Explique la seguridad al empleador

Su teléfono celular, su seguridad

Es su teléfono celular y usted tiene derecho a asegurarlo como usted considere oportuno. Sin embargo, puede considerar adoptar el enfoque opuesto: decirlo no se asegurará en absoluto (vea a continuación).

Su teléfono celular, su seguridad

Si su empresa le exige que utilice un dispositivo móvil para acceder a los datos de la empresa, lo cual está bien dentro de su derecho, entonces company debería proporcionar ese dispositivo , asegurado en su presupuesto. De esa manera, ellos se responsabilizan de asegurar la plataforma en la que reside su aplicación.

Política de seguridad de datos corporativos

Mire su política de seguridad corporativa y mire esto desde un punto de vista del oficial de seguridad corporativo:

Al usar su dispositivo, no pueden garantizar la seguridad de los datos que proporciona la aplicación, ni la seguridad de la aplicación en sí misma, ya que su dispositivo no es una plataforma segura.

¿Cuál es la política de su empresa con respecto a las computadoras portátiles? ¿Las computadoras portátiles tienen que tener discos duros cifrados? Y, estar seguro? Si es así, también deberían hacerlo los teléfonos, que apuntan a ellos proporcionando sus propios dispositivos para este propósito.

Voltear el argumento: preocuparse por sus datos

(Nota: Es posible que esto no funcione si su empresa es rápida y flexible con la seguridad de los datos).

En lugar de decir que mantiene su dispositivo super seguro, en cambio dice que no puede asegurarse de que estará protegido , que otras personas tendrán acceso a él y no puede responsabilizarse por ninguna violación de datos. o pérdida accidental de datos.

Por ejemplo, si esta aplicación trata de alguna manera con Datos de PII , o podría ser un vector para obtener datos de PII si se piratea, el responsable de seguridad de datos de su empresa simplemente no puede permitirlo, a menos que su dispositivo sea bajo su control, por lo que es su dispositivo.

¿Qué pasa si tu teléfono se pierde? ¿No les importa que sus datos sean accesibles? ¿Qué sucede si deja que su pequeño primo Willy juegue con su teléfono, olvidando que la aplicación aún está abierta y disponible, y el pequeño Willy elimina los datos? ¿Está bien?

Al asumir la función de proteger sus datos, está comprobando que el uso de teléfonos celulares personales para albergar datos corporativos es una mala decisión empresarial.

Una cosa que mucha gente pierde de vista (en ambos lados de la valla), cuando se habla de seguridad, es:

¿Qué estás protegiendo?

Tengo varias cuentas "protegidas" por una contraseña fácil de adivinar. Esto se debe a que, si se piratea, no me importa.

¿La contraseña protege su teléfono o protege los datos de la empresa? Si tienes que saber la contraseña, supongo que más tarde. Si es así, el hecho de que esté en su teléfono es una especie de pista falsa: su teléfono no está en riesgo. De hecho, el uso de la aplicación no aumenta el riesgo de nadie; si nunca la usas, el riesgo permanece.

¿Cuál es el valor de los datos, si son robados o modificados, para la empresa? ¿Qué daño se puede hacer?

Si hay poca o ninguna consecuencia de que salga esta información, trágate el orgullo y sigue adelante.

En casos como estos, a menos que la seguridad sea su trabajo, puede tener poca influencia con respecto a este software. Ponga por escrito sus inquietudes: que una persona no autorizada podría copiar / modificar de manera relativamente fácil los datos (según corresponda, dependiendo de lo que haga la aplicación), señalar la posible vergüenza / pérdida para la empresa / clientes perdidos (si corresponde). . Esté preparado para ser ignorado, y si lo hace, acéptelo. Conserve una copia de la carta / correo electrónico, por si acaso.

Espero que esto no sea necesario decirlo:

¡NO! ¡BAJO CUALQUIER CIRCUNSTANCIA! ¡HACK EL SISTEMA PARA MOSTRAR QUE SE PUEDE HACER! ¡INCLUSO SOLO UN POCO! (a menos que esté autorizado explícitamente por la compañía para hacer esto)

Para muchas personas es tentador "mostrar" los riesgos. Los administradores de seguridad vergonzosos (¡o cualquiera!) Que son malos en su trabajo es una manera terrible de hacer que las personas se sientan agradecidas, incluso si es probable que lo estén.

Suponiendo que la aplicación proporciona acceso a cierta información privada, solo debe proporcionar una Prueba de concepto a su empleador. Pídale un permiso oficial de antemano para hacerlo (hacer cualquier cosa sin permiso podría causarle problemas, dependiendo de las políticas de su compañía). Una vez que haya obtenido el permiso, muéstrele con qué facilidad puede iniciar sesión con sus credenciales y obtener acceso a información privada.

Además, sin el consentimiento explícito de cada empleado, la empresa no debería tener ningún derecho a instalar ningún tipo de datos en los teléfonos celulares personales de los empleados.

El problema, que podría no ser un problema, dependiendo de lo que realmente haga la aplicación, es que puede iniciar sesión como otra persona, y otra persona puede iniciar sesión como usted. La contraseña nunca cambia, por lo que muy pronto las personas que ya no trabajan en la empresa pueden iniciar sesión como personas que todavía trabajan allí.

Lo que asusta es que la compañía de terceros utiliza contraseñas a pesar de que las contraseñas no tienen sentido en este caso. Si todos tienen la misma contraseña, no debería haber una contraseña en absoluto. Esto da miedo porque muestra que la compañía no entiende la seguridad y no se debe confiar en los datos confidenciales.

En pocas palabras, si la aplicación solo está ahí para averiguar quién trae pastel para celebrar algo, a quién le gusta qué tipo de pastel y para evitar que se traigan muchos pasteles el mismo día, está bien. Sin embargo, si la aplicación se utiliza para datos confidenciales, como el seguimiento del rendimiento y las revisiones, su empresa pronto podría tener problemas legales. A pesar de lo que hace la tercera parte, debe ser obvio para su empresa que los datos no están seguros, por lo que parte de la responsabilidad es de ellos.

Si necesita una analogía, estos archivos se almacenan en un casillero, dentro de la oficina de la compañía, y solo algunas personas tienen una llave, o los archivos se guardan en una caja de cartón en la cafetería, y la cafetería está abierta para el público general.

para empezar, debes decirle que es tu teléfono celular personal y que no tiene derecho a meterse con tu teléfono.

usando la analogía de su auto, la aplicación parece que el auto usa un candado protegido (espero haberlo escrito correctamente) y el hecho de que todos tengan la misma contraseña que no se puede cambiar les da una llave maestra, así que todo lo que queda es adivina dónde dejaste tu coche (también conocido como tu nombre de usuario), que no es tan difícil para las personas dentro de la empresa y luego roba tu coche.

Bueno, almacenar contraseñas con un hash con sal es el estándar mínimo en estos días, por lo que no sería muy importante para su seguridad, pero como una descripción de su automóvil mega-seguro describiría un factor de 3 (contraseña + clave + biometrc ) bloqueo.

En primer lugar, en mi humilde opinión, cuando hable con altos jefes, comience con pérdidas. A ellos NO les gustan, pero para lograr un efecto deseable, debe hacer una buena evaluación de cada pérdida, en $. Los vectores más efectivos, según mi práctica, son:

1. Costos de aplicación de la ley. Qué sanciones por las cuales ley son aplicables a su compañía si las cosas salen mal. Haga una lista completa, ley + "monto de la multa"

2. Pérdidas de relaciones públicas. Para calcular eso, solo tome los datos de ganancias de una empresa y recórtelos a la mitad, para un escenario de competidores que ocupan el lugar actual de la empresa en el mercado debido a la pérdida de reputación. / daños.

3. Costos de recuperación para pt.1 y 2 ¡Sí, cada daño necesita reparación! Y cuesta algo de dinero, generalmente

Pero no te detengas aquí! También DEBE proporcionar un plan muy detallado con un diagrama de Gantt adjunto sobre cómo hacer las cosas bien: tiempo y costos, paso a paso

Y simplemente haga un número en su diapositiva final, déjelos comparar. Me funcionó muchas veces, pero necesitas invertir una buena parte de tu tiempo y paciencia haciendo que todos estos pequeños tuercas y tornillos trabajen juntos como un reloj suizo.

Me retiré recientemente de diez años de atención médica I.T. precedido por dieciséis en defensa. En la atención médica, una auditoría anual que encuentra esa aplicación tendría serias consecuencias desagradables con las calificaciones de calidad públicas exigidas por el gobierno. En defensa, un hallazgo de auditoría aleatorio que podría enviar a alguien a la cárcel.

Si mi empleador me pidió que lo pusiera en mi teléfono, además de señalar lo anterior, sugeriría al gerente que alguien enojado con él inicie sesión con el nombre del gerente, publique pornografía y despida al gerente.

Esto es todo acerca de la evaluación de riesgos. Ese debe ser un concepto clave para un gerente. Necesita comprender los riesgos, no los aspectos técnicos, sino el riesgo real. Así que explícalo así:

Dato: todos tienen la misma contraseña y formato de nombre de usuario, y no pueden cambiarlo.

Riesgos:

• Los antiguos empleados descontentos podrían iniciar sesión como cualquier persona y leer los mensajes de cualquiera, o enviar mensajes con el nombre de cualquier persona.

• Los empleados actuales podrían utilizar mal el sistema iniciando sesión como otros usuarios para 'bromear' entre sí, por ejemplo, enviando mensajes "desde el jefe".

Si su jefe no quiere que ninguna de estas cosas suceda, entonces necesita resolver el problema de la contraseña de inmediato.

El riesgo de los antiguos empleados descontentos es probablemente el más importante: si despide a alguien, debería ser fácil revocar todos sus derechos de acceso, pero si saben cómo iniciar sesión como cualquier otra persona en la empresa, entonces revocar sus derechos ganados ' No haga nada para evitar que filtren todos los secretos de su compañía a su competidor que los acaba de contratar.

No has revelado para qué se usará la aplicación, aparte de un vago comentario de "redes sociales internas". La gravedad del riesgo para la empresa dependerá de (a) cuántas personas lo utilizan, (b) el nivel de antigüedad de las personas que lo usan y (c) qué tipo de información se envía a través de ella.

Por ejemplo, si la aplicación está destinada a que el personal simplemente tenga un lugar para conversar entre ellos, el riesgo es menor que si la administración intenta usarla para enviar información confidencial al personal.

Sin embargo, aún existe un riesgo, porque incluso en el caso más benigno, aún sería una gran oportunidad para la ingeniería social.