Bring Your Own Device Trend und Implikationen 27.5.13, COURSE, Erfurt

1. Bring YourOwn DeviceTrend und Implikationen 27.5.13, COURSE, Erfurt

2. Kurze Vorstellung

3. Spezialist für mobile Lösungen • bema ist Ansprechpartner für alle mobilen Fragestellungen. • Wir helfen bei Umsetzung und Planung von Mobility-Projekten und individuellen mobilen Unternehmensstrategien. • Wir entwickeln mobile Geschäfts-Applikationen.

4. Einige Infos zu BYOD

5. Begriffsdefinition BYOD • Mitarbeiter-eigene Geräte, insbesondere sogenannte Mobile Devices (Pads, SmartPhones), werden mit ins Unternehmen gebracht, um dort produktiv eingesetzt zu werden. • Primäre Probleme: Einbindung in Geräte-Verwaltung, Unternehmens-Sicherheit & sog. Compliance.

6. Ansichten • Thomas Eichhorn, IT-Verantwortlicher bei Adidas für globale Infrastruktur, Betrieb & Enterprise Architecture: „BYOD ist eine Entwicklung, die wir als Unternehmen zur Mitarbeiterbindung nutzen müssen. Der Altersdurchschnitt bei Adidas beträgt zirka 29 Jahre, und darauf müssen wir auch mit der IT-Ausstattung reagieren.“ • Frank Penning, CTO von ProSiebenSat.1 Media: „Es ist nicht von der Hand zu weisen, dass Mitarbeitern die Arbeit mehr Spaß macht, wenn sie ihr eigenes Endgerät nutzen könnten. Ähnliche Gewohnheiten beobachte man ja auch bei Friseuren oder Köchen.“ Quelle: http://www.computerwoche.de/a/aufklaerung-in-sachen-byod,1236018

7. Chancen & Vorbehalte Chancen Vorbehalte • Kostenersparnis • Zufriedenheit der Mitarbeiter • Zunehmende Produktivität & Effizienz • Gerätesicherheit (Malware, ...) • Datenverlust • Registrierung der User • Gerätekonfiguration für Wifi-Sicherheit • Laden nicht unauthorisierter Inhalte

8. Gesetzeslage • Unternehmen sind gesetzlich verpflichtet, zumindest bestimmte Grundregeln des Risikomanagements zu beachten (§ 91 Abs. 2 AktG) • GF unter Umständen persönlich gegenüber dem Unternehmen für die entstehenden Schäden haftbar. • BSDG (Bundesdatenschutzgesetz) • Achtung bei Cloud-Services: Transfer von personenbezogenen Daten sind nach § 4b Abs. 2 BDSG unzulässig (Ordnungswidrigkeit) • § 42a schreibt vor, dass Abflüsse bestimmter personenbezogener Daten an die Aufsichtsbehörden gemeldet werden müssen. • Der IT-Leiter hat meist die Aufgabe, ist aber rechtlich nicht verantwortlich.

9. BYOD in der Umsetzung

10. Technische Voraussetzungen für BYOD* • Sichere Authentifizierung • Verschlüsselung zumindest von Teilbereichen der betrachteten Geräte (Container) • Trennung von privaten und Unternehmens-Daten • (Automatisierte) „Rückabwicklung“ akaSelectiveWipe bei Verstößen gegen Security oder Compliance. • System-seitige Unterscheidung von Unternehmens-eigenen und BYOD-Geräten inkl. dedizierter verschiedener Policies * Was muss MDM können?

11. Vorbereitung & Umsetzung • Ganz wichtig: eine (unternehmensweite) mobile Strategie • Abstimmung bezgl. der Ziele (mit anderen Abteilungen) • Zu klärende Eckpunkte • Organisatorisch: Welche Geräte, welche Gruppen, für welchen Zweck, ...? • Klärung der eigenen Befindlichkeiten: Sicherheit vs. Nutzen  Definition spezifischer Policies und User-Gruppen für BYOD • Definition des Support-Levels für Mitarbeiter-eigene Geräte • Auswahl geeigneter MDM-Lösung nach Funktionen, Sicherheits-Features, Art unterstützter Endgeräte, ... • Umsetzung von Gruppenrichtlinien und Policies • Sukzessiver Import Mitarbeiter-eigener Geräte • Innerbetriebliche Kommunikation: BYOD ist ein Trend oder ein Prozess, der viele (interne) Hürden zu überwinden.

12. Definierte Rahmenbedingungen • Im Kern: klar definierte Richtlinien (Policies). • Auf jeden Fall eine Nutzungsvereinbarung, die sich auf Richtlinien bezieht. Beispiele: • Benutzer müssen nur wesentliche Daten, entsprechend Ihrer Rolle, auf dem mobilen Endgerät vorhalten. • Benutzer müssen alle verlorenen oder gestohlenen Geräte unverzüglich melden. • Wenn ein Benutzer vermutet, dass über ein mobiles Endgerät unberechtigter Zugriff auf Unternehmensdaten stattgefunden, so muss der Benutzer den Vorfall dem Verfahren „Sicherheitsvorfall auf mobilen Endgeräten“ gemäß melden. • Die Geräte dürfen nicht "jailbroken / gerooted“ sein oder Software / Firmware installiert haben, die den Zugang zu administrativen Funktionen verhindert.

13. Policies: Was muss beachtet werden? • Verschlüsselung (Container), korreliert mit dem eigenen Sicherheitsanspruch • Software: BL, WL, Anti-Virus, ... • Erlaubte Betriebssysteme (Android, iOS, ...) • Erlaubte Geräte (S3, iPhone 4, ...) • Physische Sicherheit(Passcode-Policy, ...) • Prozess- und Sicherheitsbewusstsein der Mitarbeiter (im Zweifelsfall zu schulen) • Organisations-Strukturen und dedizierte Policies

14. Weitere Punkte zur Beachtung • Beim Endgeräte hat der User die letzte Entscheidung. Mitarbeiter sollten also freiwillig mitmachen. Entsprechend sollten interne Kommunikation und Vorbereitung von statten gehen! • Meist sind die Mitarbeiter die Treiber • BYOD-Gerät nicht unternehmenskonform? • Nachricht „... Bitte Compliance/Security wieder herstellen“ oder • je nach Art und Sensibilität der mobilen Daten: Löschen aller Unternehmensdaten (SelectiveWipe). Nach dem SelectiveWipe ist der Zustand wie vorher hergestellt. In der Zwischenzeit privat gekaufte/geladene Apps bleiben ebenfalls erhalten so wie die dazugehörigen Daten. Ergebnis: „Gerät ist nicht mehr BYOD!“

15. Weitere Punkte zur Beachtung II • Compliance ist ein Konzernthema. Basel II, SOX, ... sind für Mittelstand kaum relevant. • Thema wird für Mittelstand in 2-3 Jahren relevant. • Nicht jedes beliebige Gerät taugt für BYOD  Liste zugelassener Geräte • Risiko-Abwägung: „Ist ein Gerät mit einem Preis von unter 1.000 EUR das Risiko wert?“ • Wichtig: Stakeholder-Management, vor allem Betriebsrat. • Policies sind abhängig vom Unternehmen. Es existiert keine Blaupause (aber es gibt Best Practices).

16. Das Werkzeug für BYOD

17. Das Werkzeug für BYOD Sicherheit herstellen und verwalten Kompatibilität zu mobilen Plattformen Mobile DeviceManagement Applikations-Management* Verwalten v. Geräte-Informationen* Remote Wipe Zentrale Dokumenten- u. Kommunikations-Struktur* Lokalisierung Software-Stände verwalten* Einf. Handhabung Compliance Bring Your Own Device Integration mobiler Endgeräte * ITIL-Anforderungen

18. Rollout in der Praxis • Selbst initiiert • Laden von MDM- (App Store oder Google Play Store) • Rollout über Browser • Per Einladungs-Link vom Administrator • User muss im System bekannt sein • Sobald ein Gerät im System bekannt ist, kann es als BYOD gekennzeichnet werden.

19. Verwaltung von BYOD-Geräten • Implementierung sehr spezifischer Policies • Der Besitzer des Geräts ist erst einmal nur ein Parameter. • Policies entstehen über logische Verknüpfungen der verschiedenen Geräte- und Anwender-Eigenschaften und bieten abhängig vom MDM-System ein extrem mächtiges Instrumentarium zur Verwaltung von BYOD.

20. Sicherheits-Mechanismen • Security vs. Usability • Grundsätzlich kann jede Aktion oder Eigenschaft eines Gerätes dazu verwendet werden, den Compliance- oderSecurity-Status zu verändern. • Nur die wenigsten Trigger sollten auch automatisiert verarbeitet werden. • Sperren des Geräts verhindert im Zweifels-fall die meisten Angriffs-Szenarien • Tracking kann global ausgeschaltet werden • BYOD-Geräte werden nur partiell gelöscht(SelectiveWipe)

21. Trennung von beruflichen und privaten Daten • Festlegung, wie mit Apps und deren Daten umgegangenwerden soll: Löschen bei Wipe? • Unternehmensdaten: Nutzung von DLP (erfordert SPS) mit 256 Bit AES Verschlüsselung der Daten auf dem Gerät • Nach SelectiveWipe vom BYOD-Gerät entfernt! • Spezifische Rechte • Dedizierte Vergabe von Rechten für Dateien • Dedizierte Gültigkeitsdauer für Dateien

22. Zusammenfassung • Mobile Strategie • Bereits existent oder zu formulieren. • Planung • Gruppen, Berechtigungen, Policies, erlaubte Geräte, ... • Auswahl MDM-Lösung • Implementierung • Umsetzung des Plans und insbesondere der Policies. • Abstimmung • Fixierung der Ziele mit Interessenvertretern, Anwendern, anderen Abteilungen. • Rechtl. Absicherung • Erstellung einer Nutzungsvereinbarung (baisert auf Policies). • Rollout • Sukzessive, am Besten mit Friendly Usern, Schulung der Mitarbeiter. Stakeholder-Management

23. Ausblick

24. Abschließende Gedanken • BYOD auch im Desktop-Bereich? • Mit Windows 8 beginnen die Grenzen zwischen Mobile und Desktop zu verschwimmen. • Sogenannte Web-OS sind mittlerweile zu einer gewissen Produktreife gelangt. • Google Chromebook 303C mit Chrome OS mit Google Office • Mobile Plattform Firefox OS (Mozilla, von Telefonica in Südamerika vertrieben) • Microsoft Office365 als reine SaaS-Lösung. • Größerer Konzerne plant eigenes(Lowcost-) Web-OS auf Linux-Basis. • Was ist mit externen Beratern in Projekten? Die meisten kommen mit ihrem eigenen Notebook.

25. Kontaktb.maurer@bema-it.de+49 2642 9933 966 Vielen Dank!