Strategia Bring Your Own Device (BYOD), polegająca na pracy z wykorzystaniem prywatnych urządzeń, uchodziła za nowoczesne i wygodne podejście – elastyczne dla pracownika, tańsze dla pracodawcy. Ułatwiła też przejście na model pracy zdalnej i hybrydowej, zwłaszcza w czasie pandemii. Dziś jednak – w obliczu rosnących zagrożeń cybernetycznych i niestabilnej sytuacji geopolitycznej – korzystanie z prywatnych urządzeń do obsługi firmowych danych budzi coraz większe obawy.
Strategia BYOD budzi coraz więcej obaw
Zdaniem ekspertów podstawowy problem związany z BYOD jest prosty: firma nie ma pełnej kontroli nad prywatnym urządzeniem, na którym przetwarzane są jej dane. Nawet przy wdrożeniu polityk i procedur bezpieczeństwa, prywatny telefon czy laptop pozostaje poza bezpośrednim zarządzaniem działu IT.
– W praktyce strategia BYOD ma szereg wad, wśród których najpoważniejsze dotyczą obszaru cyberbezpieczeństwa. Jeśli pracownik korzysta ze swojego prywatnego urządzenia, firma nie ma żadnej gwarancji, że system i aplikacje są systematycznie aktualizowane, co jest podstawą wymogów dotyczących bezpieczeństwa – tłumaczy Robert Ługowski z firmy Safesqr.
Jak zauważa, pracownik może nieświadomie narazić firmę na poważne zagrożenia.
– Może swobodnie instalować nieautoryzowane lub pochodzące z nieznanych źródeł oprogramowanie, nie dbać o ochronę antywirusową, stosować słabe hasła lub przechowywać je bez zabezpieczeń. Przy czym wystarczy pominięcie jednego z tych podstawowych elementów zabezpieczeń, aby otworzyć cyberprzestępcom dostęp do infrastruktury firmy. Dodatkowo, niektóre aplikacje mogą być bezpłatne do użytku domowego, lecz ich użycie do celów komercyjnych wymaga nabycia licencji – co potencjalnie może narazić organizację na problemy natury prawnej – wyjaśnia ekspert.
BYOD – cyberataki coraz częstsze
Cyberbezpieczeństwo staje się dziś dla firm priorytetem, zwłaszcza że współczesne zagrożenia nie ograniczają się już tylko do klasycznych wirusów czy phishingu.
– Do niedawna takie sytuacje dotyczyły firm z USA, obecnie coraz częściej z Europy, w tym Polski. Jedna osoba działająca w ten sposób może odpowiadać za wiele fałszywych tożsamości, działać i stanowić zagrożenie dla wielu różnych firm. Celem takich działań są nie tylko instytucje publiczne, ale także firmy prywatne – zwłaszcza z branż strategicznych: energetyki, przemysłu, transportu, logistyki czy IT – zauważa Ługowski.
Wzrost liczby cyberataków i naruszeń danych już napędza rynek zabezpieczeń BYOD
– W warunkach globalnej niepewności firmy muszą myśleć jak instytucje strategiczne – chronić nie tylko dane, ale także swoją reputację, know-how, a często również klientów – mówi ekspert.
Dodaje, że gdy napięcia między krajami stale rosną, kwestia geopolityki w kontekście BYOD staje się realnym zagrożeniem – cyfrowi szpiedzy mają wsparcie aplikacji ukierunkowanych na zbieranie poświadczeń i danych.
– Narzędzia przygotowane przez aktorów państwowych są bardzo często wyrafinowane, a ich wykrycie bywa możliwe jedynie przy zastosowaniu całej palety środków – od stacji roboczych, poprzez ruch sieciowy, aż do zabezpieczeń serwerów. Brak jednego z elementów może utrudniać detekcję wrogich działań lub całkowicie ją uniemożliwiać. Pewne wsparcie przynoszą regulacje, takie jak NIS2, wprowadzające niezbędne ramy cyberbezpieczeństwa – choćby analizę ryzyka, która pozwala na wskazanie najbardziej istotnych ryzyk oraz środków zapobiegawczych i łagodzenia – zauważa.
Jak zapewnić cyberbezpieczeństwo?
Jak podkreślają eksperci, z perspektywy IT strategia BYOD oznacza problemy z zarządzaniem – różne systemy operacyjne, brak standaryzacji i niestandardowe aplikacje utrudniają kontrolę. BYOD sprzyja też zjawisku „Shadow IT”, czyli korzystaniu z narzędzi nieautoryzowanych przez dział IT. Nawet przy określonych zasadach bezpieczeństwa, pracownik z uprawnieniami administratora może je łatwo obejść. Dodatkowo nowe zabezpieczenia, jak uwierzytelnienie wieloskładnikowe, bywają złudne – jeśli np. kod trafia na prywatny, zainfekowany telefon, może zostać przechwycony.
Czasem najlepszym, a długofalowo najtańszym rozwiązaniem okazuje się powrót do firmowych urządzeń – centralnie zarządzanych, zabezpieczonych i z ograniczonym dostępem do instalacji aplikacji. To szczególnie istotne tam, gdzie w grę wchodzą dane wrażliwe, zaufanie klientów czy przewaga konkurencyjna.
Zdaniem Roberta Ługowskiego, nie oznacza to jednak końca BYOD.
– Stosowanie przez pracowników prywatnego sprzętu do wykonywania zadań może nadal funkcjonować, jednak potrzebne jest tutaj nowe podejście. Priorytetem powinna być nie oszczędność, ale uwzględnienie wysokiego ryzyka, inwestycje w szkolenia, monitoring i rozwój polityki bezpieczeństwa – podsumowuje.
