Bevezető

A modern vállalati IT-környezetben egyre több eszköz csatlakozik a céges rendszerekhez. A hibrid munkavégzés, a távoli hozzáférés és a személyes eszközök használata miatt a laptopok, mobiltelefonok és tabletek gyakran a vállalati infrastruktúra legsebezhetőbb pontjaivá válnak.

Egy elveszett eszköz, egy frissítetlen operációs rendszer vagy egy gyenge jelszó is komoly biztonsági incidenshez vezethet. Éppen ezért a szervezetek számára kulcsfontosságú a végpontok – vagyis az úgynevezett endpointok – tudatos és szabályozott kezelése. Ebben a cikkben bemutatjuk, milyen alapelvekkel és módszerekkel lehet biztonságosan menedzselni a céges laptopokat és mobil eszközöket.

Mi az endpoint menedzsment, és miért fontos céges környezetben?

Endpoint menedzsmentnek nevezzük a vállalati végpontok – például laptopok, mobiltelefonok, tabletek vagy akár kioszk eszközök – központi nyilvántartását, konfigurálását és biztonsági felügyeletét.

A hagyományos védelem sokáig a vírusirtókra épült, de ma már ez önmagában messze nem elegendő. A biztonságos működéshez szükség van:

• központi eszközmenedzsmentre
• egységes biztonsági szabályokra
• automatizált frissítésekre
• hozzáférés-szabályozásra

A központi menedzsment biztosítja, hogy az IT-csapat lássa, milyen eszközök csatlakoznak a rendszerhez, milyen állapotban vannak, és megfelelnek-e a vállalati biztonsági előírásoknak.

Milyen kockázatokat jelentenek a céges laptopok és mobilok?

Elveszett vagy ellopott eszközök

Ha egy laptop vagy mobil elveszik, nemcsak az eszköz értéke vész el. Sokkal nagyobb kockázatot jelent az azon tárolt adat.

Egy nem megfelelően védett eszköz esetén előfordulhat:

• üzleti adatok kiszivárgása
• illetéktelen hozzáférés vállalati rendszerekhez
• helyi fájlok vagy jelszavak megszerzése

Elmaradt frissítések és sérülékenységek

Az operációs rendszerek, böngészők és üzleti alkalmazások folyamatosan kapnak biztonsági frissítéseket. Ha ezek telepítése elmarad, a támadók könnyen kihasználhatják az ismert sérülékenységeket.

Gyenge hozzáférés-kezelés

A túl egyszerű jelszavak, a helyi adminisztrátori jogosultságok vagy a többfaktoros hitelesítés hiánya komoly biztonsági kockázatot jelent. A modern IT-környezetben alapelv, hogy a hozzáféréseket szigorúan szabályozni kell.

Olvasd el korábbi cikkünket, hogyha az MFA bevezetésről szeretnél többet olvasni.

Kezeletlen BYOD és árnyék-IT

A saját eszközök használata (BYOD) sok cégnél megjelent, de megfelelő szabályozás nélkül komoly problémákat okozhat. Például amikor:

• privát mobilról érhető el a céges e-mail
• nem engedélyezett alkalmazások kerülnek telepítésre
• vállalati fájlok privát felhőbe kerülnek

A biztonságos endpoint menedzsment 7 alappillére

1. Teljes eszközleltár és tulajdonosi nyilvántartás

Az IT-csapatnak pontosan tudnia kell, milyen eszközök vannak használatban, ki használja őket, és mikor kerültek kiadásra vagy visszavételre.

2. Titkosítás minden érzékeny eszközön

A teljes lemeztitkosítás laptopokon, valamint a képernyőzár és biometrikus védelem mobilokon alapvető védelmi réteg.

3. Frissítések és patch management automatizálása

A frissítéseknek automatizált folyamatként kell működniük. Gyakori gyakorlat a pilot csoportok és rollout gyűrűk használata, hogy a frissítések fokozatosan kerüljenek bevezetésre.

4. Hozzáférés csak megfelelőségi feltételekkel

A céges rendszerekhez csak olyan eszközök férjenek hozzá, amelyek megfelelnek a biztonsági szabályoknak. Ezt gyakran Conditional Access logikával valósítják meg.

5. Alkalmazáskezelés és szoftverkorlátozás

Az IT-rendszerben meg kell határozni az engedélyezett és tiltott alkalmazásokat, valamint az alkalmazásszintű adatvédelmi szabályokat.

6. Távoli műveletek és incidenskezelés

Ha egy eszköz eltűnik vagy kompromittálódik, fontos a gyors reagálás: távoli zárolás, törlés vagy eszközkarantén.

7. Naplózás, riportok és auditálhatóság

A biztonsági események és frissítések naplózása segíti a megfelelőséget és az incidensek utólagos vizsgálatát.

További tudnivalók: https://learn.microsoft.com/en-us/intune/intune-service/protect/conditional-access

Hogyan kezeljük biztonságosan a céges laptopokat?

A laptopok gyakran teljes hozzáférést biztosítanak a vállalati rendszerekhez, ezért különösen fontos a szigorú kezelésük.

A bevált gyakorlatok közé tartozik:

• standardizált telepítési kép (alapimage) használata
• helyi admin jogok minimalizálása
• teljes lemeztitkosítás
• USB- és böngészőszabályok bevezetése
• rendszeres patch management
• fejlett endpoint security megoldások

Fontos a jól dokumentált kiadási, visszavételi és selejtezési folyamat is.

Hogyan kezeljük biztonságosan a céges mobilokat?

A mobil eszközök kezelése általában MDM vagy UEM rendszerekkel történik. Ezek lehetővé teszik az eszközök központi konfigurálását és felügyeletét.

A mobilmenedzsment főbb elemei:

• céges és privát adatok elkülönítése
• work profile vagy managed app modell
• jailbreak vagy root detektálás
• távoli zárolás és törlés
• alkalmazásengedélyek kontrollja

Forrás: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-124r2.pdf

BYOD vagy céges eszköz? Mikor melyik a jobb döntés?

Céges tulajdonú eszközök előnyei

A vállalati tulajdonú eszközök nagyobb kontrollt biztosítanak, egyszerűbb megfelelőségi kezelést tesznek lehetővé, és egységesebb IT-támogatást biztosítanak.

BYOD előnyei és kockázatai

A saját eszközök használata költséghatékony lehet, de adatvédelmi és jogosultsági kérdéseket vet fel.

Minimális BYOD-szabályzat

Ha a szervezet engedélyezi a saját eszközök használatát, érdemes legalább az alábbi szabályokat bevezetni:

• kötelező képernyőzár
• kötelező többfaktoros hitelesítés
• céges adatok csak menedzselt alkalmazásokból érhetők el
• távoli törlés elfogadása céges adatkonténerre

Ezek a gyakorlatok jól illeszkednek a Zero Trust biztonsági modell elveihez.

Endpoint menedzsment és megfelelőség: hol jön képbe a NIS2?

Az új európai kiberbiztonsági szabályozás, a NIS2 irányelv, számos szervezet számára kötelezővé teszi az IT-biztonsági folyamatok formalizálását.

A végpontkezelés kulcsszerepet játszik a megfelelőségben, mert biztosítja:

• az eszköznyilvántartást
• a sérülékenységkezelést
• a hozzáférések szabályozását
• az incidensek nyomon követését

Milyen eszközökkel valósítható meg a központi végpontkezelés?

A vállalatok különböző technológiákat használnak az endpoint menedzsment megvalósítására:

Kisebb környezetben elegendő lehet egy mobilmenedzsment megoldás, de komplexebb infrastruktúrában gyakran egységes UEM rendszerre van szükség.

Microsoft-alapú környezetben természetes választás a Microsoft ökoszisztéma használata, például Intune és Conditional Access kombinációja.

Gyakori hibák endpoint menedzsment bevezetésekor

Sok szervezet csak részben vezeti be a végpontkezelést, ami komoly hiányosságokhoz vezethet. A leggyakoribb hibák:

• csak a laptopokra fókuszálnak, a mobilokra nem
• nincs naprakész eszközleltár
• létezik MDM, de nincs egységes policy
• van policy, de nincs ellenőrzés
• túl sok helyi adminisztrátori jog
• hiányzik a kiléptetési vagy eszközvisszavételi folyamat
• nincs felhasználói biztonságtudatossági képzés

Összegzés

A biztonságos endpoint menedzsment nem egyetlen szoftver bevezetését jelenti. Valójában egy komplex rendszer, amely folyamatokból, szabályzatokból és automatizált technológiai megoldásokból áll. Ha ezeket következetesen alkalmazzuk, jelentősen csökkenthető a vállalati IT-környezet kockázata.

Csapatunk segít a szervezeteknek felmérni a meglévő eszközparkot, kialakítani a szükséges biztonsági szabályokat, majd bevezetni és üzemeltetni a központi endpoint menedzsment megoldást.

GYIK

Mi az endpoint menedzsment?
Az endpoint menedzsment a vállalati végpontok – például laptopok, mobilok és tabletek – központi nyilvántartását, konfigurálását, védelmét és felügyeletét jelenti.

Mi a különbség az MDM és a UEM között?
Az MDM elsősorban mobil eszközökre fókuszál, míg a UEM egységesen kezeli a laptopokat, mobilokat és más végpontokat is.

Miért nem elég egy vírusirtó a céges laptopok védelmére?
Mert a modern IT-biztonság a frissítések, titkosítás, hozzáférés-kezelés, megfelelőség és incidenskezelés együttes alkalmazására épül.

Mit jelent a compliance-alapú hozzáférés?
Azt, hogy csak azok az eszközök férhetnek hozzá a céges rendszerekhez, amelyek megfelelnek a meghatározott biztonsági szabályoknak.

Biztonságos lehet a BYOD céges környezetben?
Igen, ha világos szabályok, elkülönített céges adatok és kötelező többfaktoros hitelesítés védi a hozzáférést.

Mi történjen, ha elveszik egy céges mobil vagy laptop?
Az eszközt azonnal zárolni kell, szükség esetén távolról törölni, majd a hozzáféréseket felülvizsgálni és az incidenst dokumentálni.

Milyen gyakran kell frissíteni a végpontokat?
A frissítéseket folyamatos, automatizált folyamatként kell kezelni, nem alkalmi feladatként.

Milyen céges méretnél éri meg endpoint menedzsmentet bevezetni?
Már néhány tucat eszköznél is jelentős előnyt hozhat, mert csökkenti az adminisztrációt és javítja az átláthatóságot.