Én Enhed, To Verdener: Sikkerhed på iPhone og iPad

I en stadig mere mobil arbejdsverden er det blevet almindeligt for mange virksomheder at lade medarbejdere bruge den samme mobile enhed, såsom en iPhone eller iPad, til både personlige og forretningsmæssige formål. Denne tilgang, ofte kendt som Bring Your Own Device (BYOD), tilbyder en række fordele, herunder øget bekvemmelighed for medarbejderne, der slipper for at bære rundt på flere enheder, og en potentiel forbedring af produktiviteten, da medarbejdere kan arbejde mere fleksibelt.

Men denne sameksistens af firmarelaterede og private applikationer på den samme enhed rejser også betydelige bekymringer. Hvordan sikrer man virksomhedens følsomme data mod uautoriseret adgang eller datalækage? Og hvordan beskytter man medarbejderens private data og privatliv, når arbejdsgiveren har en vis grad af kontrol over enheden? Disse spørgsmål er centrale for enhver organisation, der overvejer eller allerede praktiserer BYOD.

Hvad er BYOD, og hvorfor er det populært?

BYOD-modellen er vokset eksponentielt i popularitet over de seneste år. Den grundlæggende idé er, at medarbejderne anvender deres egne personlige smartphones, tablets eller laptops til at udføre arbejdsrelaterede opgaver. De primære drivkræfter bag denne trend er:

• Omkostningsbesparelser: Virksomheder kan potentielt spare penge på indkøb og vedligeholdelse af firmatelefoner.
• Øget medarbejdertilfredshed: Medarbejdere foretrækker ofte at bruge en enhed, de er fortrolige med og selv har valgt, hvilket kan føre til højere tilfredshed og moral.
• Forbedret produktivitet: Adgangen til arbejdsredskaber på en personlig enhed giver mulighed for større fleksibilitet og kan øge effektiviteten, da medarbejdere kan reagere hurtigt på opgaver, uanset hvor de befinder sig.
• Familiaritet: Brugere er allerede vant til deres egen enheds interface og apps, hvilket reducerer behovet for træning og øger hastigheden, hvormed de kan komme i gang.

Trods disse klare fordele medfører BYOD-modellen også en kompleksitet, der kræver grundig overvejelse og robuste sikkerhedsstrategier. Uden de rette foranstaltninger kan det føre til alvorlige sikkerhedsbrister og krænkelser af privatlivets fred.

Sikkerhedsbekymringer ved blandet brug

Når arbejdsdata og personlige data deler plads på samme enhed, opstår der en række sikkerheds- og privatlivsrisici:

• Datalækage: Følsomme virksomhedsdata kan utilsigtet eller bevidst overføres til uadministrerede, personlige apps (f.eks. ved at kopiere fortrolige dokumenter til en privat cloud-lagringstjeneste).
• Malware og vira: Personlige apps kan være mindre sikre og potentielt indeholde malware, der kan kompromittere virksomhedsdata.
• Tab eller tyveri af enhed: Hvis enheden mistes eller stjæles, kan både private og forretningsmæssige data være i fare.
• Privatlivsproblemer: Medarbejdere kan bekymre sig om, at deres arbejdsgiver får adgang til private billeder, beskeder eller browsinghistorik.
• Overholdelse af regler: Virksomheder skal overholde databeskyttelsesregler som GDPR, hvilket kan være udfordrende, når data er spredt på personlige enheder.

For at imødegå disse udfordringer er det afgørende at etablere en klar adskillelse mellem arbejdsrelaterede og ikke-arbejdsrelaterede aktiviteter på den mobile enhed. Dette bringer os til begrebet dataadskillelse og strategier som 'containerization'.

Hvad er 'Containerization' – og hvordan adskiller Apple sig?

'Containerization' er en sikkerhedsstrategi, der skaber et adskilt og isoleret miljø (en 'container' eller 'arbejdsprofil') på en mobilenhed. Inden for denne container er virksomhedens apps og data beskyttet og adskilt fra brugerens personlige apps og data. Dette er især udbredt på Android-enheder, hvor en 'Work Profile' kan oprettes for at holde arbejdsdata sikkert og isoleret. Fordelen er, at IT-afdelingen kan styre og slette data inden for containeren uden at påvirke brugerens personlige indhold.

For iOS- og iPadOS-enheder er tilgangen dog markant anderledes. Apple har valgt en mere integreret og problemfri tilgang til dataadskillelse. I modsætning til Android er der ikke behov for at oprette en dedikeret arbejdscontainer eller arbejdsområde til forretningsapps på Apple-enheder. I stedet administreres arbejds- og personlige data separat direkte inden for enhedens operativsystem, uden at det segmenterer brugeroplevelsen. Apples rammeværk i operativsystemet gør det muligt for IT-organisationer at sikre forretningsdata med en let hånd gennem MDM-software (Mobile Device Management).

Dette betyder, at der ikke kræves en separat klient-app for at implementere denne adskillelse, da rammeværket er en integreret del af operativsystemet. Dette resulterer i en mere flydende og intuitiv brugeroplevelse, da medarbejderne ikke føler, at de skifter mellem to forskellige miljøer på deres enhed. Dette er en nøglefaktor, der gør iOS til et attraktivt valg for virksomheder, der ønsker at implementere BYOD uden at gå på kompromis med brugervenlighed eller sikkerhed.

Administrerede apps vs. Uadministrerede apps på iOS/iPadOS

For at forstå, hvordan dataadskillelse fungerer på Apple-enheder, er det vigtigt at kende forskellen mellem to kategorier af applikationer:

Administrerede apps (Managed Apps)

Dette er applikationer, som organisationens IT-afdeling udruller og administrerer ved hjælp af MDM-software. Det kan være enhver app fra App Store eller specialudviklede interne applikationer. IT-afdelingen kan fjernkonfigurere, opdatere eller fjerne disse apps fra enhederne via MDM'en. Typiske eksempler inkluderer e-mailklienter, kommunikationssoftware og kontorapps som Microsoft Office-pakken eller G Suite-apps. Data inden for disse apps betragtes som virksomhedsdata og er underlagt virksomhedens sikkerhedspolitikker.

Uadministrerede apps (Unmanaged Apps)

Disse er personlige applikationer, der er installeret direkte af enhedens bruger. Det kan være sociale medie-apps, spil, personlige fotogallerier eller private cloud-lagringstjenester. Data i disse apps betragtes som personlige data, og IT-afdelingen har ingen direkte kontrol over dem. Det er netop krydsfeltet mellem disse to kategorier, der skaber potentielle sikkerhedsrisici, men også hvor Apples MDM-rammeværk kommer i spil.

Sådan kontrolleres dataflowet på Apple-enheder

Som standard kan enhedsbrugere frit flytte data og indhold mellem administrerede og uadministrerede apps. Dette er bekvemt for brugeren, men udgør en betydelig risiko for virksomhedens data. Med MDM-software kan IT-administratorer nemt anvende begrænsninger for at beskytte virksomhedsdata og brugernes privatliv ved at nægte dataoverførsel mellem administrerede og uadministrerede apps på enheder, der bruges til både arbejde og personlige formål. Dette kan gøres, selvom enhederne ikke er 'supervised' (en dybere styringsform for virksomhedsejede enheder).

Implementeringen sker typisk via konfigurationsprofiler i MDM-systemet. Her er de vigtigste begrænsninger:

Forhindring af dataoverførsel mellem administrerede og uadministrerede apps

Dette er den mest kritiske indstilling for at forhindre datalækage. To specifikke begrænsninger er essentielle:

• Nægt dokumenter fra administrerede kilder i uadministrerede destinationer: Denne indstilling forhindrer, at data eller dokumenter fra administrerede apps (f.eks. et fortroligt dokument fra en virksomheds e-mailklient) kan åbnes eller gemmes i uadministrerede apps (f.eks. en personlig Dropbox-konto eller en note-app).
• Nægt dokumenter fra uadministrerede kilder i administrerede destinationer: Denne indstilling beskytter brugerens privatliv ved at forhindre, at private data fra uadministrerede apps (f.eks. personlige fotos) kan flyttes ind i administrerede apps (f.eks. uploades til virksomhedens SharePoint).

Efter at disse begrænsninger er anvendt, kan enhedsbrugere ikke længere åbne data fra administrerede apps i uadministrerede apps eller omvendt. Brugerne kan dog stadig åbne administrerede dokumenter ved hjælp af andre administrerede apps og uadministrerede dokumenter ved hjælp af andre uadministrerede apps. Dette sikrer, at workflowet inden for de respektive områder forbliver upåvirket, mens krydsoverførsel forhindres.

Kontrol af kopiering og indsættelse (iOS 15+)

Udover dokumentoverførsel kan administratorer også kontrollere, hvad brugere kan kopiere og indsætte med begrænsningen 'Kræv administreret kopiering og indsættelse' på enheder med iOS 15 eller nyere. Denne begrænsning gør det muligt at sikre, at udklipsholderen respekterer dokumentindstillingerne for administrerede/uadministrerede destinationer. For eksempel forhindrer dette, at indhold fra en administreret applikation kan indsættes i uadministrerede apps og omvendt. Dette er en kraftfuld funktion til at forhindre, at følsom tekstinformation (f.eks. kundenumre, adresser) kopieres ud af virksomhedens systemer.

Yderligere sikkerhedsforanstaltninger

For yderligere at styrke sikkerheden kan virksomheder overveje at implementere følgende begrænsninger:

• AirDrop: Tving uadministreret drop-mål: Denne begrænsning specificerer, om AirDrop skal betragtes som et uadministreret drop-mål. Dette kan forhindre, at virksomhedsdata let deles via AirDrop til personlige enheder.
• Nægt skærmbillede: Denne begrænsning forhindrer brugere i at gemme et skærmbillede af enhedens skærm. Denne begrænsning påvirker hele enheden, uanset om brugeren har uadministrerede eller administrerede apps åbne. Dette er afgørende for at forhindre, at fortrolig information fotograferes eller gemmes.
• Nægt administrerede apps synkronisering til iCloud: Denne begrænsning forhindrer, at data fra administrerede apps synkroniseres til iCloud. Dette sikrer, at virksomhedsdata forbliver inden for virksomhedens kontrol og ikke uploader til en personlig cloud-tjeneste.

Efter at konfigurationsprofilen med disse begrænsninger er oprettet, udrulles den nemt til de ønskede enheder via MDM-systemet.

Fordele ved Apples tilgang til virksomhedssikkerhed

Apples tilgang til dataadskillelse på iOS og iPadOS giver flere unikke fordele for virksomheder, der ønsker at balancere sikkerhed med medarbejdernes frihed og produktivitet:

• Integreret sikkerhed: Sikkerhedsrammeværket er dybt integreret i operativsystemet. Dette eliminerer behovet for tredjepartsløsninger som containere, der potentielt kan påvirke brugeroplevelsen og frustrere brugere.
• Problemfri brugeroplevelse: Medarbejdere oplever ikke et skel mellem et 'arbejdsrum' og et 'privat rum'. De kan problemfrit skifte mellem apps, mens operativsystemet i baggrunden håndhæver sikkerhedspolitikkerne. Dette understøtter en intuitiv og effektiv arbejdsgang.
• Letvægtsstyring: IT-afdelinger kan administrere virksomhedsdata og apps med en 'let hånd' uden at overtage fuld kontrol over hele enheden. Dette respekterer medarbejderens privatliv og reducerer modstand mod BYOD-politikker.
• Robust beskyttelse: Selvom der ikke er en synlig container, er Apple-enheder designet med stærke sikkerhedsfunktioner fra bunden, herunder hardwarebaseret kryptering, der beskytter data både i hvile og under transit.
• Øget adoption af BYOD: Den forbedrede brugeroplevelse og den respekterede privatlivspolitik kan øge medarbejdernes villighed til at deltage i BYOD-programmer, hvilket igen kan føre til de ovennævnte fordele som omkostningsbesparelser og produktivitetsforbedringer.

Apples filosofi er, at avancerede produktivitetsapps kan ligge side om side med virksomhedsapps på en brugers enhed – hvilket giver medarbejderne mere frihed til at arbejde, uden at det går ud over sikkerheden.

Sammenligning: Dataadskillelse på Android vs. iOS/iPadOS

For at opsummere forskellene i tilgangen til dataadskillelse kan vi se på en sammenligning mellem den traditionelle container-model (ofte set på Android) og Apples integrerede model:

Ofte Stillede Spørgsmål (FAQ)

Er det sikkert at bruge min private iPhone til arbejde?

Ja, det kan være meget sikkert, forudsat at din virksomhed implementerer de rette MDM-politikker og begrænsninger, der adskiller arbejdsdata fra personlige data. Apples indbyggede sikkerhedsrammeværk er designet til at understøtte dette.

Mister jeg kontrol over min private data?

Nej, med Apples tilgang mister du ikke kontrol over din private data. MDM-løsningen administrerer kun de 'administrerede' apps og data, der er relateret til arbejdet. Den har ingen adgang til dine private billeder, beskeder eller browsinghistorik i 'uadministrerede' apps.

Hvad er en administreret app?

En administreret app er en applikation, der er installeret og styret af din virksomheds IT-afdeling via en MDM-løsning. Det kan være en standard-app fra App Store (f.eks. Outlook, Teams) eller en intern virksomheds-app. Data i disse apps er underlagt virksomhedens sikkerhedspolitikker.

Kan min arbejdsgiver se mine private billeder eller beskeder?

Nej, din arbejdsgiver kan ikke se dine private billeder, beskeder eller anden personlig data på din iPhone eller iPad, når den er administreret med en standard BYOD-opsætning. MDM-løsningen fokuserer udelukkende på at sikre virksomhedsdata og apps, ikke på at overvåge privat indhold.

Er der forskel på Android og iOS her?

Ja, der er en væsentlig forskel. Android bruger ofte en klar 'Work Profile' eller 'container' til at isolere arbejdsdata. iOS/iPadOS integrerer dataadskillelsen direkte i operativsystemet, hvilket giver en mere problemfri brugeroplevelse uden en synlig adskillelse for brugeren, men med den samme høje sikkerhed.

Konklusion

Brugen af den samme mobile enhed til både personlige og forretningsmæssige formål er en trend, der er kommet for at blive, drevet af ønsker om øget fleksibilitet og produktivitet. Mens det medfører legitime bekymringer om datasikkerhed og privatliv, har især Apple med sin unikke tilgang til dataadskillelse skabt en robust og brugervenlig løsning for virksomheder. Ved at udnytte operativsystemets indbyggede rammeværk og MDM-software kan organisationer effektivt styre og beskytte forretningsdata i 'administrerede apps' uden at kompromittere medarbejderens privatliv i 'uadministrerede apps'.

Denne model tillader cutting-edge produktivitetsapps at ligge side om side med virksomhedsapps på en brugers enhed – hvilket giver medarbejdere mere frihed til at arbejde. Det sker uden brug af tredjepartsløsninger som traditionelle containere, der kan påvirke brugeroplevelsen negativt. Resultatet er en sikker, effektiv og tilfredsstillende BYOD-oplevelse, der balancerer virksomhedens behov for sikkerhed med medarbejderens krav om privatliv og brugervenlighed. Ved at vælge de rigtige MDM-begrænsninger kan virksomheder trygt omfavne BYOD og frigøre det fulde potentiale i deres mobile arbejdsstyrke på iPhone og iPad.

Hvis du vil læse andre artikler, der ligner Én Enhed, To Verdener: Sikkerhed på iPhone og iPad, kan du besøge kategorien Mobil.