אבטחת מידע וסייבר במכשירים ניידים: הסיכונים שהארגון לא יכול להרשות לעצמו להתעלם מהם

הסמארטפון כבר מזמן אינו רק מכשיר לשיחות ולמיילים. הוא מחובר לתיבות המייל, ל-Microsoft 365, למערכות CRM, לאפליקציות מסרים, לשירותי ענן, לחשבונות ארגוניים, תוכנות SAAS ולעיתים גם למידע רגיש במיוחד.
מבחינת הארגון, מדובר למעשה בתחנת עבודה ניידת שנמצאת כמעט תמיד מחוץ לגבולות הרשת הארגונית.

בדיוק בגלל זה, אבטחת מובייל צריכה להיות חלק בלתי נפרד מאסטרטגיית אבטחת המידע.
NIST מדגיש שמכשירים ניידים הפכו לחלק קבוע מסביבת העבודה הארגונית, ומשמשים לגישה לרשתות, מערכות ומידע רגיש.

כאשר ארגון מאמץ שימוש במובייל ללא מדיניות, ניהול ובקרות מתאימות, הוא מגדיל את שטח התקיפה שלו ואת הסיכון לחשיפת מידע.

למה המובייל הפך לנקודת סיכון מרכזית?

האתגר המרכזי במובייל הוא השילוב בין כמה עולמות: מכשיר אישי או ארגוני, מידע עסקי ופרטי, עבודה מהמשרד ומהבית, רשתות סלולריות ו-Wi-Fi, אפליקציות ארגוניות לצד אפליקציות צרכניות.

הגבול שהיה פעם ברור יחסית בין “המחשב של העבודה” לבין הסביבה האישית הולך ונעלם.

עובד יכול לפתוח מסמך ארגוני מהמכשיר הפרטי, לקבל קישור בוואטסאפ, להתחבר ל-Teams דרך רשת אלחוטית ציבורית, לשמור קובץ באפליקציה שאינה מנוהלת על ידי הארגון או לאשר בקשת MFA בזמן שהוא בתנועה.

כל אחד מהתרחישים הללו לגיטימי לחלוטין מבחינת המשתמש – אבל כל אחד מהם גם דורש מדיניות ובקרות מתאימות מצד הארגון.

פישינג במובייל: כשהמסך הקטן עובד לטובת התוקף

אחד הסיכונים המרכזיים הוא פישינג.

במחשב, המשתמש יכול לעיתים לראות כתובת URL מלאה, לבחון את כתובת השולח ולהבחין בפרטים קטנים. במובייל, חלק מהמידע הזה פחות בולט, וההתנהגות עצמה מהירה יותר: פתיחת הודעה, לחיצה על קישור ואישור בקשה מתבצעים לעיתים בתוך שניות.

בנוסף לדואר אלקטרוני, משתמשי מובייל חשופים גם ל-Smishing באמצעות SMS, ל-Vishing באמצעות שיחות קוליות ולהתחזויות דרך אפליקציות מסרים ושירותים מוכרים. גם CISA מזהירה שפישינג אינו מוגבל למייל וכי מכשירי מובייל חשופים להודעות SMS/MMS ושיחות התחזות שנועדו לגרום למשתמש למסור מידע או לבצע פעולה.

מבחינת הארגון, המשמעות היא שהדרכות מודעות לפישינג צריכות להתייחס גם למובייל – ולא רק ל“מייל חשוד” בתחנת העבודה.

אפליקציות: לא כל מה שמותקן בטלפון צריך לקבל גישה למידע עסקי

אפליקציות הן חלק בלתי נפרד מהשימוש במובייל, אבל הן גם אחת מנקודות הסיכון.

אפליקציה יכולה לבקש גישה לאנשי קשר, למיקום, למצלמה, לקבצים או לשירותים אחרים במכשיר. התקנת אפליקציות ממקורות שאינם מהימנים, אפליקציות שאינן מעודכנות או כאלה שמבקשות הרשאות שאינן נדרשות לפעילותן עלולות להגדיל את החשיפה.

NIST מתייחס במפורש לצורך ב-Mobile Application Vetting כחלק מניהול אבטחת מובייל ארגונית, לצד ניהול מרכזי של המכשירים והגנת Endpoint.

עבור הארגון, השאלה אינה רק “האם האפליקציה בטוחה”, אלא גם:

האם היא רשאית לגשת למידע ארגוני?
האם היא יכולה להעביר מידע לאפליקציה אחרת?
האם הארגון מסוגל להגביל Copy/Paste או הורדת קבצים?
ומה קורה כאשר העובד עוזב את החברה?

מכשירים לא מעודכנים הם נקודת כניסה

כמו כל מערכת מחשוב, גם טלפונים וטאבלטים דורשים עדכוני מערכת הפעלה ואפליקציות.

פגיעויות שמתגלות ב-Android, iOS או באפליקציות נפוצות עלולות לאפשר לתוקף לנצל מכשיר שלא עודכן בזמן. הסיכון גדל כאשר מדובר במכשיר שמחובר לחשבונות ארגוניים ומחזיק Tokens, מידע, הודעות וקבצים.

NSA ו-CISA ממליצות במפורש לשמור את מערכת ההפעלה והאפליקציות מעודכנות ולהפעיל עדכונים אוטומטיים ככל שניתן.

מבחינת ה-IT, עדכון מכשירי מובייל לא יכול להישאר רק באחריותו האישית של המשתמש. ארגון צריך לדעת אילו גרסאות נמצאות בשימוש, אילו מכשירים אינם עומדים במדיניות ומתי יש לחסום גישה ממשתמש שאינו עומד בדרישות.

אובדן או גניבת מכשיר: אירוע פיזי שהופך לאירוע סייבר

מכשיר מובייל נמצא בתנועה מתמדת. הוא נשכח במונית, נשאר בבית קפה, נגנב או מועבר בטעות לאדם אחר.

אם המכשיר מחובר למערכות הארגון, אובדן פיזי יכול להפוך במהירות לאירוע אבטחת מידע.

נעילת מסך חזקה, הצפנת מידע, יכולת Remote Wipe וניהול מרכזי של המכשיר יכולים לצמצם משמעותית את הנזק. NIST ממליץ להתייחס לאבטחת המכשיר לאורך כל מחזור החיים שלו – מהפריסה והשימוש ועד הוצאה משירות.

המשמעות הארגונית ברורה: צריך לדעת מראש מה עושים אם עובד מדווח שהטלפון אבד. מי חוסם את הגישה? האם מבטלים Tokens? האם ניתן למחוק את המידע הארגוני מרחוק? ומה מתועד כאירוע אבטחה?

Wi-Fi ציבורי ורשתות לא מהימנות

עבודה מהמובייל מתרחשת מכל מקום: מלון, רכבת, שדה תעופה, בית קפה או כנס.

רשת Wi-Fi ציבורית אינה בהכרח סביבה שהארגון יכול לסמוך עליה. ENISA מזהירה מפני שימוש ברשתות ציבוריות לצורך גישה למידע עסקי וממליצה לארגונים לקבוע מדיניות ברורה בנושא.

גם כאן, לא נכון להשאיר את כל ההחלטה בידי העובד.

הגישה למערכות רגישות צריכה להיות מבוססת זהות, מצב המכשיר ורמת הסיכון – ולא על ההנחה שהמשתמש “בטח יתחבר מרשת בטוחה”.

BYOD: כשהמכשיר פרטי אבל המידע ארגוני

Bring Your Own Device הוא אחד האתגרים המורכבים ביותר בתחום.

מצד אחד, העובד רוצה להשתמש במכשיר האישי שלו. מצד שני, הארגון צריך לשמור על המידע שלו, לעמוד בדרישות אבטחה ופרטיות ולוודא שהוא יכול להסיר גישה במקרה הצורך.

NIST כולל במפורש גם מכשירים בבעלות הארגון וגם מכשירים פרטיים כחלק ממסגרת ניהול אבטחת המובייל.

לכן מדיניות BYOD צריכה להגדיר מראש:

איזה מידע מותר לגשת אליו ממכשיר פרטי; אילו דרישות אבטחה חלות על המכשיר; האם נדרש MDM או MAM; אילו אפליקציות מותרות; כיצד מתבצעת הפרדה בין מידע אישי לארגוני; ומה קורה כאשר העובד מסיים את עבודתו.

בלי מדיניות כזו, הארגון עלול למצוא את עצמו עם מידע עסקי מפוזר על מכשירים שאין לו יכולת לנהל.

MDM, MAM ו-MTD: לא רק שליטה במכשיר

אבטחת מובייל ארגונית מבוססת בדרך כלל על כמה שכבות משלימות.

MDM – Mobile Device Management מאפשר לארגון לנהל מדיניות מכשירים: דרישות סיסמה, הצפנה, גרסאות מערכת, חסימת מכשירים שאינם עומדים במדיניות ויכולת מחיקה מרחוק.

MAM – Mobile Application Management מתמקד באפליקציות ובמידע שבתוכן, ויכול להיות משמעותי במיוחד בסביבות BYOD שבהן הארגון אינו מעוניין לנהל את כל המכשיר האישי.

MTD – Mobile Threat Defense מוסיף יכולות לזיהוי איומים ברמת המכשיר, האפליקציות והרשת. ENISA ממליצה לשלב פתרונות MDM/EMM לצד Mobile Threat Defence כחלק ממסגרת אבטחת מובייל ארגונית.

אבל גם כאן הטכנולוגיה לבדה אינה מספיקה. צריך להגדיר מי נדרש להיות מנוהל, מהי רמת האבטחה הנדרשת, ומה קורה כאשר מכשיר אינו עומד במדיניות.

מובייל הוא גם נושא של זהויות

הסמארטפון הפך לאחד הכלים המרכזיים לאימות משתמשים. הוא משמש לקבלת קודי OTP, לאישור Push Notifications ולעיתים גם כמכשיר Trusted Device.

לכן פריצה למכשיר אינה בהכרח רק פגיעה בקבצים שעליו. היא יכולה להפוך גם לפגיעה בזהות הדיגיטלית של המשתמש.

ארגון צריך לוודא שהגישה למערכות אינה נשענת רק על עצם possession של המכשיר. MFA, Conditional Access, ניהול Sessions, אימות מבוסס סיכון ומדיניות גישה לפי מצב המכשיר הם חלק חשוב מהתמונה.

אם המכשיר כבר אינו מהימן, גם המשתמש שאוחז בו לא צריך לקבל גישה אוטומטית למערכות רגישות.

פרטיות מול אבטחה: במיוחד במכשירים אישיים

אבטחת מובייל אינה רק שאלה טכנולוגית.

כאשר הארגון מנהל מכשיר פרטי של עובד, הוא צריך להגדיר בצורה ברורה מה הוא רואה, מה הוא מנהל ואיזה מידע הוא מסוגל למחוק.

זו נקודה חשובה במיוחד בארגונים שבהם BYOD נפוץ. מדיניות לא ברורה עלולה ליצור גם סיכון אבטחתי וגם בעיית פרטיות.

לכן נכון לייצר הפרדה ברורה בין המידע העסקי לבין המידע האישי, להגדיר מדיניות כתובה ולהסביר לעובדים מראש אילו בקרות מופעלות על המכשיר.

מה המשמעות עבור הארגון?

הטעות היא להתייחס לאבטחת מובייל כפרויקט של “התקנת MDM”.

הנושא רחב יותר ודורש הסתכלות על סיכונים, זהויות, אפליקציות, מידע, פרטיות והתנהגות משתמשים.

ארגון צריך לדעת:

• אילו מכשירים מתחברים למערכות שלו.
• מי הבעלים שלהם.
• אילו מערכות ומידע זמינים מהמובייל.
• האם המכשירים עומדים בדרישות אבטחה.
• האם הם מעודכנים ומוצפנים.
• אילו אפליקציות יכולות לגשת למידע.
• כיצד מתבצעת גישה מרשתות חיצוניות.
• איך מגיבים למכשיר שאבד או נפרץ.
• מהי מדיניות BYOD.
• ואיך כל זה מתועד כחלק ממערך ניהול הסיכונים.

NIST ממליץ לבצע Risk Assessment לפני תכנון ופריסה של פתרונות מובייל, כדי להבין אילו נכסים יש להגן, מול אילו איומים ובאילו בקרות יש להשתמש.

אבטחת מובייל מתחילה במדיניות, לא במכשיר

הסמארטפון הוא אולי המכשיר האישי ביותר של העובד, אבל כאשר הוא מתחבר למערכות הארגון הוא הופך לחלק ממערך הסייבר הארגוני.

לכן ארגון לא צריך לשאול רק האם המכשיר מוגן בסיסמה. הוא צריך לשאול האם קיימת מדיניות ברורה לגבי גישה למידע, האם המכשיר מנוהל, האם ניתן לזהות חריגה, האם אפשר לחסום גישה במקרה הצורך והאם העובדים יודעים לזהות איומים גם כאשר הם מגיעים דרך SMS, WhatsApp או אפליקציה אחרת.

אבטחת מובייל אפקטיבית משלבת מדיניות, ניהול סיכונים, ניהול מכשירים, הגנת אפליקציות, בקרת גישה, עדכונים, מודעות עובדים ותהליכי תגובה.

רק כאשר כל השכבות האלה עובדות יחד, המובייל יכול להישאר כלי עבודה שמייצר גמישות ופרודוקטיביות — בלי להפוך לדלת צדדית אל תוך הארגון.

איך אינפוגארד יכולה לסייע?

באינפוגארד אנחנו בוחנים את אבטחת המובייל כחלק מתמונת הסיכון הארגונית הרחבה.

העבודה יכולה לכלול סקרי סיכונים וסקירות אבטחת מידע, בחינת מדיניות BYOD, בדיקת הרשאות וגישה למידע, בחינת תהליכי MDM/MAM, הקשחת נהלים, ניהול פרטיות והדרכות מודעות לעובדים.

המטרה היא לא רק לבדוק האם קיים פתרון טכנולוגי, אלא להבין האם הארגון יודע מי מתחבר, מאיזה מכשיר, לאיזה מידע, תחת אילו תנאים – ומה קורה כאשר משהו משתבש.

כך ניתן להפוך את אבטחת המובייל מחור אפשרי במעטפת הארגונית לחלק מנוהל, מדיד ומבוקר ממערך אבטחת המידע.

מקורות מקצועיים

המאמר מבוסס בין היתר על הנחיות NIST בנושא ניהול ואבטחת מכשירי מובייל בארגונים, הנחיות NSA להגנת מכשירים ניידים, והמלצות ENISA ו-CISA בנושאי BYOD, Mobile Threat Defense, עדכונים, רשתות ציבוריות ופישינג במובייל.

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי רועי קיש, אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).