Guide: Så säkrar du upp företagets mobiltelefoner

Mobiltelefonen är ett minst lika vanligt arbetsredskap som datorn för de flesta. Men säkerhetstänket kring telefonerna har i många avseenden inte riktigt hållit samma nivå. I den här guiden går vi igenom hur du ska göra för att inte telefonen ska bli den svaga länken i IT-säkerhetskedjan.

Allt fler arbetar hela eller delar av arbetsdagen utanför kontoret. Det kan vara på kaféer, tåg, flygplatser eller i det egna hemmet. Då spelar det ingen roll hur mycket pengar som lagts på att säkra upp företagets nätverk eftersom anslutningen sker utanför kontorets fyra väggar. Men med bra rutiner är det möjligt att arbeta säkert även i dessa situationer.

Del 1

Det mobila kontoret

Undvik publika nätverk

Det första du ska tänka på när du befinner dig utanför kontoret är att inte använda publika wifi-nät för att koppla upp dig. Även om fler och fler appar och sajter idag använder https-protokollet för krypterad trafik bör mobildata användas och helst kompletteras med en VPN-tjänst.

Det är inte ovanligt att cyberbrottslingar skapar ett wifi-nätverk som heter något snarlikt det som du hade tänkt koppla upp dig mot. Men även om du använder ett legitimt nätverk skickas datan fullt synlig för alla som är uppkopplade mot samma nätverk, förutsatt att du inte använder VPN eller krypterar trafiken. Detsamma gäller när du använder datorn: har den inte inbyggt modem för mobildata bör du använda telefonen som modem istället för ett publikt wifi-nät.

Ökad stöldrisk

När medarbetarna befinner sig utanför kontoret ökar risken att telefonen blir stulen, borttappad eller går sönder. En försvunnen eller trasig telefon kostar pengar att ersätta, men den verkliga kostnaden ligger i förlorad arbetstid eller ännu värre; data som hamnar i orätta händer. Därför gäller det att företaget har ett effektivt sätt att hantera telefoner som kommer bort eller går sönder. Har den blivit stulen gäller det att snabbt göra den obrukbar och helst även radera allt innehåll på telefonen.

Moderna smarta telefoner har system för detta inbyggt, och det finns även i alla moderna MDM-verktyg (mer om MDM-verktyg nedan). Dock gäller det att medarbetarna vet exakt vad de ska göra vid en stöld så att inte dyrbara minuter går till spillo. Vad man inte ska göra är att spärra mobilabonnemanget. Då blir det svårare att spåra telefonen och även utföra en radering av innehållet på distans.

Förebygg tappskador

Ett enkelt sätt att förebygga att mobilen blir obrukbar på grund av en olycka är att uppmuntra eller kanske rent av kräva att medarbetarna använder stötdämpande och på andra sätt skyddande skal på sina telefoner. Det kan även visa sig vara en kostnadsbesparing då priset på ett skärmbyte för en modern smartphone inte sällan uppgår till halva nypriset.

Del 2

MDM-verktyg hanterar alla telefoner på en gång

Att hantera företagets mobiltelefoner var för sig och manuellt blir snabbt ohållbart. Idag är det därför vanligt att använda ett så kallat MDM-verktyg (Mobile Device Management). Ett MDM-verktyg ger överblick över alla företagets mobila enheter (inte bara telefoner) och det är enkelt att uppdatera operativsystem, lokalisera enheter, installera appar och tilldela olika rättigheter. Blir en telefon stulen kan innehållet snabbt raderas och hårddisken krypteras, allt från en central punkt.

Skräddarsy företagets telefoner

I MDM-verktyget kan du specificera regler för vilka appar och inställningar som ska vara tillåtna på företagets mobiltelefoner. Detta minskar risken för att medarbetarna använder appar och tjänster som inte uppfyller företagets krav på exempelvis säkerhet och datalagring. MDM-verktyget underlättar även när en ny medarbetare ska få ut sin telefon och den direkt kan utrustas med företagets sanktionerade appar och förvalda inställningar för exempelvis inloggning, e-post och kalender.

Styr tillgänglighet beroende på plats

Beroende på vilken geografisk plats användaren befinner sig på och vilken typ av anslutning som används kan du styra vilka rättigheter som användaren tilldelas. Om inloggningen sker på ett oskyddat nät kanske bara läsrättigheter av filer tillåts, och om inloggningen sker från en plats som bedöms innebära en högre risk kan exempelvis tvåfaktorsautentisering krävas.

Våra specialister berättar gärna mer om hur du kan säkra upp företagets mobiltelefoner.

Ta kontakt med oss idag

Del 3

Processer och rutiner för medarbetarna

Utbildning

Dagens IT-säkerhetssystem är i många avseenden så avancerade att om företaget har ett system som uppfyller branschstandard är en frontalattack mot exempelvis företagets brandvägg i stort sett lönlös. Istället är den svagaste länken i regel den enskilda medarbetaren.

Den absoluta majoriteten av alla intrång idag inleds med någon typ av phishing-attack, antingen via mail eller sociala medier. Medarbetaren luras att besöka en hemsida eller klicka på en länk i ett mail som utger sig för att vara något det inte är. Särskilt vanligt är att detta sker på telefonen där vi i mindre utsträckning läser texten i alla rutor som dyker upp och är vana vid att snabbt klicka oss vidare dit vi ska.

Därför är det avgörande att medarbetarna är medvetna om dagens IT-säkerhetsläge och hur en attack faktiskt går till. Med en ökad förståelse följer i regel också en ökad acceptans och efterlevnad av företagets regler och rutiner för IT-säkerhet.

Lösenordspolicys

Det pratas mycket om vikten av att utforma policys för säkra lösenord, men att kräva att användarna ska ha långa lösenord med många avvikande tecken, och dessutom ändra dem regelbundet, kan vara kontraproduktivt. Långa lösenord är svåra att komma ihåg och kan resultera i att användaren sparar dem på ett osäkert sätt, exempelvis i en okrypterad textfil på datorn eller på en Post-It-lapp på skrivbordet.

Om användarna vet att de aldrig ska använda samma lösenord på flera ställen kommer inte regelbundna byten av lösenord att öka säkerheten nämnvärt. Ett alternativ till långa lösenord som både är smidigare för användaren och säkrare för företaget är att använda tvåfaktorsautentisering med hjälp av en mobil enhet eller en USB-nyckel.

Förändra synen på telefonen som arbetsredskap

Generellt har medarbetarna olika syn på sin jobbdator och sin jobbtelefon, även om båda är till låns från arbetsgivaren. Att datorn är ett arbetsredskap som ägs och hanteras av företaget och som användaren inte får använda eller installera program på hur som helst ses av de flesta som en självklarhet. Men när det gäller telefonen ser många den som mycket mer av en privat angelägenhet och att installera egna appar, spara bilder och filmer från semestern eller på annat sätt använda telefonen för privat bruk är för många naturligt.

Det gör att en del medarbetare kan ha svårare att acceptera att företaget genom exempelvis ett MDM-verktyg bestämmer vilka appar som får installeras och vilka inställningar telefonen ska ha. Återigen är utbildning nyckeln: genom att göra det tydligt för användaren varför företagets regler ser ut som de gör ökar acceptansen och regelefterlevnaden.

Ett alternativ om du vill ge användarna ökad valfrihet är att med hjälp av MDM-verktyget styra funktionaliteten i telefonen beroende på vilken säkerhetsnivå som accepteras. Om användaren föredrar en enklare typ av inloggning kanske vissa känsliga data inte blir tillgänglig för användaren på telefonen. För användare som huvudsakligen använder datorn som arbetsredskap kanske detta inte är ett problem.

Del 4

Fler hot och smartare skydd i framtiden

Större hotbild i sociala medier

Redan idag sker en stor del av alla cyberattacker genom phishing-försök på sociala medier, och det kommer med största sannolikhet bara att bli värre i framtiden. Genom att mycket av vårt privat- och arbetsliv glider samman kommer både företagets data och den privata datan att hotas när våra sociala medie-konton attackeras. Dessutom drabbas i regel även de som finns på offrets kontaktlista (både privata och företagskontakter) vid en attack, vilket är ytterligare en anledning till att försöka undvika ett intrång.

Smartare skyddssystem

Samtidigt kommer våra skyddssystem att bli ännu mer intelligenta och med hjälp av AI och maskininlärning kan avvikande aktivitet i företagets nätverk upptäckas effektivare, och information om olika angreppssätt spridas snabbare så att färre drabbas. Att jobba preventivt är en självklarhet och att jobba enligt premissen att det bara är en tidsfråga innan attacken eller olyckan är framme, gör att fler och fler företag är förberedda att vidta åtgärder så att dataförlust och annan skadeverkning kan minimeras.

9 oktober 2019

Klienthantering – Viktig del av IT-säkerheten

Allt fler uppkopplade enheter som används både privat och i jobbet tvingar företagen att modernisera klienthanteringen. Annars riskerar man att IT-säkerheten blir lidande.

Så lägger du grunden till företagets IT-säkerhetsarbete

IT-säkerhetshoten blir allt fler när cyberbrottslingarna professionaliseras. Idag är frågan inte om ditt företag kommer att drabbas, utan när. Vi guidar dig till både tekniken och principerna bakom ett modernt IT-säkerhetssystem.

Säkerhet eller användarvänlighet – Måste man välja?

Det kan ibland verka som att det försiggår ett krig mellan IT-avdelningar och deras användare. Men måste man välja sida?

Shadow IT – vad är det och hur skyddar man sig?

Shadow IT är benämningen på IT-projekt som hanteras utanför företagets IT-avdelning eller utan att IT-avdelningen vet vad som händer. Läs om riskerna med Shadow IT och vilka åtgärder IT-avdelningen bör vidta för att skydda sig.

Har du verkligen backup i molnet?

En vanlig föreställning är att traditionell backup och återställning ingår automatiskt i molnet och att molntjänstleverantörer har koll på det. Men riktigt så ser det inte ut.

Säkra känslig data i molnet

Den ökade tjänstefieringen i IT-branschen innebär att alltmer av informationen hanteras i molntjänster, något som kräver en hög medvetenhet av beställare inom verksamheter där man hanterar sekretessreglerad eller annan känslig information.