Punti chiave
- Gli ecosistemi Apple e Android applicano i controlli enterprise in modo diverso: serve quindi una governance consapevole delle specificità di ciascuna piattaforma per ottenere risultati omogenei nella sicurezza dei dispositivi mobili.
- Le aziende dovrebbero definire baseline centralizzate per la sicurezza dei dispositivi mobili – che coprano MFA, crittografia, conformità agli aggiornamenti dell’OS e verifica dell’affidabilità dei dispositivi – prima di affrontare l’implementazione specifica per ciascuna piattaforma.
- La governance della sicurezza mobile multipiattaforma dovrebbe privilegiare la parità dei risultati operativi rispetto all’adozione di controlli tecnici identici su entrambe le piattaforme.
- La verifica continua dell’affidabilità dei dispositivi, dell’applicazione delle policy e della conformità agli aggiornamenti è fondamentale per evitare la deriva delle configurazioni tra endpoint Apple e Android.
- I fallimenti più comuni nella sicurezza mobile enterprise nascono dal trattare le differenze tra piattaforme come eccezioni alle policy e dal presupporre che su entrambi gli ecosistemi esistano controlli tecnici equivalenti.
La maggior parte delle organizzazioni gestisce un parco dispositivi eterogeneo (iPhone, iPad, smartphone e tablet Android), ed è difficile governarli tutti con un unico framework. Inoltre, i team di sicurezza si trovano spesso di fronte a lacune di visibilità, conformità o applicazione delle policy che, se trascurate, diventano sempre più difficili da gestire nel tempo.
Per questo è fondamentale definire uno standard di sicurezza per i dispositivi mobili coerente e continuativo, valido sia per l’ecosistema Apple sia per quello Android. Invece di imporre controlli identici a piattaforme diverse, le aziende mature devono imparare a lasciare che ciascuna piattaforma raggiunga i risultati attesi a modo suo. Vediamo come costruire un framework di governance multipiattaforma che regga nella pratica.
Perché gli standard di gestione dei dispositivi mobili multipiattaforma perdono coerenza
Apple e Android funzionano in modo diverso, e le differenze emergono immediatamente non appena si iniziano ad applicare policy di sicurezza su larga scala. Ne nascono attriti che si manifestano in alcuni ambiti specifici, spesso cogliendo i team di sorpresa.
Ecco alcuni punti in cui i due ecosistemi divergono:
- Le modalità di registrazione e provisioning dei dispositivi nel sistema di gestione
- Il livello di gestione e controllo che la piattaforma concede agli amministratori
- Il modo in cui i dati di lavoro vengono separati e governati su dispositivi personali o condivisi
- Il modo in cui ciascuna piattaforma distribuisce gli aggiornamenti dell’OS e ne verifica la conformità
- Il modo in cui i certificati vengono distribuiti, considerati attendibili e utilizzati per supportare autenticazione e controllo degli accessi sui dispositivi
- I framework disponibili per controllare quali applicazioni possono essere installate o eseguite
Quando queste differenze non vengono prese in considerazione, le conseguenze si manifestano tipicamente così:
- Policy di sicurezza applicate in modo disomogeneo sui dispositivi a causa delle differenze tra piattaforme
- Standard di configurazione che si allontanano progressivamente l’uno dall’altro senza che nessuno se ne accorga
- L’affidabilità dei dispositivi diventa più difficile da verificare in modo uniforme su tutto il parco dispositivi
- Lacune sempre più ampie nell’applicazione delle policy tra endpoint Apple e Android
Man mano che l’organizzazione aggiunge nuove tipologie di dispositivo, nuovi form factor e nuovi modelli di proprietà, aumenta il numero di eccezioni di gestione e sicurezza, rendendo più difficile mantenere un’applicazione coerente delle policy e standard di sicurezza uniformi in tutto l’ambiente.
Come definire standard di sicurezza mobile enterprise coerenti
Per prevenire la deriva tra piattaforme, dovresti prima definire che cosa significa “sicuro”, e solo dopo pianificare come portare ciascuna piattaforma a quel livello. In questo modo i tuoi programmi si ancorano a un insieme condiviso di controlli di base, validi indipendentemente dal tipo di dispositivo o dall’OS.
Una baseline matura per la sicurezza mobile dovrebbe coprire i seguenti ambiti:
- Richiedere l’autenticazione a più fattori (MFA) su tutti i dispositivi gestiti e i punti di accesso
- Imporre la crittografia completa del dispositivo come condizione non negoziabile per la registrazione
- Definire requisiti minimi di blocco schermo applicati in modo uniforme su tutte le piattaforme
- Stabilire le finestre di conformità per gli aggiornamenti dell’OS che i dispositivi devono rispettare per mantenere l’accesso
- Definire policy di accesso condizionale che valutino lo stato del dispositivo prima di concedere l’accesso alle risorse
- Verificare l’affidabilità dei dispositivi in modo continuativo e non solo al momento della registrazione
Definisci questi controlli a livello centrale e applicali tramite i meccanismi di gestione più adatti a ciascuna piattaforma, così da mantenere una baseline di sicurezza. La deriva della sicurezza non scomparirà del tutto, ma diventa più semplice da individuare e correggere quando la baseline stessa è standardizzata.
Come gestire le differenze di applicazione tra Apple e Android
Una volta compresi i diversi comportamenti delle due piattaforme, devi costruire un modello di governance che tenga conto di ciascuna differenza senza perdere coerenza. Non cercare però di far comportare Apple e Android allo stesso modo: punta invece a ottenere risultati di sicurezza equivalenti su entrambi i fronti.
Significa lavorare all’interno del modello di applicazione nativo di ciascuna piattaforma, anziché contro di esso. Per esempio:
- I dispositivi supervisionati di Apple espongono un insieme più ampio di controlli di gestione, che gli amministratori possono usare per limitare i comportamenti a livello di OS.
- I profili di lavoro Android creano un container gestito che separa i dati aziendali dall’uso personale senza richiedere il controllo completo del dispositivo.
- La gestione degli aggiornamenti dovrebbe basarsi su meccanismi specifici per piattaforma, perché Apple e Android offrono processi e funzionalità diverse per distribuire e gestire gli aggiornamenti dell’OS.
- I modelli di attendibilità dei certificati variano tra i due ecosistemi e devono essere configurati e verificati separatamente.
- I metodi per separare i dati aziendali da quelli personali differiscono tra le piattaforme e vanno gestiti in base alle funzionalità e ai requisiti di sicurezza di ciascuna.
Puntare all’uniformità tecnica tra le piattaforme è di solito una battaglia persa. Ciò che conta è che i risultati dell’applicazione reggano su entrambi i fronti – crittografia, autenticazione e standard di attendibilità compresi – anche se i meccanismi sottostanti sono molto diversi.
Come mantenere la verifica tecnica su tutte le piattaforme
Oltre a definire una baseline, devi anche assicurarti che regga nel tempo, mentre il tuo parco dispositivi cambia. Nuove registrazioni, aggiornamenti dell’OS, modifiche alle policy e comportamenti degli utenti possono tutti generare deriva delle configurazioni in modi non immediatamente visibili.
La verifica continua dovrebbe quindi coprire in modo uniforme i seguenti ambiti:
- Se i dispositivi mantengono il proprio stato di attendibilità o mostrano segnali di compromissione o non conformità
- Se le policy di sicurezza vengono applicate come previsto oppure falliscono silenziosamente su determinati tipi di dispositivo o versioni dell’OS
- Se i requisiti di autenticazione vengono applicati in modo coerente su entrambe le piattaforme
- Se i dispositivi rispettano le finestre di conformità per gli aggiornamenti o accumulano silenziosamente ritardi sulle patch
- Se le configurazioni dei dispositivi restano allineate agli standard di sicurezza su endpoint Apple e Android oppure stanno divergendo, creando un’esposizione al rischio disomogenea
La verifica continua aiuta a individuare i problemi per tempo e offre visibilità costante sullo stato di sicurezza e conformità dell’organizzazione. Le organizzazioni che integrano la verifica nelle proprie operazioni quotidiane riescono più facilmente a mantenere nel tempo la coerenza degli endpoint su un parco dispositivi misto.
Errori comuni negli standard di sicurezza dei dispositivi mobili enterprise
Nella governance di ambienti mobili misti ci sono alcuni problemi piuttosto prevedibili. Derivano da scelte compiute all’inizio del percorso sulla base di presupposti sbagliati, poi mai rimesse in discussione mentre la complessità cresceva.
Attenzione quindi ai seguenti errori:
- Applicare standard di sicurezza diversi ai dispositivi Apple e Android, invece di richiedere a entrambe le piattaforme gli stessi risultati
- Considerare le differenze tecniche tra piattaforme come un motivo per esentare alcuni dispositivi dalle policy, anziché come dettagli di implementazione da aggirare
- Gestire gli aggiornamenti dell’OS in modo estemporaneo o a compartimenti stagni per piattaforma, invece di applicare un framework di conformità unificato a tutto il parco dispositivi
- Non verificare l’affidabilità dei dispositivi in modo uniforme su entrambi gli ecosistemi
- Presupporre che, poiché un controllo funziona in un certo modo su una piattaforma, debba esistere un controllo equivalente che si comporta allo stesso modo sull’altra
Tutto questo alimenta una tendenza più ampia: la coerenza operativa si indebolisce gradualmente e, quando le lacune di sicurezza emergono, diventa più difficile risalire all’origine del problema.
Come rafforzare il programma di sicurezza dei dispositivi mobili enterprise
Per costruire e mantenere standard di sicurezza coerenti negli ambienti Apple e Android, le organizzazioni devono fare diverse cose: tenere conto delle differenze tra piattaforme, verificare di continuo l’affidabilità dei dispositivi e altro ancora. Sono attività continuative, che devono evolvere insieme agli ambienti stessi. Costruisci quindi i tuoi programmi di mobility attorno a una governance basata sui risultati anziché su controlli identici: ridurrai la deriva della sicurezza, rafforzerai la verifica dell’affidabilità dei dispositivi e manterrai nel tempo la maturità degli endpoint.
Argomenti correlati:
