Przejdź do głównej zawartości

8.1 Urządzenia końcowe użytkowników

W skrócie: informacje na laptopach, telefonach i tabletach są chronione — niezależnie od tego, czy urządzenie jest służbowe, czy prywatne.

Cel: ochrona informacji przed ryzykiem wynikającym z używania urządzeń końcowych użytkowników.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Asset_management (zarządzanie aktywami), #Information_protection (ochrona informacji)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Organizacja ustanawia politykę tematyczną bezpiecznej konfiguracji i obsługi urządzeń końcowych.
  • Polityka obejmuje m.in.: rodzaje informacji i klasyfikację dopuszczalne na urządzeniach, rejestrację urządzeń, wymagania ochrony fizycznej, ograniczenia instalacji oprogramowania, aktualizacje, łączenie z sieciami publicznymi, kontrolę dostępu, szyfrowanie nośników, ochronę przed malware, zdalne wyłączanie, usuwanie danych i blokowanie, kopie zapasowe, korzystanie z usług internetowych, analizę zachowań użytkowników, nośniki wymienne, rozdzielenie danych.
  • Odpowiedzialność użytkowników: wylogowanie i zakończenie sesji, ochrona przed nieuprawnionym użyciem (np. blokada ekranu), ostrożność w miejscach publicznych, fizyczna ochrona przed kradzieżą.
  • Urządzenia prywatne (BYOD): rozdzielenie użytku prywatnego i służbowego (np. kontenery), dostęp do informacji służbowych tylko po akceptacji zasad przez użytkownika, uwzględnienie praw własności intelektualnej i ograniczeń prawnych dotyczących dostępu organizacji do prywatnego urządzenia.
  • Połączenia bezprzewodowe: konfiguracja sieci bezprzewodowych na urządzeniu (np. wyłączenie podatnych protokołów) i uwzględnienie ograniczeń przepustowości przy kopiach i aktualizacjach.
  • Gdy ochrona urządzenia nie wystarcza, rozważa się, czy informacje w ogóle powinny się na nim znaleźć.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • MDM lub UEM (np. Intune, Jamf) z politykami zgodności: szyfrowanie, PIN, aktualna wersja systemu — urządzenie niezgodne traci dostęp (dostęp warunkowy).
  • EDR na wszystkich stacjach roboczych (zob. 8.7).
  • Profil służbowy na Androidzie lub zarządzanie aplikacjami (MAM) na iOS dla BYOD zamiast pełnej kontroli nad prywatnym telefonem.

Powiązania​