Trend Micro: Android hoort niet thuis in bedrijfsleven
Trend Micro-analist Rick Ferguson, in Brussel voor de jaarlijkse securitybeurs Infosecurity, ziet in de afgelopen jaren steeds meer bedrijven die aanbieden om bedrijfsgegevens veilig onder te brengen op mobiele besturingssystemen als iOS en Android.
Ze spelen daarmee in op de BYOD-hype, waarin werknemers hun eigen smartphone zowel voor privé als op het werk gebruiken. BlackBerry doet dit met Balance, een systeem dat bedrijfsapps en persoonlijke apps gescheiden houdt in verschillende profielen. Maar ook beveiligers als Trend Micro en Kaspersky hebben hun enterprisebeveiligingspakketten uitgebreid met geavanceerd mobiel beheer voor de meest populaire platforms.
De laatste in die reeks is telefoonmaker Samsung, dat met Knox een oplossing voor Android in huis zegt te hebben die vertrouwelijke bedrijfsinformatie via versteutelde containers scheidt van de Instagrams en Whatsapps van deze wereld.
[related_article id=”158901″]
“Ik denk niet dat zo’n containersysteem aanvaardbaar zal zijn voor de consument”, zegt Ferguson. “Dat soort oplossingen zitten in de weg van de gebruikerservaring en werknemers gaan een manier vinden om obstakels te omzeilen”, aldus de specialist van Trend Micro.
Als een bedrijf bijvoorbeeld een bepaalde webapp op het werk verbiedt, zal een werknemer een proxy vinden, waarna het nieuws zich als een lopend vuurtje over de werkvloer verspreidt. Op Android zal dat verhaal niet anders zijn. “Je dwingt gebruikers hun toestel te gebruiken op een manier waar ze niet vertrouwd mee zijn”, zegt hij.
Op de verkeerde voet begonnen
Voordat Android een veilig alternatief kan worden voor de bedrijfsomgeving heeft Google volgens Ferguson eerst af te rekenen met enkele diepgewortelde beveiligingsproblemen. “Microsoft heeft veel miserie gehad in het verleden, maar omdat Windows proprietaire software is, kon het vanaf een centraal punt (Windows Update) veiligheidsupdates verspreiden. Android heeft dat voordeel niet.”
Omdat Google bij het verspreiden van softwareupdates vertrouwt op derde partijen, zoals telefoonmakers en telco’s, is er een allegaartje ontstaan van Android-toestellen die verschillende versies draaien.
Niet alleen zorgt dit voor mogelijke risico’s, maar het bezorgt een IT-admin ook de nodige hoofdpijn. “Je moet dan eigenlijk tegen werknemers zeggen: ‘Je mag alleen Androids gebruiken die minimaal versie X hebben’ en dat is vaak niet haalbaar”, zegt Ferguson.
Open cultuur
Een ander probleem is de cultuur die vanaf het begin rondom Android ontstaan is. Volgens Ferguson moest Google destijds zo snel mogelijk een mobiel besturingssysteem uit de grond stampen dat langszij kon komen bij het dominante iOS van Apple. En om dat te realiseren, maakte de zoekmachine het OS zo open mogelijk voor ontwikkelaars.
“Er is een cultuur ontstaan, waarin gebruikers te makkelijk te veel toestemming verlenen en ontwikkelaars die te makkelijk te veel informatie vragen aan gebruikers”, vindt hij. Omdat Trend Micro voor BlackBerry Android-apps screent voordat ze mogen verschijnen op het nieuwe BlackBerry 10, weigeren ze regelmatig apps die dit soort gedrag vertonen.
“Als een ontwikkelaar ons dan vraagt waarom we zijn app blokkeren, is hij verbaasd. Maar hij zal het euvel onmiddelijk reparen en de app opnieuw indienen”, aldus Ferguson.
Bij een recent intern onderzoek, waarbij Trend Micro ruim 2 miljoen apps (verschillende updates per app) onder de loep nam, bleek dat 22 procent op ongeoorloofde manier informatie uploadde van gebruikers. Daar horen contacten, maar ook IMEI-nummers en ingevoerde tekst bij.
Ferguson erkent echter dat Google hard werkt om deze problemen op te lossen en denkt dat binnen afzienbare tijd een Android zal ontstaan dat wel thuishoort in de bedrijfsomgeving. Een mogelijke oplossing zou zijn om Android samen te voegen met Chrome OS, een systeem wat nu al bekend staat om zijn uitstekende beveiliging.
Voorlopig denkt Ferguson dat Android alleen acceptabel op de werkvloer is als de toestellen maar niet in handen komt van mensen die toegang hebben tot de meest gevoelige informatie. “Je kunt bijvoorbeeld als IT-admin zeggen: de bestuursleden mogen alleen een BlackBerry of iPhone, terwijl de verkopers ook een Android mogen kiezen.”
