Мобильная безопасность: чего опасаться работодателю

Каждый из нас генерирует огромное количество информации на смартфоне. Что нужно знать, чтобы не потерять важные данные? Как случайно не подставить работодателя? Как защитить коммерческую тайну от неосмотрительности сотрудников? Поговорим о мобильной безопасности с ведущим аналитиком компании «СёрчИнформ» Алексеем Парфентьевым.

Алексей Парфентьев

Как все устроено

Загружая очередное приложение на телефон, вы задерживаете взгляд на сообщении «Разрешить программе доступ…» — а дальше длинный список того, что программа хочет получить. Как правило, это контакты, фотогалерея, геолокация, сообщения. Реже сервисы хотят получать доступ к камере, памяти, звонкам, микрофону, календарю.

Это нужно разработчику, чтобы приложение выполняло те функции, для которых его и устанавливали. Например, доступ к микрофону нужен мессенджеру, чтобы вы могли передавать аудиосообщения. Это полезно, но быть уверенным, что микрофон используется только по делу и не прослушивает вас, нельзя. Убедиться в этом можно, увидев исходный код программы, а он охраняется как коммерческая тайна.

Запрос информации, не связанной, на первый взгляд, с работой приложения, разработчики объясняют тем, что с помощью нее делают сервис лучше: минимизируют количество ошибок, выявляют проблемы интерфейса, отслеживают популярные или ненужные функции.

Звучит неплохо. На практике данные зачастую используются не для оптимизации приложения, а для более эффективной подачи рекламы. И это в лучшем случае. О том, собирается ли приложение перепродавать информацию о пользователе третьей стороне, должно быть написано в лицензионном соглашении.

Ведите учет сотрудников, рассчитывайте зарплату, больничные, отпускные, налоги и взносы в удобном сервисе

Попробовать

В чем опасность

Даже если разработчик действует в рамках разумного и собирает данные исключительно в рабочих целях, всегда остается риск, что в приложении есть уязвимости, которыми могут воспользоваться злоумышленники. Как?

Доступ к камере. Выдается не на один снимок, для приложения доступ открыт раз и навсегда. Если приложение «захочет» сделать несанкционированное фото или записать видео, оно не будет спрашивать дополнительного разрешения.
Доступ к геолокации. Смартфон знает, где вы находитесь сейчас, и отслеживает историю передвижений. Приложения определяют местоположение не только, когда запущены.
Доступ к телефону. Приложение может совершать звонки. Сделать запись звонков сложнее, но посмотреть историю ваших переговоров с таким разрешением — проще простого.
Доступ к контактам. Приложение может использовать чужие контакты из адресной книги и получает доступ к вашим учетным записям.
Доступ к СМС. Приложение, запросившее доступ к СМС, может читать все текстовые сообщения. Для личной переписки этот способ связи сейчас используется редко, но именно СМС до сих пор остается главным инструментом двойной авторизации, например, при оплате в клиент-банке или соцсетях. Узнать данные о подтверждаемом аккаунте несложно, если ранее вы выдали приложению доступ к контактам.
Доступ к памяти. Приложение может читать, изменять и удалять любые файлы, хранящиеся в памяти устройства.

Таким образом, любое приложение с несколькими подобными допусками становится потенциальным шпионом в вашем собственном телефоне. А теперь задумайтесь, сколько рабочей информации хранится в памяти смартфона, как часто вы ведете конфиденциальные переговоры с клиентами или партнерами по своему мобильному. Поэтому будьте предельно внимательны, устанавливая очередное приложение, например «Запись звонков» или «Оптимизатор системы». Звонки оно, конечно, запишет, но не отправит ли при этом данные в непонятном направлении?

Как оградить себя от мобильного «шпиона»

Безусловно, отказываться от сотовой связи сегодня абсурдно. Но восемь простых правил помогут минимизировать риски доступа злоумышленников к данным на вашем смартфоне:

Скачивайте приложения только из официальных магазинов. AppStore и GooglePlay не гарантируют полной безопасности, тем не менее риск скачать зловредное ПО снижается.
Проверьте разрешения уже установленных приложений и удалите те, которые хотят подозрительно много. Внимательно относитесь не только к установке нового ПО, но и к обновлению текущего — новая версия может требовать новых разрешений.
Проверяйте авторство приложений и устанавливайте только официальные программы: с качественным описанием, большим количеством скачиваний и высокой оценкой.
Покупайте приложения. Платное ПО лучше защищено и имеет меньше соблазнов монетизироваться за счет ваших данных.
Отключите автосинхронизацию с облачными сервисами — кроме случаев, когда она действительно необходима.
Не включайте root-режим (права суперпользователя) и не проводите jailbreak («взлом»). Это инструменты для разработчиков, а не способ бесплатной установки платных программ. Обычным пользователям эти режимы только навредят, сделав их устройства уязвимыми.
Используйте антивирус.
Задействуйте системные средства повышения безопасности. Они есть как в виде отдельного ПО, так и в виде эксклюзивного контента для отдельных моделей телефонов (например, DTEK для Blackberry).

Просто будьте внимательны. Критически рассматривайте приложения и сервисы и приучайте к этому коллективы в своих компаниях. А если в вашем телефоне хранится по-настоящему важная информация — сделайте его «стерильным» и избавьте от любых сторонних приложений.

Что делать работодателю

Для работодателя «мобильность» сотрудников — это и благо, и большая головная боль. Запретить использовать личные устройства на рабочем месте могут позволить себе только режимные, военные объекты. Для них гаджеты работников и служащих — слишком большой риск.

В некоторых компаниях выбирают промежуточный вариант — снабжают сотрудников корпоративными устройствами с установленными инструментами защиты, например Mobile Device Management. Это набор сервисов и технологий, которые позволяют назначать правила для устройств: можно ли пользоваться камерами, устанавливать приложения, на какие ресурсы заходить и т.д.

Для большинства бизнесов и эта модель не очень реалистична. Поэтому приходится решать вопрос административными и управленческими мерами. Имеет смысл подписать с сотрудниками дополнительное соглашение к трудовому договору о работе с конфиденциальной информацией, где должны быть прописаны правила использования личных устройств в рабочих целях. Безопасно, когда личные устройства изолированы от рабочей инфраструктуры. Это значит, что сотрудникам нельзя использовать телефон для переноса файлов, заходить с него на сервер компании, в ряде случаев — вести переговоры с личного мобильника и пр.

Чтобы подписанное соглашение не осталось бумажкой, а требования не казались сотрудникам лишней бюрократией, важно регулярно освежать в памяти правила безопасности. Крупные корпорации организуют для этих целей киберучения. Но даже если вы просто будете время от времени информировать сотрудников о новых угрозах — это уже сослужит большую службу повышению уровню их ИБ-грамотности.

Об авторе — Алексей Парфентьев, ведущий аналитик ООО «СёрчИнформ»