Controlli critici della sicurezza dell'app mobile

Nome controllo

Controlli critici della sicurezza dell'app mobile

Configurazione consigliata

• Blocca dispositivo jailbroken - Selezionare "Attivo" e Livello di gravità
• Blocca attacco Man In The Middle - Seleziona "Attivo" e Livello di gravità
• Versione minima del sistema operativo: selezionare "Attivo" e Livello di gravità. Specificare la versione minima del sistema operativo (sistema operativo) che deve soddisfare il dispositivo mobile dell'utente.
• Versione massima del sistema operativo: selezionare "Attivo" e Livello di gravità. Specificare la versione massima del sistema operativo (sistema operativo) che il dispositivo mobile dell'utente non può superare.
• Versione minima applicazione - Selezionare "Attivo" e Livello di gravità. Specificare la versione minima dell'app che deve essere installata sul dispositivo mobile dell'utente.
• Versione massima applicazione: selezionare "Attivo" e Livello di gravità. Specificare la versione massima dell'app che può essere installata sul dispositivo mobile dell'utente.
• Controlla dati di accesso biometrico - Selezionare "Attivo" e Livello di gravità.
• Disconnetti utente dopo la modifica dei dati di accesso biometrico - Selezionare "Attivo"
• Disconnetti utente dopo il riavvio del dispositivo - Selezionare "Attivo"
• Elenco dispositivi bloccati - Selezionare "Attivo" e specificare il valore
• Elenco dispositivi consentiti - Selezionare "Attivo" e specificare il valore
• Blocca azioni di condivisione del sistema operativo - Selezionare "Attivo"
• Disabilita caching URL - Selezionare "Attivo"
• Numero massimo di giorni offline senza aggiornamento polizza: selezionare "Attivo" e specificare il valore
• Blocca backup file - Selezionare "Attivo"
• Registra risultato valutazione policy di sicurezza - Seleziona "Attivo"
• Schermata Registra - Selezionare "Attivo"

Panoramica sul controllo

Questa suite di controlli impone un ambiente mobile "Zero Trust" convalidando l'integrità del dispositivo (rilevamento del jailbreak), lo stato del sistema operativo e delle applicazioni (versione del sistema operativo/app) e le protezioni del perimetro dei dati (blocco di backup, caching e azioni di condivisione).

Rischio per la sicurezza se non configurato

I dati sensibili si trovano su dispositivi non gestiti che potrebbero avere sistemi operativi compromessi, patch di sicurezza obsolete o vulnerabilità di memoria locale che consentono ad altre app dannose di raschiare i dati Salesforce.

Scenari di minaccia

Un aggressore sfrutta una vulnerabilità "Man-in-the-Middle" sul Wi-Fi pubblico per intercettare il traffico non crittografato, oppure il telefono rubato di un utente viene facilmente aggirato perché le modifiche biometriche non hanno attivato la disconnessione, consentendo l'accesso completo all'app Salesforce.

Intervallo di punteggi CVSS stimato

Critico (9.0–10.0).

Considerazioni sull'impatto del rischio

La mancata applicazione della sicurezza mobile causa fughe di informazioni personali su larga scala attraverso backup di dispositivi locali o azioni di condivisione a livello di sistema operativo.

Rischio maggiore quando

I dipendenti utilizzano "Bring Your Own Device" (BYOD) senza questi controlli, poiché l'azienda non ha visibilità sul fatto che tali dispositivi siano rootati, jailbroken o software di fine vita in esecuzione.

Basso rischio quando

Queste policy sono abbinate a una soluzione MDM (Mobile Device Management) centralizzata che offre un ulteriore livello di funzionalità di cancellazione e crittografia remota.

Considerazioni su Business e integrazione

L'implementazione di severi requisiti di versione del sistema operativo e dell'app può bloccare temporaneamente gli utenti con hardware più datato, richiedendo un piano di comunicazione interno chiaro e un budget di aggiornamento hardware per evitare di interrompere le operazioni sul campo.

Rimedio consigliato

Accedere a Imposta>Sicurezza app mobile, attivare ogni policy specifica (ad esempio, Blocca dispositivi jailbroken, Disabilita caching URL) e impostare il livello di gravità (ad esempio, "Blocca" per impedire la connessione di dispositivi non conformi). Scegliere il livello di gravità appropriato per l'azione richiesta (ad esempio, critico, errore, avviso, info).

Guida all'esame dello stato della sicurezza

Security Health Review identifica questi controlli specifici dei dispositivi mobili come "Perimetro indurito" per il lavoro remoto, in modo che l'app Salesforce rimanga un Sandbox sicuro anche quando viene distribuita su hardware non affidabile o personale.