Contrôles de sécurité fortement recommandés pour l'application mobile

Nom du contrôle

Contrôles de sécurité fortement recommandés pour l'application mobile

Configuration recommandée

• Épinglage du certificat du serveur d'authentification - sélectionnez « Actif »
• Épinglage du certificat de ressource - sélectionnez « Actif »
• Demander le code secret de l'appareil : sélectionnez « Actif » et Niveau de sévérité.
• Bloquer 3D Touch - Sélectionnez « Actif »
• Blocage du microphone - Sélectionnez « Actif »
• Bloquer la caméra - Sélectionnez « Actif »
• Bloquer les contacts - sélectionnez « Actif »
• Bloquer le calendrier - Sélectionnez « Actif »
• Schéma d'URI du navigateur mobile : sélectionnez « Actif » et spécifiez la valeur
• Gestionnaire d'application d'appel téléphonique : sélectionnez « Actif » et spécifiez la valeur
• Bloquer la capture d'écran - sélectionnez « Actif »
• Consigner l'e-mail - sélectionnez « Actif »
• Consigner les appels téléphoniques - sélectionnez « Actif »
• Consigner les SMS - Sélectionnez « Actif »
• Bloquer le clavier personnalisé - sélectionnez « Actif »
• Activer les contrôles stricts de protection contre les fuites de données - sélectionnez « Actif »

Vue d'ensemble du contrôle

Cet ensemble de contrôles applique un environnement mobile durci en imposant l'épinglage de certificats cryptographiques, l'authentification de l'appareil local et des restrictions strictes au niveau matériel afin d'empêcher l'exfiltration non autorisée de données.

Risque de sécurité s'il n'est pas configuré

Sans ces stratégies, les appareils mobiles deviennent vulnérables aux attaques de l'homme du milieu par le trafic réseau intercepté et le vol de données locales si l'appareil est perdu, volé ou compromis par des applications tierces malveillantes.

Scénarios de menace

Un assaillant utilise un réseau sans fil compromis pour intercepter le trafic de l'application détachée ou exploite un clavier personnalisé malhonnête pour consigner des touches clavier et des identifiants confidentiels directement depuis l'interface mobile.

Plage de score CVSS estimée

Élevée (7,0 à 8,9).

Considérations relatives à l'impact sur le risque

L'absence de ces protections permet l'interception du trafic crypté, le contournement de la sécurité locale de l'appareil et le transfert non autorisé de données d'entreprise via des fonctionnalités matérielles telles que la caméra, le microphone et le Presse-papiers.

Risque plus élevé quand

Les employés utilisent des appareils personnels non gérés pour accéder à des informations confidentielles sur les clients ou lorsque l'application mobile est utilisée dans des environnements de réseau public à haute menace.

Risque faible quand

Si les appareils mobiles sont déjà gérés par une solution robuste de gestion de la mobilité d'entreprise qui applique les capacités de cryptage à l'échelle du système et d'effacement à distance.

Considérations relatives à l'entreprise et à l'intégration

La mise en œuvre de ces contrôles stricts peut affecter l'expérience utilisateur en désactivant des fonctionnalités courantes telles que le copier-coller ou les claviers tiers, ce qui peut nécessiter une formation spécialisée pour les agents mobiles.

Remédiation recommandée

Accédez à la section Sécurité mobile dans Configuration, puis activez les stratégies spécifiques pour l'épinglage de certificats, les codes secrets d'appareil et la protection contre les fuites de données (par exemple, Bloquer les contrôles) pour l'application mobile. S'il y a lieu, choisissez le niveau de sévérité approprié à l'action requise (par exemple, critique, erreur, avertissement, information).

Guide d'examen sanitaire de sécurité

Security Health Review identifie ces stratégies comme fortement recommandées selon le cas d'utilisation de l'application mobile, car ces contrôles permettent de s'assurer que l'application reste sécurisée, quel que soit l'état de l'appareil ou l'intégrité du réseau sous-jacent.