Governanza tal-BYOD għal ISO 27001, NIS2, DORA u GDPR
L-iPad mitluf fit-8:12 AM
Fit-8:12 AM, l-iskrin ta’ Sarah xegħel b’biljett ta’ appoġġ ordinarju: “iPad mitluf, Direttur tal-Bejgħ.”
Sarah kienet l-Uffiċjal Ewlieni tas-Sigurtà tal-Informazzjoni ta’ kumpanija fintech li kienet qed tikber b’ritmu mgħaġġel, u fehmet minnufih li din ma kinitx kwistjoni ordinarja ta’ assi. Id-Direttur tal-Bejgħ kien juża ħafna l-iPad personali tiegħu. Huwa kien jaċċessa reġistri tas-CRM, email, listi sensittivi ta’ prospetti tal-klijenti, spazji ta’ kollaborazzjoni u dashboards tal-pipeline tal-pagamenti minn kmamar tal-lukandi, swali tal-ajruporti u siti tal-klijenti.
Fi ftit minuti, is-sitwazzjoni marret għall-agħar. L-apparat ma kienx irreġistrat fil-ġestjoni tal-apparati mobbli. Ma kien hemm ebda konferma li kien iċċifrat. Ma kien hemm ebda kapaċità ta’ tħassir remot. Kienu jeżistu regoli ta’ aċċess kondizzjonali, iżda d-Direttur tal-Bejgħ kien ingħata eċċezzjoni xhur qabel għax kien “dejjem jivvjaġġa.” It-tim tal-privatezza ma setax jikkonferma liema data tal-klijenti kienet inħażnet lokalment fil-cache. Il-Maniġer tal-Konformità bagħat messaġġ ġdid mill-awditur estern: “Jekk jogħġbok ipprovdu evidenza li apparati mobbli personali li jaċċessaw data tal-klijenti huma soġġetti għal governanza, monitoraġġ, iċċifrar u jistgħu jitneħħew mis-servizz jekk jiġu kompromessi.”
L-iPad mitluf ma kienx il-vera splużjoni. Kien l-ewwel sinjal ta’ twissija.
Din hija l-problema tal-governanza tal-apparati mobbli u tal-BYOD fl-2026. Telefowns u tablets personali m’għadhomx sempliċi konvenjenzi għall-impjegati. Huma endpoints tan-negozju, fatturi tal-identità, ħażniet tad-data, għodod ta’ approvazzjoni tal-pagamenti, mezzi ta’ appoġġ għall-aċċess privileġġjat u kanali għar-rappurtar ta’ inċidenti. Apparat personali wieħed jista’ jżomm app ta’ awtentikazzjoni għal aċċess amministrattiv, email korporattiv b’data personali, fajls cloud maħżuna fil-cache, screenshots ta’ informazzjoni regolata, sessjonijiet attivi tal-browser f’konsols SaaS u tokens tal-aċċess għal għodod operattivi.
Għal Uffiċjali Ewlenin tas-Sigurtà tal-Informazzjoni (CISOs), Maniġers tal-Konformità u bordijiet, il-mistoqsija m’għadhiex, “Nippermettu l-BYOD?” Il-mistoqsija vera hija, “Nistgħu nippruvaw li kull mogħdija ta’ aċċess mobbli hija soġġetta għal governanza, valutazzjoni tar-riskju, kontroll tekniku, monitoraġġ u rkupru?”
It-tweġiba m’għandhiex teħtieġ programmi separati ta’ konformità għal ISO 27001, NIS2, DORA u GDPR. Sistema ta’ Ġestjoni tas-Sigurtà tal-Informazzjoni ISO/IEC 27001:2022 ISO/IEC 27001:2022 b’kamp ta’ applikazzjoni definit tajjeb tista’ tinkorpora r-riskju mobbli u tal-BYOD fil-politiki, fis-sjieda tal-assi, fil-kontroll tal-aċċess, fil-konformità tal-apparati, fl-illoggjar, fir-rispons għall-inċidenti, fil-kontrolli tal-privatezza u fl-evidenza tal-fornituri. L-approċċ ta’ Clarysec huwa li tinbena dik l-evidenza darba, u mbagħad terġa’ tintuża għall-iġjene ċibernetika taħt NIS2, għall-ġestjoni tar-riskju tal-ICT taħt DORA u għas-sigurtà tal-ipproċessar taħt GDPR Article 32.
Għaliex il-BYOD issa huwa kwistjoni ta’ konformità fil-livell tal-bord
Ix-xogħol ibridu għamel l-aċċess mobbli permanenti. Eżekuttivi tal-bejgħ japprovaw kuntratti minn iPhones personali. Maniġers tal-finanzi jawtorizzaw pagamenti minn tablets. Inġiniera jużaw apps ta’ awtentikazzjoni fuq it-telefowns tagħhom stess. Eżekuttivi jivvjaġġaw b’email korporattiv fuq apparati personali għax huwa konvenjenti. Kuntratturi jaċċessaw biljetti minn browsers mobbli. Timijiet ta’ appoġġ jirċievu twissijiet ta’ inċidenti permezz ta’ apps ta’ messaġġi mobbli.
Din il-flessibbiltà toħloq lakuna fil-governanza meta l-aċċess jikber aktar malajr mid-disinn tal-politiki u tal-kontrolli.
NIS2 tagħmel il-lakuna viżibbli fil-livell tal-maniġment. Article 20 jirrikjedi li l-korpi maniġerjali japprovaw miżuri ta’ ġestjoni tar-riskju taċ-ċibersigurtà, jissorveljaw l-implimentazzjoni u jirċievu taħriġ. Article 21 jirrikjedi miżuri tekniċi, operattivi u organizzattivi xierqa u proporzjonati, inklużi analiżi tar-riskju, ġestjoni tal-inċidenti, kontinwità tan-negozju, sigurtà tal-katina tal-provvista, akkwist u manutenzjoni siguri, valutazzjoni tal-effettività, iġjene ċibernetika, kontrolli kriptografiċi, sigurtà tar-riżorsi umani, kontroll tal-aċċess u ġestjoni tal-assi. Il-governanza tal-apparati mobbli u tal-BYOD tolqot kważi kull wieħed minn dawn is-suġġetti.
DORA tgħolli l-livell ta’ riskju għall-entitajiet finanzjarji. Minn Jannar 2025, DORA teħtieġ qafas dokumentat għall-ġestjoni tar-riskju tal-ICT, sorveljanza mill-korp maniġerjali, kontinwità tan-negozju tal-ICT, ġestjoni tal-inċidenti tal-ICT, ittestjar tar-reżiljenza operattiva diġitali u ġestjoni tar-riskju tal-ICT ta’ partijiet terzi. Jekk l-impjegati jaċċessaw funzjonijiet kritiċi jew importanti permezz ta’ apparati mobbli, dawk l-apparati huma parti mill-wiċċ tar-riskju tal-ICT. Fornitur tal-ġestjoni tal-apparati mobbli jew tal-ġestjoni unifikata tal-endpoints jista’ jsir rilevanti wkoll għall-evidenza ta’ partijiet terzi tal-ICT jekk jipproteġi l-aċċess għal operazzjonijiet regolati.
GDPR iżżid il-lenti tar-responsabbiltà. Article 5 jirrikjedi li d-data personali tiġi pproċessata b’mod sigur u jirrikjedi li l-kontrollur juri l-konformità. Article 32 jirrikjedi miżuri tekniċi u organizzattivi xierqa, inklużi kunfidenzjalità, integrità, disponibbiltà, reżiljenza u l-kapaċità li l-aċċess jiġi restawrat fejn meħtieġ. Fil-prattika, ir-reviżuri tal-privatezza jistaqsu mistoqsijiet konkreti: Min jista’ jaċċessa data personali minn apparati mobbli? Kif jiġi ristrett l-aċċess? X’jiġri meta jintilef telefon? Id-data korporattiva tista’ titħassar mingħajr ma tinkiser il-privatezza personali? Il-logs jinżammu? Teżisti evidenza għall-valutazzjoni ta’ ksur?
ISO/IEC 27001:2022 jagħti l-mudell operattiv. Klawżoli 4.1 sa 4.4 jirrikjedu li l-organizzazzjonijiet jiddeterminaw kwistjonijiet interni u esterni, rekwiżiti tal-partijiet interessati, obbligi regolatorji, kamp ta’ applikazzjoni u dipendenzi. Klawżola 5 tirrikjedi tmexxija, rwoli u responsabbiltajiet. Klawżola 6 tirrikjedi valutazzjoni tar-riskju u trattament tar-riskju. Klawżoli 8.2 u 8.3 jirrikjedu li l-organizzazzjoni twettaq valutazzjonijiet tar-riskju tas-sigurtà tal-informazzjoni u timplimenta pjanijiet ta’ trattament tar-riskju.
Dan ifisser li l-BYOD ma jistax jibqa’ f’memorandum tal-IT minsi. Għandu jkun parti mill-kamp ta’ applikazzjoni tal-ISMS, fejn jiġu ġestiti l-obbligi legali, l-aspettattivi tal-klijenti, id-dipendenzi operattivi u d-deċiżjonijiet dwar it-trattament tar-riskju.
Il-cluster tal-kontrolli ISO 27001 għall-governanza tal-apparati mobbli u tal-BYOD
Clarysec normalment tibda l-governanza mobbli b’cluster ta’ tliet kontrolli mill-Anness A ta’ ISO/IEC 27001:2022, appoġġjat mill-gwida ta’ implimentazzjoni ISO/IEC 27002:2022.
| Tema tal-kontroll | Tifsira għall-governanza mobbli | Evidenza tipika |
|---|---|---|
| A.8.1 Apparati endpoint tal-utenti | Smartphones, tablets u laptops għandhom jiġu mwebbsa, immaniġġjati u mmonitorjati skont ir-riskju | Rapporti ta’ reġistrazzjoni tal-MDM, status tal-iċċifrar, konformità mal-linja bażi tal-OS, protezzjoni kontra l-malware, kapaċità ta’ tħassir remot |
| A.6.7 Xogħol remot | L-aċċess barra mis-sit għandu jkun irregolat permezz ta’ politika, eliġibbiltà, aċċess sigur u aspettattivi dwar l-imġiba tal-utenti | Politika dwar ix-xogħol remot, ftehim BYOD, VPN jew regoli ta’ aċċess kondizzjonali, reġistri tat-taħriġ |
| A.7.9 Sigurtà tal-assi barra mill-bini | Apparati u mezzi barra minn bini kkontrollat għandhom jiġu protetti fiżikament u traċċati | Inventarju tal-assi, sjieda assenjata, proċedura għal apparat mitluf, gwida għall-ivvjaġġar, evidenza tal-iċċifrar |
F’Zenith Controls: Il-gwida għall-konformità trasversali Zenith Controls, Clarysec tittratta dawn il-kontrolli bħala kontrolli li jsaħħu lil xulxin. Għall-apparati endpoint tal-utenti, Zenith Controls tikklassifika l-kontroll A.8.1 bħala preventiv, li jappoġġja l-kunfidenzjalità, l-integrità u d-disponibbiltà, immappjat mal-kunċett taċ-ċibersigurtà Protect u mal-kapaċitajiet operattivi tal-ġestjoni tal-assi u l-protezzjoni tal-informazzjoni.
Il-gwida tispjega wkoll għaliex il-kontrolli tal-apparati endpoint huma marbuta direttament ma’ użu aċċettabbli, xogħol remot, restrizzjoni tal-aċċess, awtentikazzjoni sigura, protezzjoni fiżika, obbligi ta’ kunfidenzjalità u taħriġ ta’ sensibilizzazzjoni.
“L-apparati endpoint huma pjattaformi primarji li permezz tagħhom jiġu implimentati politiki ta’ użu aċċettabbli.”
Sors: Zenith Controls, apparati endpoint tal-utenti, kontroll 8.1 Zenith Controls
Għax-xogħol remot, Zenith Controls timmappa A.6.7 ma’ A.7.9 sigurtà tal-assi barra mill-bini, A.8.1 apparati endpoint tal-utenti, A.5.1 politiki għas-sigurtà tal-informazzjoni, A.6.3 sensibilizzazzjoni, edukazzjoni u taħriġ dwar is-sigurtà tal-informazzjoni, A.5.14 trasferiment tal-informazzjoni, A.8.20 sigurtà tan-networks, A.8.22 segregazzjoni tan-networks, A.7.7 mejda nadifa u skrin nadif, A.5.29 sigurtà tal-informazzjoni waqt tfixkil u A.5.30 tħejjija tal-ICT għall-kontinwità tan-negozju.
Dan l-immappjar jirrifletti kif l-awditi jseħħu fil-prattika. Awditur ma jieqafx ma’, “Għandkom politika BYOD?” Huwa jittestja jekk il-politika hijiex implimentata, jekk l-apparati humiex irreġistrati, jekk l-aċċess jiddependix fuq il-konformità, jekk jeżistux logs, jekk l-utenti humiex imħarrġa, jekk l-inċidenti ta’ apparat mitluf jiġux immaniġġjati u jekk l-eċċezzjonijiet humiex aċċettati skont ir-riskju.
Il-bażi tal-politika: iddikjara b’mod ċar ir-regoli tal-governanza
Programm BYOD li jista’ jiġi difiż jibda b’regoli espliċiti. Il-librerija tal-politiki ta’ Clarysec tipprovdi mudelli kemm għal SMEs kif ukoll għal intrapriżi, sabiex l-organizzazzjonijiet ikunu jistgħu jkabbru r-rekwiżiti mingħajr ma jitilfu ċ-ċarezza għall-awditjar.
Għall-SMEs, il-Politika dwar Apparati Mobbli u l-BYOD-sme Politika dwar Apparati Mobbli u l-BYOD - SME toħloq punt sempliċi ta’ kontroll tal-governanza:
“Apparati BYOD personali għandhom jiġu approvati mill-GM qabel l-użu.”
Sors: Politika dwar Apparati Mobbli u l-BYOD-sme, Rekwiżiti ta’ governanza, klawżola 5.1.1 Politika dwar Apparati Mobbli u l-BYOD - SME
Dik is-sentenza qasira tagħlaq lakuna komuni fl-awditjar. Tipprevjeni aċċess sieket minn apparati personali, toħloq punt ta’ approvazzjoni u tagħti lis-sid tan-negozju jew lill-Maniġer Ġenerali rwol viżibbli fil-governanza. Tappoġġja wkoll klawżoli 5.1 sa 5.3 ta’ ISO 27001, fejn it-tmexxija għolja għandha turi tmexxija, tikkomunika l-aspettattivi u tassenja r-responsabbiltajiet.
Il-politika SME tagħmel ċara wkoll l-applikazzjoni tal-linja bażi:
“Il-kontrolli li ġejjin għandhom jiġu applikati fuq l-apparati mobbli kollha (tal-kumpanija u BYOD):”
Sors: Politika dwar Apparati Mobbli u l-BYOD-sme, Rekwiżiti ta’ governanza, klawżola 5.2.1 Politika dwar Apparati Mobbli u l-BYOD - SME
Għal organizzazzjonijiet regolati jew akbar, il-Politika dwar apparati mobbli u l-BYOD Politika dwar apparati mobbli u l-BYOD hija aktar preskrittiva:
“L-apparati mobbli kollha (korporattivi jew personali) li jaċċessaw riżorsi tal-organizzazzjoni għandhom ikunu:
5.1.1 Irreġistrati f’pjattaforma approvata ta’ ġestjoni tal-apparati mobbli (MDM).
5.1.2 Ikkonfigurati b’kontrolli tekniċi tas-sigurtà, inklużi iċċifrar u awtentikazzjoni applikati b’mod obbligatorju.
5.1.3 Immonitorjati għall-konformità ma’ linji bażi definiti tas-sistema operattiva (OS) u tal-applikazzjoni tal-patches.”
Sors: Politika dwar apparati mobbli u l-BYOD, Rekwiżiti ta’ governanza, klawżola 5.1 Politika dwar apparati mobbli u l-BYOD
Dan huwa kliem lest għall-awditjar. L-awditur jista’ jittestja l-popolazzjoni tal-apparati mobbli, iqabbilha mal-logs tal-aċċess, jieħu kampjuni mir-reġistri tar-reġistrazzjoni u jivverifika li l-iċċifrar, l-awtentikazzjoni u l-linji bażi tal-patches qed jiġu applikati.
Il-BYOD jirrikjedi wkoll limiti ta’ kunsens sensittivi għall-privatezza. Il-politika tal-intrapriża tiddikjara:
“L-aċċess Ġib l-Apparat Tiegħek (BYOD) għandu jingħata biss wara aċċettazzjoni formali tal-Ftehim dwar l-Użu tal-BYOD tal-organizzazzjoni, li jinkludi:
5.2.1 Kunsens għall-monitoraġġ ta’ containers korporattivi jew applikazzjonijiet immaniġġjati
5.2.2 Rikonoxximent ta’ kontrolli tal-ġestjoni tal-apparati mobbli (MDM) bħal tħassir remot jew imblukkar
5.2.3 Qbil dwar parteċipazzjoni volontarja u d-dritt li wieħed jirtira”
Sors: Politika dwar apparati mobbli u l-BYOD, Rekwiżiti ta’ governanza, klawżola 5.2 Politika dwar apparati mobbli u l-BYOD
Din il-klawżola hija ċentrali għall-allinjament ma’ GDPR. Tiċċara li l-monitoraġġ japplika għal containers korporattivi jew applikazzjonijiet immaniġġjati, tiddokumenta r-rikonoxximent tal-impjegat dwar imblukkar jew tħassir remot u żżomm id-dritt li wieħed jirtira. Tgħin biex tissepara l-monitoraġġ leġittimu tas-sigurtà korporattiva minn sorveljanza eċċessiva tal-ħajja personali.
Mill-politika għall-kontrolli: MDM, containers, aċċess u logs
Politika ssir governanza biss meta tiġi implimentata u evidenzjata. Il-linja bażi prattika tibda bir-reġistrazzjoni.
“L-apparati mobbli kollha għandhom jiġu rreġistrati f’soluzzjoni ta’ ġestjoni tal-apparati mobbli (MDM) qabel ma jaċċessaw sistemi korporattivi.”
Sors: Politika dwar apparati mobbli u l-BYOD, Rekwiżiti għall-implimentazzjoni tal-politika, klawżola 6.1.1 Politika dwar apparati mobbli u l-BYOD
Għal ambjenti ta’ intrapriża, l-istess saff ta’ implimentazzjoni għandu japplika iċċifrar, PIN, passcode jew awtentikazzjoni bijometrika, imblukkar minħabba inattività, verżjonijiet appoġġjati tal-OS, skoperta ta’ jailbreak jew root, linji bażi tal-patches u tħassir jew installazzjoni mill-ġdid wara tentattivi ripetuti ta’ login falluti.
Għall-BYOD, id-disinn aħjar ġeneralment ikun applikazzjonijiet immaniġġjati jew containers korporattivi minflok sorveljanza tal-apparat kollu. Il-politika taqbad dan il-punt:
“Id-data korporattiva għandha tinħażen biss f’containers iċċifrati u mmaniġġjati.”
Sors: Politika dwar apparati mobbli u l-BYOD, Rekwiżiti għall-implimentazzjoni tal-politika, klawżola 6.6.1 Politika dwar apparati mobbli u l-BYOD
Dan jappoġġja l-minimizzazzjoni tad-data taħt GDPR u s-sigurtà tal-ipproċessar taħt Article 32, għaliex id-data tan-negozju hija ristretta għal żoni mmaniġġjati u żoni personali ma jiġux trattati bħala repożitorji korporattivi. Jagħti wkoll lin-negozju tweġiba prattika meta jintilef telefon personali: jirrevoka s-sessjonijiet, iħassar id-data korporattiva, jippreserva l-logs u jevalwa l-espożizzjoni mingħajr ma jħassar ritratti, messaġġi jew applikazzjonijiet personali.
L-aċċess kondizzjonali mbagħad jgħaqqad l-identità mal-pożizzjoni tas-sigurtà tal-apparat. Bħala minimu, sistemi sensittivi għandhom jirrikjedu reġistrazzjoni, MFA, iċċifrar, OS appoġġjat, issakkar tal-iskrin, l-ebda falliment ta’ jailbreak jew root, aċċess permezz ta’ applikazzjoni mmaniġġjata u restrizzjonijiet fuq downloads, qsim tal-clipboard jew screen capture fejn ir-riskju jirrikjedih. Dan jagħti effett prattiku lil A.8.1 apparati endpoint tal-utenti, A.8.3 restrizzjoni tal-aċċess għall-informazzjoni u A.8.5 awtentikazzjoni sigura.
L-illoggjar jagħlaq iċ-ċiklu. Il-politika tal-intrapriża tirrikjedi:
“Il-logs tal-aċċess mobbli għandhom jinqabdu u jinżammu għal mill-inqas 90 jum, b’integrazzjoni mal-pjattaforma SIEM ċentrali fejn applikabbli.”
Sors: Politika dwar apparati mobbli u l-BYOD, Rekwiżiti ta’ governanza, klawżola 5.6 Politika dwar apparati mobbli u l-BYOD
Għal ambjenti iżgħar, il-Politika tal-Illoggjar u l-Monitoraġġ-sme Politika tal-Illoggjar u l-Monitoraġġ - SME ta’ Clarysec iżżid minimu prattiku:
“Is-sistemi BYOD u remoti għandu jkollhom logging lokali attivat għal avvenimenti ta’ awtentikazzjoni u sejbiet tal-antivirus”
Sors: Politika tal-Illoggjar u l-Monitoraġġ-sme, Rekwiżiti għall-implimentazzjoni tal-politika, klawżola 6.3.1 Politika tal-Illoggjar u l-Monitoraġġ - SME
Programm ta’ governanza mobbli mingħajr logs huwa diffiċli biex jiġi difiż. Investigazzjoni dwar apparat mitluf teħtieġ storja tal-aċċess, tentattivi falluti, status ta’ konformità tal-apparat, evidenza tar-revoka tas-sessjonijiet u kwalunkwe attività rilevanti ta’ DLP jew container.
Fejn tidħol il-governanza mobbli fil-pjan direzzjonali ta’ 30 pass
Zenith Blueprint: Pjan direzzjonali ta’ 30 pass għall-awdituri Zenith Blueprint ta’ Clarysec ipoġġi l-governanza mobbli u tal-BYOD f’diversi fażijiet ta’ implimentazzjoni. Ma jittrattax il-BYOD bħala dokument wieħed ta’ politika.
Fil-fażi Kontrolli fl-azzjoni, Pass 16, Kontrolli tar-riżorsi umani II, Zenith Blueprint jindirizza x-xogħol remot u l-BYOD:
“L-użu ta’ apparat personali (BYOD) għandu jew jiġi pprojbit jew permess biss taħt kundizzjonijiet stretti, bħal reġistrazzjoni f’soluzzjoni ta’ ġestjoni tal-apparati mobbli (MDM) li tappoġġja l-konteniment tad-data u t-tħassir remot tad-data korporattiva jekk l-apparat jintilef jew jekk l-utent jitlaq mill-kumpanija.”
Sors: Zenith Blueprint, fażi Kontrolli fl-azzjoni, Pass 16, Kontrolli tar-riżorsi umani II Zenith Blueprint
F’Pass 19, Kontrolli Teknoloġiċi I, Zenith Blueprint jifformula l-endpoints bħala l-punt tat-tluq tal-interazzjoni diġitali:
“Apparati endpoint tal-utenti, laptops, smartphones, tablets, desktops, u anke thin clients, huma fejn tibda l-interazzjoni diġitali. Huma l-bibien u t-twieqi għas-sistemi tiegħek.”
Sors: Zenith Blueprint, fażi Kontrolli fl-azzjoni, Pass 19, Kontrolli Teknoloġiċi I Zenith Blueprint
Pass 18, Kontrolli fiżiċi II, ikopri s-sigurtà tal-assi barra mill-bini. Dan jinkludi apparati li jitħallew fil-karozzi, tablets użati fi spazji pubbliċi, laptops iċċekkjati fil-bagalji u fajls maħżuna offline. Il-prinċipju huwa sempliċi: anke jekk apparat jintilef jew jinsteraq, id-data għandha tibqa’ inaċċessibbli.
| Fażi u pass ta’ Zenith Blueprint | Output tal-governanza mobbli | Valur għall-awditjar |
|---|---|---|
| Kontrolli fl-azzjoni, Pass 16 | Kundizzjonijiet għax-xogħol remot u l-BYOD | Juri politika, eliġibbiltà, taħriġ u aspettattivi tal-MDM |
| Kontrolli fl-azzjoni, Pass 18 | Protezzjoni tal-assi barra mill-bini | Juri assenjazzjoni tal-assi, imġiba waqt l-ivvjaġġar u evidenza tal-iċċifrar |
| Kontrolli fl-azzjoni, Pass 19 | Hardening u ġestjoni tal-endpoints | Juri konformità tal-apparati, patching, monitoraġġ u aċċess kondizzjonali |
Dan l-approċċ b’diversi saffi huwa kif Sarah għaddiet mill-paniku għall-governanza. Ma xtratx għodda u ddikjarat il-problema solvuta. Qabbdet ir-regoli tan-nies, l-imġiba fiżika u l-applikazzjoni teknika f’sistema waħda li tista’ tiġi awditjata.
Sprint ta’ ġimgħa għal pakkett ta’ evidenza BYOD
Mod prattiku biex tingħalaq il-lakuna huwa li jinbena pakkett ta’ evidenza BYOD. Dan huwa s-sett ta’ artifacts li CISO jista’ jgħaddi lil awditur, regolatur, valutatur tal-klijent jew kumitat tal-bord.
| Jum | Azzjoni | Evidenza prodotta |
|---|---|---|
| Jum 1 | Iddefinixxi l-kamp ta’ applikazzjoni tal-aċċess mobbli taħt klawżoli 4.1 sa 4.4 ta’ ISO 27001 | Inventarju ta’ każijiet ta’ użu mobbli, rekwiżiti tal-partijiet interessati, sistemi fil-kamp ta’ applikazzjoni |
| Jum 2 | Approva r-regola BYOD u assenja s-sjieda | Politika approvata, RACI, reġistru tal-approvazzjoni tal-maniġment |
| Jum 3 | Ikkonfigura l-linja bażi teknika | Esportazzjoni tar-reġistrazzjoni tal-MDM, settings tal-iċċifrar, linja bażi tal-OS, regoli tal-awtentikazzjoni |
| Jum 4 | Rabat l-aċċess mal-konformità tal-apparat | Politika ta’ aċċess kondizzjonali, evidenza ta’ ċaħda għal apparat mhux konformi, lista ta’ eċċezzjonijiet |
| Jum 5 | Aqbad evidenza tal-illoggjar u tal-inċidenti | Kampjun SIEM, logs tal-aċċess mobbli, mudell ta’ biljett tal-inċident, workflow għal apparat mitluf |
| Jum 6 | Ittestja r-rispons għal apparat mitluf | Minuti tal-eżerċizzju tabletop, evidenza tar-revoka tas-sessjonijiet, test ta’ tħassir remot, noti tal-valutazzjoni tal-ksur |
| Jum 7 | Approva eċċezzjonijiet u riskju residwu | Reġistru ta’ aċċettazzjoni tar-riskju, kontrolli kumpensatorji, data tal-iskadenza, approvazzjoni mis-sid tar-riskju |
Għal Jum 1, identifika telefowns korporattivi, telefowns personali użati għall-MFA, tablets BYOD li jaċċessaw dashboards, apparati mobbli tal-kuntratturi, utenti privileġġjati li jaċċessaw konsols amministrattivi u kwalunkwe aċċess mobbli għal sistemi li jipproċessaw data personali jew tranżazzjonijiet finanzjarji.
Għal Jum 6, ittestja xenarju realistiku: direttur tal-bejgħ jirrapporta li telefon personali b’email korporattiv immaniġġjat insteraq f’ajruport. Il-politika SME tistabbilixxi aspettattiva ċara għar-rappurtar:
“Apparati mitlufa, misruqa jew kompromessi għandhom jiġu rrappurtati lill-GM fi żmien siegħa”
Sors: Politika dwar Apparati Mobbli u l-BYOD-sme, Rekwiżiti għall-implimentazzjoni tal-politika, klawżola 6.4.1 Politika dwar Apparati Mobbli u l-BYOD - SME
L-eżerċizzju għandu jittestja jekk it-tim jistax jidentifika l-apparat, jirrevoka s-sessjonijiet, iwettaq tħassir remot tad-data korporattiva, jippreserva l-logs, jevalwa l-espożizzjoni tad-data personali, jiddeċiedi jekk hemmx bżonn analiżi ta’ ksur taħt GDPR u jiddetermina jekk jistgħux jiġu attivati limiti ta’ rappurtar taħt NIS2 jew DORA.
Konformità trasversali: programm mobbli wieħed, erba’ stejjer ta’ evidenza
Il-valur tal-governanza BYOD ibbażata fuq ISO 27001 huwa l-użu mill-ġdid. Sett wieħed ta’ kontrolli jista’ jiġġenera evidenza għal diversi obbligi jekk ikun strutturat tajjeb.
| Qafas | Mistoqsija dwar il-mobile u l-BYOD | Evidenza mill-approċċ ta’ Clarysec |
|---|---|---|
| ISO/IEC 27001:2022 | Ir-riskji mobbli huma identifikati, trattati u kkontrollati permezz tal-ISMS? | Kamp ta’ applikazzjoni, valutazzjoni tar-riskju, Dikjarazzjoni ta’ Applikabbiltà, approvazzjoni tal-politika, rapporti tal-MDM, logs, reġistri tal-inċidenti |
| NIS2 | L-iġjene ċibernetika, il-kontroll tal-aċċess, il-ġestjoni tal-assi, il-ġestjoni tal-inċidenti u t-taħriġ huma implimentati? | Approvazzjoni tal-bord, politika BYOD, reġistri tat-taħriġ, kontrolli tal-aċċess, workflow għal apparat mitluf, evidenza tal-fornituri |
| DORA | L-apparati mobbli huma parti mir-riskju tal-ICT, mill-ġestjoni tal-inċidenti, mill-ittestjar tar-reżiljenza u mill-governanza ta’ partijiet terzi? | Reġistru tar-riskju tal-ICT, konformità tal-apparat, klassifikazzjoni tal-inċidenti, evidenza tal-ittestjar, diliġenza dovuta tal-fornitur tal-MDM |
| GDPR Article 32 | L-attivitajiet tal-ipproċessar tad-data personali huma protetti b’miżuri tekniċi u organizzattivi xierqa? | Konteniment, iċċifrar, restrizzjoni tal-aċċess, illoggjar, valutazzjoni tal-ksur, reġistri tal-protezzjoni tad-data mid-disinn |
L-istess loġika tapplika fil-livell tal-kontroll.
| Kontroll tal-Anness A ta’ ISO/IEC 27001:2022 | Valur ta’ evidenza għal NIS2 | Valur ta’ evidenza għal DORA | Valur ta’ evidenza għal GDPR Article 32 |
|---|---|---|---|
| A.8.1 Apparati endpoint tal-utenti | Jappoġġja politiki ta’ iġjene ċibernetika, ġestjoni tal-assi u kontroll tal-aċċess | Jappoġġja protezzjoni tal-assi tal-ICT, monitoraġġ tal-endpoints u ttestjar tar-reżiljenza | Jappoġġja iċċifrar, kunfidenzjalità, integrità u aċċess sigur għal data personali |
| A.6.7 Xogħol remot | Jappoġġja aċċess remot sigur, taħriġ u aspettattivi ta’ rappurtar tal-inċidenti | Jappoġġja proċeduri tal-qafas tar-riskju tal-ICT u ġestjoni ta’ inċidenti tax-xogħol remot | Jappoġġja regoli organizzattivi għall-ipproċessar ta’ data personali barra minn bini kkontrollat |
| A.7.9 Sigurtà tal-assi barra mill-bini | Jappoġġja protezzjoni tal-assi, kontinwità u aspettattivi għall-immaniġġjar minn partijiet terzi | Jappoġġja mitigazzjoni tar-riskji ta’ serq jew telf għal apparati użati mill-bogħod | Jappoġġja prevenzjoni ta’ telf aċċidentali, qerda jew aċċess mhux awtorizzat |
Għal NIS2, il-kamp ta’ applikazzjoni huwa importanti. Fornituri ta’ infrastruttura diġitali, fornituri cloud, fornituri ta’ ċentri tad-data, networks tat-twassil tal-kontenut, fornituri DNS, reġistri TLD, fornituri ta’ servizzi ta’ fiduċja, fornituri pubbliċi ta’ komunikazzjonijiet elettroniċi, fornituri B2B ta’ servizzi ġestiti u fornituri ta’ servizzi ta’ sigurtà ġestiti jistgħu jaqgħu fil-kategoriji ta’ entitajiet essenzjali jew importanti skont id-daqs, is-settur u l-implimentazzjoni nazzjonali. Aċċess mobbli mhux immaniġġjat għal sistemi operattivi mhuwiex eċċezzjoni żgħira tal-IT f’dak il-kuntest. Huwa kwistjoni ta’ governanza.
Għal DORA, il-fornitur MDM jew UEM jista’ jsir parti mill-evidenza tar-riskju ta’ partijiet terzi jekk jappoġġja l-aċċess għal funzjonijiet kritiċi jew importanti. Organizzazzjonijiet li jaħsbu f’termini ta’ DORA għandhom jiddokumentaw diliġenza dovuta, livelli tas-servizz, postijiet tad-data, assistenza għall-inċidenti, miżuri tas-sigurtà, drittijiet ta’ awditjar, arranġamenti ta’ ħruġ u parteċipazzjoni tal-fornitur fl-ittestjar fejn rilevanti.
Għal GDPR, telefon personali mitluf mhuwiex awtomatikament ksur notifikabbli tad-data personali. Isir tħassib serju jekk id-data korporattiva tkun aċċessibbli, mhux iċċifrata, maħżuna fil-cache barra minn containers immaniġġjati jew esposta permezz ta’ sessjonijiet attivi. L-organizzazzjoni għandha tkun taf liema data kienet aċċessibbli, jekk il-kontrolli pprevenewx aċċess mhux awtorizzat u jekk il-logs jappoġġjawx il-konklużjoni.
Kif l-awdituri se jittestjaw il-governanza tal-BYOD
Programm matur għandu jkun ippreparat għal stili differenti ta’ awditjar.
| Sfond tal-awditur | Approċċ probabbli tal-awditjar | Evidenza li se jistenna |
|---|---|---|
| Awditur ISO 27001 | Isegwi r-riskju mobbli mill-kuntest, il-kamp ta’ applikazzjoni, il-valutazzjoni tar-riskju u d-Dikjarazzjoni ta’ Applikabbiltà sal-kontrolli implimentati | Kamp ta’ applikazzjoni tal-ISMS, reġistri tar-riskju mobbli, SoA, politika, rapporti tar-reġistrazzjoni, regoli tal-aċċess, azzjonijiet korrettivi |
| Valutatur NIST CSF | Iqabbel profili attwali u fil-mira tul ir-riżultati GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND u RECOVER | Profil CSF, pjan ta’ azzjoni prijoritizzat, inventarju tal-apparati, monitoraġġ, pjanijiet ta’ rispons, evidenza tal-irkupru |
| Awditur COBIT 2019 jew ISACA | Jiffoka fuq objettivi ta’ governanza, responsabbiltà, prestazzjoni, sjieda tar-riskju u effettività tal-kontrolli | Approvazzjoni tal-maniġment, RACI, metriċi, Reġistru tal-Eċċezzjonijiet, ittestjar tal-kontrolli, rimedjazzjoni tal-kwistjonijiet |
| Reviżur DORA | Jittratta l-aċċess mobbli bħala parti mir-riskju tal-ICT, mill-ġestjoni tal-inċidenti, mill-ittestjar tar-reżiljenza u mid-dipendenza fuq partijiet terzi | Qafas tar-riskju tal-ICT, klassifikazzjoni tal-inċidenti, reġistri tat-testijiet tar-reżiljenza, reġistru tal-fornituri tal-MDM, pjan ta’ ħruġ |
| Awditur GDPR jew reviżur tal-privatezza | Jevalwa jekk l-ipproċessar mobbli tad-data personali huwiex legali, meħtieġ, sigur u dimostrabbli | Limiti tal-kunsens BYOD, konteniment, DLP, iċċifrar, logs tal-aċċess, reġistri tal-valutazzjoni tal-ksur |
Il-lista ta’ kontroll tal-awditjar ta’ Zenith Blueprint għax-xogħol remot hija diretta: l-awdituri se jiċċekkjaw jekk il-politika hijiex implimentata, mhux sempliċement dokumentata. Kun lest tippreżenta l-politika formali, tispjega l-applikazzjoni bħal użu tal-VPN, iċċifrar tal-endpoint jew MDM, turi reġistrazzjoni jew restrizzjonijiet BYOD, tipprovdi reġistri tat-taħriġ u turi li l-impjegati remoti jifhmu d-dmirijiet tagħhom.
NIST CSF 2.0 jagħti mudell komplementari utli. Il-Funzjoni GOVERN tiegħu tirrikjedi li r-rekwiżiti legali, regolatorji u kuntrattwali taċ-ċibersigurtà jinftiehmu u jiġu ġestiti, li r-riskju taċ-ċibersigurtà jiġi integrat fil-ġestjoni tar-riskju tal-intrapriża, li r-rwoli u l-awtoritajiet jiġu definiti, li l-politiki jiġu stabbiliti u mmonitorjati, u li l-prestazzjoni tiġi evalwata. Għall-governanza mobbli, profil fil-mira prattiku jista’ jgħid: l-apparati kollha li jaċċessaw data personali jew sistemi kritiċi għan-negozju huma rreġistrati, iċċifrati, konformi, immonitorjati u jistgħu jitneħħew fi żmien siegħa minn notifika ta’ kompromess.
Sejbiet komuni tal-awditjar tal-BYOD
Is-sejbiet dwar il-governanza mobbli rarament jiġu minn falliment katastrofiku wieħed. Normalment jiġu minn eċċezzjonijiet żgħar li qatt ma ngħalqu.
Sejbiet komuni jinkludu:
- BYOD permess fil-prattika iżda mhux approvat formalment
- Apps ta’ awtentikazzjoni trattati bħala barra mill-kamp ta’ applikazzjoni tal-ISMS
- MDM ikkonfigurat għal apparati korporattivi iżda mhux għal apparati personali b’aċċess korporattiv
- Eżekuttivi esklużi mil-linji bażi tal-konformità tal-apparati
- Aċċess kondizzjonali maqbuż permezz ta’ protokolli legati jew browsers mhux immaniġġjati
- Apparati personali jaċċessaw email mingħajr konteniment
- Logs mobbli miżmuma f’pjattaformi SaaS iżda mhux riveduti jew esportati
- Teżisti proċedura għal apparat mitluf iżda l-persunal ma jafx il-perjodu ta’ rappurtar
- Ebda kliem dwar il-privatezza li jispjega x’tista’ u x’ma tistax timmonitorja l-kumpanija
- Ebda evidenza li eċċezzjonijiet mobbli huma marbuta biż-żmien u aċċettati skont ir-riskju
- Fornitur tal-MDM mhux inkluż fil-ġestjoni tar-riskju tal-ICT ta’ partijiet terzi
- Ebda eżerċizzju tabletop għal kompromess mobbli
- Ebda immappjar mill-kontrolli BYOD għal evidenza ta’ GDPR Article 32, NIS2 jew DORA
Kull sejba tista’ tiġi rrimedjata. Il-problema ġeneralment mhijiex nuqqas ta’ għodod. Hija nuqqas ta’ sjieda, disinn tal-evidenza u immappjar tal-konformità trasversali.
L-istorja fil-livell tal-bord
Il-maniġment m’għandux bżonn kull dettall tal-konfigurazzjoni tal-MDM. Għandu bżonn narrattiva ċara ta’ responsabbiltà.
Pożizzjoni BYOD b’saħħitha fil-livell tal-bord tgħid:
- Nafu liema apparati mobbli jaċċessaw ir-riżorsi tal-organizzazzjoni.
- Niddistingwu bejn aċċess minn apparati korporattivi u aċċess BYOD.
- Il-BYOD huwa volontarju, approvat u rregolat permezz ta’ ftehim.
- Id-data korporattiva hija iċċifrata u iżolata.
- L-aċċess jiddependi fuq il-konformità tal-apparat.
- Il-logs jinżammu u jiġu riveduti.
- Apparati mitlufa jew kompromessi jiġu rrappurtati malajr.
- Id-data korporattiva tista’ titħassar jew l-aċċess jista’ jiġi revokat.
- Ir-riskji tad-data personali jiġu evalwati taħt GDPR.
- L-eċċezzjonijiet jiġu approvati, marbuta biż-żmien u riveduti.
Dan jgħaqqad il-governanza mobbli mal-aptit għar-riskju, ir-reżiljenza operattiva, ir-responsabbiltà legali u l-fiduċja tal-klijenti. Jagħti wkoll lill-korpi maniġerjali l-evidenza li għandhom bżonn biex juru sorveljanza taħt NIS2 u DORA.
Kif tgħin Clarysec
Il-mudell ta’ governanza mobbli u BYOD ta’ Clarysec jgħaqqad politika, implimentazzjoni u immappjar tal-konformità trasversali.
L-ewwel, il-librerija tal-politiki tagħti lill-organizzazzjonijiet kliem ta’ governanza lest biex jiġi adattat. Il-Politika dwar Apparati Mobbli u l-BYOD-sme hija prattika għal negozji iżgħar li għandhom bżonn regoli ċari ta’ approvazzjoni u rappurtar. Il-Politika dwar apparati mobbli u l-BYOD tappoġġja ambjenti regolati li jeħtieġu MDM, iċċifrar, awtentikazzjoni, linji bażi tal-OS, DLP, containers, illoggjar u ftehimiet BYOD formali.
It-tieni, Zenith Blueprint jipprovdi r-rotta tal-implimentazzjoni. Juri fejn għandha tidħol il-governanza mobbli fil-pjan direzzjonali ta’ 30 pass għall-awditjar: xogħol remot, sigurtà tal-assi barra mill-bini u kontrolli tal-apparati endpoint. Dan jipprevjeni l-iżball komuni li l-BYOD jiġi ttrattat bħala dokument wieħed minflok sistema ħajja ta’ kontrolli.
It-tielet, Zenith Controls jipprovdi l-kumpass tal-konformità trasversali. Jgħaqqad il-kontrolli A.8.1, A.6.7 u A.7.9 tal-Anness A ta’ ISO/IEC 27001:2022 ma’ kontrolli relatati, standards ta’ appoġġ u aspettattivi tal-awditjar. Dak l-immappjar jgħin lis-CISOs iwieġbu l-mistoqsija vera tar-regolatur: uri li l-governanza mobbli tiegħek hija proporzjonata, implimentata u effettiva.
Passi li jmiss: ibni pakkett ta’ evidenza BYOD difensibbli
Jekk l-organizzazzjoni tiegħek tippermetti aċċess mobbli jew BYOD, tistenniex li iPad mitluf jikxef il-lakuna fl-evidenza.
Ibda b’valutazzjoni ffukata:
- Elenka kull mogħdija ta’ aċċess mobbli għal data korporattiva u sistemi kritiċi.
- Qabbel l-aċċess attwali mal-Politika dwar apparati mobbli u l-BYOD Politika dwar apparati mobbli u l-BYOD jew il-Politika dwar Apparati Mobbli u l-BYOD-sme Politika dwar Apparati Mobbli u l-BYOD - SME.
- Ibni entrata ta’ paġna waħda fir-Reġistru tar-Riskji mobbli marbuta ma’ ISO/IEC 27001:2022 ISO/IEC 27001:2022.
- Uża Zenith Blueprint: Pjan direzzjonali ta’ 30 pass għall-awdituri Zenith Blueprint biex timplimenta kontrolli tax-xogħol remot, tal-assi barra mill-bini u tal-endpoints.
- Uża Zenith Controls: Il-gwida għall-konformità trasversali Zenith Controls biex timmappa l-evidenza mal-aspettattivi ta’ NIS2, DORA, GDPR, NIST u COBIT 19.
- Uża Politika tal-Illoggjar u l-Monitoraġġ-sme Politika tal-Illoggjar u l-Monitoraġġ - SME biex tiddefinixxi aspettattivi prattiċi tal-illoggjar għal ambjenti iżgħar.
- Mexxi eżerċizzju tabletop għal apparat mitluf u ppreserva l-evidenza.
Clarysec tista’ tgħinek tibdel aċċess mobbli mhux immaniġġjat fi programm ta’ governanza difensibbli u awditabbli. Niżżel il-politiki, immappja l-kontrolli tiegħek b’Zenith Controls, implimenta l-pjan direzzjonali b’Zenith Blueprint u skeda valutazzjoni ta’ Clarysec qabel ma l-awditur li jmiss jistaqsi l-mistoqsija tat-8:12 AM.
Frequently Asked Questions
About the Author
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council
