Belangrijkste punten
- Apple- en Android-ecosystemen handhaven zakelijke controls op verschillende manieren. Daarom is platformbewuste governance nodig om consistente resultaten voor mobiele beveiliging te bereiken.
- Organisaties doen er goed aan eerst centrale basisregels voor mobiele beveiliging vast te leggen – met MFA, versleuteling, compliance rond OS-updates en validatie van device trust – voordat ze naar de implementatie per platform kijken.
- Bij governance voor mobiele beveiliging op meerdere platformen gaat operationele gelijkwaardigheid vóór identieke technische controls op beide platformen.
- Doorlopende validatie van device trust, beleidshandhaving en update-compliance is essentieel om configuratiedrift tussen Apple- en Android-endpoints te voorkomen.
- De meeste problemen met mobiele beveiliging in bedrijven ontstaan doordat platformverschillen als uitzondering op het beleid worden behandeld en doordat men aanneemt dat beide ecosystemen gelijkwaardige technische controls bieden.
De meeste organisaties beheren een mix van devices (denk aan iPhones, iPads, Android-smartphones en tablets), waardoor het lastig is om alles binnen één kader te beheren. Bovendien lopen securityteams vaak tegen hiaten aan in zichtbaarheid, compliance of beleidshandhaving die na verloop van tijd steeds moeilijker te beheersen worden als er niets mee gebeurt.
Daarom is het cruciaal om een consistente en doorlopende beveiligingsstandaard voor mobiele apparaten vast te leggen voor zowel Apple- als Android-ecosystemen. In plaats van identieke controls op te leggen aan verschillende platformen moeten volwassen organisaties leren elk platform op zijn eigen manier hetzelfde resultaat te laten behalen. Hieronder leest u hoe u een governancekader voor meerdere platformen opbouwt dat in de praktijk standhoudt.
Waarom standaarden voor device management op meerdere platformen uit elkaar lopen
Apple- en Android-platformen werken nu eenmaal anders en die verschillen worden meteen zichtbaar zodra u securitybeleid op grote schaal gaat handhaven. Dat levert frictie op die meestal op een paar specifieke punten opduikt waar teams door overvallen worden.
Dit zijn enkele punten waarop de twee ecosystemen uiteenlopen:
- De manier waarop devices worden ingeschreven en voorzien van beheer
- De mate van beheer- en controlemogelijkheden die het platform aan beheerders geeft
- De manier waarop werkgegevens worden gescheiden en beheerd op persoonlijke of gedeelde devices
- De manier waarop elk platform omgaat met het uitrollen van OS-updates en de compliance daarop
- De manier waarop certificaten worden uitgerold, vertrouwd en gebruikt voor authenticatie en toegangscontrole op devices
- De beschikbare kaders om te bepalen welke applicaties geïnstalleerd of uitgevoerd mogen worden
Wanneer met die verschillen geen rekening wordt gehouden, zijn de gevolgen vaak:
- Securitybeleid dat door platformverschillen inconsistent op devices wordt toegepast
- Configuratiestandaarden die na verloop van tijd uit elkaar groeien zonder dat iemand het merkt
- Device trust die steeds moeilijker consistent te verifiëren is binnen het hele apparaatpark
- Groeiende hiaten in de beleidshandhaving tussen Apple- en Android-endpoints
Naarmate organisaties meer devicetypen, formfactoren en eigendomsmodellen toevoegen, neemt het aantal uitzonderingen op beheer en beveiliging toe. Daardoor wordt het lastiger om beleidshandhaving en beveiligingsstandaarden in de hele omgeving consistent te houden.
Consistente beveiligingsstandaarden voor mobiele apparaten opbouwen
Om drift tussen platformen te voorkomen, bepaalt u eerst wat “veilig” precies inhoudt, voordat u uitwerkt hoe u elk platform daar krijgt. Zo verankert u uw programma’s in een gedeelde set basiscontrols die geldt ongeacht devicetype of OS.
Een volwassen basislijn voor mobiele beveiliging dekt de volgende punten:
- MFA (Multi-Factor Authentication) verplicht stellen op alle beheerde devices en toegangspunten
- Volledige versleuteling van het device afdwingen als harde voorwaarde bij inschrijving
- Minimumeisen voor schermvergrendeling instellen die op alle platformen consistent gelden
- Compliancevensters voor OS-updates vastleggen waaraan devices moeten voldoen om toegang te houden
- Conditional access policies opstellen die de status van het device beoordelen voordat toegang tot resources wordt verleend
- Device trust doorlopend valideren in plaats van alleen op het moment van inschrijving
Leg deze controls centraal vast en implementeer ze via beheermechanismen die bij het platform passen om een beveiligingsbasislijn te behouden. Securitydrift verdwijnt niet volledig, maar is veel eenvoudiger te signaleren en te corrigeren wanneer de basislijn zelf gestandaardiseerd is.
Omgaan met verschillen in handhaving tussen Apple en Android
Zodra u weet hoe de twee platformen zich verschillend gedragen, bouwt u een governancemodel dat met al die verschillen rekening houdt zonder consistentie te verliezen. Probeer Apple en Android echter niet hetzelfde te laten werken. Zorg er in plaats daarvan voor dat de beveiligingsresultaten aan beide kanten gelijkwaardig zijn.
Dat betekent werken binnen het eigen handhavingsmodel van elk platform in plaats van ertegenin. Bijvoorbeeld:
- Supervised devices van Apple bieden een uitgebreidere set beheercontrols waarmee beheerders gedrag op OS-niveau kunnen beperken.
- Werkprofielen in Android creëren een beheerde container die bedrijfsgegevens scheidt van persoonlijk gebruik zonder dat volledige controle over het device nodig is.
- Updatebeheer verloopt het best via platformspecifieke mechanismen, omdat Apple en Android verschillende processen en mogelijkheden bieden voor het leveren en beheren van OS-updates.
- De trustmodellen voor certificaten verschillen tussen beide ecosystemen en moeten afzonderlijk worden geconfigureerd en gevalideerd.
- De methoden om zakelijke en persoonlijke gegevens te scheiden verschillen per platform en moeten worden beheerd volgens de mogelijkheden en beveiligingseisen van elk platform.
Streven naar technische uniformiteit op alle platformen is meestal een verloren strijd. Het gaat erom of de handhavingsresultaten aan beide kanten standhouden, waaronder versleuteling, authenticatie en truststandaarden, ook al zijn de onderliggende mechanismen totaal verschillend.
Technische validatie op alle platformen volhouden
Naast het vastleggen van een basislijn moet u er ook voor zorgen dat die basislijn standhoudt naarmate uw apparaatpark verandert. Nieuwe inschrijvingen, OS-updates, beleidswijzigingen en gebruikersgedrag kunnen allemaal leiden tot configuratiedrift op manieren die niet meteen zichtbaar zijn.
Doorlopende validatie dekt daarom consistent de volgende punten:
- Of devices hun vertrouwde status behouden of tekenen vertonen van compromittering of non-compliance
- Of securitybeleid wordt gehandhaafd zoals bedoeld of stilletjes faalt op bepaalde devicetypen of OS-versies
- Of authenticatie-eisen op beide platformen consistent worden toegepast
- Of devices binnen de compliancevensters voor updates blijven of ongemerkt achterlopen met patches
- Of deviceconfiguraties op Apple- en Android-endpoints in lijn blijven met de beveiligingsstandaarden of uiteenlopen en zo ongelijke risicoblootstelling veroorzaken
Doorlopende validatie helpt problemen vroeg te signaleren en geeft permanent inzicht in de beveiligings- en compliancepositie van de organisatie. Organisaties die validatie inbouwen in hun dagelijkse werkzaamheden houden hun endpoints op een gemengd apparaatpark op lange termijn eenvoudiger consistent.
Veelgemaakte fouten bij beveiligingsstandaarden voor mobiele apparaten
Bij het besturen van mobiele omgevingen met meerdere platformen loopt u tegen een aantal voorspelbare problemen aan. Die komen voort uit keuzes die vroeg in het proces op onjuiste aannames zijn gebaseerd en nooit opnieuw zijn bekeken toen de complexiteit toenam.
Let op de volgende fouten:
- Verschillende beveiligingsstandaarden handhaven op Apple- en Android-devices in plaats van beide platformen aan dezelfde resultaten te houden
- De technische verschillen tussen platformen gebruiken als reden om bepaalde devices van het beleid uit te zonderen in plaats van ze te zien als implementatiedetails waar u omheen werkt
- OS-updates ad hoc of per platform afzonderlijk beheren in plaats van één compliancekader toe te passen op het hele apparaatpark
- Device trust niet consistent valideren in beide ecosystemen
- Aannemen dat een control die op het ene platform op een bepaalde manier werkt, op het andere platform een gelijkwaardige tegenhanger heeft die zich net zo gedraagt
Dit draagt bij aan een breder patroon waarin de operationele consistentie geleidelijk afneemt, waardoor het moeilijker wordt de oorzaak te achterhalen wanneer er uiteindelijk beveiligingsgaten opduiken.
Een sterker beveiligingsprogramma voor mobiele apparaten opzetten
Consistente beveiligingsstandaarden opbouwen en behouden in Apple- en Android-omgevingen vraagt een aantal dingen van organisaties, van rekening houden met platformverschillen tot het doorlopend valideren van device trust. Dat zijn doorlopende activiteiten die meegroeien met de omgevingen zelf. Bouw uw mobiliteitsprogramma’s dus op rond resultaatgerichte governance in plaats van identieke controls. Zo beperkt u securitydrift, versterkt u de validatie van device trust en houdt u uw endpoints op lange termijn volwassen.
Gerelateerde onderwerpen:
