iPhonen i lommen til en ansatt koblet seg til jobb-e-posten i virksomheten din i morges. Du aner ikke hvilken OS-versjon den kjører. Det hullet er ikke teoretisk. Det er enheten som faller utenfor den neste samsvarsrapporten din. Endepunktet cyberforsikringsselskapet ditt spør om, og som du ikke kan gjøre rede for. Den private enheten en ansatt brukte til å åpne SharePoint uken før en sikkerhetsrevisjon. BYOD forsvinner ikke. Men risikoen for sikkerhet og etterlevelse som private enheter skaper, blir stadig vanskeligere å overse – og vanskeligere å forklare for revisorer, forsikringsselskaper og ledelsen. CapaOne-plattformen for endepunktadministrasjon tetter det hullet fra den samme konsollen som du allerede bruker for Windows-enhetene dine.
Hvorfor BYOD skaper hull i endepunktene som er vanskelige å tette
Problemet med private enheter er ikke at IT-team overser dem. Det er at verktøyene de fleste IT-team bruker, ble laget for virksomhetseid maskinvare. En iPhone som er innrullert via Apple Business Manager i én virksomhet, er et helt annet objekt for etterlevelse enn den samme iPhonen som en BYOD-ansatt bruker til jobb-e-posten i en annen.
Problemet med manglende oversikt
Når en privat enhet kobler seg til virksomhetens miljø, dukker den ikke opp i dashbordet for patchstatus. Den vises ikke i sårbarhetsrapportene dine. Du vet ikke hvilken OS-versjon den har, om diskkryptering er slått på, eller om den ansatte slo av skjermlåsen for 3 måneder siden fordi den var upraktisk. IT-administratoren kjenner dette problemet godt. Det er gapet mellom det samsvarsrapporten sier, og det som faktisk finnes på nettverket. Hver uadministrerte private enhet er en konfigurasjon du ikke har verifisert, og en risiko du ikke har tallfestet – men som du kan bli bedt om å gjøre rede for.
Risikoen for sikkerhet og etterlevelse ved BYOD
Rammeverkene for etterlevelse er utvetydige på dette punktet. Kravene NIS2 stiller i EU, ISO 27001 og GDPR – som gjelder i Norge gjennom EØS-avtalen og personopplysningsloven – forutsetter alle at virksomheter kan vise kontroll over hvert system som behandler eller har tilgang til virksomhetens data. En privat enhet som brukes til å lese jobb-e-post, er innenfor omfanget – uansett hvem som eier den. Når en revisor ber om dokumentasjon på etterlevelse for endepunktene, blir et gap mellom de administrerte Windows-enhetene og de private enhetene som faktisk er i bruk, et avvik. Når et cyberforsikringsselskap spør om alle endepunkter som har tilgang til virksomhetens systemer, er dekket av sikkerhetskontrollene dine, inneholder det ærlige svaret ofte unntak. Disse unntakene påvirker om du får forsikring, og på hvilke premievilkår.
Problemet med friksjon for brukerne
Full MDM-innrullering – der IT får innsyn i hele enheten, inkludert private apper og nettleserhistorikk – er den tilnærmingen de ansatte protesterer mest mot. I Norge setter regelverket dessuten tydelige grenser: Ifølge Datatilsynet gir e-postforskriften ikke arbeidsgiveren rett til innsyn i arbeidstakerens egne kommunikasjonsmidler, selv om de noen ganger brukes i jobben. Slikt innsyn reguleres av de generelle reglene i personvernforordningen (GDPR), og det skal svært mye til før det er lovlig. Resultatet er forutsigbart: IT-team som krever full innrullering, får lav oppslutning og skyggeløsninger. IT-team som ikke krever den, mister oversikten de trenger. Det praktiske resultatet er en BYOD-policy som står i ett enkelt dokument, vises til under revisjoner og håndheves inkonsekvent alle andre steder. Det er ikke et sikkerhetsnivå. Det er en risiko. Oversiktshullet er også et forsikringshull. Når en privat enhet brukes til å få tilgang til virksomhetens systemer, men står utenfor den administrerte enhetsparken, oppstår et unntak i dekningen som forsikringsselskapet ditt finner før du gjør det.
Sjekkliste for BYOD-sikkerhet for IT-team
Før du vurderer en tilnærming til BYOD-administrasjon, kan du bruke denne sjekklisten til å vurdere dagens nivå. Dette er kontrollene revisorer ser etter, forsikringsselskaper spør om, og som NIS2 krever at virksomheter i EU kan dokumentere:
- Kryptering av enheten håndheves som en betingelse for innrullering
- Minimumsversjon av OS håndheves – enheter som ikke oppfyller kravene, blokkeres fra virksomhetens ressurser
- Virksomhetens apper er isolert i en administrert jobbprofil
- Private data og apper er utilgjengelige for IT
- Fjernsletting av virksomhetens data er mulig uten at privat innhold påvirkes
- Samsvarsstatus overvåkes kontinuerlig, ikke bare ved innrullering
- Betinget tilgang håndheves via Intune – enheter som ikke oppfyller kravene, mister tilgangen automatisk
- Virksomhetens data kan fjernes uavhengig av privat innhold når en ansatt slutter
- Revisjonslogger lagres og kan eksporteres til rapportering om etterlevelse
- Dokumentasjon på innrullering og samsvar er tilgjengelig i samme konsoll som Windows-enhetene dine
Hvis du ikke kan krysse av for alle ti, er hullene på denne listen de samme som neste revisjon eller fornyelse av forsikringen vil avdekke. Avsnittene nedenfor forklarer hvordan hvert av dem tettes.
Slik tetter CapaOne Mobile Manager BYOD-hullet i sikkerhet og etterlevelse
CapaOne er en skybasert plattform for endepunktadministrasjon, utviklet i Europa: laget for å styrke Microsoft Intune – og sterk nok til å stå helt alene. Mobile Manager er den delen av plattformen som dekker iOS-, iPadOS- og Android-enheter – administrert fra den samme CapaOne-plattformen som IT-administratoren allerede bruker til driften av Windows-endepunktene. CapaOne gir dypere kontroll over livssyklusen til mobilappene og samlet innsikt i samsvarsstatus, med eller uten Intune. For virksomheter uten Intune fungerer Mobile Manager helt frittstående. Arkitekturen som løser problemet med friksjon for brukerne, er jobbprofilmodellen. Mobile Manager administrerer virksomhetens jobbprofil på enheten – ikke selve enheten. IT får full oversikt og kontroll over jobbdelen: virksomhetens apper, konfigurasjoner, samsvarsstatus og data. Den private delen – private apper, bilder, meldinger og nettleserhistorikk – er teknisk adskilt på OS-nivå og aldri tilgjengelig for IT. Dette er ikke et skille i en policy. Det er et skille i arkitekturen. Skillet håndheves av iOS og Android, ikke av en tillitsavtale. Derfor får innrullering med jobbprofil betydelig høyere oppslutning enn full innrullering av enheten – de ansatte kan selv kontrollere at IT ikke kan se de private dataene deres.
Innrullering uten ekstra arbeid
Mobile Manager støtter innrullering uten manuelt arbeid (zero-touch) via Apple Business Manager og Google Managed Enrollment. For BYOD betyr det at de ansatte mottar en innrulleringsprofil, jobbprofilen opprettes på enheten, og virksomhetens apper installeres i bakgrunnen i den – uten at IT rører enheten, og uten at den ansatte bruker tid på manuell konfigurasjon. For et IT-team som administrerer 200 private enheter på iOS og Android, er dette forskjellen mellom et BYOD-program som skalerer, og et som skaper en kø av saker om oppsett.
Overvåking av samsvar for alle typer endepunkter
Etter innrulleringen overvåker Mobile Manager hver enhet kontinuerlig: OS-versjon, krypteringsstatus, standardoppsett for apper, status for skjermlås og sikkerhetskonfigurasjon. Enheter som ikke oppfyller kravene, flagges automatisk i CapaOne-konsollen, også uten Intune – og der det finnes policyer for betinget tilgang i Intune, mister de tilgangen til virksomhetens ressurser til avviket er rettet. Det som gjør dette verdifullt for BYOD-administrasjon, er hvor dataene vises: i den samme CapaOne-konsollen som viser patchstatus, sårbarhetsdata, driverstatus og styring av administratorrettigheter for Windows-endepunktene. Etterlevelse for BYOD blir betydelig enklere når mobile enheter, Windows-endepunkter, sårbarheter, patching og rapportering om etterlevelse administreres fra én plattform – ikke settes sammen fra fire separate verktøy med fire separate rapporter. Når en revisor ber om dokumentasjon på etterlevelse for endepunktene, henter IT-administratoren ut én eksport. Den dekker både Windows-enhetene og de mobile enhetene. Samme plattform, samme dokumentasjonsstandard, samme eksportformat.
Apphåndtering og offboarding
Virksomhetens apper installeres i bakgrunnen i jobbprofilen og oppdateres automatisk. Når en ansatt slutter – eller når en enhet meldes tapt – fjerner IT jobbprofilen eksternt. Virksomhetens data og apper er borte. Privat innhold forblir urørt. Dette er kontrollen for datastyring som de fleste BYOD-programmer mangler. Virksomhetens data forblir under virksomhetens kontroll, uansett hvem som eier enheten. Offboardingen som tidligere krevde at du måtte jage en ansatt for å få tak i den private telefonen, tar minutter fra CapaOne-konsollen. CapaOne er utviklet i Danmark og driftet i Europa. For virksomheter som er underlagt GDPR – i Norge gjennom personopplysningsloven – eller har krav til europeisk datasuverenitet, er datalagring i EU innebygd – ikke et tillegg.
Hva som endres når BYOD administreres riktig
Overgangen fra et uadministrert BYOD-program til en modell med administrerte jobbprofiler gir endringer som merkes på tre områder både IT-team og IT-ledere er opptatt av:
Færre saker, mindre manuelt arbeid
Innrullering uten manuelt arbeid fjerner oppsettarbeidet per enhet. Appoppdateringer og håndheving av policyer skjer automatisk. Henvendelsene som skyldes inkonsekvente BYOD-konfigurasjoner – appen installeres ikke, tilgang nektet, feil OS-versjon – går betydelig ned når enhetene er innrullert og overvåkes kontinuerlig. Support slutter å løpe rundt på kontoret. IT-administratoren slutter å mase på de ansatte om å oppdatere iOS.
Revisjonsdokumentasjon på timer, ikke dager
Når private enheter er innrullert og overvåkes sammen med Windows-enhetene i den samme plattformen for endepunktadministrasjon, kan dokumentasjon på etterlevelse eksporteres ved behov. Status for OS-versjoner, krypteringsstatus, standardoppsett for apper, innrulleringslogger – alt i én konsoll. Tiden IT-lederens team bruker på å hente ut dokumentasjon til revisjoner, krymper fra dager til timer. Og svaret dekker alle typer endepunkter, ikke bare dem IT eier.
En sterkere posisjon når cyberforsikringen skal fornyes
Forsikringsselskapene stiller vanskeligere spørsmål ved fornyelse – særlig om hull i dekningen av endepunktene. Virksomheter som kan dokumentere administrerte jobbprofiler på private enheter, står i en vesentlig annen posisjon enn de som har en uadministrert BYOD-enhetspark. Dokumentasjonen på etterlevelse som CapaOne Mobile Manager genererer – krypteringsstatus, samsvar for OS og logger for betinget tilgang – svarer direkte på det forsikringsselskapene spør etter når de vurderer risikoen ved endepunktene.
BYOD er et endepunktproblem. Endepunktadministrasjon er svaret.
Virksomhetene som sliter mest med sikkerhet og etterlevelse for BYOD, er ikke de som mangler en policy. Det er de som har policyer de ansatte omgår – fordi håndhevingen krever at folk gir IT tilgang til hele den private enheten sin. Jobbprofilmodellen endrer regnestykket. IT får oversikten og dokumentasjonen på etterlevelse som trengs. De ansatte får tryggheten for personvernet som gjør innrulleringen til et enkelt ja. Og hullet i sikkerhet og etterlevelse for BYOD slutter å være en sårbarhet som dukker opp i revisjoner, og blir i stedet et dokumentert og forsvarlig sikkerhetsnivå. For IT-team som forholder seg til GDPR, kravene NIS2 stiller i EU eller stadig strengere krav fra cyberforsikringen, er det sikkerhetsnivået ikke valgfritt. Book en demo av CapaOne-plattformen for endepunktadministrasjon for å se Mobile Manager håndtere innrullering av BYOD, overvåking av samsvar og apphåndtering fra den samme konsollen som Windows-enhetene dine – eller start en gratis prøveperiode og gå gjennom sjekklisten ovenfor med ekte enheter.
