Ti trovi qui:
App client esterne: Impostazioni dell'app mobile: Blocco schermo mobile
Il controllo impone un meccanismo di autenticazione obbligatorio, ad esempio un PIN, una password o un fattore biometrico, che deve essere convalidato correttamente prima che un utente possa accedere all'applicazione mobile o all'ambiente del dispositivo.
Nome controllo
App client esterne: Impostazioni dell'app mobile: Blocco schermo - Seleziona
Configurazione consigliata
Blocco schermo - Seleziona.
Panoramica sul controllo
Il controllo impone un meccanismo di autenticazione obbligatorio, ad esempio un PIN, una password o un fattore biometrico, che deve essere convalidato correttamente prima che un utente possa accedere all'applicazione mobile o all'ambiente del dispositivo.
Rischio per la sicurezza se non configurato
L'assenza di un blocco schermo consente a persone non autorizzate con accesso fisico al dispositivo di ignorare l'autenticazione locale e ottenere l'accesso immediato ai dati sensibili delle applicazioni e alle sessioni autenticate.
Scenari di minaccia
Un attore della minaccia potrebbe sfruttare un dispositivo smarrito o rubato accedendo all'applicazione mobile per esfiltrare i dati memorizzati nella cache, eseguire transazioni non autorizzate o raccogliere token di sessione per lo spostamento laterale.
Intervallo di punteggi CVSS stimato
Alto (7,0–8,9).
Considerazioni sull'impatto del rischio
Il potenziale impatto include la divulgazione non autorizzata di informazioni personali (PII), la perdita della proprietà intellettuale e la non conformità normativa derivante dalla mancata protezione dei dati a riposo.
Rischio maggiore quando
Se l'applicazione memorizza nella cache le credenziali sensibili localmente, conserva i token di sessione di lunga durata o opera in un ambiente con furti elevati in cui il ricambio del dispositivo è frequente.
Basso rischio quando
Se l'applicazione utilizza brevi timeout di sessione, impone la propria riautenticazione a livello di applicazione o se il dispositivo è gestito tramite un Sandbox che crittografa i dati indipendentemente dal blocco del sistema operativo.
Considerazioni su Business e integrazione
L'implementazione può richiedere l'integrazione con policy di gestione dei dispositivi mobili (MDM) o chiamate API locali per verificare la conformità dei dispositivi, il che potrebbe influire sull'attrito degli utenti e sul sovraccarico di supporto per l'hardware legacy.
Rimedio consigliato
Configurare l'applicazione mobile in modo che esegua una query sullo stato di protezione del sistema operativo e limiti l'accesso all'interfaccia dell'applicazione a meno che un blocco schermata a livello di sistema non sia verificato come attivo.
Guida all'esame dello stato della sicurezza
Allineare il comportamento di sicurezza mobile al principio dei privilegi minimi assicurando che i dati locali rimangano crittografati e inaccessibili fino a quando una chiave crittografica non viene rilasciata tramite un'autenticazione utente riuscita.
