Controles críticos de segurança de aplicativo móvel

Nome do controle

Controles críticos de segurança de aplicativo móvel

Configuração recomendada

• Bloquear dispositivo jailbroken – selecione "ativo" e nível de gravidade
• Bloquear homem no ataque do meio – selecione "ativo" e nível de gravidade
• Versão mínima do SO – selecione "Ativo" e Nível de gravidade. Especifique a versão mínima do SO (sistema operacional) que o dispositivo móvel do usuário deve atender.
• Versão máxima do SO – selecione "Ativo" e Nível de gravidade. Especifique a versão máxima do SO (sistema operacional) que o dispositivo móvel do usuário não pode exceder.
• Versão mínima do aplicativo – selecione "Ativo" e Nível de gravidade. Especifique a versão mínima do aplicativo que deve ser instalada no dispositivo móvel do usuário.
• Versão máxima do aplicativo – selecione "Ativo" e Nível de gravidade. Especifique a versão máxima do aplicativo que pode ser instalada no dispositivo móvel do usuário.
• Verificar dados de login biométrico – selecione "Ativo" e Nível de gravidade.
• Fazer logout do usuário após alterar os dados de login biométrico – selecionar "Ativo"
• Fazer logout do usuário após a reinicialização do dispositivo – selecione "Ativo"
• Lista de dispositivos bloqueados – selecione "Ativo" e especifique o valor
• Lista de dispositivos permitidos – selecione "Ativo" e especifique o valor
• Bloquear ações de compartilhamento do SO – selecionar "Ativo"
• Desabilitar cache de URL – selecione "Ativo"
• Máximo de dias offline sem atualização da política – selecione "Ativo" e especifique o valor
• Bloquear backup de arquivo – selecione "Ativo"
• Resultado da avaliação da política de segurança de registro – selecione "Ativo"
• Captura de tela de registro – selecione "Ativo"

Visão geral de controle

Esse conjunto de controles impõe um ambiente móvel "Zero Trust" validando a integridade do dispositivo (detecção de jailbreak), a integridade do sistema operacional e do aplicativo (versões do SO/Aplicativo) e as proteções do perímetro de dados (bloqueio de backups, armazenamento em cache e ações de compartilhamento).

Risco de segurança, se não configurado

Dados confidenciais residem em dispositivos não gerenciados que podem ter sistemas operacionais comprometidos, correções de segurança desatualizadas ou vulnerabilidades de armazenamento local que permitem que outros aplicativos mal-intencionados rastreiem dados do Salesforce.

Cenários de ameaça

Um invasor explora uma vulnerabilidade "Man-in-the-Middle" na Wi-Fi pública para interceptar o tráfego não criptografado, ou o telefone roubado de um usuário é facilmente ignorado porque as alterações biométricas não acionaram um logout, permitindo acesso total ao aplicativo Salesforce.

Intervalo de pontuação de CVSS estimado

Crítico (9.0 a 10.0).

Considerações sobre impacto de risco

Não aplicar a segurança móvel leva a vazamento de PII em grande escala por meio de backups de dispositivo locais ou ações de compartilhamento no nível do SO.

Risco maior quando

Os funcionários usam "Traga o seu próprio dispositivo" (BYOD) sem esses controles, pois a empresa não tem visibilidade de se esses dispositivos são enraizados, jailbroken ou executam software de fim da vida útil.

Baixo risco quando

Essas políticas são combinadas a uma solução de Gerenciamento de dispositivos móveis (MDM) centralizada que fornece uma camada extra de funcionalidades de limpeza remota e criptografia.

Considerações de negócios e integração

A implementação de requisitos de versão de aplicativo e SO rígidos pode bloquear temporariamente usuários com hardware antigo, exigindo um plano de comunicação interno claro e orçamento de atualização de hardware para evitar interromper as operações de campo.

Remediação recomendada

Acesse Configuração>Segurança do aplicativo móvel, ative cada política específica (por exemplo, Bloquear dispositivos jailbroken, Desabilitar armazenamento em cache de URL) e defina o Nível de gravidade (por exemplo, "Bloquear" para evitar a conexão de dispositivos que não estão em conformidade). Escolha o nível de gravidade adequado para a ação necessária (por exemplo, crítica, erro, aviso, informações).

Diretriz de revisão de saúde de segurança

A Análise de integridade de segurança identifica esses controles específicos de dispositivos móveis como o "Perímetro endurecido" para trabalho remoto, de modo que o aplicativo Salesforce permaneça um sandbox seguro mesmo quando implantado em hardware não confiável ou pessoal.