جداسازی داده‌ها در سیستم‌های عامل چگونه مانع از دسترسی کارفرما به پیام‌های شخصی در گوشی کاری می‌شود؟

اصلی‌ترین گلوگاه در پیاده‌سازی طرح «استفاده از دستگاه شخصی در محیط کار» (BYOD)، میزان اعتماد کارکنان است. اگر نیروی کار تصور کند کارفرما می‌تواند پیام‌های متنی خصوصی یا آلبوم عکس‌هایش را رصد کند، هرگز نرم‌افزارهای سازمانی را روی تلفن همراه شخصی‌اش نصب نخواهد کرد.

در گذشته، این اعتماد صرفاً بر پایه دستورالعمل‌ها و تعهدات اخلاقی شرکت استوار بود. نسل اولیه نرم‌افزارهای مدیریت دستگاه همراه (MDM) مستلزم نظارت تام بر کل گوشی بود؛ یعنی از لحاظ فنی توانایی رصد فعالیت‌های شخصی وجود داشت و کارمند فقط باید امیدوار می‌بود که مدیران فناوری اطلاعات از این اهرم سوءاستفاده نکنند.[3]

اما این معادله اکنون دگرگون شده است. سیستم‌های عامل نوین دیگر برای حفاظت از حریم خصوصی کاربر به خویشتن‌داری کارفرما یا پیکربندی نرم‌افزار MDM متکی نیستند، بلکه این مرزبندی را مستقیماً در سطح هسته سیستم‌عامل (Kernel) پیاده می‌کنند.

اپل و گوگل معماری پلتفرم‌های موبایل خود را به‌گونه‌ای بازطراحی کرده‌اند که داده‌های کاری و شخصی در دو حوزه کاملاً مجزا و ناسازگار تعریف شوند. با این تفکیک، دسترسی به فایل‌های شخصی از طریق پروفایل سازمانی دیگر صرفاً تخلف انضباطی نیست، بلکه از نظر فنی و محاسباتی غیرممکن است.

پایان دوران حریم خصوصی مبتنی بر تعهد شفاهی

این تحول از زمانی آغاز شد که سازمان‌ها دریافتند نظارت تام بر دستگاه با مالکیت خصوصی آن ناهمخوان است. در سیستم‌های سنتی MDM، پیوستن دستگاه به شبکه سازمانی باعث می‌شد نرم‌افزار مربوطه به فهرست کامل اپلیکیشن‌ها و موقعیت مکانی گوشی دسترسی یابد.

این دسترسی گسترده اصطکاک فراوانی به وجود آورد، تا جایی که بسیاری از کارمندان ترجیح می‌دادند دو تلفن همراه مجزا حمل کنند تا حریم خصوصی‌شان محفوظ بماند. در واکنش به این وضعیت، مؤسسه ملی فناوری و استانداردهای آمریکا (NIST) استفاده از سازوکارهای تفکیک محیطی یا کانتینرسازی را برای تحرک‌پذیری سازمانی توصیه کرد.[3]

راهکار نهایی این بود که نقطه کنترلی از کل دستگاه به سطح نرم‌افزار منتقل شود. به جای مدیریت تمام‌عیار تلفن هوشمند، سرور MDM تنها یک محفظه رمزنگاری‌شده اختصاصی را که حاوی اپلیکیشن‌ها و داده‌های شرکتی است، تحت کنترل می‌گیرد.

این روش باعث می‌شود که سرور شرکت فقط با فضای کاری مدیریت‌شده تعامل داشته باشد؛ به‌طوری‌که دسترسی به بخش شخصی دستگاه، فهرست کردن برنامه‌های شخصی یا رهگیری ترافیک شبکه خصوصی کاملاً از دایره نفوذ آن خارج است.

سد رمزنگاری‌شده اپل

شرکت اپل این چالش را در سال ۲۰۱۹ با معرفی قابلیت User Enrollment در نسخه iOS 13 برطرف کرد. برخلاف نظارت همه‌جانبه، این ساختار به‌طور اختصاصی برای مدیریت داده‌های شرکتی طراحی شده و محیط شخصی را کاملاً دست‌نخورده و نامرئی باقی می‌گذارد.[2]

این سازوکار متکی بر یک Managed Apple ID است که در کنار شناسه اپل شخصی فعالیت می‌کند. زمانی که کارمند با مشخصات شرکتی خود وارد می‌شود، سیستم‌عامل فوراً یک درایو نرم‌افزاری مجزا و رمزنگاری‌شده را به این بخش اختصاص می‌دهد.

راهنمای امنیت پلتفرم اپل صراحتاً بیان می‌کند: «طرح User Enrollment امکان حضور هم‌زمان یک اپل آیدی شخصی و یک شناسه مدیریت‌شده را بر روی یک دستگاه واحد فراهم می‌سازد»، و شناسه کاری صرفاً داده‌های مربوط به فضای ابری سازمانی را مدیریت می‌کند.[2]

این بخش از فایل‌سیستم اختصاصی اپل (APFS) در عمل مانند یک درایو مستقل از سیستم‌عامل و داده‌های فردی رفتار می‌کند. تمام برنامه‌های شرکتی، پیوست‌های ایمیل کاری و اطلاعات محرمانه سازمانی، صرفاً در این فضای محافظت‌شده ذخیره می‌گردند.[2]

به دلیل اجرای این تفکیک در سطح سیستم فایل، سرور نظارتی شرکت هیچ روزنه فنی برای ورود به بخش شخصی ندارد. حتی اطلاعات پایه‌ای مانند شماره‌سریال دستگاه، مک‌آدرس یا شناسه یکتای سخت‌افزاری (UDID) در اختیار سرور قرار نگرفته و صرفاً شناسه‌ای مستعار ارسال می‌شود.

افزون بر این، اپل سرور MDM را از مشاهده برنامه‌های نصب‌شده توسط کاربر منع کرده است. پنل نظارت سازمانی تنها وجود برنامه‌هایی را می‌بیند که خود رسماً نصب کرده است؛ بنابراین آرشیو اپلیکیشن‌های فردی کاملاً محرمانه می‌ماند.[2]

سندباکس دو هویتی گوگل

گوگل نیز از سال ۲۰۱۴ و با عرضه اندروید ۵، راهکاری هم‌تراز را تحت عنوان Work Profile ارائه کرد. اندروید به جای اکتفا به تفکیک فایل، از معماری چندکاربره خود برای ایجاد دو هویت کاملاً تفکیک‌شده بر روی یک دستگاه فیزیکی استفاده می‌کند.[1]

هنگام فعال‌سازی پروفایل کاری، اندروید یک محیط ایزوله یا سندباکس امن ایجاد می‌کند تا فرآیندهای سازمانی را از بخش شخصی جدا سازد. اپلیکیشن‌های درون این فضا حق ارتباط با برنامه‌های شخصی را ندارند، مگر آنکه شرکت صراحتاً پلی ایمن برای آن تعریف کرده باشد.

مهندسان گوگل در گزارش امنیتی رسمی اندروید سازمانی تصریح می‌کنند: «هدف اصلی سندباکس این است که داده‌های هر برنامه کاملاً مجزا بماند و از نفوذ هرگونه فرآیند یا نرم‌افزار خارج از این محدوده جلوگیری شود.»[1]

این ایزوله‌سازی به واسطه رمزنگاری همیشگی و خودکار تقویت می‌شود. اندروید کلیدهای رمزنگاری مجزایی بر مبنای استاندارد امنیتی FIPS 140-2 تولید کرده و در حافظه سخت‌افزاری امن (Keystore) نگهداری می‌کند تا استخراج یا رمزگشایی غیرمجاز آن‌ها ناممکن گردد.[1]

تفاوت این دو محیط حتی در ظاهر رابط کاربری نیز هویداست؛ برنامه‌های کاری با نشان یک کیف اداری کوچک مشخص می‌شوند و بستری مستقل دارند. اگر کارمند متنی را از یک پیام‌رسان شخصی کپی کند، سیستم‌عامل مانع چسباندن آن به ایمیل سازمانی می‌شود.[1]

از نگاه سرور نظارتی، پروفایل کاری نقشی برابر با یک دستگاه مستقل ایفا می‌کند. مدیران سیستم می‌توانند سیاست‌های رمز عبور را تحمیل کرده، شبکه اختصاصی (VPN) را فعال سازند یا برنامه‌های شرکتی نصب کنند، اما بخش شخصی کاملاً برای آن‌ها نامرئی است.

فناوری اطلاعات دقیقاً چه داده‌هایی را می‌بیند؟

شناخت مرزهای دسترسی برای پذیرش این روش از سوی کارکنان حیاتی است. در صورت ثبت دستگاه از طریق سازوکارهای مدرن اپل یا اندروید، بخش فناوری اطلاعات صرفاً مدل گوشی، نسخه سیستم‌عامل و وضعیت امنیتی کانتینر کاری را مشاهده می‌کند.

مدیران شبکه می‌توانند اطمینان یابند که دستگاه جیل‌بریک یا روت نشده و آپدیت‌های امنیتی ضروری را دریافت کرده است. آن‌ها همچنین از حجم حافظه اشغال‌شده توسط نرم‌افزارهای سازمانی و پروفایل‌های پیکربندی ارسالی آگاه می‌شوند.

بااین‌حال، فهرست آنچه از دید کارفرما پنهان می‌ماند به‌مراتب طولانی‌تر است: سرور MDM هرگز به آلبوم عکس‌ها، فیلم‌ها و دوربین دسترسی ندارد و امکان بررسی پیامک‌ها، آی‌مسج یا ارتباطات نرم‌افزارهای رمزنگاری‌شده مانند واتس‌اپ را نخواهد داشت.

تاریخچه وب‌گردی در مرورگرهای سافاری و کروم نیز کاملاً محفوظ است. هرچند ترافیک بخش کاری می‌تواند از VPN شرکتی عبور کند، این فرایند به هیچ عنوان ترافیک مرورگر یا اپلیکیشن‌های شخصی کاربر را ثبت یا رصد نمی‌کند.

ردیابی موقعیت مکانی نیز مشمول همین سازوکار ایمن است. سیستم‌های نوین برخلاف نرم‌افزارهای سنتی، دسترسی سرور سازمانی به مختصات مکانی گوشی را مسدود کرده‌اند تا تردد روزمره افراد خارج از ساعت کاری کاملاً شخصی بماند.

مرز کنترل سازمانی و حذف داده‌ها

آزمون واقعی این معماری زمانی است که همکاری کارمند با سازمان قطع شود یا گوشی مفقود گردد. در سامانه‌های نظارتی قدیمی، مدیر شبکه مجبور بود فرمان حذف کامل داده‌ها را صادر کرده و دستگاه را به تنظیمات کارخانه بازگرداند.

در سامانه‌های جدید، حذف کل اطلاعات گوشی از نظر فنی مسدود شده است، زیرا سرور فاقد مجوز لازم برای بازنشانی حافظه اصلی است. در عوض، مدیران صرفاً از امکان «پاک‌سازی انتخابی» (Selective Wipe) استفاده می‌کنند که مستقیماً کانتینر سازمانی را هدف می‌گیرد.[4]

با ارسال این فرمان، سیستم‌عامل فوراً کلیدهای رمزنگاری مربوط به درایو APFS یا پروفایل کاری اندروید را نابود می‌کند. با این اقدام، تمام ایمیل‌ها، اسناد و اپلیکیشن‌های شرکتی در کسری از ثانیه به‌طور دائمی غیرقابل‌دسترس می‌شوند.[2]

این فرایند ظرف چند ثانیه انجام شده و بخش شخصی بدون کوچک‌ترین تغییری باقی می‌ماند؛ بدین معنی که ۱۰۰ درصد اطلاعات شخصی، عکس‌ها و مخاطبان کارمند دست‌نخورده حفظ می‌شود و هم‌زمان ریسک نشت داده‌های تجاری به صفر می‌رسد.

سپر حقوقی در برابر مسئولیت‌های قانونی

تفکیک داده‌ها به این شیوه، نه‌تنها متضمن حقوق پرسنل است، بلکه منافع مستقیم کارفرما را نیز تأمین می‌کند؛ چراکه دسترسی به داده‌های شخصی کارکنان، سازمان را با مسئولیت‌های قانونی و حقوقی سنگینی مواجه می‌سازد.

چنانچه بخش فناوری اطلاعات به سوابق پزشکی، گفتگوهای خصوصی یا برنامه‌های بانکی فرد دسترسی داشته باشد، شرکت مشمول الزامات سخت‌گیرانه حفظ حریم خصوصی از جمله مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR) یا قوانین مشابه ایالتی خواهد شد.[5]

با پیاده‌سازی این ایزوله‌سازی، شرکت‌ها رسماً اثبات می‌کنند که داده‌های شخصی را ذخیره یا پردازش نمی‌کنند. در واقع، این محدودیت فنی در سطح هسته سیستم‌عامل، سپری حقوقی می‌سازد تا سازمان تنها در برابر اطلاعات تجاری خود پاسخگو باشد.[4]

تحول نسل جدید مدیریت تلفن‌های همراه نمونه‌ای برجسته از هم‌پوشانی منافع است: کارکنان حریم خصوصی خود را با تکیه بر اصول ریاضیاتی و رمزنگاری محفوظ می‌بینند و سازمان‌ها نیز امنیت داده‌های کلیدی را بدون پذیرش ریسک‌های نظارت بر کارمندان تثبیت می‌کنند.