מה נמצא במכשירים הסלולריים הישנים של העובדים? – פרצת אבטחה
מאת: מערכת
Telecom News, 30.10.13, 14:45
עורכי מחקר בסקוטלנד, שקיבלו לידיהם לבדיקה מכשירים סלולריים פשוטים של עובדים, עובדים ששודרגו לקבלת מכשירים חדשים וחכמים במקומם, גילו, שהמכשירים מהווים סיכון אבטחה לארגון. ברור, שלגבי סמארטפונים וטאבלטים הבעיה עצומה וחמורה פי כמה.
מחקר מאוניברסיטת גלזגו מתריע, שהארגונים הגדולים ביותר באירופה, למרות שיש בהם מדיניות אבטחה כלשהי, חשופים לאיומי אבטחה עקב שימוש בלתי הולם של העובדים גם במכשירים הניידים הפשוטים ביותר שלהם. במכשירים התגלו סיכוני אבטחה לדליפה אפשרית של קניין רוחני ולחשיפת הארגון לבעיות משפטיות.
המחקר,
Investigating Information Security Risks of Mobile Device Use Within Organizations, שניתן לקרוא אותו במלואו -
כאן, (ע"י לחיצה על הלינק במסך שלו בצד ימין למעלה), ערך לראשונה
אנליזה אמפירית ובדק דגימות של 32 מכשירי נוקיה ומוטורולה, שהוחזרו לארגון גדול ביותר באירופה ע"י העובדים, עובדים ששודרגו לקבלת סמארטפונים. מתוך 32 המכשירים, שמסר הארגון לבדיקה, היו 30 מכשירים של נוקיה מדגמים 3109C, 6021, 6030, 6300. בנוסף, היו 2 מכשירים של מוטורולה מדגמים V550 ומדגם
Razr v3i. דגמים ישנים לכל הדעות.
החוקרים עשו, בין היתר, שימוש בכלי בדיקת המובייל
XFEK – XRY Complete Forensic Examination Kit Version 5.5. הכלי הוביל לגילוי התכנים בחלקים השונים של המכשירים, מערכת ההפעלה והזכרונות שלהם כולל מידע שהוסר / "נמחק". נעשו שחזור והעתקה של הנתונים מהמערכות של כל המכשירים הניידים הפשוטים הללו.
כאמור, החוקרים בדקו, בשיטות השונות והפילוחים השונים המפורטים בטבלאות סיכום המחקר, את המידע במכשיר הסלולרי כולל המידע שנעשה עליו
"delete". החוקרים הצליחו לאחזר ולשלוף
אלפי פריטים של מידע רגיש ביותר עבור הארגונים ואישי ביותר עבור העובדים, כולל מידע, שהעובדים סברו, שיעלם לצמיתות ע"י פעולת ה-
delete. המידע כלל נושאים חשובים ביותר לארגון כמו גם תמונות אישיות ביותר של העובדים (כולל מיניות) ו-
SMS מאד רגישים עבורם, שהם חשבו, שע"י הסרתם הם נעלמו לנצח.
על המכשירים בהודעות ה-
SMS היה מידע ארגוני, שהיה ראוי, שלא יהיה עליהם מלכתחילה. הסתבר, שהמכשירים לא הוגנו ע"י סיסמא, או הצפנה כלשהי, וסיסמאות שונות למטרות שונות הועברו ב-
SMS. נמצאו הוכחות להעברת קבצים בלתי-מוצפנת של הארגון אל מחוץ הארגון בתוך התוכן של ה-
SMS-ים, שאישרו והודיעו על העברתם בדוא"ל, תוך ציון פרטים רגישים ביותר לגבי התוכן של הקבצים הללו.
החוקרים הראו, שדליפה פוטנציאלית של הנתונים במכשירים, מכשירים שהארגון אמור היה גם, קרוב לוודאי, למסור הלאה / למכור... מנוגדת למדיניות האבטחה שבו, ושעובדים מעלים מלכתחילה למכשיר הנייד שלהם מידע רגיש ללא כל שליטה של הארגון. מדיניות האבטחה של הארגון ואכיפתה לא עומדת בקצב השימוש הגדל במכשירים סלולריים ע"י העובדים, וסביר להניח, שבעיית האבטחה של השימוש בסמארטפונים בארגון היא גדולה פי כמה, כי הסמארטפונים הפכו למעשה למחשבים אישיים, שניתן להעביר דרכם החוצה קבצים, וידאו ותמונות באופן ישיר. המחקר ממליץ כמובן לפעול לאכיפה קפדנית של תקנות האבטחה.
