Hallo Klaus,
das von Dir geschilderte Problem haben viele Firmen durchgemacht. Und wie immer ist es nicht die beliebteste Maßnahme, wenn man Dinge aus Unternehmensinteresse einschränken muss.
Das Bedrohungspotenzial ist aber definitiv da und die große Angriffswelle auf Smartphones ist erst im Anrollen.
Das Ganze klappt nur, wenn man die oberste Geschäftsführung sensibilisiert und die dann hinter den Maßnahmen steht. Also sollte man dort überzeugen - nicht mit den Einzelheiten der Umsetzung, sondern mit der Notwendigkeit der Maßnahmen und dass es deutliche Komforteinbußen bedeuten wird. (Böse Falle: Bloß nicht auf dieser Ebene über die Länge des Passworts diskutieren, da meinen alle mitreden zu können.)
Wenn dort dann entschieden wird, den Aufwand nicht zu betreiben, ist das auch okay. Schließlich ist es die Geschäftsführung, die zu entscheiden und zu verantworten hat.
Meist wird also ein Kompromiss die Lösung sein und nicht die Idealvorstellungen von IT- und Security-Fuzzies.
Als ausgereift und erprobt sind Infrastrukturen mit Blackberrys von RIM. Hier gibt es in allen mir bekannten Großunternehmen entsprechende Policies, die auf den Endgeräte die Einhaltung von Sicherheitsvorschriften erzwingen.
Auf anderen Gerätetypen sind mir keine so wasserdichten Konzepte bekannt, obwohl dort langsam etwas in Bewegung kommt. Leider oft aber nicht so schnell wie die Bedrohung.
Aber es hat auch lange gedauert, bis Microsoft mit seinen Betriebssystemen auf der Höhe der Zeit war.
Bei Android-Smartphones bewegen wir uns auf dem Sicherheitsniveau von Windows95/98: Ein Quantensprung, der den Markt geöffnet hat, aber völlig ohne die notwendigen Sicherheit, um den damit attraktiven Markt für Cyber-Kriminalität einzudämmen.
Da hilft nur Durchsetzung organisatorischer Maßnahmen:
Beschränkung des Portfolios dienstlicher Geräte
Beschränkung, was an Synchronisationssoftware auf die PC kommen darf
Verbot des Anschlusses privater Geräte
Verbot von dienstlichen Daten auf privaten Geräten
Ausnahmen nur mit Unterschrift der oberen Geschäftsleitung
Allerdings muss sich eine Smart Device Policy immer in eine übergreifende Sicherheitsstrategie integrieren, die auch Endgeräte, Netzwerke (z.B. WLAN) und Peripherie (z.B. USB) reguliert.
Ciao, Allesquatsch
