The Rules of Mobile Device PROTECTION in Infosecurity Professional, Issue No.14

       [그림참조 : http://www.flickr.com/photos/bfishadow/3638106704/sizes/z/in/photostream/]

2010년 통계 자료에 의하면 전체 혹은 부분적인 권한을 탈취당할 수도 있는 163건의 취약성이 발견되었다. (2009년에는 115건)

[무엇이 문제인가?]

Andrew Jaquith(Forrester security anlayst)의 블로그 글 중

“The Mobile Security Threat is Overblown” April, 2010”

- There is no predominant operating system in the mobile world as there is in the PC world

  (PC(특히 Windows) 만큼 특출난 OS가 모바일 OS에는 아직 없다.)

- Mobile devices are smaller and simpler and inherently more secure than PCs

  (모바일 장비는 고유적으로 PC보다 더 작고 더 간단하며 더 안전하다.)

- Attacks so far against mobile devices have been limited and relatively benign.

  (모바일에 대한 공격들은 제한적이고 상대적으로 온화하다.)

그는 이러한 잘못된 생각들로 인해서 현재 Mobile은 더욱 위험에 쳐해져 있다고 강조하고 있다.

또한 이러한 인식때문인지 모바일 OS를 위한 보안 솔루션의 개발은 아직 baby step 이라고 하고 있다.

 

[무엇이 필요한가?]

- 3가지 측면의 보안 위협 대책 (Meyers)

  1. Voice

  2. Data in motion

  3. Data in rest

 

- 모바일 보안을 위한 2가지 Rules 
   Adam Meyers, director of cybersecuriy intelligence, SRA International)

  1. Don’t send anything in e-mail that you could say on the phone

  2. don’t say anything on the phone that you can say in person

    (1.통화로 할 수 있는 부분은 절대 이메일로 보내지말고, 
    2.직접 이야기할 수 있는 부분은 절대 통화로 이야기 하지 말라.)
  ð  하지만 절대 가용한 보안 정책은 아니다. 따라서 좀 더 현실적인 보안 방법을 확인할 수 있어야 한다.

 

- Higgins가 말하는 보안 위협 및 정책

  1. The first order of business when it comes to securing mobile devices in the enterprise is to register them. “If you want to control it, they’ve got to be registered”

(안전한 모바일 장치를 사용하도록 하는 사내 정책 중 첫번째로 생각할 수 있는 부분은 “해당 장비들을 모두 등록하도록 하는 것”이다.)

  2. Enforing rules around applications and third-party software is especially important because they represent the smartphone’s biggest security threat and its most appealing feature: the ability to download applications over the Internet

(어플리케이션과 서드파티에 의한 소프트웨어들에 대한 정책을 강화하는 것이 중요하다. 왜냐하면 그들이 스마트폰의 가장 큰 보안 위협을 야기하며, 인터넷에서 어플리케이션을 다운받는 가장 대표적인 특징을 수행하기 때문이다.)

  3. The final order of business in a comprehensive mobile security strategy is “loss prevention”

(마지막으로 loss prevention이 있다. 폰을 분실하는 경우에는 해당 폰을 통해서 여러가지 정보들이 손쉽게 노출될 수 있다.)

 

[무엇이 가용한가?]

Mobile Security Solution is required as

"The major requirements the agency is using for its evaluation are the following:"

  - Multi-platform support

  - Whitelisting/blacklisting of applications

  - Centralized management with distributed administrative rights

  - Uses groups and roles for application of different device security policies

  - Over-the-air enrollment

  - Over-the-air configuration changes

  - Jailbreak detection/configurable automated response

  - Remote enable / disable/ wipe device

  - Ability to leverage existing reporting systems