457-Gestion Dispositivos Moviles MDM-nov13

download 457-Gestion Dispositivos Moviles MDM-nov13

of 97

  • date post

    03-Mar-2016
  • Category

    Documents

  • view

    18
  • download

    0

Embed Size (px)

description

Detalle de procedimiento.

Transcript of 457-Gestion Dispositivos Moviles MDM-nov13

  • SIN CLASIFICAR

    SIN CLASIFICAR

    GUA DE SEGURIDAD DE LAS TIC

    (CCN-STIC-457)

    Gestin de dispositivos mviles:

    MDM (Mobile Device Management)

    NOVIEMBRE 2013

  • SIN CLASIFICAR

    CCN-STIC-457 Gestin de dispositivos mviles: MDM

    Centro Criptolgico Nacional 2

    SIN CLASIFICAR

    Edita:

    Editor y Centro Criptolgico Nacional, 2013 NIPO: 002-13-040-7

    Fecha de Edicin: noviembre de 2013

    Ral Siles, fundador y analista de seguridad de Taddong S.L., ha participado en la elaboracin y modificacin del

    presente documento y sus anexos.

    LIMITACIN DE RESPONSABILIDAD

    El presente documento se proporciona de acuerdo con los trminos en l recogidos, rechazando expresamente

    cualquier tipo de garanta implcita que se pueda encontrar relacionada. En ningn caso, el Centro Criptolgico

    Nacional puede ser considerado responsable del dao directo, indirecto, fortuito o extraordinario derivado de la

    utilizacin de la informacin y software que se indican incluso cuando se advierta de tal posibilidad.

    AVISO LEGAL

    Quedan rigurosamente prohibidas, sin la autorizacin escrita del Centro Criptolgico Nacional, bajo las sanciones

    establecidas en las leyes, la reproduccin parcial o total de este documento por cualquier medio o procedimiento,

    comprendidos la reprografa y el tratamiento informtico, y la distribucin de ejemplares del mismo mediante alquiler

    o prstamo pblicos.

  • SIN CLASIFICAR

    CCN-STIC-457 Gestin de dispositivos mviles: MDM

    Centro Criptolgico Nacional 3

    SIN CLASIFICAR

    PRLOGO

    El uso masivo de las tecnologas de la informacin y las telecomunicaciones (TIC), en todos los

    mbitos de la sociedad, ha creado un nuevo espacio, el ciberespacio, donde se producirn

    conflictos y agresiones, y donde existen ciberamenazas que atentarn contra la seguridad

    nacional, el estado de derecho, la prosperidad econmica, el estado de bienestar y el normal

    funcionamiento de la sociedad y de las administraciones pblicas.

    La Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, encomienda

    al Centro Nacional de Inteligencia el ejercicio de las funciones relativas a la seguridad de las

    tecnologas de la informacin en su artculo 4.e), y de proteccin de la informacin clasificada en

    su artculo 4.f), a la vez que confiere a su Secretario de Estado Director la responsabilidad de

    dirigir el Centro Criptolgico Nacional en su artculo 9.2.f).

    Partiendo del conocimiento y la experiencia del CNI sobre amenazas y vulnerabilidades en

    materia de riesgos emergentes, el Centro realiza, a travs de su Centro Criptolgico Nacional,

    regulado por el Real Decreto 421/2004, de 12 de marzo, diversas actividades directamente

    relacionadas con la seguridad de las TIC, orientadas a la formacin de personal experto, a la

    aplicacin de polticas y procedimientos de seguridad, y al empleo de tecnologas de seguridad

    adecuadas.

    Una de las funciones ms destacables del Centro Criptolgico Nacional es la de elaborar y difundir

    normas, instrucciones, guas y recomendaciones para garantizar la seguridad de los sistemas de las

    tecnologas de la informacin y las comunicaciones de la Administracin, materializada en la

    existencia de la serie de documentos CCN-STIC.

    Disponer de un marco de referencia que establezca las condiciones necesarias de confianza en el uso

    de los medios electrnicos es, adems, uno de los principios que establece la ley 11/2007, de

    22 de junio, de acceso electrnico de los ciudadanos a los servicios pblicos, en su artculo

    42.2 sobre el Esquema Nacional de Seguridad (ENS).

    Precisamente el Real Decreto 3/2010 de 8 de Enero de desarrollo del Esquema Nacional de

    Seguridad fija los principios bsicos y requisitos mnimos as como las medidas de proteccin a

    implantar en los sistemas de la Administracin, y promueve la elaboracin y difusin de guas de

    seguridad de las tecnologas de la informacin y las comunicaciones por parte de CCN para

    facilitar un mejor cumplimiento de dichos requisitos mnimos.

    En definitiva, la serie de documentos CCN-STIC se elabora para dar cumplimiento a los

    cometidos del Centro Criptolgico Nacional y a lo reflejado en el Esquema Nacional de

    Seguridad, conscientes de la importancia que tiene el establecimiento de un marco de referencia en

    esta materia que sirva de apoyo para que el personal de la Administracin lleve a cabo su difcil, y

    en ocasiones, ingrata tarea de proporcionar seguridad a los sistemas de las TIC bajo su

    responsabilidad.

    Noviembre de 2013

    Flix Sanz Roldn

    Secretario de Estado

    Director del Centro Criptolgico Nacional

  • SIN CLASIFICAR

    CCN-STIC-457 Gestin de dispositivos mviles: MDM

    Centro Criptolgico Nacional 4

    SIN CLASIFICAR

    NDICE

    1 INTRODUCCIN .................................................................................................................... 6

    2 OBJETO ................................................................................................................................. 7

    3 ALCANCE ............................................................................................................................... 8

    4 ENTORNO DE APLICACIN DE ESTA GUA ........................................................................ 9 4.1 NORMA DE SEGURIDAD PARA LOS DISPOSITIVOS MVILES ................................ 12 4.2 AMENAZAS DE SEGURIDAD SOBRE LOS DISPOSITIVOS MVILES ....................... 14 4.3 INVENTARIO Y MONITORIZACIN DE LOS DISPOSITIVOS MVILES ..................... 15 4.4 BYOD (BRING YOUR OWN DEVICE) Y BYOA (BRING YOUR OWN APP) ................. 17 4.5 GESTIN LOCAL DE DISPOSITIVOS MVILES ......................................................... 20 4.6 SOLUCIONES MDM EN LA INDUSTRIA ...................................................................... 21

    4.6.1 GOOGLE (ANDROID) ............................................................................................. 21 4.6.2 BLACKBERRY ........................................................................................................ 23 4.6.3 APPLE (IOS) ........................................................................................................... 23 4.6.4 MICROSOFT (WINDOWS PHONE) ........................................................................ 24 4.6.5 SOLUCIONES MDM DE TERCEROS ..................................................................... 24 4.6.6 SOLUCIONES DE GESTIN BASADAS EN UN CONTENEDOR .......................... 27

    5 CARACTERSTICAS Y CAPACIDADES DE LAS SOLUCIONES MDM ................................ 30 5.1 CARACTERSTICAS GENERALES Y FORMATO DE LA SOLUCIN MDM ................ 30 5.2 REGISTRO DE LOS DISPOSITIVOS MVILES EN LA SOLUCIN MDM ................... 32

    5.2.1 SCEP: SIMPLE CERTIFICATE ENROLLMENT PROTOCOL ................................. 34 5.3 INVENTARIO Y MONITORIZACIN ............................................................................. 35 5.4 GESTIN DE LA(S) POLTICA(S) DE SEGURIDAD CORPORATIVA(S) ..................... 37 5.5 CARACTERSTICAS DE LA(S) POLTICA(S) DE SEGURIDAD CORPORATIVAS ...... 38

    5.5.1 RESTRICCIONES EN EL HARDWARE Y SOFTWARE DEL DISPOSITIVO MVIL 38 5.5.2 GESTIN DEL CDIGO DE ACCESO ................................................................... 39 5.5.3 PROTECCIN REMOTA ........................................................................................ 41 5.5.4 GESTIN Y BORRADO DE DATOS REMOTO ...................................................... 42 5.5.5 SERVICIOS DE LOCALIZACIN ............................................................................ 45 5.5.6 GESTIN DE LOS DATOS ALMACENADOS EN EL DISPOSITIVO MVIL .......... 46 5.5.7 DETECCIN DE JAILBREAK O ROOT .................................................................. 47 5.5.8 GESTIN DE CERTIFICADOS DIGITALES ........................................................... 48 5.5.9 GESTIN DE LAS COMUNICACIONES ................................................................ 49 5.5.10 GESTIN DE VPN .................................................................................................. 52 5.5.11 GESTIN DE CORREO ELECTRNICO ............................................................... 53 5.5.12 GESTIN DE NAVEGACIN WEB ........................................................................ 54 5.5.13 GESTIN DE APPS ............................................................................................... 55

    6 CARACTERSTICAS Y CAPACIDADES DE GESTIN DE LAS DIFERENTES PLATAFORMAS MVILES ........................................................................................................ 63 6.1 GESTIN DE ANDROID ............................................................................................... 63

    6.1.1 ARQUITECTURA DE GESTIN MDM DE ANDROID ............................................ 64 6.2 GESTIN DE BLACKBERRY........................................................................................ 65

    6.2.1 ARQUITECTURA DE GESTIN MDM DE BLACKBERRY ..................................... 66 6.2.2 BLACKBERRY 10 ................................................................................................... 66

    6.3 GESTIN DE IOS ...................................................................................