Sosiale medie-apper er et utbredt innslag på mobile enheter. Det kan innebære risiko for norske virksomheter. Ansatte kan ha slike apper både på private enheter og tjenesteenheter som har tilgang til virksomhetens interne digitale tjenester eller infrastruktur. NSM har derfor samlet tips og begrepsavklaringer til hjelp i virksomhetens digitale risikoarbeid.

Tipsene lister opp noen viktige kriterier for å vurdere risikoen knyttet til sosiale medie-apper og for å vurdere risikoreduserende tiltak. Dette er kun ment å supplere en ordinær risikovurdering og utgjør ikke en fullstendig beskrivelse av risikovurderingen en virksomhet bør utføre. Det betyr at blant annet vurdering av tillit til leverandører av IT-tjenester og apper, og vurdering av kryptoalgoritmer og -nøkler ikke omtales her. Noen av disse problemstillingene er omtalt i NSMs 13 råd for bedre sikkerhet på mobile enheter.

Se hvilke tiltak ansatte selv kan ta i bruk: NSMs 13 råd for bedre sikkerhet på mobile enheter

Verdi- og skadevurdering

Hvilke verdier som bør beskyttes i forbindelse med bruk av tjenesteenheter, vil være forskjellig fra virksomhet til virksomhet. Det kan også variere med rolle eller stilling den enkelte medarbeider har i virksomheten.

For mobile tjenesteenheter er det flere faktorer som kan være relevante å ta med i verdi- og skadevurderingen. Listen under er en veiledende, men ikke uttømmende, stikkordsliste:

• Hva slags informasjon kan bli lagret på enheten?
• Hvilke deler av virksomhetens interne digitale infrastruktur kan enheten kobles opp mot?
• Hvilke virksomhetsinterne tjenester og opplysninger kan enheten få tilgang til?
• Hvor sensitiv virksomhetsintern informasjon kommuniseres gjennom enheten
• Behandles virksomhetsintern informasjon kun i apper som er plassert i egne «kontainere»?
• Har enheten mikrofon eller kamera?
• Er mobilenheten underlagt flåtestyring, og hvor streng er denne?
• Er det behov for å forhindre sporing av personen som bruker tjenesteenheten?

Når det gjelder apper for sosiale medier, er det viktig å vurdere mulighetene for å begrense sporing. Sporing er en betegnelse som omfatter både bruks- og kommunikasjonsmønster i det digitale domenet og muligheten til å spore den geografiske posisjonen til den fysiske enheten. Her kan det være hensiktsmessig å ta hensyn til om brukeren er trusselutsatt av andre årsaker enn arbeidsforhold, for eksempel personer som har sperret adresse i Folkeregisteret.

Vurdering av tjenester og apper i kategorien sosiale medier

Det finnes mange apper for sosiale medier, og disse tilbyr gjerne svært ulike tjenester. Et viktig felles trekk er at disse tjenestene ofte tilbys uten betalt abonnement. 

Ansatte i en virksomhet kan ha tjenstlig behov for enkelte apper for sosiale medier. For å gjøre en god risikovurdering er det hensiktsmessig at virksomheten forstår app- og tjenestetilbyders forretningsmodell.

Enkelte tjenester og apper tilpasset sosiale medier kan brukes til å sette opp en lukket tjeneste for intern kommunikasjon i egen virksomhet, og dermed tilbys som en del av virksomhetens interne tjenester. Her er det viktig ikke å forveksle en åpen offentlig tjeneste med en lukket sikker tjeneste da utforming og funksjonalitet kan ha store likhetstrekk.

Om apper og digital sikkerhet generelt

Virksomheten bør alltid gjøre en risikovurdering av alle apper som skal tillates installert på tjenesteenheter.

For virksomheten er det vesentlig å vurdere

• hvilke opplysninger appen kan fange opp om brukeren
• om appen kan fange opp informasjon uten at brukeren har gitt et informert samtykke
• om appen kan utnyttes til å kompromittere noen av virksomhetens digitale tjenester eller infrastruktur

Et tiltak for å redusere risiko er å plassere apper som behandler virksomhetsintern informasjon i egne «kontainere» (kontainerisering). Det gir hver applikasjon et eget isolert område, hvor den har alt den trenger for å kjøre samtidig som den er beskyttet fra andre applikasjoner. Det er også viktig med tiltak som bidrar til at alle medarbeidere i virksomheten er bevisst på skillet mellom privat og virksomhetsintern informasjon.

Anbefalt praksis er at digitale enheter skal oppdatere programvare automatisk slik at sårbarheter og feil som leverandøren retter, fortløpende blir oppdatert på brukernes enheter. Det medfører også at ny funksjonalitet distribueres, og at apper automatisk kan få nye egenskaper. Virksomheten må derfor gjøre en løpende risikovurdering av alle apper som oppdateres automatisk.

Det kan være stor usikkerhet knyttet til vurderingen av en enkelt app. Dette gjør at vurderingen av mulige uønskede konsekvenser må vektlegges. Muligheten for alvorlige konsekvenser er tilstrekkelig grunnlag for å følge «føre var»-prinsippet.

Noen vesentlige faktorer i vurderingen av apper

Det er viktig å merke seg at mange apper gir mulighet for å åpne vanlige nettsider. Dette gjøres ofte i appens egen nettleser, og ikke i nettleseren brukeren vanligvis benytter. Derfor må risikovurderingen av en app for sosiale medier også omfatte andre tjenester brukeren kan nå gjennom appen. Appens innebygde nettleser kan ha andre og mer alvorlige sårbarheter enn den nettleseren som er satt opp som standard for enheten.

Det er også viktig å vurdere hvilke opplysninger som overføres eller deles mellom forskjellige apper. Enkelte tilbydere av sosiale medier har bygget et økosystem av tjenester som deler informasjon om brukere og den enkelte brukers handlingsmønster knyttet til samtlige tjenester.

Denne innsamlingen av opplysninger gjør det også nødvendig å vurdere risiko dersom ansatte, fra virksomhetens enheter, logger seg inn med sin private bruker på forskjellige webtjenester. Dette gjelder også når apper for de samme tjenestene ikke er installert på virksomhetens enheter.

Om meldingsapper

Det er vesentlig at meldingsapper bruker ende-til-ende-kryptering med en tilstrekkelig sterk algoritme og nøkkellengde. Dersom tjenesten tillater at brukere unntaksvis kan sende meldinger ukryptert, må dette være tydelig markert i appens brukergrensesnitt.
Det er også nødvendig å vurdere hvordan nye brukere blir registrert i meldingstjenesten. Har tjenesten etablert gode rutiner for å håndtere tilfeller der brukere på falskt grunnlag utgir seg for å være ansatt i en virksomhet?

Instruks og opplæring for ansatte

Det er viktig at virksomheten aktivt bidrar til at de ansatte har god risikoforståelse når det gjelder oppgavene de utfører og informasjonen de håndterer i arbeid for virksomheten. God, tydelig og tidlig informasjon om dette temaet er et bidrag til at virksomheten utvikler en god sikkerhetskultur.

Virksomheten må etablere gode rutiner for hvordan brukerkontoer i sosiale medier skal håndteres når ansatte slutter. Dette gjelder både kontoer som formelt eies av virksomheten, og eventuelle rettigheter som virksomheten midlertidig har gitt en konto som tilhører de enkelte medarbeidere i virksomheten. Virksomheten bør også ha etablert klare regler for eventuell bruk av virksomhetens navn og varemerker på medarbeideres private kontoer, slik at det ikke oppstår tvil om kontoen representerer virksomheten eller en privatperson.

Mobile enheter og tjenestemobiler

• Mobile enheter er mobiltelefoner, nettbrett, bærbare datamaskiner og lignende utstyr. 
• Betegnelsen tjenesteenhet, hvor det ofte dreier seg om tjenestetelefon, brukes når utgifter til utstyr og abonnementer er dekket for å dekke tjenstlig behov. Også utstyr som arbeidsgiver midlertidig låner ut til ansatte er tjenesteenheter.
• Det er ikke noe krav om at én enkelt enhet skal dekke alle tjenstlige behov. Det kan være hensiktsmessig å skille mellom ordinære tjenesteenheter og slike tjenesteenheter som kun skal brukes til spesielle formål.

Fem effektive tiltak mot dataangrep

https://nsm.no/fagomrader/digital-sikkerhet/rad-og-anbefalinger-innenfor-digital-sikkerhet/5tiltak

Beskytt deg!

https://www.politiet.no/rad/beskytt-deg-mot-svindel-og-id-tyveri/#raad-til-deg-som-er-rammet-av-id-tyveri-button