Проблеми з відповідністю змусили вашу фінтех-фірму втрачати кошти? Дізнайтеся більше про те, як найкраще керувати галузевими нормами, використовуючи рішення Jamf для спрощення керування пристроями, безпекою кінцевих точок і наданими ідентифікаторами для ефективного впровадження:
✔︎Забезпечення виконання цілей відповідності на основі політики
✔︎Гнучкість при збереженні продуктивності
✔︎Безпека даних без шкоди для конфіденційності користувача
✔︎Підтримка сучасних мобільних пристроїв будь-якої моделі власності
На фундаментальному рівні корпоративна технологія існує, щоб полегшити тягар пов’язаних із роботою завдань, допомагаючи користувачам працювати розумніше, а не важче. Розширення можливостей людей шляхом спрощення роботи є невід’ємною частиною цього фундаментального переконання, яке є основою місії Jamf – «допомагати організаціям досягти успіху з Apple».
З 20-річною історією управління та забезпечення безпеки понад 29 мільйонів пристроїв для компаній різного розміру від невеликих стартапів до Fortune 500 – основоположне партнерство Jamf з Apple добре послужило нашим клієнтам у всьому світі завдяки широкому уявленню про новітні технології, тенденції використання, і сучасний ландшафт загроз.
На нещодавньому заході JNUC 2022, що відбувся в Сан-Дієго, генеральний директор Jamf Дін Хагер вийшов на сцену, щоб привітати учасників онлайн та особисто, виступивши з основною презентацією, у якій торкнулися деяких найновіших технологій і партнерства, які забезпечують найкраще у своєму класі. досвід управління та безпеки для всіх зацікавлених сторін.
Хоча в JNUC, безумовно, було чому навчитися та чим бути в захваті, BYOD — з точки зору безпеки та відповідності — а також те, як вони взаємодіють, щоб покращити високо оцінений досвід кінцевого користувача, справді викликав у відвідувачів захват.
Мета цього блогу — представити Jamf як лідера галузі в сферах управління та безпеки відповідно, коли йдеться про допомогу організаціям у забезпеченні безпеки та управлінні їхніми кінцевими точками Apple — незалежно від галузі, місця розташування чи того, де їхні співробітники найбільш продуктивні.
Роль безпеки в комплаєнсі
Існує дуже багато галузей, які регулюються по всьому світу. Незалежно від того, чи мають вони відповідати нормативним актам на основі галузевих норм, регіонів, у яких вони працюють, чи державних законів – чи навіть усього вищезазначеного – відповідність існує з багатьох причин, але не помиляйтесь, регуляторні органи та установи, які керуйте ними, сприймайте цю роль дуже серйозно. Невиконання часто призводить до великих штрафів проти організацій, які порушують правила, включно з кримінальною відповідальністю через умисну недбалість.
Як ви, напевно, знаєте, фінансові технологічні фірми (скорочено Fintech) — це компанії, які працюють у сфері фінансів і цінних паперів, наприклад банки, інвестиційні брокери тощо. Фінансові установи вважаються частиною жорстко регульованої фінансової індустрії через вимогу до обширної документації – яка вважається священною для безперервності бізнесу – щодо кожної транзакції, кожне повідомлення та вжиті дії мають бути зафіксовані, щоб перевірити ланцюжок зберігання, що стосується всіх угоди. Це зроблено для того, щоб обмежити будь-яку видимість неналежності, зберігаючи цілісність ринку.
Фінтех-компанії платять ціну
У вересні 2022 року Комісія з цінних паперів і бірж США (SEC) оштрафувала шістнадцять фінтех-компаній на загальну суму 1,1 мільярда доларів США (з літерою «B») після того , як регуляторні органи, яким доручено розслідувати правопорушення, виявили, що кожна фірма порушила положення щодо ведення документації, які вимагаються від них , щоб дотримуватися федеральних законів про цінні папери. Водночас Комісія з торгівлі товарними ф’ючерсами (CFTC) нарахувала тим самим фірмам штраф у розмірі 710 мільйонів доларів США за «нездатність підтримувати, зберігати або створювати записи», також необхідні відповідно до вимог CFTC щодо ведення документації, а також «нездатність ретельно контролювати питання, пов’язані з їх підприємства» як реєстранти CFTC.
У сукупності штрафи в розмірі 1,8 мільярда доларів США, накладені на фінтех-компанії, зосереджені на тому, що SEC назвала «всеохоплюючим позаканальним зв’язком» і «широким використанням несанкціонованих методів зв’язку». Компанії визнали свої правопорушення , включаючи брехню слідчим і спроби приховати від розслідування «тривалі провали фірм та їхніх працівників».
«Фінанси, зрештою, залежать від довіри. Через невиконання своїх зобов’язань щодо ведення документації та бухгалтерського обліку учасники ринку, яким ми сьогодні пред’явили звинувачення, не змогли зберегти цю довіру», – голова Комітету з цінних паперів і цінних паперів Гері Генслер.
Чому відповідь фінтеху не спрацює
Сплата штрафу є лише одним із аспектів, але це не робить нічого для усунення існуючих прогалин у відповідності. У відповідь на занепокоєння щодо відповідності кілька фінтех-компаній наймають консультантів для усунення недоліків.
Інвестуйте в корпоративні смартфони для всіх співробітників, щоб обмежити, які програми працівники можуть і не можуть використовувати, особливо як вони можуть спілкуватися з клієнтами, замовниками та один з одним у фірмі.
Що в цьому поганого, можливо, подумаєте ви. Що ж, це погана новина для всіх зацікавлених сторін, оскільки цей обхідний шлях вимагає від співробітників тепер носити другий телефон: їхній особистий пристрій, який вони вже використовують і до якого звикли разом із пристроєм лише для бізнесу, що, ймовірно, суттєво змінить їхні робочі процеси продуктивності.
Незважаючи на те, що фірма керуватиме пропозицією, що належить компанії, щоб обмежити несанкціоноване використання, факт залишається фактом: це «рішення» все одно не заважає користувачам просто тягнутися до свого персонального пристрою, коли їм потрібно підключитися до цього надто важливого клієнта. . Крім того, це не заважає зазначеним клієнтам зв’язуватися зі співробітниками на їхніх особистих пристроях, оскільки контроль за відповідністю обмежений виключно пристроями, що належать компанії, але все ще покладається на співробітників фінтех для самостійного регулювання своїх дій.
Іншими словами, незважаючи на те, що це рішення є корисним у певних випадках, воно може виявитися надто громіздким, додаючи додаткову перешкоду для того, щоб допомогти користувачам залишатися продуктивними, водночас помиляючись щодо відповідності вимогам. Зрештою, якщо службовий телефон працівника буде пошкоджено або втрачено, а критично важливий зв’язок буде здійснено з особистого телефону в момент надзвичайної ситуації, гра закінчена – ланцюжок відповідності порушено.
Інші проблеми, які впливають на продуктивність користувачів, піддаючи ризику як дані, так і відповідність:
Другий пристрій для щоденного керування означає подвійну роботу:
Підтримка здорового терміну служби акумулятора
Забезпечення виправлення пристроїв/оновлення програм
Додаткові адміністративні витрати (наприклад, керування контактами та даними на додатковому пристрої)
Нові робочі процеси можуть бути складними у використанні або не такими зручними, як існуючі програми/послуги, відомі та використовувані користувачами
Підвищені шанси втрати або крадіжки обладнання та даних
Більші інвестиційні витрати для фірм (пристрої, керування мобільними пристроями, безпека кінцевих точок, адміністративна робота, яку виконують ІТ, наприклад управління запасами та дорогі контракти на підтримку)
Зрештою, це запропоноване рішення призводить до класичного випадку, коли нова політика безпеки фактично погіршує безпеку, роблячи її менш ефективною та дорожчою, водночас негативно впливаючи на продуктивність працівників, що призводить до зниження якості послуг, що надаються фінтех-клієнтам, втрати доходу та потенційно більшої відповідності проблем, ніж це вирішує.
Яке правильне рішення?
Ми вам розповімо! Кращий підхід полягає в захисті даних і комунікацій від загроз (незалежно від пристрою), дозволяючи ІТ-командам і командам безпеки глибоко бачити дані про стан і безпеку кінцевих точок, використовуючи ці корисні дані для забезпечення відповідності нормативним вимогам, надаючи співробітникам гнучкість у роботі пристрої та додатки, з якими вони відчувають себе найкомфортніше, а отже, з ними будуть найбільш продуктивними.
Що стосується самого рішення, то воно виглядало б приблизно так:
- Один сучасний мобільний пристрій
- Два номери телефону
- Ефективна політика для забезпечення відповідності
- Безпроблемний користувацький досвід між особистим і робочим спілкуванням
Довірений доступ Jamf
Jamf є лідером на ринку в області керування пристроями Apple і безпеки кінцевих точок. Незважаючи на те, що кожне рішення можна використовувати окремо, ще потужніші робочі процеси розблоковуються завдяки інтеграції рішень для забезпечення більших можливостей керування, пов’язаних безпосередньо з багатими телеметричними даними, які збирає Jamf Threat Defense, безпечно обмінюючись даними про стан мобільної кінцевої точки з Jamf Pro для автоматичного виправлення. пристрої, які не відповідають вимогам, у той час як політики забезпечують захист, щоб дані залишалися в безпеці.
Крім того, інтеграція цих рішень із Jamf Connect, робочі процеси на основі ідентифікації не лише спрощують розгортання пристроїв, але й роблять надання захищеного доступу до організаційних ресурсів легким, гарантуючи, що користувачі мають доступ лише до ресурсів, які їм потрібні для продуктивності – і нічого більше – обмежуючи поверхню атаки.
Говорячи про ідентифікацію та контроль на основі політики, Jamf Private Access розвиває безпечний зв’язок із застарілої VPN для підтримки доступу до мережі з нульовою довірою (ZTNA), який забезпечує безпеку зв’язку в будь-якій мережі, а також дотримується принципу найменших привілеїв, перевіряючи, що кінцеві точки та користувачі надсилаючи запити до ресурсів, не лише дозволено отримувати до них доступ, але й відповідати вимогам до працездатності кінцевої точки, щоб мати можливість робити це безпечно – без ризику компрометації чи зловмисників для даних, програм чи ресурсів.
Коротко: Trusted Access – це комплексний підхід до безпеки.
eSIM = одна для роботи, інша для особистого використання
Технологія подвійної SIM-карти існує вже багато років, але часто переваги доступу до двох окремих ліній голосу та даних відбувалися за рахунок значного розрядження батареї, щоб обидві лінії були активними.
Як і всі інші технології, це також еволюціонувало, приносячи нам eSIM. Цифрова SIM-карта дозволяє сучасним мобільним пристроям використовувати додаткову лінію голосу та/або даних без необхідності модернізації другої фізичної картки nano-SIM.
Наприклад, за допомогою технології eSIM, яка підтримується на вашому Apple iPhone , можна одночасно використовувати два номери: один для бізнесу, інший для особистого спілкування. Крім того, також можуть підтримуватися два плани передачі даних з окремими лініями передачі даних і передачі даних для надання послуг для кожного конкретного випадку використання без шкоди для цілісності зв’язку чи продуктивності – як для роботи, так і для особистого використання.
Крім того, оскільки Apple і Jamf повністю підтримують eSIM, керування одним пристроєм із двома лініями голосу та даних спрощується . Jamf Pro повністю керує налаштуваннями eSIM разом із самим пристроєм, дозволяючи технології задовольняти потреби користувача без необхідності носити другий пристрій, який інакше можна було б використати для обходу вимог відповідності та безпеки даних.
Впроваджуйте політику використання та виконуйте її
Ключ до того, як організації досягнуть своїх цілей із забезпечення відповідності, — забезпечити безпеку кінцевих точок і узгодити вимоги з політикою організації, найкращими галузевими практиками та структурами безпеки, щоб забезпечити сумісність пристроїв.
У випадку, якщо пристрої виходять з ладу через загрози безпеці або ризиковану поведінку, політики починають діяти, щоб усунути виявлену проблему, перш ніж вона призведе до чогось гіршого. Це примусове виконання.
Давайте поглянемо на приклад політики використання та як її дотримання може допомогти фінтех-компаніям у середовищі з одним пристроєм і двома лініями, чи не так?
Використовуючи Jamf Private Access разом із IdP, організаційні ресурси можуть бути захищені технологією ZTNA, вимагаючи від співробітників не лише автентифікації за допомогою своїх облікових даних компанії, але й стан їхнього пристрою має відповідати мінімальним вимогам, таким як наявність виправлень і оновлень програм. Якщо вимоги задовольняються, доступ надається, а працівникам – доступ до захищених ресурсів. Можна застосувати політику, яка гарантує, що при спробі отримати доступ до організаційних ресурсів з’єднання автоматично захищатиметься незалежно від мережі, яка використовується, таким чином трафік буде зашифровано. Крім того, пов’язана з бізнесом робота, зокрема зв’язок і додатки, сегментується у внутрішній пам’яті iPhone і зберігається окремо від збережених неділових даних і програм.
Політика не тільки перевіряє, чи кінцеві точки та користувачі справні та мають правильні дозволи на доступ до захищених ресурсів, але якщо буде виявлено невідповідність, у доступі буде відмовлено, і перед тим, як буде надано доступ, будуть виконані робочі процеси для усунення проблеми. Політика також захищає бізнес-трафік за допомогою шифрування, не впливаючи на конфіденційність користувача, який направляється безпосередньо в Інтернет. Нарешті, ризик спільного змішування ділових і особистих даних зменшується завдяки забезпеченню того, що бізнес-дані залишаються ізольованими від особистих незалежно від того, які програми використовуються або використовується модель власності.
Як ZecOps впливає на все це?
На додаток до комплексних рішень для управління та безпеки, які пропонує Jamf, щоб допомогти організаціям досягти успіху з Apple, ми нещодавно вітали ZecOps у родині Jamf . ZecOps Mobile XDR, або рішення Extended Detection and Response, дає змогу командам ІТ і безпеки виявляти й аналізувати кібератаки мобільних пристроїв у всьому парку.
Завдяки безпрецедентній видимості журналів мобільних пристроїв організації можуть виявляти складні атаки 0 днів, 0 і 1 клацання, які в іншому випадку залишалися б прихованими, якби не можливість ZecOps витягувати, доставляти та аналізувати критичні дані для виявлення індикаторів компрометації (IoC). і зловмисна діяльність.
Це призводить до швидшої ідентифікації скомпрометованих пристроїв і більш ретельного дослідження завдяки автоматизованому аналізу, який скорочує час ручного дослідження з місяців до хвилин. Крім того, процеси, засновані на ефективності, захищають конфіденційність користувачів, аналізуючи лише дані, необхідні для перевірок безпеки.
Простіше кажучи: менше часу, витраченого на аналіз непотрібних потоків даних, означає швидше виявлення та усунення загроз до того , як ризик призведе до витоку даних.
Ключові висновки:
✔︎Фінтех – це дуже регульована галузь, яка підлягає як аудиту відповідності, так і є однією з найбільш уражених загроз кібербезпеки
✔︎Складні рішення, які не вирішують основної проблеми, є в найкращому випадку обхідними шляхами, а в гіршому – створюють помилкове відчуття безпеки
✔︎Жонглювання декількома мобільними пристроями: один для роботи, інший для особистого використання часто впливає на продуктивність користувачів і втрату прибутку через додаткову роботу з обслуговування двох пристроїв
✔︎Оптимізуйте керування пристроєм, зосередившись на одному пристрої та двох лініях голосу/даних, щоб забезпечити відповідність, залишаючись гнучким для всіх зацікавлених сторін
✔︎Довірений доступ від Jamf поєднує керування пристроєм, безпеку кінцевої точки та ідентифікацію для цілісного керування життєвим циклом пристрою та програми
✔︎Технологія eSIM дозволяє організаціям додавати другу лінію голосу та/або даних до сучасного мобільного пристрою, щоб користувачі могли розділяти ділові та особисті комунікації без додаткового головного болю, пов’язаного з обслуговуванням другого пристрою
✔︎Узгодження організаційної та нормативної політики з управлінням на основі політики є ключем до успішного забезпечення відповідності
✔︎Технологія ZTNA шифрує бізнес-трафік у всіх мережах, тоді як неділовий трафік направляється безпосередньо в Інтернет, захищаючи важливі комунікації та зберігаючи конфіденційність користувачів
✔︎Сегментування бізнес-даних із персональних даних на мобільних кінцевих точках, як-от iPhone, гарантує, що дані ніколи не змішуються, зменшуючи ризик витоку даних із різних векторів атак
✔︎Mobile XDR надає ІТ-командам і командам безпеки можливість детально переглядати дані реєстрації, щоб пришвидшити розслідування за допомогою автоматизованого аналізу IoC і зловмисної активності.
Оригінал статті на сайті Jamf
