Telefón zostal na stole v kaviarni, kým si jeho majiteľ odskočil po účet. Keď sa vrátil, zariadenie bolo preč. O pár minút neskôr sa niekto pokúsil prihlásiť do firemného e-mailu.
Poznám prípad, keď firma riešila podobnú krádež až po niekoľkých hodinách. Smartfón síce chránil šesťmiestny kód, no v pamäti zostali aktívne pracovné účty a aplikácia s uloženými dokumentmi. Útočník sa napokon do firemnej siete nedostal, ale iba preto, že administrátorka stihla zariadenie na diaľku zablokovať.
Čo má byť nastavené ešte pred stratou
Firemný telefón potrebuje silný prístupový kód, automatické zamknutie obrazovky a zapnuté šifrovanie úložiska. Pri novších zariadeniach sa šifrovanie aktivuje automaticky, správca ho však musí overiť v nastaveniach a v pravidlách mobilnej správy.
Štvormiestny PIN patrí do minulosti. Ja by som nastavila dlhší číselný kód alebo heslo, biometrické odomykanie by som nechala ako pohodlný doplnok, nie ako jedinú ochranu. Odtlačok prsta ani tvár totiž neriešia situáciu, keď niekto získa prístupový kód alebo prinúti používateľa telefón odomknúť.
Firma by mala používať systém MDM alebo UEM, ktorý umožní vzdialene vynútiť bezpečnostné pravidlá, sledovať stav zariadenia a v prípade potreby ho zablokovať či vymazať. Takéto riešenie zároveň ukáže, či má telefón aktuálny operačný systém, zapnuté šifrovanie a zakázané inštalovanie aplikácií z neoverených zdrojov.
Samostatnú pozornosť si zaslúži viacfaktorové prihlasovanie. Ak telefón slúži ako druhý faktor pre firemný účet a zároveň sa stratí, správca musí vedieť používateľovi okamžite zrušiť aktívne relácie, odobrať zariadenie z overovania a vydať náhradný spôsob prihlásenia.
Čo urobiť po krádeži alebo strate
Prvý telefonát nemá smerovať kolegovi, ktorý telefón stratil, ale osobe alebo tímu zodpovednému za IT bezpečnosť. Zamestnanec má nahlásiť udalosť bez odkladu, uviesť čas a miesto posledného použitia a potvrdiť, či bol telefón odomknutý.
Administrátor potom zablokuje SIM alebo eSIM, zruší prístupové tokeny a spustí lokalizáciu, uzamknutie alebo vymazanie zariadenia. Pri službách Apple Find My a Google Find My Device treba mať tieto funkcie zapnuté ešte pred incidentom, inak prichádzajú neskoro ako taxík po poslednom spoji.
Vzdialené vymazanie nie je náhradou za prevenciu. Telefón musí byť počas celého používania pripojený k účtu organizácie a správca musí vedieť, ktoré dáta sa na ňom nachádzajú, inak nevie posúdiť rozsah rizika.
Osobne by som neriskovala ani s uloženými heslami v prehliadači, ak firma nemá správu týchto údajov pod kontrolou. Heslá treba po incidente zmeniť najmä pri e-mailoch, cloudových úložiskách, VPN, bankových aplikáciách a nástrojoch na vzdialený prístup.
Ak sa v telefóne nachádzali osobné údaje klientov alebo zamestnancov, udalosť treba posúdiť aj z pohľadu ochrany osobných údajov. Presné povinnosti závisia od typu dát, pravdepodobnosti ich zneužitia a interných postupov firmy; presné čísla sa podľa zdrojov líšia, preto by som si lehoty overila u poverenej osoby alebo právnika.
Prečo nestačí spoliehať sa na opatrnosť zamestnancov
Bezpečnostná politika má určovať, ktoré zariadenia firma povoľuje, aké aplikácie sa na ne smú inštalovať a kto rozhoduje pri strate. Zamestnanec musí vedieť, že incident sa nenahlasuje až po návrate z dovolenky ani po pokuse nájsť telefón cez inzerát.
Pravidlá treba podporiť školením a krátkym nácvikom. Raz za čas by som nechala tím prejsť modelovou situáciou: telefón zmizne, používateľ zavolá na určené číslo, IT zablokuje účty a vedenie preverí, či sa nič nezaseklo na schvaľovaní.
Firemné údaje by mali zostať v riadených aplikáciách, nie v súkromných správach, fotogalérii alebo náhodnom cloudovom účte. Oddelenie pracovného a osobného priestoru znižuje rozsah škody a uľahčuje vymazanie firemného obsahu bez zásahu do súkromných fotografií.
Najhoršie nastavenie je telefón, ktorý vyzerá bezpečne, ale nikto nevie, kto ho vie zablokovať. Pri strate by som nechcela hľadať odpoveď v starej tabuľke uloženej na serveri, ku ktorému sa práve nedá prihlásiť.