← До повного змісту CIS Apple iPadOS 26 Benchmark

CIS Benchmark

CIS Benchmark • Apple iPadOS 26 v1.0.0

2. Профілі конфігурації для власних пристроїв (BYOD)

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Профілі конфігурації для власних пристроїв (BYOD)».

Рекомендацій: 35

iPadOS 26 v1.0.0

2.1.1 Переконайтеся, що «Повідомлення про згоду» було «налаштовано» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure a “Consent Message” has been “Configured” (Automated)
        

Ця рекомендація стосується конфігурації повідомлення про згоду, яке показано на час встановлення профілю конфігурації. Як правило, реєстрація пристроїв у рішення для керування мобільними пристроями (MDM). вимагає від користувачів надання свого схвалення. Таке схвалення може звільнити від необхідності згоди повідомлення. Зареєстрований MDM має бути схваленою організацією MDM.

💡 Обґрунтування безпеки:

У цьому розділі контрольного тесту рекомендації стосуються пристроїв, які належать кінцевий користувач. Вони добровільно приймають профіль конфігурації, і це повинно бути надав явну можливість дати згоду.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Загальні.
На правій панелі вікна переконайтеся, що під заголовком «Повідомлення про згоду» налаштовано відповідне повідомлення про згоду. Немає способу визначити, чи встановлений профіль конфігурації містив повідомлення згоди від пристрою.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Загальні.
На правій панелі вікна під заголовком «Повідомлення про згоду» вставте відповідне повідомлення про згоду.
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.1
IG 1, 2, 3

Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3

Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

2.1.2 Переконайтеся, що для параметра «Контролює, коли профіль можна видалити» встановлено значення «Завжди» (Вручну)

Level 1Вручну

            Оригінал: Ensure “Controls when the profile can be removed” is set to  “Always” (Manual)
        

Ця рекомендація стосується видалення певного профілю конфігурації.

💡 Обґрунтування безпеки:

У цьому розділі контрольного тесту рекомендації стосуються пристроїв, які належать кінцевий користувач. Вони добровільно приймають профіль конфігурації та мають бути в змозі щоб видалити його за бажанням.

⚠️ Вплив на робочий процес (Impact):

Якщо користувач видаляє профіль конфігурації, це може вплинути на обидва організація та користувач: перший може втратити видимість/контроль над пристроєм, яким він володіє користувачем, тоді як останній може втратити доступ до систем через видалення профіль конфігурації.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Загальні.
На правій панелі вікна переконайтеся, що під заголовком «Безпека» для меню «Контролювання, коли профіль можна видалити» встановлено значення «Завжди». Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
У нижній частині екрана відображається «Перевірте видалення профілю».

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Загальні.
На правій панелі вікна під заголовком «Безпека» встановіть для параметра «Керування, коли профіль можна видалити» значення «Завжди».
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.1
IG 1, 2, 3

CIS Controls V7: 5.1
IG 1, 2, 3

Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

2.2.1.1 Переконайтеся, що для параметра «Дозволити голосовий набір, коли пристрій заблоковано» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Allow voice dialing while device is locked” is set  to “Disabled” (Automated)
        

Ця рекомендація стосується ініціювання телефонних дзвінків, коли пристрій заблоковано. Голос набір обробляється окремо від Siri.

💡 Обґрунтування безпеки:

Дозвіл на дзвінки із заблокованого пристрою може призвести до імітації пристрою власник.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити голосовий набір, коли пристрій заблоковано. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Підтвердити Голосовий набір під час блокування заборонено.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити голосовий набір, коли пристрій заблоковано.
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.3
IG 1, 2, 3

Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

CIS Controls V7: 16.11
IG 1, 2, 3

Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

2.2.1.2 Переконайтеся, що для параметра «Дозволити Siri, коли пристрій заблоковано» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Allow Siri while device is locked” is set to  “Disabled” (Automated)
        

Ця рекомендація стосується доступу до Siri, коли пристрій заблоковано.

💡 Обґрунтування безпеки:

Доступ до Siri на заблокованому пристрої може дозволити неавторизованим користувачам отримати доступ до інформації іншим чином недоступні для них, як-от обмін повідомленнями, контакти та багато іншого даних.

⚠️ Вплив на робочий процес (Impact):

Кінцевий користувач повинен розблокувати пристрій перед взаємодією з Siri.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити Siri, коли пристрій заблоковано. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Підтвердити, що Siri заблоковано заборонено.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити Siri, коли пристрій заблоковано».
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.3
IG 1, 2, 3

CIS Controls V7: 16.11
IG 1, 2, 3

Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

2.2.1.3 Переконайтеся, що для параметра «Дозволити керованим програмам зберігати дані в iCloud» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Allow managed apps to store data in iCloud” is  set to “Disabled” (Automated)
        

Ця рекомендація стосується керованих програм, які зберігають і синхронізують дані через iCloud.

💡 Обґрунтування безпеки:

Ця рекомендація спрямована на захист від витоку даних. Вона не дозволяє користувачеві встановлювати керовані організацією корпоративні додатки на персональний пристрій та запобігає синхронізації даних керованої програми з особистим некерованим додатком через iCloud.

⚠️ Вплив на робочий процес (Impact):

Синхронізація даних керованих програм між кількома керованими пристроями не буде можливо.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити керованим програмам зберігати дані в iCloud. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Підтвердьте, що хмарна синхронізація керованих програм заборонена.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити керованим програмам зберігати дані в iCloud».
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 2.3
IG 1, 2, 3

Address Unauthorized Software Ensure that unauthorized software is either removed from use on enterprise assets or receives a documented exception. Review monthly, or more frequently.

CIS Controls V7: 13.4
IG 1, 2

Only Allow Access to Authorized Cloud Storage or Email Providers Only allow access to authorized cloud storage or email providers.

2.2.1.4 Переконайтеся, що для параметра «Примусово створювати зашифровані резервні копії» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Force encrypted backups” is set to “Enabled” (Automated)
        

Ця рекомендація стосується шифрування резервних копій iTunes для пристроїв iOS і iPadOS.

💡 Обґрунтування безпеки:

Доступ до даних, які безпечно зберігаються на пристрої iOS або iPadOS, може бути тривіальним з резервної копії локального комп’ютера. Примусове шифрування резервних копій захищає дані від бути скомпрометованим, якщо скомпрометовано локальний хост-комп’ютер. Настійно рекомендується використовувати резервні копії, оскільки вони дозволяють користувачеві створити копію даних, які можна відновити у разі збоїв, таких як збій апаратного чи програмного забезпечення, даних пошкодження, подія, спричинена людиною, або випадкове видалення даних. Резервні копії дозволяють дані, які потрібно відновити з попереднього моменту часу, щоб допомогти у відновленні з несподівана подія.

⚠️ Вплив на робочий процес (Impact):

Кінцеві користувачі повинні налаштувати пароль для зашифрованої резервної копії, складність якої не керується.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» встановлено прапорець «Примусово створювати зашифровані резервні копії». Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Відобразиться повідомлення Confirm Encrypted backups enforced.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці Функціональні можливості поставте прапорець біля пункту Примусово створювати зашифровані резервні копії.
Розгорніть профіль конфігурації. Додаткова інформація. Ця функція не застосовується до резервних копій iCloud. Apple шифрує резервні копії iCloud під час передавання та зберігання.

ℹ️ Додаткова інженерна інформація (Additional Information):

Ця функція не застосовується до резервних копій iCloud. Apple шифрує резервні копії iCloud під час передавання та зберігання.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 11.3
IG 1, 2, 3

Protect Recovery Data Protect recovery data with equivalent controls to the original data. Reference encryption or data separation, based on requirements.

CIS Controls V7: 10.4
IG 1, 2, 3

Ensure Protection of Backups Ensure that backups are properly protected via physical security or encryption when they are stored, as well as when they are moved across the network. This includes remote backups and cloud services.

2.2.1.5 Переконайтеся, що для параметра «Дозволити персоналізовану рекламу від Apple» встановлено значення «Вимкнено» (Вручну)

Level 1Вручну

            Оригінал: Ensure “Allow personalized ads delivered by Apple” is set  to “Disabled” (Manual)
        

Apple надає структуру, яка дозволяє рекламодавцям орієнтуватися на користувачів Apple рекламні оголошення, релевантні їм та їхнім інтересам за допомогою унікального ідентифікатора. для така персоналізована реклама буде доставлена, однак детальна інформація є збираються, співвідносяться та надаються рекламодавцям. Ця інформація є цінною для як рекламодавців, так і зловмисників і використовувався з іншими метаданими для виявлення користувачів ідентичності.

💡 Обґрунтування безпеки:

Вимкнення використання унікального ідентифікатора допомагає перешкоджати відстеженню користувачів, що, у свою чергу підтримує захист даних користувача.

⚠️ Вплив на робочий процес (Impact):

Користувачі бачитимуть загальну рекламу, а не цільову рекламу. Apple попереджає, що це зменшить кількість релевантних оголошень.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити персоналізовану рекламу від Apple. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Підтвердьте, що персоналізована реклама Apple заборонена.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити персоналізовану рекламу від Apple».
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.8
IG 1, 2

Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2

Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.2.1.6 Переконайтеся, що для параметра «Дозволити користувачам приймати ненадійні сертифікати TLS» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Allow users to accept untrusted TLS certificates”  is set to “Disabled” (Automated)
        

Ця рекомендація стосується прийняття ненадійних сертифікатів TLS.

💡 Обґрунтування безпеки:

Пристрої iOS підтримують список довірених коренів сертифікатів TLS. Організація може додати власні сертифікати до списку за допомогою профілю конфігурації. Дозволити користувачам обходити що список і прийняття самопідписаних або іншим чином неперевірених сертифікатів може збільшити ймовірність інциденту.

⚠️ Вплив на робочий процес (Impact):

Пристрій автоматично відхиляє ненадійні сертифікати HTTPS без запиту користувача. Сервіси, які використовують самопідписані сертифікати, не працюватимуть.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити користувачам приймати ненадійні сертифікати TLS. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Підтвердити Встановлення ненадійних з’єднань TLS заборонено.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити користувачам приймати ненадійні сертифікати TLS».
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.1
IG 1, 2, 3

CIS Controls V7: 5.1
IG 1, 2, 3

Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

2.2.1.7 Переконайтеся, що для параметра «Примусова автоматична дата й час» встановлено значення «Увімкнено» (Вручну)

Level 1Вручну

            Оригінал: Ensure “Force automatic date and time” is set to  “Enabled” (Manual)
        

На пристроях під керуванням iOS 12 і новіших версій можна автоматично встановити дату й час. Часовий пояс оновлюється лише тоді, коли пристрій може визначити своє місцезнаходження, наприклад, коли a пристрій має стільникове з’єднання або з’єднання Wi-Fi із увімкненими службами визначення місцезнаходження.

💡 Обґрунтування безпеки:

Правильні налаштування дати та часу потрібні для протоколів автентифікації, створення файлів, дати модифікації та записи журналу.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр увімкнено, користувачі не можуть вимкнути параметр «Установити автоматично» в розділі «Загальні» > Дата й час

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» встановлено прапорець «Примусово автоматично встановлювати дату й час». Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Відобразиться повідомлення «Підтвердити». Автоматичні дата й час застосовані.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці Функціональні можливості встановіть прапорець Примусово автоматично встановлювати дату й час.
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 8.4
IG 1, 2

Standardize Time Synchronization Standardize time synchronization. Configure at least two synchronized time sources across enterprise assets, where supported.

CIS Controls V7: 6.1
IG 1, 2

Utilize Three Synchronized Time Sources Use at least three synchronized time sources from which all servers and network devices retrieve time information on a regular basis so that timestamps in logs are consistent.

2.2.1.8 Переконайтеся, що для параметра «Дозволити документи з керованих джерел у некерованих місцях призначення» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Allow documents from managed sources in  unmanaged destinations” is set to “Disabled” (Automated)
        

Ця рекомендація стосується впровадження керованих програм Apple. Терміни «керований» і «некерований» стосуються створених класифікацій програм через функцію Managed Open In, представлену в iOS 7. Managed Open In забезпечує для контейнеризації даних. Інституційно забезпечені програми позначаються як керований. Програми, вибрані кінцевим користувачем, позначаються як некеровані.

💡 Обґрунтування безпеки:

Обмеження передачі даних із простору керованих установчих програм до некерований простір користувача може запобігти витоку даних.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити документи з керованих джерел у некерованих цілях. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Підтвердьте Відкривання документів із керованих і некерованих програм заборонено.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити документи з керованих джерел у некерованих місцях призначення.
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 3.3
IG 1, 2, 3

Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3

Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

2.2.1.9 Переконайтеся, що для параметра «Дозволити документи з некерованих джерел у керованих місцях призначення» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Allow documents from unmanaged sources in  managed destinations” is set to “Disabled” (Automated)
        

💡 Обґрунтування безпеки:

Обмеження передачі даних із некерованого простору програми користувача до керованого інституційний простір обмежує інституційні ресурси від використання для особистого використання.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити документи з некерованих джерел у керованих місцях призначення. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Підтвердити Відображається повідомлення «Відкривати документи з некерованих до керованих програм заборонено».

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити документи з некерованих джерел у керованих місцях призначення.
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 3.3
IG 1, 2, 3

CIS Controls V7: 14.6
IG 1, 2, 3

2.2.1.10 Переконайтеся, що для параметра «Розглядати AirDrop як некерований пункт призначення» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Treat AirDrop as unmanaged destination” is set  to “Enabled” (Automated)
        

Ця рекомендація стосується AirDrop у контексті керованої програми Apple впровадження. Терміни «керований» і «некерований» стосуються створених класифікацій програм через функцію Managed Open In, представлену в iOS 7. Managed Open In забезпечує для контейнеризації даних. Інституційно забезпечені програми позначаються як керований. Програми, вибрані кінцевим користувачем, позначаються як некеровані.

💡 Обґрунтування безпеки:

Якщо AirDrop дозволено як керований пункт призначення, конфіденційні дані можуть бути переміщені звідти керований простір програм на некерований пристрій.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
Переконайтеся, що на правій панелі вікна на вкладці Функціональні можливості встановлено прапорець Розглядати AirDrop як некерований пункт призначення. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Відобразиться повідомлення Підтвердити, що спільний доступ до керованих документів за допомогою AirDrop заборонено.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці Функціональні можливості встановіть прапорець «Вважати AirDrop некерованим місцем призначення».
Розгорніть профіль конфігурації. Додаткова інформація. Зауважте, що ця функція конкретно згадує призначення, а не джерело. Дотримання цієї рекомендації не запобігає підключенню AirDrop до керованого простору програм, а лише підключенням AirDrop поза керованим простором програм.

ℹ️ Додаткова інженерна інформація (Additional Information):

Зауважте, що ця функція конкретно згадує призначення, а не джерело. Дотримання цієї рекомендації не запобігає підключенню AirDrop до керованого простору програм, а лише підключенням AirDrop поза керованим простором програм.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 3.3
IG 1, 2, 3

CIS Controls V7: 14.6
IG 1, 2, 3

2.2.1.11 Переконайтеся, що для параметра «Дозволити передачу обслуговування» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Allow Handoff” is set to “Disabled” (Automated)
        

Ця рекомендація стосується механізму обміну даними Apple Handoff.

💡 Обґрунтування безпеки:

Handoff не забезпечує дотримання меж керованих програм. Це дозволяє керувати дані програми, які потрібно перемістити в некерований простір програм на іншому пристрої, що може призвести до витоку даних.

⚠️ Вплив на робочий процес (Impact):

Кінцеві користувачі можуть відчувати незручності, вимикаючи Handoff на своїх особистих пристроях.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити передачу. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Відобразиться повідомлення Confirm Handoff not allowed.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити передачу».
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 3.3
IG 1, 2, 3

CIS Controls V7: 14.6
IG 1, 2, 3

2.2.1.12 Переконайтеся, що для параметра «Дозволити надсилання діагностичних даних і даних про використання в Apple» встановлено значення «Вимкнено» (Вручну)

Level 1Вручну

            Оригінал: Ensure “Allow sending diagnostic and usage data to  Apple” is set to “Disabled” (Manual)
        

Apple надає механізм для надсилання їм діагностичних і аналітичних даних замовити допомогу у вдосконаленні платформи. Ця інформація, надіслана до Apple, може містити внутрішню інформацію організаційна інформація, яка не повинна розкриватися третім особам.

💡 Обґрунтування безпеки:

Організації повинні знати, чим ділиться з постачальниками та іншою стороною сторони, а також повинні повністю контролювати те, що розкривається.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити надсилання діагностичних даних і даних про використання до Apple. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Відображається підтвердження Діагностичне надсилання заборонено.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити надсилання діагностичних даних і даних про використання в Apple».
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.8
IG 1, 2

CIS Controls V7: 9.2
IG 1, 2

Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.2.1.13 Переконайтеся, що для параметра «Примусове виявлення зап’ястя Apple Watch» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Force Apple Watch wrist detection” is set to  “Enabled” (Automated)
        

Ця рекомендація стосується налаштування виявлення зап’ястя на сполучених Apple Watch.

💡 Обґрунтування безпеки:

Розпізнавання зап’ястя запобігає доступу до інформації знятим Apple Watch інакше недоступні.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» встановлено прапорець «Примусово розпізнавати зап’ястя Apple Watch». Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Відображається Підтвердити виявлення зап’ястя, застосоване на Apple Watch.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці Функціональні можливості встановіть прапорець Примусово розпізнавати зап’ястя Apple Watch.
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 3.3
IG 1, 2, 3

CIS Controls V7: 14.6
IG 1, 2, 3

2.2.1.14 Переконайтеся, що для параметра «Показувати центр керування на екрані блокування» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Show Control Center in Lock screen” is set to  “Disabled” (Automated)
        

Ця рекомендація стосується відображення Центру керування на екрані блокування.

💡 Обґрунтування безпеки:

Якщо пристрій втрачено або викрадено, центр керування може бути використаний для ввімкнення літака режимі, таким чином запобігаючи місцезнаходження або видалення пристрою. Вимкнення Центру керування змушує a зловмисник вимикає живлення пристрою, який потім скидає ключ шифрування пам’ять. Це ускладнює деякі атаки, засновані на фізичному володінні.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець «Показувати центр керування на екрані блокування». Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Підтвердити Центр керування на екрані блокування не дозволено

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці «Функція» зніміть прапорець «Показувати центр керування на екрані блокування».
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.3
IG 1, 2, 3

CIS Controls V7: 16.11
IG 1, 2, 3

Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

2.2.1.15 Переконайтеся, що для параметра «Показувати центр сповіщень на екрані блокування» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Show Notification Center in Lock screen” is set  to “Disabled” (Automated)
        

Ця рекомендація стосується відображення Центру повідомлень на екрані блокування.

💡 Обґрунтування безпеки:

Повинен бути зв’язок між операційною системою та програмами для користувача контролюється, щоб запобігти витоку даних або використанню. Наприклад, якийсь двофакторний програми автентифікації нададуть можливість дозволити вхід із нового пристрою центр сповіщень на екрані блокування.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» знято прапорець «Показувати центр сповіщень на екрані блокування». Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Підтвердити Відображення сповіщень на екрані блокування заборонено.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці «Функція» зніміть прапорець «Показувати центр сповіщень на екрані блокування».
Розгорніть профіль конфігурації.Загальна додаткова інформація: Налаштування сповіщень для кожної програми, описані далі в контрольному тесті, можна використовувати замість вимкнення Центру сповіщень на екрані блокування. Це слід робити, лише якщо є впевненість, що можна керувати всіма програмами, які створюють конфіденційні сповіщення.

ℹ️ Додаткова інженерна інформація (Additional Information):

Налаштування сповіщень для кожної програми, описані далі в контрольному тесті, можна використовувати замість вимкнення Центру сповіщень на екрані блокування. Це слід робити, лише якщо є впевненість, що можна керувати всіма програмами, які створюють конфіденційні сповіщення.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.3
IG 1, 2, 3

CIS Controls V7: 16.11
IG 1, 2, 3

Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

2.2.2.1 Переконайтеся, що для параметра «Примусове попередження про шахрайство» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Force fraud warning” is set to “Enabled” (Automated)
        

Ця рекомендація стосується функції Safari, яка попереджає кінцевих користувачів про відвідування ймовірних шахрайських веб-сайтів.

💡 Обґрунтування безпеки:

Шахрайські веб-сайти маскуються під законні фінансові, ділові чи інші випадки конфіденційні сайти. Вони призначені для захоплення облікових даних користувача, часто за допомогою фішингу кампанії. Функція попередження Safari про шахрайські веб-сайти допомагає захистити кінцевих користувачів від такі сайти.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна переконайтеся, що на вкладці «Програми» встановлено прапорець «Примусово попереджати про шахрайство». Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Підтвердьте, що Safari попередження про шахрайство виконано.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці «Програми» поставте прапорець «Примусово попереджати про шахрайство».
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 9.4
IG 1, 2

Restrict Unnecessary or Unauthorized Browser and Email Client Extensions Restrict, either through uninstalling or disabling, any unauthorized or unnecessary browser or email client plugins, extensions, and add-on applications.

CIS Controls V7: 7.2
IG 1, 2

Disable Unnecessary or Unauthorized Browser or Email Client Plugins Uninstall or disable any unauthorized browser or email client plugins or add- on applications.

2.2.2.2 Переконайтеся, що для параметра «Приймати файли cookie» встановлено значення «З веб-сайтів, які я відвідую» або «Лише з поточного веб-сайту» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Accept cookies” is set to “From websites I visit” or  “From current website only” (Automated)
        

Ця рекомендація стосується автоматичного прийняття сторонніх файлів cookie.

💡 Обґрунтування безпеки:

Прийняття файлів cookie може дозволити веб-серверам взаємодіяти з іншими файлами cookie, які вже є. Наприклад, експлойт файлів cookie HEIST дозволяє отримувати дані з файлів cookie, які зберігаються на пристрій. Файли cookie часто відповідають неправильним методам кодування та включають автентифікацію властивості. Обмеження прийняття файлів cookie лише файлами із сайтів, які навмисно відвідали зменшує ймовірність потенційного використання.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна переконайтеся, що на вкладці «Програми» для меню «Прийняти файли cookie» встановлено значення «З веб-сайтів, які я відвідую» або «Лише з поточного веб-сайту». Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Відобразиться повідомлення Confirm Cookie policy enforced.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Обмеження.
На правій панелі вікна на вкладці Програми встановіть для меню Приймати файли cookie значення З веб-сайтів, які я відвідую, або Лише з поточного веб-сайту.
Розгорніть профіль конфігурації.загальна додаткова інформація: із веб-сайтів, які я відвідую, приймає файли cookie з поточного домену та будь-якого домену, який ви відвідали. З поточного веб-сайту приймає лише файли cookie з поточного домену.

ℹ️ Додаткова інженерна інформація (Additional Information):

З веб-сайтів, які я відвідую, приймає файли cookie з поточного домену та будь-якого домену, який ви відвідали. З поточного веб-сайту приймає лише файли cookie з поточного домену.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 9.4
IG 1, 2

CIS Controls V7: 7.2
IG 1, 2

Disable Unnecessary or Unauthorized Browser or Email Client Plugins Uninstall or disable any unauthorized browser or email client plugins or add- on applications.

2.3.1 Переконайтеся, що для параметра «Керовані веб-домени Safari» встановлено значення «Налаштовано» (Вручну)

Level 1Вручну

            Оригінал: Ensure “Managed Safari Web Domains” is “Configured” (Manual)
        

Ця рекомендація стосується як Safari, так і Mobile Device Management (MDM) розгорнуті браузери, враховуватимуть певні шаблони URL для керованої програми лише пробіли.

💡 Обґрунтування безпеки:

Конфіденційні файли, доступні з веб-сайту, можуть бути завантажені в некерований простори програм за замовчуванням. Налаштувавши певні домени, які має Safari Вважаючи керованим, установа може підтримувати безпечну контейнеризацію своїх даних.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Домени.
На правій панелі вікна переконайтеся, що в розділі Managed Safari Web Domains налаштовано кожен відповідний шаблон URL-адреси.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Домени.
На правій панелі вікна в розділі «Керовані веб-домени Safari» введіть відповідні шаблони URL-адрес.
Розгорніть профіль конфігурації. Додаткова інформація: для підвищення ефективності цю рекомендацію слід поєднати з чорним списком веб-браузерів, які не розгорнуті через MDM.

ℹ️ Додаткова інженерна інформація (Additional Information):

Для підвищення ефективності цю рекомендацію слід поєднати з чорним списком веб-браузерів, які не розгорнуті через MDM. Тільки внутрішні – загальні

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 3.3
IG 1, 2, 3

CIS Controls V7: 14.6
IG 1, 2, 3

2.4.1 Переконайтеся, що для параметра «Дозволити просте значення» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Allow simple value” is set to “Disabled” (Automated)
        

Ця рекомендація стосується вимог до пароля. Визначено простий пароль містить символи, що повторюються, або символи, що збільшуються/зменшуються (наприклад, 123 або CBA).

💡 Обґрунтування безпеки:

Прості коди доступу включають повторювані, зростаючі або спадні послідовності символів це можна легко здогадатися.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пароль.
На правій панелі вікна переконайтеся, що прапорець Дозволити просте значення знято. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Натисніть Пароль.
Підтвердьте, що дозволені прості паролі відображається No.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пароль.
На правій панелі вікна зніміть прапорець Дозволити просте значення.
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 5.2
IG 1, 2, 3

Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

CIS Controls V7: 4.4
IG 1, 2

Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

2.4.2 Переконайтеся, що для параметра «Вимагати буквено-цифрове значення» встановлено значення «Увімкнено» (Вручну)

Level 1Вручну

            Оригінал: Ensure “Require alphanumeric value” is set to “Enabled” (Manual)
        

Паролі, встановлені користувачами, повинні містити принаймні одну букву та одну цифру.

💡 Обґрунтування безпеки:

Складні паролі є більш стійкими проти осіб, які хочуть до них отримати несанкціонований доступ система.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пароль.
Переконайтеся, що на правій панелі вікна встановлено прапорець Вимагати буквено-цифрове значення. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Натисніть Пароль.
Confirm Require alphanumeric value displays Yes.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пароль.
На правій панелі вікна встановіть прапорець Вимагати буквено-цифрове значення.
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 5.2
IG 1, 2, 3

CIS Controls V7: 4.4
IG 1, 2

Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

2.4.3 Переконайтеся, що для параметра «Мінімальна довжина пароля» встановлено значення «6» або більше (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Minimum passcode length” is set to a value of “6”  or greater (Automated)
        

Ця рекомендація стосується мінімальної довжини пароля.

💡 Обґрунтування безпеки:

Вимагання мінімальної довжини щонайменше шести символів забезпечує розумну гарантію проти атаки з паролем.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пароль.
На правій панелі вікна переконайтеся, що для параметра Мінімальна довжина пароля встановлено значення 6 або більше. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Натисніть Пароль.
Підтвердити Мінімальна довжина відображає 6 або більше.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пароль.
На правій панелі вікна встановіть мінімальну довжину пароля на 6 або більше.
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 5.2
IG 1, 2, 3

CIS Controls V7: 4.4
IG 1, 2

Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

2.4.4 Переконайтеся, що для параметра «Максимальне автоматичне блокування» встановлено значення «2 хвилини» або менше (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Maximum Auto-Lock” is set to “2 minutes” or less (Automated)
        

Ця рекомендація стосується максимальної кількості хвилин, які може залишитися на пристрої неактивний до автоматичного блокування. Примітка. Ця рекомендація стосується максимального автоматичного блокування, що відповідає інтерфейсу мову, але пристрої iOS і iPadOS вважають функцію автоматичного блокування рівною 2 хвилини.

💡 Обґрунтування безпеки:

Автоматичне блокування пристрою після короткого періоду бездіяльності зменшує ймовірність доступу зловмисника до пристрою без введення пароля.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пароль.
На правій панелі вікна переконайтеся, що максимальне автоблокування встановлено на 2 хвилини. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Натисніть Пароль.
Підтвердьте, що максимальна бездіяльність відображається через 2 хвилини.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пароль.
На правій панелі вікна встановіть Максимальне автоблокування на 2 хвилини.
Розгорніть профіль конфігурації. Додаткова інформація: це не застосовується під час певних дій, наприклад перегляду фільмів.

ℹ️ Додаткова інженерна інформація (Additional Information):

Це не застосовується під час певних дій, наприклад перегляду фільмів.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.3
IG 1, 2, 3

CIS Controls V7: 16.11
IG 1, 2, 3

Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

2.4.5 Переконайтеся, що для параметра «Максимальний пільговий період для блокування пристрою» встановлено значення «Негайно» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Maximum grace period for device lock” is set to  “Immediately” (Automated)
        

Ця рекомендація стосується часу, протягом якого пристрій можна розблокувати введення пароля після того, як цей пристрій було заблоковано. Пристрої з увімкненим TouchID не допускати пільгового періоду.

💡 Обґрунтування безпеки:

Налаштування максимального пільгового періоду для блокування пристрою на Негайне запобігає неавтентифікований доступ під час пробудження пристрою.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пароль.
На правій панелі вікна переконайтеся, що для параметра Максимальний пільговий період для блокування пристрою встановлено значення Негайно. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Натисніть Пароль.
Негайно підтвердьте максимальний пільговий період.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пароль.
На правій панелі вікна встановіть Максимальний пільговий період для блокування пристрою на Негайно.
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.3
IG 1, 2, 3

CIS Controls V7: 16.11
IG 1, 2, 3

Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

2.4.6 Переконайтеся, що для параметра «Максимальна кількість невдалих спроб» встановлено значення «6» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Maximum number of failed attempts” is set to “6” (Automated)
        

Ця рекомендація стосується кількості спроб входу до автоматичного входу видалення криптографічного ключа пристрою.

💡 Обґрунтування безпеки:

Надмірна кількість спроб ввести неправильний пароль зазвичай свідчить про те, що власник програв фізичний контроль пристрою. У разі такого інциденту стирання шифрування ключ допоможе забезпечити конфіденційність інформації, що зберігається на пристрої.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пароль.
На правій панелі вікна переконайтеся, що Максимальна кількість невдалих спроб встановлено на 6. Або з пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Торкніться <_Назва профілю_>.
Торкніться Обмеження.
Натисніть Пароль.
Відображається 6 підтвердження Максимальна кількість невдалих спроб.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пароль.
На правій панелі вікна встановіть максимальну кількість невдалих спроб на 6.
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.10
IG 1, 2

Enforce Automatic Device Lockout on Portable End- User Devices Enforce automatic device lockout following a predetermined threshold of local failed authentication attempts on portable end-user devices, where supported. For laptops, do not allow more than 20 failed authentication attempts; for tablets and smartphones, no more than 10 failed authentication attempts. Example implementations include Microsoft® InTune Device Lock and Apple® Configuration Profile maxFailedAttempts.

CIS Controls V7: 5.1
IG 1, 2, 3

Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

2.5.1 Переконайтеся, що для параметра «Вимкнути рандомізацію MAC-адрес асоціації» встановлено значення «Налаштовано» (Вручну)

Level 1Вручну

            Оригінал: Ensure “Disable Association MAC Randomization” is  “Configured” (Manual)
        

Ця рекомендація стосується вимкнення рандомізації MAC за потреби. MAC адреси все ще можуть використовуватися як частина управління запасами та можуть бути бажаними на внутрішні мережі. З огляду на конфіденційність користувача слід рекомендувати ввімкнути це налаштування інші мережі.

💡 Обґрунтування безпеки:

Рандомізація MAC-адрес — це функція, доступна з iOS 14 і вмикається за замовчуванням. Хоча ця функція покращує конфіденційність для окремих осіб, використовуючи випадкові та різні адреси для кожної мережі Wi-Fi, це може призвести до проблем у деяких обставин, як-от адаптивні портали, списки контролю доступу на основі MAC-адрес тощо У деяких випадках може знадобитися вимкнути цю функцію. Це налаштування для кожної мережі можна вимкнути лише для певних мереж.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Це налаштування конфігурації для кожної мережі. Аудитор повинен буде визначити, яке рішення підходить для конкретної мережі. З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Wi-Fi.
На правій панелі вікна виберіть відповідну конфігурацію Wi-Fi.
Переконайтеся, що встановлено прапорець Вимкнути рандомізацію MAC-адрес асоціації. З пристрою:
Натисніть Налаштування.
Торкніться Wi-Fi.
Торкніться відповідної мережі.
Переконайтеся, що приватну адресу вимкнено.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Цю процедуру виправлення неможливо виконати за допомогою прапорця, її потрібно застосовувати для кожної мережі відповідно. З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Wi-Fi.
На правій панелі вікна виберіть відповідну конфігурацію Wi-Fi.
На правій панелі вікна встановіть прапорець «Вимкнути випадкову асоціацію MAC».
Розгорніть профіль конфігурації. З пристрою:
Натисніть Налаштування.
Торкніться Wi-Fi.
Торкніться відповідної мережі.
Вимкніть опцію Приватна адреса.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.1
IG 1, 2, 3

CIS Controls V7: 5.1
IG 1, 2, 3

Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

2.6.1 Переконайтеся, що «VPN» «Налаштовано» (Вручну)

Level 1Вручну

            Оригінал: Ensure “VPN” is “Configured” (Manual)
        

Ця рекомендація стосується встановлення віртуальної приватної мережі (VPN) підключення, коли це необхідно.

💡 Обґрунтування безпеки:

Мережа, до якої підключається пристрій, надає важливі послуги, які можуть бути використаний зловмисником. Встановлення VPN зменшує пов’язані з цим ризики шифрування даних під час передачі та використання завідомо хороших мережевих служб, таких як DNS.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Цю процедуру аудиту неможливо виконати за допомогою перевірки прапорця. Як зазначено нижче, конфігурація VPN для кожної програми є кращим рішенням, але загальносистемна VPN також прийнятна. Аудитор повинен буде визначити, яке рішення та в якому обсязі у випадку VPN для кожної програми є відповідним. З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку VPN.
На правій панелі вікна введіть відповідну конфігурацію VPN.
Розгорніть профіль конфігурації. З пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN.
Перевірте конфігурацію.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Цю процедуру виправлення неможливо виконати за допомогою прапорця. Як зазначено нижче, конфігурація VPN для кожної програми є кращим варіантом, але загальносистемна VPN також прийнятна. Необхідно визначити та впровадити відповідне рішення. З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку VPN.
На правій панелі вікна введіть відповідну конфігурацію VPN.
Розгорніть профіль конфігурації. З пристрою:
Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN.
Введіть відповідну конфігурацію VPN.

📋 CIS Controls & Нормативні посилання

https://developer.apple.com/library/content/featuredarticles/iPhoneConfigurationP
rofileRef/Introduction/Introduction.html#//apple_ref/doc/uid/TP40010206-CH1-
SW37
Additional Information:
iOS and iPadOS support both per-application VPN and system-wide VPN. Per-
application configuration is preferred because it is always on, managed entirely through
the configuration profile and/or Mobile Device Management (MDM), and invisible to the
end-user.
CIS Benchmarks do not recommend specific VPN settings, as these depend on each
organization capability, however it strongly suggests industry or governmental guidance
to be followed.
References:
•
https://media.defense.gov/2021/Sep/28/2002863184/-1/-1/0/CSI_SELECTING-
HARDENING-REMOTE-ACCESS-VPNS-20210928.PDF
•
https://www.whitehouse.gov/wp-content/uploads/2021/08/M-21-31-Improving-the-Federal-Governments-Investigative-and-Remediation-Capabilities-Related-
to-Cybersecurity-Incidents.pdf
•
https://support.apple.com/en-ca/guide/deployment-reference-ios/ior9f7b5ff26/web

CIS Controls V8: 3.10
IG 1

Encrypt Sensitive Data in Transit Encrypt sensitive data in transit. Example implementations can include

2.7.1 Переконайтеся, що для параметра «Дозволити користувачеві переміщувати повідомлення з цього облікового запису» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Allow user to move messages from this account” is  set to “Disabled” (Automated)
        

Ця рекомендація стосується того, чи можна перемістити повідомлення з інституційно налаштований обліковий запис електронної пошти на обліковий запис електронної пошти, налаштований кінцевим користувачем. Це також обмежує пересилання або відповідь з іншого облікового запису, ніж той, з якого надійшло повідомлення. Примітка. Ця рекомендація стосується лише облікових записів електронної пошти, налаштованих установою знаходиться на пристрої.

💡 Обґрунтування безпеки:

Дозвіл переміщення повідомлень із керованого облікового запису електронної пошти до некерованого обліковий запис електронної пошти може призвести до витоку даних.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пошта.
На правій панелі вікна переконайтеся, що прапорець Дозволити користувачу переміщувати повідомлення з цього облікового запису знято. З боку пристрою механізму аудиту немає.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пошта.
На правій панелі вікна встановіть прапорець Дозволити користувачеві переміщувати повідомлення з цього облікового запису.

Значення за замовчуванням: Переміщення повідомлень, пересилання та відповідь необмежені.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 3.3
IG 1, 2, 3

CIS Controls V7: 14.6
IG 1, 2, 3

2.7.2 Переконайтеся, що для параметра «Дозволити надсилання пошти» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure “Allow Mail Drop” is set to “Disabled” (Automated)
        

Ця рекомендація стосується того, чи можна завантажити вкладення повідомлення або доступ через службу Apple Mail Drop. Це загальносистемне налаштування заблокувати Mail Drop для будь-яких особистих облікових записів на пристрої за допомогою Apple Mail. Цю рекомендацію не потрібно налаштовувати, якщо ваша організація використовує програму електронної пошти, відмінну від Apple Mail.

💡 Обґрунтування безпеки:

Дозвіл на завантаження вкладених файлів у Mail Drop, що знаходиться поза контролем організації, представляє шлях викрадання даних.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пошта.
На правій панелі вікна переконайтеся, що прапорець «Дозволити надсилання пошти» знято. З боку пристрою механізму аудиту немає.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна натисніть вкладку Пошта.
На правій панелі вікна зніміть прапорець «Дозволити надсилання пошти».

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 3.3
IG 1, 2, 3

CIS Controls V7: 14.6
IG 1, 2, 3

2.8.1 Переконайтеся, що «Налаштування сповіщень» налаштовано для всіх «Керованих програм» (Вручну)

Level 1Вручну

            Оригінал: Ensure “Notification Settings” are configured for all  “Managed Apps” (Manual)
        

Ця рекомендація стосується налаштування параметрів сповіщень на основа заявки.

💡 Обґрунтування безпеки:

Сповіщення можуть містити конфіденційні дані або дозволяти виконувати привілейовані дії місце. Усі керовані програми мають містити чіткі налаштування сповіщень, щоб вирішити ці проблеми.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна клацніть вкладку Сповіщення.
На правій панелі вікна переконайтеся, що кожна керована програма містить запис конфігурації. Або з пристрою:
Натисніть Налаштування.
Торкніться Сповіщення.
Переконайтеся, що керовані програми виділені сірим кольором, щоб вказати, що їхні налаштування сповіщень керовані.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Відкрийте конфігуратор Apple.
Відкрийте профіль конфігурації.
На лівій панелі вікна клацніть вкладку Сповіщення.
На правій панелі вікна клацніть «Налаштувати» та/або клацніть «+», щоб додати налаштування сповіщень для кожної програми.
Розгорніть профіль конфігурації.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.1
IG 1, 2, 3

CIS Controls V7: 5.1
IG 1, 2, 3

Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

2.9.1 Переконайтеся, що розширення зовнішньої розвідки вимкнено (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure External Intelligence Extensions Is Disabled (Automated)
        

External Intelligence Extensions дозволяє Apple Intelligence взаємодіяти з 3 частина генеративних інструментів ШІ. Розширення зовнішнього інтелекту Apple представляє a розрахований ризик. Вони поширюють свою модель конфіденційності та безпеки на пристрої хмара з PCC (Private Cloud Compute), а потім ретельно інтегрується з третьою сторонній штучний інтелект, такий як ChatGPT, який наголошує на згоді користувача, мінімізації даних і сильному договірні зобов’язання. Внутрішня природа надсилання даних до зовнішньої служби означає, що певний ступінь довіри покладається на безпеку та дотримання третьою стороною угоди. Однак надсилання даних до зовнішньої служби становить додатковий ризик повинні бути переглянуті та прийняті в організаційному плані безпеки.

💡 Обґрунтування безпеки:

Хоча Apple доклала значних зусиль для розробки Apple Intelligence з конфіденційністю, Перший підхід, розширення зовнішньої розвідки створює законні ризики безпеці які можуть змусити особу чи організацію вимкнути його.

⚠️ Вплив на робочий процес (Impact):

Користувач втратить можливість використовувати Apple Intelligence для створення абсолютно нового надсилайте текстові повідомлення або отримуйте доступ до більшої кількості ресурсів безпосередньо у своїх програмах. Ви не могли використовувати Siri або Writing Tools, щоб створити складний електронний лист з нуля або створити творчий матеріал вміст, який виходить за межі можливостей пристрою, але потребує використання окремого третього сторонні постачальники ШІ.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

З пристрою,

Натисніть Налаштування.
Натисніть Загальні.
Торкніться VPN і керування пристроями.
Переконайтеся, що встановлений профіль конфігурації має профіль, інстальований з обмеженням Інтеграція зовнішнього інтелекту не дозволена.
Переконайтеся, що в установленому профілі конфігурації також встановлено профіль із обмеженням. Вхід із зовнішніми розвідувальними інтеграціями заборонено.

⚙️ Виправлення (Remediation / Налаштування)

📱 Профіль конфігурації (MDM / Configuration Profile)

Створіть або відредагуйте профіль конфігурації з такою інформацією:
1. Рядок PayloadType — com.apple.applicationaccess
2. Ключ, який потрібно включити, це allowExternalIntelligenceIntegrations
3. Ключ повинен бути встановлений на
4. Другий ключ, який слід включити
allowExternalIntelligenceIntegrationsSignIn
5. Ключ повинен бути встановлений на

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.1
IG 1, 2, 3

CIS Controls V8: 4.8
IG 1, 2

CIS Controls V8: 15.3
IG 1, 2

Classify Service Providers Classify service providers. Classification consideration may include one or more characteristics, such as data sensitivity, data volume, availability requirements, applicable regulations, inherent risk, and mitigated risk. Update and review classifications annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3

Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2

Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.9.2 Переконайтеся, що підсумовування нотаток вимкнено (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure Notes Summarization Is Disabled (Automated)
        

Функція підсумовування нотаток Apple Intelligence швидко згущує вміст усередині Додаток для нотаток. Це включає узагальнення написаного тексту, який ви виділили, або, зокрема, автоматичне створення підсумків із аудіозаписів, зроблених безпосередньо в Notes, як лекції чи зустрічі, допомагаючи вам осягнути ключову інформацію з першого погляду.

💡 Обґрунтування безпеки:

Для безпеки ваших аудіозаписів або нотаток доцільно вимкнути зведення нотаток містять дуже конфіденційну або конфіденційну інформацію. Тоді як Apple зазвичай зберігає ваші дані безпечно, якщо вимкнути цю функцію, цей конфіденційний вміст, особливо з транскрибований аудіо, завжди залишає ваш пристрій для будь-якої обробки штучним інтелектом, надаючи вам максимум контроль над вашими конфіденційними даними.

⚠️ Вплив на робочий процес (Impact):

Якщо ви вимкнете функцію підсумовування нотаток Apple Intelligence, головний вплив буде таким користувач не отримуватиме автоматичні або на вимогу резюме ваших письмових нотаток чи аудіо записи.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Наразі немає спеціального способу перевірити, чи підсумовування нотаток вимкнено через Apple Configurator 2 або через графічний інтерфейс користувача.

⚙️ Виправлення (Remediation / Налаштування)

📱 Профіль конфігурації (MDM / Configuration Profile)

Створіть або відредагуйте профіль конфігурації з такою інформацією:
1. Рядок PayloadType — com.apple.applicationaccess
2. Ключ, який потрібно включити, це allowNotesTranscription
3. Ключ повинен бути встановлений на
4. Другий ключ, який потрібно включити, це allowNotesTranscriptionSummary
5. Ключ повинен бути встановлений на
Тільки внутрішні – загальні

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.1
IG 1, 2, 3

CIS Controls V8: 4.8
IG 1, 2

CIS Controls V8: 15.3
IG 1, 2

CIS Controls V7: 5.1
IG 1, 2, 3

Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2

Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.9.3 Переконайтеся, що зведення пошти вимкнено (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure Mail Summarization Is Disabled (Automated)
        

Функція підсумовування пошти Apple Intelligence використовує штучний інтелект для швидкого ущільнення довгих електронних листів або цілі ланцюжки електронних листів у кілька ключових речень або пунктів. Це автоматично відображається як короткий підсумок під електронними листами у вашій папці “Вхідні”, або ви можете вручну торкнутися a Кнопка «Підсумувати» у відкритому електронному листі, щоб отримати більш детальний огляд комплексу повідомлення та розмови, допомагаючи вам зрозуміти головне з першого погляду без читаючи все.

💡 Обґрунтування безпеки:

Якщо є занепокоєння щодо того, що ваш конфіденційний вміст електронної пошти, навіть якщо для узагальнення, може потенційно буде скеровано до цієї сторонньої служби (навіть із запитами згоди), або якщо ви хочемо уникнути будь-якої можливості обробки серверами Apple даних з дуже конфіденційних даних комунікацій (навіть у межах надійних гарантій PCC), вимкнення цієї функції гарантує вміст вашої електронної пошти обробляється через затверджені організаційні служби та на керованому пристроїв. Це надає пріоритет абсолютному контролю та мінімізує будь-який зовнішній ризик обробки для дуже конфіденційна інформація.

⚠️ Вплив на робочий процес (Impact):

Користувач більше не бачитиме автоматичних коротких підсумків під електронними листами або матиме можливість генерувати їх на вимогу.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Наразі немає спеціального способу перевірити, чи підсумовування пошти вимкнено за допомогою Apple Configurator 2 або за допомогою графічного інтерфейсу користувача.

⚙️ Виправлення (Remediation / Налаштування)

📱 Профіль конфігурації (MDM / Configuration Profile)

Створіть або відредагуйте профіль конфігурації з такою інформацією:
1. Рядок PayloadType — com.apple.applicationaccess
2. Ключ, який потрібно включити, це allowMailSummary
3. Ключ повинен бути встановлений на
Тільки внутрішні – загальні

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.1
IG 1, 2, 3

CIS Controls V8: 4.8
IG 1, 2

CIS Controls V8: 15.3
IG 1, 2

CIS Controls V7: 5.1
IG 1, 2, 3

Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2

Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.9.4 Переконайтеся, що засоби запису вимкнено (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure Writing Tools Is Disabled (Automated)
        

Інструменти Apple Intelligence Writing Tools — це набір інтегрованих функцій на основі ШІ iOS, iPadOS і macOS, що дозволяє користувачам покращувати свій текст за допомогою коректури помилки, переписування вмісту для коригування тону чи стилю, узагальнення довгих уривків у лаконічні форми, і навіть складання нового тексту з нуля. Хоча таких багато безпечно обробляти функції на пристрої, є можливість використовувати Apple приватна хмарна інфраструктура.

💡 Обґрунтування безпеки:

Основний аргумент безпеки для вимкнення інструментів запису Apple Intelligence обертається навколо неприйнятного ризику для третіх сторін і потенціалу для ненавмисний витік даних. Для окремих осіб або організацій, які займаються чутливими, конфіденційні чи регульовані дані, передбачувані ризики впливу третьої сторони, потенційні випадковий витік даних і проблеми з відповідністю часто переважують зручність переваги. Вимкнення цієї функції є раціональним і проактивним заходом безпеки.

⚠️ Вплив на робочий процес (Impact):

Вимкнення інструментів запису Apple Intelligence означає, що ви можете зменшити зручність і ефективність для письма, що змушує вас виконувати ці завдання вручну. Однак це також посилює безпека та конфіденційність, запобігаючи потенційному надсиланню будь-якого тексту за межі пристрою.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Наразі немає спеціального способу перевірити, чи інструменти запису вимкнено через Apple Configurator 2 або через графічний інтерфейс.

⚙️ Виправлення (Remediation / Налаштування)

📱 Профіль конфігурації (MDM / Configuration Profile)

Створіть або відредагуйте профіль конфігурації з такою інформацією:
1. Рядок PayloadType — com.apple.applicationaccess
2. Ключ, який потрібно включити, це allowWritingTools
3. Ключ повинен бути встановлений на
Тільки внутрішні – загальні

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.1
IG 1, 2, 3

CIS Controls V8: 4.8
IG 1, 2

CIS Controls V8: 15.3
IG 1, 2

CIS Controls V7: 5.1
IG 1, 2, 3

Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2

Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.

До повного змісту CIS Apple iPadOS 26 Benchmark →