gegevens <ul><li>Synchronisatie van PIM gegevens </li></ul><ul><ul><li>via activesync </li></ul></ul><ul><ul><li>Via exchange </li></ul></ul><ul><li>Synchronisatie van documenten </li></ul><ul><li>Synchronisatie via gespecialiseerde applicaties </li></ul> 1: zie http://home.planet.nl/~icompare/cryptex.htm 2: Zie http://www.mysoco.com/Product.aspx?ProductID=8
    24. 24. Inbreken <ul><li>Er zijn expoits bekend van WM5, nog niet op WM6 </li></ul><ul><li>Virusscanners bestaan, maar er zijn geen echte virussen bekend (wel proof of concepts) </li></ul><ul><li>Firewalls bestaan, maar er zijn nog wormen bekend </li></ul>
    25. 25. Inbreken: bluetooth <ul><li>Directe toegang tot contacts, agenda, files en modem </li></ul><ul><li>Kan zich verbergen </li></ul><ul><li>Kan authenticatie eisen </li></ul><ul><li>Kan encryptie gebruiken </li></ul><ul><li>ALTIJD kwetsbaar voor*: </li></ul><ul><ul><li>Eavesdropping </li></ul></ul><ul><ul><li>Man-in-the-middle attack </li></ul></ul>*Zie: http://www.newscientist.com/article.ns?id=dn7461 
    26. 26. Bluetooth in de praktijk… <ul><li>staat vaak geheel open </li></ul>
    27. 27. Inbraken voorkomen <ul><li>Zet ongebruikte bluetooth services uit </li></ul><ul><li>Zorg dat een device niet discoverable is </li></ul><ul><li>Vereis een sleutel </li></ul>
    28. 28. Afluisteren van communicatie… Exchange CRM applicatie Ordersysteem Grote Boze Internet 
    29. 29. Afluisteren van e-mail <ul><li>SSL server side afdwingen voor (mobiele) communicatie </li></ul>
    30. 30. Grote verbetering bij WM6 <ul><li>Certificaatmanagement is sterk verbeterd </li></ul><ul><li>Eenvoudiger importeren </li></ul><ul><li>Wildcard support voor SSL </li></ul>
    31. 31. Eigendomsrechten <ul><li>Wie is eigenaar? </li></ul><ul><li>Wie beslist over het installeren van applicaties? </li></ul><ul><li>Wie beslist over toegang tot het netwerk? </li></ul>
    32. 32. Beveiliging van devices? <ul><li>60% van de bedrijven kent geen security policy voor PDA’s en GSM’s 1 </li></ul><ul><li>75% van de gebruikers heeft geen enkele beveiliging op zijn device 2 </li></ul><ul><li>Maar het hoeft niets te kosten! </li></ul>1: Bron: Pointsec security 2: Bron: TNS NFO
    33. 33. Kortom <ul><li>Mobiele device komen je bedrijf binnen, of je het wilt of niet </li></ul><ul><li>Mobiliteit kan niet zonder na te denken over de security </li></ul><ul><li>We kunnen het niet overlaten aan de individuele gebruiker </li></ul><ul><li>Acceptabele bedrijfsbrede maatregelen hoeven niets te kosten als je WM5 of WM6 gebruikt </li></ul><ul><li>WM6 maakt het geheel veel beheersbaarder </li></ul>
    34. 34. Vragen? <ul><li>[email_address] </li></ul><ul><li>http://www.modernnomads.info </li></ul>

    ×