1. Pochopte mobilní potřeby vašeho businessu

Rozhovory s IT manažery, majiteli a spoluvlastníky mohou dobře fungovat, pokud jsou aktivity ve firemní infrastruktuře řízeny shora dolů. Pokud však využívají zaměstnanci mobilní techniku dle jejich vlastního uvážení, pak představy vedení a reálné potřeby businessu mohou být značně odlišné. Doporučuje se opravdu detailně zjistit, v jakém stavu se firemní mobilní komunikace nacházejí a co vlastně pracovníci na různých úrovních potřebují.

2. Podle segmentace potřeb vašich pracovníků vytvořte různé druhy a úrovně mobilních služeb

Ne každý totiž potřebuje nadstandardní služby a podporu. Obvykle jsou ve firmách typické tři úrovně služeb:

• Uživatelé zodpovídají za firemní zařízení, mají přístup k PIM položkám a podnikovým aplikacím. Jejich zařízení jsou plně spravována a podporována.
• Uživatelé mohou využívat vlastní zařízení, která mají přístup k PIM položkám a aplikacím. Jsou částečně spravována a podporována.
• Uživatelé mohou připojit vlastní mobilní zařízení a omezeně využívat PIM. Nemají ale nárok na jakékoli náhrady či firemní podporu.

3. Vyhraďte si právo spravovat bez ohledu na majitele všechna mobilní zařízení, která podobně jako počítače přistupují k firemní síti

Vyžadujte nastavení firemního bezpečnostního profilu jako podmínku pro bezpečný přístup mobilních zařízení k firemní síti.

4. Zabezpečte integritu podnikových dat v privátních mobilních zařízeních tím, že je izolujete od osobních údajů

Existují zhruba tři způsoby, jak oddělit na mobilním zařízení privátní a podniková data včetně bezpečnostního kontejneru a sandboxu pro podezřelé aplikace a data. Nativní prostředí je řízeno přes důvěryhodný přístup, který kontroluje, zda vyhovuje politikám. Může být hostováno v datacentru nebo ve veřejném cloudu a přístupné přes desktopového virtuálního klienta.

5. Vynuťte silná bezpečnostní pravidla, která zamezí bezpečnostním průlomům

Základní politiky by měly být nasazeny bez rozdílu na všechna mobilní zařízení připojená k podnikové síti. Počínaje kryptováním podnikového e-mailu a paměťového prostoru, přes vynucené nasazení pinů a hesel s dostačnou délkou a kombinací znaků až po případné smazání dat při opakovaných pokusech o neoprávněný přístup, což je důležité zejména při ztrátě zařízení. Aby uživatelé nastavené politiky neobcházeli, mělo by být zabráněno smazání nastavených pravidel.

6. Zvažte rozsah omezení funkcí a aktivit uživatelů v citlivém prostředí

V oblastech, jako jsou finanční služby, pojišťovnictví, zdravotnictví nebo státní správa, by mělo být zváženo další omezení, jako například využití fotoaparátu, aplikačních shopů, internetového prohlížeče, Youtube nebo dalšího explicitního obsahu. Dodatečně by měly organizace zvážit další zesílení pravidel pro hesla, kryptování paměťového prostoru včetně dat z aplikací a zavedení dalších autentifikačních pravidel.

7. Zaveďte akceptovatelná bezpečnostní pravidla i na běžné mobilní telefony

Vyžadujte je v rámci ostatních pravidel chování zaměstnanců a připravte z nich navazující pravidla i pro nové technologie, jako jsou chytré telefony a tablety. Přizpůsobte podmínky specifickým hrozbám pro nové technologické platformy. Příkladem mohou být smartphony zaměstnanců, které využívají přístup ke korporátním datům. Pokud zaměstnanec organizaci opouští, může být vyžadováno úplné vymazání dat v jeho zařízení.

8. Určete pravidla pro úhrady nákladů za mobilní komunikaci zaměstnanců (hlas, SMS, data)

Různé skupiny zaměstnanců budou mít zřejmě nastaveny odlišné limity dle úkolů, které ve společnosti plní. Před nastavením pravidel je důležité provést „audit“ existujících telekomunikačních nákladů a možnosti úspor. Můžou být také nastaveny různé motivační bonusy pro investice do vlastních zařízení nebo pravidla při odchodu zaměstnance ze společnosti.

9. Proaktivně monitorujte využívání a náklady za data a hlas

Tak jak se firmy snaží držet krok s novými technologiemi, mohou být náklady často přehlíženy, až nakonec spadnou do hledáčku CIO. Manažeři, kteří podporují firemní využití mobilních přístrojů a uživatelům dodávají zařízení s ještě větším displejem či rychlejším internetem, by měli mít k dispozici prostředky pro proaktivní monitorovaní a optimalizaci výdajů za hlasové a datové služby.

10. Rozhodněte, jak budete mobilní zařízení zaměstnanců zajišťovat pomocí podnikových nástrojů

Těžiště služeb se dnes přesouvá z poskytování e-mailu a PIM na on-line aplikace. Často ale chybí nástroje jednak pro vytváření bezpečných aplikací, jednak pro jejich správu, nasazení a aktualizaci v rámci podniku nezávislých na veřejných aplikačních shopech. Strategie IT pro správu a podporu uživatelů začíná vždy od základních aplikací, jako je e-mail a služby pro podporu produktivity a komunikace, které potřebuje každý zaměstnanec. Pak přichází vrstva specializovaných aplikací pro spolupráci s firemními systémy CRM, ERP a IS pro podporu prodeje, financí, logistiky a dalších aplikací.

11. Vyžadujte po zaměstnancích, aby zálohovali svoje data

Vaše mobilní politika by měla prosazovat právo na zamčení či vymazání zařízení, dojde-li ke ztrátě nebo odcizení, nebo v případě, že zaměstnanec odchází z firmy. Zálohováním osobních údajů předejdete osobní traumatizující ztrátě kontaktů, zpráv, aplikací apod. Šiřte instrukce, jak mohou uživatelé zálohovat svá data na každé z podporovaných mobilních platforem.

12. Zajistěte, aby pravidla, která není možné technologicky spravovat, byla také zahrnuta ve firemních politikách

Využívání privátních mobilních zařízení může představovat právní problémy zejména v případě, kdy pravidla nejsou stanovena předem. Podniky, které umožňují využívat vlastní mobilní zařízení, by měly po zaměstnancích požadovat, aby zařízení poskytly k dispozici například v případě vyšetřování. Pro případ bezpečnostního incidentu by měla být se zaměstnanci dohoda o dodržování bezpečnostních postupů včetně instalace potřebných bezpečnostních softwarů a případném zásahu kvůli ochraně podnikové sítě.

13. Vyžadujte, aby uživatelé pochopili a souhlasili s přijatelným použitím pravidel bezpečnosti mobilních zařízení dříve, než jim jsou poskytnuty firemní přístupy

Prvořadým cílem politik pro mobilní bezpečnost je totiž ochránit integritu obchodních dat, důvěrných a soukromých dat zákazníků, která jsou uložena v paměti přístroje. Účelem politik je zabránit, aby tyto údaje byly záměrně nebo neúmyslně ukládány na nezabezpečená mobilní zařízení nebo byly přenášeny na nezabezpečenou síť, na kterou mohou mít přístup nepostihnutelní uživatelé. Porušení tohoto typu by mohlo vést ke ztrátě obchodních informací, poškození kritických aplikací, ztráty příjmů a poškození společnosti v očích veřejnosti. Proto musí být se všemi uživateli mobilních zařízení dohody, že souhlasí s definovanými procesy a předpisy před poskytnutím přístupu k firemním datovým zdrojům.

14. Popište důsledky nedodržení podnikových politik a uveďte příklady

Nedodržení mobilních bezpečnostních politik může vést k pozastavení využívané technologie a připojení, k disciplinárním opatřením, případně k ukončení pracovního poměru. Společnost by měla prosazovat:

• sankce za přestupky při nedodržování bezpečnostních politik a platných zákonů (např. neprovedení upgradu softwaru na správnou verzi ve stanovené lhůtě, používání mobilních telefonů během řízení apod.),
• sankce za nadměrné využívání prémiových služeb, nadměrné překračování přidělených limitů nebo neoprávněné aktualizace softwaru,
• sankce za stahování a instalace nevhodného materiálu a aplikací, nenahlášení ztráty nebo krádeže zařízení nebo nadužívání zařízení z osobních důvodů.

15. Revidujte pravidla nejméně jednou ročně

Cílem mobilních bezpečnostních zásad je definovat standardy, postupy a omezení pro uživatele, kteří mají legitimní obchodní požadavky pro přístup k podnikovým datům z mobilního zařízení. Tato politika se vztahuje na všechny hardwarové a související softwarové prostředky, které by mohly být použity pro přístup k podnikovým zdrojům, a to i v případě, že zařízení není spravováno podnikem, je vlastní nebo zapůjčené. S cílem udržet aktuální pravidla by měly být mobilní politiky přehodnoceny nejméně jednou ročně. Do úprav zapojte podnikový business tak, jak jsou politiky průběžně upravovány.

Radek Vajner
Autor působí jako senior system engineer Ness Technologies v ČR.