← До повного змісту CIS Apple iPadOS 26 Benchmark

CIS Benchmark

CIS Benchmark • Apple iPadOS 26 v1.0.0

3. Профілі конфігурації для корпоративних керованих пристроїв (Supervised)

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Профілі конфігурації для корпоративних керованих пристроїв (Supervised)».


Рекомендацій: 52


iPadOS 26 v1.0.0

3.1.1 Переконайтеся, що для параметра «Контролює, коли профіль можна видалити» встановлено значення «Ніколи» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Controls when the profile can be removed” is set to “Never” (Automated)

Ця рекомендація стосується видалення певного профілю конфігурації. Як правило, реєстрація пристроїв у програмі керування мобільними пристроями (MDM) цього не робить дозволити користувачеві видалити будь-які керовані конфігурації.

💡 Обґрунтування безпеки:

У цьому розділі контрольного тесту рекомендації стосуються пристроїв, які належать установа. Видалення профілю конфігурації має бути на розсуд установа, а не кінцевий користувач, щоб запобігти ослабленню безпеки пристрою та розкриття своїх даних.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Загальні.
  4. На правій панелі вікна переконайтеся, що під заголовком «Безпека» для меню «Контроль, коли профіль можна видалити» встановлено значення «Ніколи». Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Підтвердити видалення профілю не відображається внизу екрана.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Загальні.
  4. На правій панелі вікна під заголовком «Безпека» встановіть для параметра «Керування, коли профіль можна видалити» значення «Ніколи».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

3.2.1.1 Переконайтеся, що для параметра «Дозволити знімки екрана та запис екрана» встановлено значення «Вимкнено» (Вручну)

Level 1Вручну

Оригінал: Ensure “Allow screenshots and screen recording” is set to “Disabled” (Manual)

Ця рекомендація стосується обмеження скріншотів і записів екрана.

💡 Обґрунтування безпеки:

Конфіденційна інформація може відображатися через керовану програму ненавмисно зроблений знімок екрана або запис екрана в некерований простір або навмисно зловмисним інсайдером.

⚠️ Вплив на робочий процес (Impact):

Знімки екрана будуть недоступні для вирішення проблем.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити знімки екрана та запис екрана. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердьте, що відображається повідомлення Зйомка екрана та запис заборонені.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити знімки екрана та запис екрана».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.2.1.2 Переконайтеся, що для параметра «Дозволити голосовий набір, коли пристрій заблоковано» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow voice dialing while device is locked” is set to “Disabled” (Automated)

Ця рекомендація стосується ініціювання телефонних дзвінків, коли пристрій заблоковано. Голос набір обробляється окремо від Siri.

💡 Обґрунтування безпеки:

Дозвіл на дзвінки із заблокованого пристрою може призвести до імітації пристрою власник.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити голосовий набір, коли пристрій заблоковано. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердити Голосовий набір під час блокування заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити голосовий набір, коли пристрій заблоковано.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.3
IG 1, 2, 3
Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

CIS Controls V7: 16.11
IG 1, 2, 3
Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

3.2.1.3 Переконайтеся, що для параметра «Дозволити Siri, коли пристрій заблоковано» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow Siri while device is locked” is set to “Disabled” (Automated)

Ця рекомендація стосується доступу до Siri, коли пристрій заблоковано.

💡 Обґрунтування безпеки:

Доступ до Siri на заблокованому пристрої може дозволити неавторизованим користувачам отримати доступ до інформації іншим чином недоступні для них, як-от обмін повідомленнями, контакти та багато іншого даних.

⚠️ Вплив на робочий процес (Impact):

Кінцевий користувач повинен розблокувати пристрій перед взаємодією з Siri.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити Siri, коли пристрій заблоковано. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердити, що Siri заблоковано заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити Siri, коли пристрій заблоковано».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.3
IG 1, 2, 3
Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

CIS Controls V7: 16.11
IG 1, 2, 3
Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

3.2.1.4 Переконайтеся, що для параметра «Дозволити резервне копіювання iCloud» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow iCloud backup” is set to “Disabled” (Automated)

Ця рекомендація стосується дозволу резервного копіювання iCloud. Ця рекомендація не дозволяє навчальним закладам використовувати iCloud резервне копіювання з пристроями, виданими учням. Через це не рекомендуємо навчальні заклади дозволяють цю рекомендацію для цих пристроїв.

💡 Обґрунтування безпеки:

Резервні копії iCloud шифруються під час передавання та зберігання в інфраструктурі Apple, але немає захисту від відновлення резервної копії на некерованому пристрої. Це потенційно допускає витік даних. Настійно рекомендується використовувати резервні копії, оскільки вони дозволяють користувачеві створити копію даних, які можна відновити у разі збоїв, таких як збій апаратного чи програмного забезпечення, даних пошкодження, або подія, спричинена людиною, або випадкове видалення даних. Резервні копії дозволяють відновити дані з попереднього моменту, щоб полегшити відновлення з несподівана подія.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити резервне копіювання iCloud. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Відобразиться підтвердження резервного копіювання iCloud заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити резервне копіювання iCloud».
  5. Розгорніть профіль конфігурації. Додаткова інформація. Ця рекомендація стосується виключно корпоративних керованих пристроїв (Supervised). Якщо установа покладається на Bring Your Own Device (BYOD), ці пристрої не повинні містити конфіденційних матеріалів, необхідних для захисту на цьому рівні.
ℹ️ Додаткова інженерна інформація (Additional Information):

Ця рекомендація стосується виключно корпоративних керованих пристроїв (Supervised). Якщо установа покладається на Bring Your Own Device (BYOD), ці пристрої не повинні містити конфіденційних матеріалів, необхідних для захисту на цьому рівні.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 2.3
IG 1, 2, 3
Address Unauthorized Software Ensure that unauthorized software is either removed from use on enterprise assets or receives a documented exception. Review monthly, or more frequently.

CIS Controls V7: 13.4
IG 1, 2
Only Allow Access to Authorized Cloud Storage or Email Providers Only allow access to authorized cloud storage or email providers.

3.2.1.5 Переконайтеся, що для параметра «Дозволити документи та дані iCloud» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow iCloud documents & data” is set to “Disabled” (Automated)

Ця рекомендація стосується зберігання та синхронізації даних через iCloud із інституційні пристрої.

💡 Обґрунтування безпеки:

Інституційні пристрої часто підключаються до особистих облікових записів iCloud. Це є очікувано і нормально. Дані з інституційних пристроїв, однак, не повинні змішувати з особистими даними кінцевого користувача. Це створює потенційний шлях для даних витік.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити документи та дані iCloud. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердьте, що документи в хмарі заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити документи та дані iCloud».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 2.3
IG 1, 2, 3
Address Unauthorized Software Ensure that unauthorized software is either removed from use on enterprise assets or receives a documented exception. Review monthly, or more frequently.

CIS Controls V7: 13.4
IG 1, 2
Only Allow Access to Authorized Cloud Storage or Email Providers Only allow access to authorized cloud storage or email providers.

3.2.1.6 Перегляньте параметри «Дозволити iCloud Keychain» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Review “Allow iCloud Keychain” settings (Automated)

iCloud Keychain дозволяє використовувати паролі, пов’язані з обліковим записом Apple автентифікований користувач для свого облікового запису Apple. Якщо користувачі організації використовують персональні Облікові записи Apple із пристроями, що належать організації, які організації повинні переглядати чи зберігаються корпоративні паролі/ключі доступу/облікові записи в особистих даних користувачів Брелок iCloud. Щоб перевірити можливість збереження облікових даних підприємства, ви можете почати з використання платформи MDM вашої організації, щоб перевірити, які користувачі є увійшли у свої особисті облікові записи Apple і ввімкнули синхронізацію iCloud Keychain. Примітка: у попередніх версіях тесту ми заявляли, що iCloud Keychain є незашифрований. Apple оновила шифрування в iCloud Keychain, включивши наскрізне кінцеве шифрування як за стандартними, так і за розширеними параметрами захисту даних. Для перегляду докладніше про шифрування iCloud, а також про відмінності між стандартними даними захист і розширений захист даних, ви можете прочитати статтю служби підтримки Apple iCloud огляд безпеки даних.

💡 Обґрунтування безпеки:

Це нормально та очікувано, що кінцеві користувачі налаштовують свій особистий обліковий запис iCloud на пристрій, що належить установі. Через це вимкнення iCloud Keychain запобігає ОС- автоматизована передача облікових даних на пристрої поза межами організаційного контролю, таким чином зменшуючи ризик несанкціонованого використання цих облікових даних із неавторизованих пристроїв.

Тільки внутрішні – загальні

⚠️ Вплив на робочий процес (Impact):

Перш ніж вимикати iCloud Keychain, слід переглянути кілька аспектів ризику: • На даний момент iCloud Keychain зберігає лише паролі. Де Мультифактор Використовуються профілі автентифікації, єдиного входу або пристроїв облікові дані не використовуватимуть синхронізацію iCloud Keychain. зрілий підприємства більше не повинні використовувати лише автентифікацію за паролем, а отже не повинні піддаватися ризику через використання iCloud Keychain. • iCloud Keychain синхронізує паролі користувачів. Мабуть, уже є користувачем знає ці паролі та періодично змінює їх. Вони також можуть використовувати паролі з неавторизованого пристрою без синхронізації iCloud. В ідеалі пристрій, виданий установою, має більший доступ, ніж неавторизований або публічного пристрою на сервер автентифікації. Якщо персональний пристрій не може логічно взаємодіяти зі службою автентифікації, то ризик синхронізації пароля також значно зменшується. • Блокування використання iCloud Keychain також блокує синхронізацію не- корпоративні облікові записи, які можуть знадобитися користувачеві для його звичайної роботи. Це також блокує використання надійних, унікальних пропозицій паролів, доступних від Яблуко.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити брелок iCloud. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердьте, що брелок iCloud заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити брелок iCloud».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/en-us/102651
  2. Additional Information:
  3. This recommendation is not intended as advice against using the Keychain locally on an
  4. institutionally-owned device, nor is it intended to be taken as a recommendation to
  5. prevent iCloud Keychain from being used on end user-owned devices.
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V8: 15.3
IG 1, 2
Classify Service Providers Classify service providers. Classification consideration may include one or more characteristics, such as data sensitivity, data volume, availability requirements, applicable regulations, inherent risk, and mitigated risk. Update and review classifications annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.2.1.7 Переконайтеся, що для параметра «Дозволити керованим програмам зберігати дані в iCloud» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow managed apps to store data in iCloud” is set to “Disabled” (Automated)

Ця рекомендація стосується керованих програм, які зберігають і синхронізують дані через iCloud.

💡 Обґрунтування безпеки:

Ця рекомендація спрямована на захист від витоку даних. Вона не дозволяє користувачеві встановлювати керовані організацією корпоративні додатки на персональний пристрій та запобігає синхронізації даних керованої програми з особистим некерованим додатком через iCloud.

⚠️ Вплив на робочий процес (Impact):

Дані, створені на пристрої, можуть бути втрачені, якщо кінцевий користувач не передав їх іншому пристрій.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити керованим програмам зберігати дані в iCloud. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердьте, що хмарна синхронізація керованих програм заборонена.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити керованим програмам зберігати дані в iCloud».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 2.3
IG 1, 2, 3
Address Unauthorized Software Ensure that unauthorized software is either removed from use on enterprise assets or receives a documented exception. Review monthly, or more frequently.

CIS Controls V7: 13.4
IG 1, 2
Only Allow Access to Authorized Cloud Storage or Email Providers Only allow access to authorized cloud storage or email providers.

3.2.1.8 Переконайтеся, що для параметра «Дозволити доступ до USB-накопичувача в програмі Файли» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow USB drive access in Files app” is set to “Disabled” (Automated)

Ця рекомендація стосується запобігання програмі «Файли» доступу до носія USB.

💡 Обґрунтування безпеки:

Програма Files надає локальну файлову систему та інтерфейс для носія USB для iOS і Пристрої iPadOS. У середовищах із конфіденційними даними та суворим захистом від втрати даних політики, вимкнення використання носіїв USB із такими пристроями може зменшити ризик втрати даних витік.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити доступ до USB-накопичувача в програмі Файли. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердьте, що USB-накопичувачі недоступні в програмі Файли.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити доступ до USB-накопичувача в програмі Файли.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 1.2
IG 1, 2, 3
Address Unauthorized Assets Ensure that a process exists to address unauthorized assets on a weekly basis. The enterprise may choose to remove the asset from the network, deny the asset from connecting remotely to the network, or quarantine the asset.

CIS Controls V7: 13.7
IG 1, 2
Manage USB Devices If USB storage devices are required, enterprise software should be used that can configure systems to allow the use of specific devices. An inventory of such devices should be maintained.

3.2.1.9 Переконайтеся, що для параметра «Дозволити доступ до мережевого диска в програмі Файли» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow network drive access in Files app” is set to “Disabled” (Automated)

Ця рекомендація стосується запобігання доступу програми Файли до мережі файлообмінники.

💡 Обґрунтування безпеки:

Програма Files надає локальну файлову систему та інтерфейс для мережевих спільних файлів для iOS і пристроїв iPadOS. У середовищах із конфіденційними даними та суворим захистом від втрати даних політики, вимкнення використання мережевих спільних файлів із такими пристроями може зменшити ризик витоку даних.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити доступ до мережевого диска в програмі Файли. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердьте, що мережеві диски недоступні в програмі Файли.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити доступ до мережевого диска в програмі Файли.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 1.2
IG 1, 2, 3
Address Unauthorized Assets Ensure that a process exists to address unauthorized assets on a weekly basis. The enterprise may choose to remove the asset from the network, deny the asset from connecting remotely to the network, or quarantine the asset.

CIS Controls V7: 13.3
IG 1
Monitor and Block Unauthorized Network Traffic Deploy an automated tool on network perimeters that monitors for unauthorized transfer of sensitive information and blocks such transfers while alerting information security professionals.

3.2.1.10 Переконайтеся, що для параметра «Примусово створювати зашифровані резервні копії» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Force encrypted backups” is set to “Enabled” (Automated)

Ця рекомендація стосується шифрування резервних копій iTunes для пристроїв iOS і iPadOS.

💡 Обґрунтування безпеки:

Доступ до даних, які безпечно зберігаються на пристрої iOS або iPadOS, може бути тривіальним з локального комп’ютера. Примусове шифрування резервних копій значно зменшує ймовірність скомпрометації конфіденційних даних, якщо є локальний хост-комп’ютер скомпрометовано.

⚠️ Вплив на робочий процес (Impact):

Кінцеві користувачі повинні налаштувати пароль для зашифрованої резервної копії, складність якої не керується.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» встановлено прапорець «Примусово створювати зашифровані резервні копії». Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Відобразиться повідомлення Confirm Encrypted backups enforced.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості поставте прапорець біля пункту Примусово створювати зашифровані резервні копії.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 11.3
IG 1, 2, 3
Protect Recovery Data Protect recovery data with equivalent controls to the original data. Reference encryption or data separation, based on requirements.

CIS Controls V7: 10.4
IG 1, 2, 3
Ensure Protection of Backups Ensure that backups are properly protected via physical security or encryption when they are stored, as well as when they are moved across the network. This includes remote backups and cloud services.

3.2.1.11 Переконайтеся, що для параметра «Дозволити персоналізовану рекламу від Apple» встановлено значення «Вимкнено» (Вручну)

Level 1Вручну

Оригінал: Ensure “Allow personalized ads delivered by Apple” is set to “Disabled” (Manual)

Apple надає структуру, яка дозволяє рекламодавцям орієнтуватися на користувачів Apple рекламні оголошення, релевантні їм та їхнім інтересам за допомогою унікального ідентифікатора. для така персоналізована реклама буде доставлена, однак детальна інформація є збираються, співвідносяться та надаються рекламодавцям. Ця інформація є цінною для як рекламодавців, так і зловмисників і використовувався з іншими метаданими для виявлення користувачів ідентичності.

💡 Обґрунтування безпеки:

Вимкнення використання унікального ідентифікатора допомагає перешкоджати відстеженню користувачів, що, у свою чергу підтримує захист даних користувача.

⚠️ Вплив на робочий процес (Impact):

Користувачі бачитимуть загальну рекламу, а не цільову рекламу. Apple попереджає, що це зменшить кількість релевантних оголошень.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити персоналізовану рекламу від Apple. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердьте, що персоналізована реклама Apple заборонена.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити персоналізовану рекламу від Apple».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.2.1.12 Переконайтеся, що для параметра «Дозволити видалення всього вмісту та налаштувань» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow Erase All Content and Settings” is set to “Disabled” (Automated)

Ця рекомендація стосується функції відновлення заводських налаштувань iOS і iPadOS пристроїв.

💡 Обґрунтування безпеки:

Пристрій, що належить установі, не повинен дозволяти кінцевому користувачеві знищувати дані.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» знято прапорець «Дозволити стерти весь вміст і налаштування». Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердьте, що Видалити вміст і налаштування заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити стерти весь вміст і налаштування».
  5. Розгорніть профіль конфігурації.загальна додаткова інформація: Кінцевий користувач усе ще може використовувати службу Apple «Знайти мій iPhone/iPad», щоб виконати «Стерти весь вміст і налаштування». Це також встановлює блокування активації на пристрої. Блокування активації може бути заблоковано за допомогою рішення керування мобільними пристроями (MDM), але не через профіль конфігурації. Для отримання додаткової інформації див. https://support.apple.com/en-us/HT202804
ℹ️ Додаткова інженерна інформація (Additional Information):

Кінцевий користувач все ще може використовувати службу Apple «Знайти мій iPhone/iPad», щоб виконати «Стерти весь вміст і налаштування». Це також встановлює блокування активації на пристрої. Блокування активації може бути заблоковано за допомогою рішення керування мобільними пристроями (MDM), але не через профіль конфігурації. Для отримання додаткової інформації див. https://support.apple.com/en-us/HT202804

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

3.2.1.13 Переконайтеся, що для параметра «Дозволити користувачам приймати ненадійні сертифікати TLS» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow users to accept untrusted TLS certificates” is set to “Disabled” (Automated)

Ця рекомендація стосується прийняття ненадійних сертифікатів TLS.

💡 Обґрунтування безпеки:

Пристрої iOS підтримують список довірених коренів сертифікатів TLS. Організація може додати власні сертифікати до списку за допомогою профілю конфігурації. Дозволити користувачам обходити що список і прийняття самопідписаних або іншим чином неперевірених сертифікатів може збільшити ймовірність інциденту.

⚠️ Вплив на робочий процес (Impact):

Пристрій автоматично відхиляє ненадійні сертифікати HTTPS без запиту користувача.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити користувачам приймати ненадійні сертифікати TLS. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердити Встановлення ненадійних з’єднань TLS заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити користувачам приймати ненадійні сертифікати TLS».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

3.2.1.14 Переконайтеся, що для параметра «Дозволити довіряти новим авторам корпоративних програм» встановлено значення «Вимкнено» (Вручну)

Level 1Вручну

Оригінал: Ensure “Allow trusting new enterprise app authors” is set to “Disabled” (Manual)

Ця рекомендація стосується дозволу встановлення програми кінцевим користувачам із за межами Apple App Store або розгортання Mobile Device Management (MDM).

💡 Обґрунтування безпеки:

Дозволити установку програм кінцевим користувачам за межами Apple App Store або Керування мобільними пристроями (MDM) може дозволити користувачеві встановити зловмисну програму.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити довіряти новим авторам корпоративних програм. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердити Дозволити довіряти новим авторам корпоративних програм заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити довіряти новим авторам корпоративних програм.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 2.3
IG 1, 2, 3
Address Unauthorized Software Ensure that unauthorized software is either removed from use on enterprise assets or receives a documented exception. Review monthly, or more frequently.

CIS Controls V7: 2.6
IG 1, 2, 3
Address unapproved software Ensure that unauthorized software is either removed or the inventory is updated in a timely manner

3.2.1.15 Переконайтеся, що для параметра «Дозволити встановлення профілів конфігурації» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow installing configuration profiles” is set to “Disabled” (Automated)

Ця рекомендація стосується встановлення додаткових профілів конфігурації.

💡 Обґрунтування безпеки:

Ця рекомендація дозволяє установі переконатися, що лише профілі конфігурації вони надають, завантажуються на пристрій.

⚠️ Вплив на робочий процес (Impact):

Деякі служби, як-от мережі точок доступу WiFi, можуть перешкоджати роботі блокування їхніх профілів конфігурації.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити встановлення профілів конфігурації. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердити Встановлення профілів конфігурації заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити встановлення профілів конфігурації.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

3.2.1.16 Переконайтеся, що для параметра «Дозволити додавання конфігурацій VPN» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow adding VPN configurations” is set to “Disabled” (Automated)

Ця рекомендація стосується додавання визначених користувачем конфігурацій VPN.

💡 Обґрунтування безпеки:

Ця рекомендація дозволяє установі переконатися, що лише конфігурації VPN вони надають, завантажуються на пристрій.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити додавання конфігурацій VPN. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Відображається підтвердження створення VPN заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити додавання конфігурацій VPN.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 12.7
IG 1, 2
Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise’s AAA Infrastructure Require users to authenticate to enterprise-managed VPN and authentication services prior to accessing enterprise resources on end-user devices.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.2.1.17 Переконайтеся, що для параметра «Примусова автоматична дата й час» встановлено значення «Увімкнено» (Вручну)

Level 1Вручну

Оригінал: Ensure “Force automatic date and time” is set to “Enabled” (Manual)

На пристроях під керуванням iOS 12 і новіших версій можна автоматично встановити дату й час. Часовий пояс оновлюється лише тоді, коли пристрій може визначити своє місцезнаходження, наприклад, коли a пристрій має стільникове з’єднання або з’єднання Wi-Fi із увімкненими службами визначення місцезнаходження.

💡 Обґрунтування безпеки:

Правильні налаштування дати та часу потрібні для протоколів автентифікації, створення файлів, дати модифікації та записи журналу.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр увімкнено, користувачі не можуть вимкнути параметр «Установити автоматично» в розділі «Загальні» > Дата й час

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» встановлено прапорець «Примусово автоматично встановлювати дату й час». Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Відобразиться повідомлення «Підтвердити». Автоматичні дата й час застосовані.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості встановіть прапорець Примусово автоматично встановлювати дату й час.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 8.4
IG 1, 2
Standardize Time Synchronization Standardize time synchronization. Configure at least two synchronized time sources across enterprise assets, where supported.

CIS Controls V7: 6.1
IG 1, 2
Utilize Three Synchronized Time Sources Use at least three synchronized time sources from which all servers and network devices retrieve time information on a regular basis so that timestamps in logs are consistent.

3.2.1.18 Переконайтеся, що для параметра «Дозволити зміну налаштувань програми мобільних даних» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow modifying cellular data app settings” is set to “Disabled” (Automated)

Ця рекомендація стосується модифікації використання стільникових даних програмами.

💡 Обґрунтування безпеки:

Установі доцільно мати можливість дистанційного визначення місцезнаходження та видалення їхні пристрої. Примусова активність стільникових даних підтримує цю функцію.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» знято прапорець «Дозволити змінювати налаштування програми для передачі даних». Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Відображається підтвердження Змінення використання стільникових даних програми заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити змінювати налаштування програми для мобільних даних».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

3.2.1.19 Переконайтеся, що для параметра «Дозволити аксесуари USB, коли пристрій заблоковано» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow USB accessories while the device is locked” is set to “Disabled” (Automated)

Ця рекомендація стосується дозволу USB-пристроям обмінюватися даними із заблокованим пристрій.

💡 Обґрунтування безпеки:

Розроблено фізичні атаки на пристрої iOS і iPadOS, які використовують довіра до фізично підключених аксесуарів. Це призвело до даних, що підтверджують концепцію вилучення та навіть комерційно доступне обладнання, призначене для виконання таких атак. Вимагаючи розблокування пристрою для видалення даних, цей елемент керування зменшує ймовірність успішного вилучення даних.

⚠️ Вплив на робочий процес (Impact):

Кінцевий користувач не зможе підключити свій пристрій до аксесуара USB, поки пристрій заблоковано.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити USB-аксесуари, коли пристрій заблоковано. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердьте, що USB-аксесуари заблоковано дозволено НЕ відображається.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити аксесуари USB, коли пристрій заблоковано.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 1.2
IG 1, 2, 3
Address Unauthorized Assets Ensure that a process exists to address unauthorized assets on a weekly basis. The enterprise may choose to remove the asset from the network, deny the asset from connecting remotely to the network, or quarantine the asset.

CIS Controls V7: 13.7
IG 1, 2
Manage USB Devices If USB storage devices are required, enterprise software should be used that can configure systems to allow the use of specific devices. An inventory of such devices should be maintained.

3.2.1.20 Переконайтеся, що для параметра «Дозволити створення пари з хостами, які не належать до конфігуратора» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow pairing with non-Configurator hosts” is set to “Disabled” (Automated)

Ця рекомендація стосується дозволу обміну даними з головним комп’ютером.

💡 Обґрунтування безпеки:

З’єднання хостів – це процес, за допомогою якого пристрій iOS або iPadOS створює криптографічне перевірене з’єднання з довіреним хост-комп’ютером. Вимкнувши додавання нового хоста створення пар, різноманітні апаратні атаки на пристрій блокуються.

⚠️ Вплив на робочий процес (Impact):

Кінцевий користувач не зможе синхронізувати мультимедійні дані з пристроєм і з нього.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. Переконайтеся, що на правій панелі вікна на вкладці Функціональні можливості знято прапорець Дозволити сполучення з хостами, які не є конфігуратором. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Відобразиться повідомлення Підтвердити, що сполучення з iTunes заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити сполучення з хостами, які не є конфігуратором».
  5. Розгорніть профіль конфігурації.загальна додаткова інформація: на хості Apple Configurator є дві важливі частини даних. Брелок для входу включатиме сертифікат ідентифікації хоста та може бути експортований. Пакети з ключами депонування, пов’язані з кожним пристроєм, можна буде знайти в /var/db/lockdown. Для безперервного керування пристроєм важливо створити резервну копію обох цих даних. Їх також можна скопіювати на інші комп’ютери Mac, щоб дозволити керування налаштованими пристроями.
ℹ️ Додаткова інженерна інформація (Additional Information):

There are two important pieces of data on the Apple Configurator host. Брелок для входу включатиме сертифікат ідентифікації хоста та може бути експортований. Пакети з ключами депонування, пов’язані з кожним пристроєм, можна буде знайти в /var/db/lockdown. Для безперервного керування пристроєм важливо створити резервну копію обох цих даних. Їх також можна скопіювати на інші комп’ютери Mac, щоб дозволити керування налаштованими пристроями.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 15.6
IG 1, 2
Disable Peer-to-peer Wireless Network Capabilities on Wireless Clients Disable peer-to-peer (adhoc) wireless network capabilities on wireless clients.

3.2.1.21 Переконайтеся, що для параметра «Дозволити документи з керованих джерел у некерованих місцях призначення» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow documents from managed sources in unmanaged destinations” is set to “Disabled” (Automated)

Ця рекомендація стосується впровадження керованих програм Apple. Терміни «керований» і «некерований» стосуються класифікації додатків Кероване відкриття, функція, представлена в iOS 7. Кероване відкриття забезпечує дані контейнеризація. Інституційні програми позначаються як керовані. Додатки обрані кінцевим користувачем позначаються як некеровані.

💡 Обґрунтування безпеки:

Обмеження передачі даних із простору керованих установчих програм до простору користувача може запобігти витоку даних.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити документи з керованих джерел у некерованих цілях. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердьте Відкривання документів із керованих і некерованих програм заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити документи з керованих джерел у некерованих місцях призначення.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.2.1.22 Переконайтеся, що для параметра «Дозволити документи з некерованих джерел у керованих місцях призначення» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow documents from unmanaged sources in managed destinations” is set to “Disabled” (Automated)

Ця рекомендація стосується впровадження керованих програм Apple. Терміни «керований» і «некерований» стосуються створених класифікацій програм через функцію Managed Open In, представлену в iOS 7. Managed Open In забезпечує для контейнеризації даних. Інституційно забезпечені програми позначаються як керований. Програми, вибрані кінцевим користувачем, позначаються як некеровані.

💡 Обґрунтування безпеки:

Обмеження передачі даних із некерованого простору програми користувача до керованого інституційний простір обмежує інституційні ресурси від використання для особистого використання.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити документи з некерованих джерел у керованих місцях призначення. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердити Відображається повідомлення «Відкривати документи з некерованих до керованих програм заборонено».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити документи з некерованих джерел у керованих місцях призначення.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.2.1.23 Переконайтеся, що для параметра «Розглядати AirDrop як некерований пункт призначення» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Treat AirDrop as unmanaged destination” is set to “Enabled” (Automated)

Ця рекомендація стосується AirDrop у контексті керованої програми Apple впровадження. Терміни «керований» і «некерований» стосуються створених класифікацій програм через функцію Managed Open In, представлену в iOS 7. Managed Open In забезпечує для контейнеризації даних. Інституційно забезпечені програми позначаються як керований. Програми, вибрані кінцевим користувачем, позначаються як некеровані.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. Переконайтеся, що на правій панелі вікна на вкладці Функціональні можливості встановлено прапорець Розглядати AirDrop як некерований пункт призначення. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Відобразиться повідомлення Підтвердити, що спільний доступ до керованих документів за допомогою AirDrop заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості встановіть прапорець «Вважати AirDrop некерованим місцем призначення».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 6.7
IG 1, 2
Centralize Access Control Centralize access control for all enterprise assets through a directory service or SSO provider, where supported.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 15.4
IG 1
Disable Wireless Access on Devices if Not Required Disable wireless access on devices that do not have a business purpose for wireless access.

3.2.1.24 Переконайтеся, що для параметра «Дозволити передачу обслуговування» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow Handoff” is set to “Disabled” (Automated)

Ця рекомендація стосується механізму обміну даними Apple Handoff.

💡 Обґрунтування безпеки:

Handoff не забезпечує дотримання меж керованих програм. Це дозволяє керувати дані програми, які потрібно перемістити в некерований простір програм на іншому пристрої, що може призвести до витоку даних.

⚠️ Вплив на робочий процес (Impact):

Кінцеві користувачі можуть відчувати незручності, вимикаючи Handoff на своїх особистих пристроях.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити передачу. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Відобразиться повідомлення Confirm Handoff not allowed.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити передачу».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.2.1.25 Переконайтеся, що для параметра «Дозволити надсилання діагностичних даних і даних про використання в Apple» встановлено значення «Вимкнено» (Вручну)

Level 1Вручну

Оригінал: Ensure “Allow sending diagnostic and usage data to Apple” is set to “Disabled” (Manual)

Apple надає механізм для надсилання їм діагностичних і аналітичних даних замовити допомогу у вдосконаленні платформи. Ця інформація, надіслана до Apple, може містити внутрішню інформацію організаційна інформація, яка не повинна розкриватися третім особам.

💡 Обґрунтування безпеки:

Організації повинні знати, чим ділиться з постачальниками та іншою стороною сторони, а також повинні повністю контролювати те, що розкривається.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити надсилання діагностичних даних і даних про використання до Apple. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Відображається підтвердження Діагностичне надсилання заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити надсилання діагностичних даних і даних про використання в Apple».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.2.1.26 Переконайтеся, що для параметра «Вимагати автентифікації Touch ID/Face ID перед автозаповненням» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Require Touch ID / Face ID authentication before AutoFill” is set to “Enabled” (Automated)

Ця рекомендація стосується примусової повторної автентифікації під час кожної операції автозаповнення.

💡 Обґрунтування безпеки:

Неавторизований користувач може отримати доступ до пристрою, коли він розблокований. Це Рекомендація забезпечує поглиблений захист шляхом примусової повторної автентифікації раніше облікові дані будуть заповнені автозаповненням.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості встановлено прапорець Вимагати автентифікацію Touch ID / Face ID перед автозаповненням. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердьте автентифікацію перед застосуванням паролів автоматичного заповнення
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості встановіть прапорець Вимагати автентифікацію Touch ID / Face ID перед автозаповненням.
  5. Розгорніть профіль конфігурації.загальна додаткова інформація. Тест навмисно мовчить про дозвіл на використання локального Apple Keychain, відкладаючи на кожну установу можливість враховувати власні обставини та пов’язані з цим ризики.
ℹ️ Додаткова інженерна інформація (Additional Information):

Еталонний тест навмисно мовчить про дозвіл на використання локального Apple Keychain, відкладаючи на те, щоб кожна установа розглядала власні обставини та пов’язані з цим ризики.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.2.1.27 Переконайтеся, що для параметра «Примусове виявлення зап’ястя Apple Watch» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Force Apple Watch wrist detection” is set to “Enabled” (Automated)

Ця рекомендація стосується налаштування виявлення зап’ястя на сполучених Apple Watch.

💡 Обґрунтування безпеки:

Розпізнавання зап’ястя запобігає доступу до інформації знятим Apple Watch інакше недоступні.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» встановлено прапорець «Примусово розпізнавати зап’ястя Apple Watch». Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Відображається Підтвердити виявлення зап’ястя, застосоване на Apple Watch
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості встановіть прапорець Примусово розпізнавати зап’ястя Apple Watch.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.2.1.28 Переконайтеся, що для параметра «Дозволити налаштування нових пристроїв поблизу» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow setting up new nearby devices” is set to “Disabled” (Automated)

Ця рекомендація стосується функції швидкого запуску Apple.

💡 Обґрунтування безпеки:

Ця рекомендація запобігає передачі пристрою, що належить установі конфігурації або вміст на інший пристрій.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити налаштування нових пристроїв поблизу. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Відобразиться повідомлення Confirm Proximity Setup to a new device is not allowed.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити налаштування нових пристроїв поблизу.
  5. Розгорніть профіль конфігурації. Додаткова інформація: Щоб отримати додаткові відомості про швидкий старт, див.
ℹ️ Додаткова інженерна інформація (Additional Information):

Щоб отримати додаткові відомості про швидкий початок роботи, див.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.13
IG 1
Deploy a Data Loss Prevention Solution Implement an automated tool, such as a host-based Data Loss Prevention (DLP) tool to identify all sensitive data stored, processed, or transmitted through enterprise assets, including those located onsite or at a remote service provider, and update the enterprise’s sensitive data inventory.

CIS Controls V7: 13.3
IG 1
Monitor and Block Unauthorized Network Traffic Deploy an automated tool on network perimeters that monitors for unauthorized transfer of sensitive information and blocks such transfers while alerting information security professionals.

3.2.1.29 Переконайтеся, що для параметра «Дозволити запити доступу до пароля на основі близькості» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow proximity based password sharing requests” is set to “Disabled” (Automated)

Ця рекомендація стосується запобігання обміну паролями на основі близькості інституційні пристрої.

💡 Обґрунтування безпеки:

В організаційному контексті слід забезпечити доступ до систем і програм за роллю, при цьому облікові дані передаються лише через підтримувані облікові дані системи управління. Крім того, запити на обмін обліковими даними можуть бути використані через схему соціальної інженерії.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» знято прапорець «Дозволити запити доступу до пароля на основі близькості». Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Відображається повідомлення Підтвердьте, що запити пароля наближення заборонено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити запити доступу до пароля на основі близькості».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 13.5
IG 1
Manage Access Control for Remote Assets Manage access control for assets remotely connecting to enterprise resources. Determine amount of access to enterprise resources based on

3.2.1.30 Переконайтеся, що для параметра «Дозволити спільний доступ до пароля (тільки під контролем)» встановлено значення «Вимкнено» (Вручну)

Level 1Вручну

Оригінал: Ensure “Allow password sharing (supervised only)” is set to “Disabled” (Manual)

Ця рекомендація стосується спільного використання облікових даних між пристроями, наприклад через AirDrop.

💡 Обґрунтування безпеки:

Дозвіл спільного використання пароля може збільшити ймовірність інституційного зв’язку облікові дані переміщуються на пристрій, який не контролюється установою.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» знято прапорець «Дозволити спільний доступ до пароля (тільки контрольований»). Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Торкніться Обмеження.
  11. Відображається Confirm Password sharing is not allowed.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити спільний доступ до пароля (тільки для контрольованих користувачів).
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 13.5
IG 1
Manage Access Control for Remote Assets Manage access control for assets remotely connecting to enterprise resources. Determine amount of access to enterprise resources based on

3.2.1.31 Переконайтеся, що для параметра «Показувати центр керування на екрані блокування» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Show Control Center in Lock screen” is set to “Disabled” (Automated)

Ця рекомендація стосується відображення Центру керування на екрані блокування.

💡 Обґрунтування безпеки:

Якщо пристрій втрачено або викрадено, центр керування може бути використаний для ввімкнення літака режимі, таким чином запобігаючи місцезнаходження або видалення пристрою. Це змушує зловмисника вимкніть живлення пристрою, який потім скидає ключ шифрування в пам’яті. Це робить інші атаки, засновані на фізичному володінні, складніші.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець «Показувати центр керування на екрані блокування». Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердьте, що на заблокованому екрані відображається пункт «Центр керування не дозволено».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Показувати центр керування на екрані блокування».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.3
IG 1, 2, 3
Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

CIS Controls V7: 16.11
IG 1, 2, 3
Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

3.2.1.32 Переконайтеся, що для параметра «Показувати центр сповіщень на екрані блокування» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Show Notification Center in Lock screen” is set to “Disabled” (Automated)

Ця рекомендація стосується відображення Центру повідомлень на екрані блокування.

💡 Обґрунтування безпеки:

Повинен бути зв’язок між операційною системою та програмами для користувача контролюється, щоб запобігти витоку даних або використанню. Наприклад, якийсь двофакторний програми автентифікації нададуть можливість дозволити вхід із нового пристрою центр сповіщень на екрані блокування.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» знято прапорець «Показувати центр сповіщень на екрані блокування». Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердити Відображення сповіщень на екрані блокування заборонено
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Показувати центр сповіщень на екрані блокування».
  5. Розгорніть профіль конфігурації.загальна додаткова інформація: налаштування сповіщень для кожної програми, описані далі в контрольному тесті, можна використовувати замість вимкнення Центру сповіщень на екрані блокування. Це слід робити, лише якщо є впевненість, що можна керувати всіма програмами, які створюють конфіденційні сповіщення.
ℹ️ Додаткова інженерна інформація (Additional Information):

Налаштування сповіщень для кожної програми, описані далі в контрольному тесті, можна використовувати замість вимкнення Центру сповіщень на екрані блокування. Це слід робити, лише якщо є впевненість, що можна керувати всіма програмами, які створюють конфіденційні сповіщення.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.3
IG 1, 2, 3
Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

CIS Controls V7: 16.11
IG 1, 2, 3
Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

3.2.2.1 Переконайтеся, що для параметра «Примусове попередження про шахрайство» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Force fraud warning” is set to “Enabled” (Automated)

Ця рекомендація стосується функції Safari, яка попереджає кінцевих користувачів про відвідування ймовірних шахрайських веб-сайтів.

💡 Обґрунтування безпеки:

Увімкнення попередження може допомогти користувачам уникнути випадкового відвідування відомого фішингового чи іншого сайту шахрайські сайти, охоплені цією функцією.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці «Програми» встановлено прапорець «Примусово попереджати про шахрайство». Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Підтвердьте, що Safari попередження про шахрайство виконано.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці «Програми» поставте прапорець «Примусово попереджати про шахрайство».
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

3.2.2.2 Переконайтеся, що для параметра «Приймати файли cookie» встановлено значення «З веб-сайтів, які я відвідую» або «Лише з поточного веб-сайту» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Accept cookies” is set to “From websites I visit” or “From current website only” (Automated)

Ця рекомендація стосується прийняття сторонніх файлів cookie.

💡 Обґрунтування безпеки:

Експлойт файлів cookie HEIST дозволяє отримувати дані з файлів cookie, які зберігаються на пристрої. Файли cookie часто відповідають неправильним методам кодування та часто містять властивості автентифікації. Обмеження прийому файлів cookie лише файлами з навмисно відвідуваних сайтів зменшує ймовірність експлуатації.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна переконайтеся, що на вкладці «Програми» для меню «Прийняти файли cookie» встановлено значення «З веб-сайтів, які я відвідую» або «Лише з поточного веб-сайту». Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Відобразиться повідомлення Confirm Cookie policy enforced.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Обмеження.
  4. На правій панелі вікна на вкладці Програми встановіть для меню Приймати файли cookie значення З веб-сайтів, які я відвідую, або Лише з поточного веб-сайту.
  5. Розгорніть профіль конфігурації.загальна додаткова інформація: із веб-сайтів, які я відвідую, приймає файли cookie з поточного домену та будь-якого іншого домену, який ви відвідали. З поточного веб-сайту приймає лише файли cookie з поточного домену.
ℹ️ Додаткова інженерна інформація (Additional Information):

From websites I visit accepts cookies from the current domain and any other domain you’ve visited. З поточного веб-сайту приймає лише файли cookie з поточного домену.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

3.3.1 Переконайтеся, що для параметра «Керовані веб-домени Safari» встановлено значення «Налаштовано» (Вручну)

Level 1Вручну

Оригінал: Ensure “Managed Safari Web Domains” is “Configured” (Manual)

Ця рекомендація стосується як Safari, так і Mobile Device Management (MDM) розгорнуті браузери, враховуватимуть певні шаблони URL для керованої програми лише пробіли.

💡 Обґрунтування безпеки:

Конфіденційні файли, доступні з веб-сайту, можуть бути завантажені в некерований простори програм за замовчуванням. Налаштувавши певні домени, які має Safari Вважаючи керованим, установа може підтримувати безпечну контейнеризацію своїх даних.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Домени.
  4. На правій панелі вікна переконайтеся, що в розділі Managed Safari Web Domains налаштовано кожен відповідний шаблон URL-адреси.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Домени.
  4. На правій панелі вікна в розділі «Керовані веб-домени Safari» введіть відповідні шаблони URL-адрес.
  5. Розгорніть профіль конфігурації. Додаткова інформація: для підвищення ефективності цю рекомендацію слід поєднати з чорним списком веб-браузерів, які не розгорнуті через MDM.
ℹ️ Додаткова інженерна інформація (Additional Information):

Для підвищення ефективності цю рекомендацію слід поєднати з чорним списком веб-браузерів, які не розгорнуті через MDM. Тільки внутрішні – загальні

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.4.1 Переконайтеся, що для параметра «Дозволити просте значення» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow simple value” is set to “Disabled” (Automated)

Ця рекомендація стосується вимог до пароля. Визначено простий пароль містить символи, що повторюються, або символи, що збільшуються/зменшуються (наприклад, 123 або CBA).

💡 Обґрунтування безпеки:

Прості паролі, такі як повторювані, зростаючі або спадні символи послідовності легко вгадуються. Запобігання вибору паролів, що містять такі послідовності збільшує складність пароля та зменшує легкість, з якою зловмисник може спробувати вгадати пароль, щоб отримати доступ до пристрою.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пароль.
  4. На правій панелі вікна переконайтеся, що прапорець Дозволити просте значення знято. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Натисніть Пароль.
  11. Підтвердьте, що дозволені прості паролі відображається No.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пароль.
  4. На правій панелі вікна зніміть прапорець Дозволити просте значення.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.2
IG 1, 2, 3
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

CIS Controls V7: 4.4
IG 1, 2
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

3.4.2 Переконайтеся, що для параметра «Вимагати буквено-цифрове значення» встановлено значення «Увімкнено» (Вручну)

Level 1Вручну

Оригінал: Ensure “Require alphanumeric value” is set to “Enabled” (Manual)

Паролі, встановлені користувачами, повинні містити принаймні одну букву та одну цифру.

💡 Обґрунтування безпеки:

Складні паролі є більш стійкими проти осіб, які хочуть до них отримати несанкціонований доступ система.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пароль.
  4. Переконайтеся, що на правій панелі вікна встановлено прапорець Вимагати буквено-цифрове значення. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Натисніть Пароль.
  11. Confirm Require alphanumeric value displays Yes.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пароль.
  4. На правій панелі вікна встановіть прапорець Вимагати буквено-цифрове значення.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.2
IG 1, 2, 3
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

CIS Controls V7: 4.4
IG 1, 2
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

3.4.3 Переконайтеся, що для параметра «Мінімальна довжина пароля» встановлено значення «6» або більше (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Minimum passcode length” is set to a value of “6” or greater (Automated)

Ця рекомендація стосується мінімальної довжини пароля.

💡 Обґрунтування безпеки:

Вимагання мінімальної довжини щонайменше шести символів забезпечує розумну гарантію проти атаки з паролем.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пароль.
  4. На правій панелі вікна переконайтеся, що для параметра Мінімальна довжина пароля встановлено значення 6 або більше. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Натисніть Пароль.
  11. Підтвердити Мінімальна довжина відображає 6 або більше.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пароль.
  4. На правій панелі вікна встановіть мінімальну довжину пароля на 6 або більше.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.2
IG 1, 2, 3
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

CIS Controls V7: 4.4
IG 1, 2
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

3.4.4 Переконайтеся, що для параметра «Максимальне автоматичне блокування» встановлено значення «2 хвилини» або менше (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Maximum Auto-Lock” is set to “2 minutes” or less (Automated)

Ця рекомендація стосується максимальної кількості хвилин, які може залишитися на пристрої неактивний до автоматичного блокування. Примітка. Ця рекомендація стосується максимального автоматичного блокування, що відповідає інтерфейсу мову, але пристрої iOS і iPadOS вважають функцію автоматичного блокування рівною 2 хвилини.

💡 Обґрунтування безпеки:

Автоматичне блокування пристрою після короткого періоду бездіяльності зменшує ймовірність доступу зловмисника до пристрою без введення пароля.

⚠️ Вплив на робочий процес (Impact):

Це не застосовується під час певних дій, наприклад перегляду фільмів.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пароль.
  4. На правій панелі вікна переконайтеся, що максимальне автоблокування встановлено на 2 хвилини. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Натисніть Пароль.
  11. Підтвердьте, що максимальна бездіяльність відображається через 2 хвилини.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пароль.
  4. На правій панелі вікна встановіть Максимальне автоблокування на 2.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.3
IG 1, 2, 3
Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

CIS Controls V7: 16.11
IG 1, 2, 3
Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

3.4.5 Переконайтеся, що для параметра «Максимальний пільговий період для блокування пристрою» встановлено значення «Негайно» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Maximum grace period for device lock” is set to “Immediately” (Automated)

Ця рекомендація стосується часу, протягом якого пристрій можна розблокувати введення пароля після того, як цей пристрій було заблоковано. Пристрої з увімкненим TouchID не допускати пільгового періоду.

💡 Обґрунтування безпеки:

Налаштування максимального пільгового періоду для блокування пристрою на Негайне запобігає неавтентифікований доступ під час пробудження пристрою.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пароль.
  4. На правій панелі вікна переконайтеся, що для параметра Максимальний пільговий період для блокування пристрою встановлено значення Негайно. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Натисніть Пароль.
  11. Негайно підтвердьте максимальний пільговий період.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пароль.
  4. На правій панелі вікна встановіть Максимальний пільговий період для блокування пристрою на Негайно.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.3
IG 1, 2, 3
Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

CIS Controls V7: 16.11
IG 1, 2, 3
Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

3.4.6 Переконайтеся, що для параметра «Максимальна кількість невдалих спроб» встановлено значення «6» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Maximum number of failed attempts” is set to “6” (Automated)

Ця рекомендація стосується кількості спроб входу до автоматичного входу видалення криптографічного ключа пристрою.

💡 Обґрунтування безпеки:

Надмірна кількість спроб ввести неправильний пароль зазвичай свідчить про те, що власник програв фізичний контроль пристрою. У разі такого інциденту стирання шифрування ключ допоможе забезпечити конфіденційність інформації, що зберігається на пристрої.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пароль.
  4. На правій панелі вікна переконайтеся, що Максимальна кількість невдалих спроб встановлено на 6. Або з пристрою:
  5. Натисніть Налаштування.
  6. Натисніть Загальні.
  7. Торкніться VPN і керування пристроями.
  8. Торкніться <_Назва профілю_>.
  9. Торкніться Обмеження.
  10. Натисніть Пароль.
  11. Підтвердити Максимальна кількість невдалих спроб встановлено на 6.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пароль.
  4. На правій панелі вікна встановіть максимальну кількість невдалих спроб на 6.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.3
IG 1, 2, 3
Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

CIS Controls V7: 16.11
IG 1, 2, 3
Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

3.5.1 Переконайтеся, що для параметра «Вимкнути рандомізацію MAC-адрес асоціації» встановлено значення «Налаштовано» (Вручну)

Level 1Вручну

Оригінал: Ensure “Disable Association MAC Randomization” is “Configured” (Manual)

Ця рекомендація стосується вимкнення рандомізації MAC за потреби.

💡 Обґрунтування безпеки:

Рандомізація MAC-адрес — це функція, доступна з iOS 14 і вмикається за замовчуванням. Хоча ця функція покращує конфіденційність для окремих осіб, використовуючи випадкові та різні адреси для кожної мережі Wi-Fi, це може призвести до проблем у деяких обставин, як-от адаптивні портали, списки контролю доступу на основі MAC-адрес тощо У деяких випадках може знадобитися вимкнути цю функцію. Це налаштування для кожної мережі можна вимкнути лише для певних мереж.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Це налаштування конфігурації для кожної мережі. Аудитор повинен буде визначити, яке рішення підходить для конкретної мережі. З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Wi-Fi.
  4. На правій панелі вікна виберіть відповідну конфігурацію Wi-Fi.
  5. Переконайтеся, що встановлено прапорець Вимкнути рандомізацію MAC-адрес асоціації. З пристрою:
  6. Натисніть Налаштування.
  7. Торкніться Wi-Fi.
  8. Торкніться відповідної мережі.
  9. Переконайтеся, що приватну адресу вимкнено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Цю процедуру виправлення неможливо виконати за допомогою прапорця, її потрібно застосовувати для кожної мережі відповідно. З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Wi-Fi.
  4. На правій панелі вікна виберіть відповідну конфігурацію Wi-Fi.
  5. На правій панелі вікна встановіть прапорець «Вимкнути випадкову асоціацію MAC».
  6. Розгорніть профіль конфігурації. З пристрою:
  7. Натисніть Налаштування.
  8. Торкніться Wi-Fi.
  9. Торкніться відповідної мережі.
  10. Вимкніть опцію Приватна адреса.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

3.6.1 Переконайтеся, що «VPN» «Налаштовано» (Вручну)

Level 1Вручну

Оригінал: Ensure “VPN” is “Configured” (Manual)

Ця рекомендація стосується встановлення віртуальної приватної мережі (VPN) підключення за потреби.

💡 Обґрунтування безпеки:

Мережа, до якої підключається пристрій, надає важливі послуги, які можуть бути використаний зловмисником. Встановлення VPN зменшує пов’язані з цим ризики шифрування даних під час передачі та використання завідомо хороших мережевих служб, таких як DNS.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Цю процедуру аудиту неможливо виконати за допомогою перевірки прапорця. Як зазначено нижче, конфігурація VPN для кожної програми є кращим рішенням, але загальносистемна VPN також прийнятна. Аудитору потрібно буде визначити, яке рішення є доцільним і в якому обсязі для конкретного прикладного випадку VPN. З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку VPN.
  4. На правій панелі вікна введіть відповідну конфігурацію VPN.
  5. Розгорніть профіль конфігурації. З пристрою,
  6. Натисніть Налаштування.
  7. Натисніть Загальні.
  8. Торкніться VPN.
  9. Перевірте конфігурацію.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Цю процедуру виправлення неможливо виконати за допомогою прапорця. Як зазначено нижче, конфігурація VPN для кожної програми є кращим рішенням, але загальносистемна VPN також прийнятна. Необхідно визначити та впровадити відповідне рішення. З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку VPN.
  4. На правій панелі вікна введіть відповідну конфігурацію VPN.
  5. Розгорніть профіль конфігурації. З пристрою,
  6. Натисніть Налаштування.
  7. Натисніть Загальні.
  8. Торкніться VPN.
  9. Введіть відповідну конфігурацію VPN.
📋 CIS Controls & Нормативні посилання
  1. https://developer.apple.com/library/content/featuredarticles/iPhoneConfigurationP
  2. rofileRef/Introduction/Introduction.html#//apple_ref/doc/uid/TP40010206-CH1-
  3. SW37
  4. https://developer.apple.com/library/content/featuredarticles/iPhoneConfigurationP
  5. rofileRef/Introduction/Introduction.html#//apple_ref/doc/uid/TP40010206-CH1-
  6. SW27
CIS Controls V8: 3.10
IG 1
Encrypt Sensitive Data in Transit Encrypt sensitive data in transit. Example implementations can include

3.7.1 Переконайтеся, що для параметра «Дозволити користувачеві переміщувати повідомлення з цього облікового запису» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure “Allow user to move messages from this account” is set to “Disabled” (Automated)

Ця рекомендація стосується того, чи можна перемістити повідомлення з інституційно налаштований обліковий запис електронної пошти на обліковий запис електронної пошти, налаштований кінцевим користувачем. Це також обмежує пересилання або відповідь з іншого облікового запису, ніж той, з якого надійшло повідомлення. Примітка. Ця рекомендація стосується лише облікових записів електронної пошти, налаштованих установою знаходиться на пристрої.

💡 Обґрунтування безпеки:

Дозвіл переміщення повідомлень із керованого облікового запису електронної пошти до некерованого обліковий запис електронної пошти може призвести до витоку даних.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пошта.
  4. На правій панелі вікна переконайтеся, що прапорець Дозволити користувачу переміщувати повідомлення з цього облікового запису знято. З боку пристрою механізму аудиту немає.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку Пошта.
  4. На правій панелі вікна зніміть прапорець Дозволити користувачеві переміщувати повідомлення з цього облікового запису.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.7.2 Переконайтеся, що для параметра «Дозволити надсилання пошти» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Allow Mail Drop’ is set to ‘Disabled’ (Automated)

Ця рекомендація стосується того, чи можна завантажити вкладення повідомлення та доступ через службу Apple Mail Drop. ПРИМІТКА. Ця рекомендація стосується лише інституційно налаштованої пошти обліковий запис знаходиться на пристрої iOS.

💡 Обґрунтування безпеки:

Дозвіл на завантаження вкладених файлів у Mail Drop, що знаходиться поза контролем організації, представляє шлях викрадання даних.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку «Пошта».
  4. На правій панелі вікна переконайтеся, що прапорець «Дозволити надсилання пошти» знято. З боку пристрою механізму аудиту немає.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку «Пошта».
  4. На правій панелі вікна зніміть прапорець «Дозволити надсилання пошти».
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.8.1 Переконайтеся, що «Налаштування сповіщень» налаштовано для всіх «Керованих програм» (Вручну)

Level 1Вручну

Оригінал: Ensure “Notification Settings” are configured for all “Managed Apps” (Manual)

Ця рекомендація стосується налаштування параметрів сповіщень на основа заявки.

💡 Обґрунтування безпеки:

Сповіщення можуть містити конфіденційні дані або дозволяти виконувати привілейовані дії місце. Усі керовані програми мають містити чіткі налаштування сповіщень, щоб вирішити ці проблеми.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна клацніть вкладку Сповіщення.
  4. На правій панелі вікна переконайтеся, що кожна керована програма містить запис конфігурації. Або з пристрою:
  5. Натисніть Налаштування.
  6. Торкніться Сповіщення.
  7. Переконайтеся, що керовані програми виділені сірим кольором, щоб вказати, що їхні налаштування сповіщень керовані.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна клацніть вкладку Сповіщення.
  4. На правій панелі вікна клацніть «Налаштувати» та/або клацніть «+», щоб додати налаштування сповіщень для кожної програми.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

3.9.1 Переконайтеся, що повідомлення «Якщо втрачено, поверніться до…» має значення «Налаштовано» (Вручну)

Level 1Вручну

Оригінал: Ensure “If Lost, Return to…” Message is “Configured” (Manual)

Ця рекомендація стосується налаштування повідомлення на екрані блокування.

💡 Обґрунтування безпеки:

Повідомлення на екрані блокування дозволить чесному спостерігачу легше повернути втрачене пристрій. У цьому повідомленні не обов’язково вказувати ім’я власника, але має бути посилання на телефон номер або адресу електронної пошти для зв’язку (наприклад, довідкова служба організації).

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З профілю конфігурації:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку «Повідомлення на екрані блокування».
  4. На правій панелі вікна переконайтеся, що повідомлення «Якщо втрачено, повернутися до…» налаштовано належним чином. Або з пристрою:
  5. Розбудіть пристрій.
  6. Переконайтеся, що на екрані блокування відображається відповідне повідомлення.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

  1. Відкрийте конфігуратор Apple.
  2. Відкрийте профіль конфігурації.
  3. На лівій панелі вікна натисніть вкладку «Повідомлення на екрані блокування».
  4. На правій панелі вікна в полі повідомлення «Якщо втрачено, повернутися до…» налаштуйте відповідне повідомлення.
  5. Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.3
IG 1, 2, 3
Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

CIS Controls V7: 16.11
IG 1, 2, 3
Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

3.10.1 Переконайтеся, що розширення зовнішньої розвідки вимкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure External Intelligence Extensions Is Disabled (Automated)

External Intelligence Extensions дозволяє Apple Intelligence взаємодіяти з 3 частина генеративних інструментів ШІ. Розширення зовнішнього інтелекту Apple представляє a розрахований ризик. Вони поширюють свою модель конфіденційності та безпеки на пристрої хмара з PCC (Private Cloud Compute), а потім ретельно інтегрується з третьою сторонній штучний інтелект, такий як ChatGPT, який наголошує на згоді користувача, мінімізації даних і сильному договірні зобов’язання. Внутрішня природа надсилання даних до зовнішньої служби означає, що певний ступінь довіри покладається на безпеку та дотримання третьою стороною угоди. Однак надсилання даних до зовнішньої служби становить додатковий ризик повинні бути переглянуті та прийняті в організаційному плані безпеки.

💡 Обґрунтування безпеки:

Хоча Apple доклала значних зусиль для розробки Apple Intelligence з конфіденційністю, Перший підхід, розширення зовнішньої розвідки створює законні ризики безпеці які можуть змусити особу чи організацію вимкнути його.

⚠️ Вплив на робочий процес (Impact):

Користувач втратить можливість використовувати Apple Intelligence для створення абсолютно нового надсилайте текстові повідомлення або отримуйте доступ до більшої кількості ресурсів безпосередньо у своїх програмах. Ви не могли використовувати Siri або Writing Tools, щоб створити складний електронний лист з нуля або створити творчий матеріал вміст, який виходить за межі можливостей пристрою, але потребує використання окремого третього сторонні постачальники ШІ.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З пристрою,

  1. Натисніть Налаштування.
  2. Натисніть Загальні.
  3. Торкніться VPN і керування пристроями.
  4. Переконайтеся, що встановлений профіль конфігурації має профіль, інстальований з обмеженням Інтеграція зовнішнього інтелекту не дозволена.
  5. Переконайтеся, що в установленому профілі конфігурації також встановлено профіль із обмеженням. Вхід із зовнішніми розвідувальними інтеграціями заборонено.
⚙️ Виправлення (Remediation / Налаштування)
📱 Профіль конфігурації (MDM / Configuration Profile)
  1. Створіть або відредагуйте профіль конфігурації з такою інформацією:
  2. 1. Рядок PayloadType — com.apple.applicationaccess
  3. 2. Ключ, який потрібно включити, це allowExternalIntelligenceIntegrations
  4. 3. Ключ повинен бути встановлений на
  5. 4. Другий ключ, який слід включити
  6. allowExternalIntelligenceIntegrationsSignIn
  7. 5. Ключ повинен бути встановлений на
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V8: 15.3
IG 1, 2
Classify Service Providers Classify service providers. Classification consideration may include one or more characteristics, such as data sensitivity, data volume, availability requirements, applicable regulations, inherent risk, and mitigated risk. Update and review classifications annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.10.2 Переконайтеся, що підсумовування нотаток вимкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure Notes Summarization Is Disabled (Automated)

Функція підсумовування нотаток Apple Intelligence швидко згущує вміст усередині Додаток для нотаток. Це включає узагальнення написаного тексту, який ви виділили, або, зокрема, автоматичне створення підсумків із аудіозаписів, зроблених безпосередньо в Notes, як лекції чи зустрічі, допомагаючи вам осягнути ключову інформацію з першого погляду.

💡 Обґрунтування безпеки:

Для безпеки ваших аудіозаписів або нотаток доцільно вимкнути зведення нотаток містять дуже конфіденційну або конфіденційну інформацію. Тоді як Apple зазвичай зберігає ваші дані безпечно, якщо вимкнути цю функцію, цей конфіденційний вміст, особливо з транскрибований аудіо, завжди залишає ваш пристрій для будь-якої обробки штучним інтелектом, надаючи вам максимум контроль над вашими конфіденційними даними.

⚠️ Вплив на робочий процес (Impact):

Якщо ви вимкнете функцію підсумовування нотаток Apple Intelligence, головний вплив буде таким користувач не отримуватиме автоматичні або на вимогу резюме ваших письмових нотаток чи аудіо записи.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Наразі немає спеціального способу перевірити, чи підсумовування нотаток вимкнено через Apple Configurator 2 або через графічний інтерфейс користувача.

    ⚙️ Виправлення (Remediation / Налаштування)
    📱 Профіль конфігурації (MDM / Configuration Profile)
    1. Створіть або відредагуйте профіль конфігурації з такою інформацією:
    2. 1. Рядок PayloadType — com.apple.applicationaccess
    3. 2. Ключ, який потрібно включити, це allowNotesTranscription
    4. 3. Ключ повинен бути встановлений на
    5. 4. Другий ключ, який потрібно включити, це allowNotesTranscriptionSummary
    6. 5. Ключ повинен бути встановлений на
    7. Тільки внутрішні – загальні
    📋 CIS Controls & Нормативні посилання
    CIS Controls V8: 4.1
    IG 1, 2, 3
    Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

    CIS Controls V8: 4.8
    IG 1, 2
    Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

    CIS Controls V8: 15.3
    IG 1, 2
    Classify Service Providers Classify service providers. Classification consideration may include one or more characteristics, such as data sensitivity, data volume, availability requirements, applicable regulations, inherent risk, and mitigated risk. Update and review classifications annually, or when significant enterprise changes occur that could impact this Safeguard.

    CIS Controls V7: 5.1
    IG 1, 2, 3
    Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

    CIS Controls V7: 9.2
    IG 1, 2
    Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

    3.10.3 Переконайтеся, що зведення пошти вимкнено (Автоматизовано)

    Level 1Автоматизовано

    Оригінал: Ensure Mail Summarization Is Disabled (Automated)

    Функція підсумовування пошти Apple Intelligence використовує штучний інтелект для швидкого ущільнення довгих електронних листів або цілі ланцюжки електронних листів у кілька ключових речень або пунктів. Це автоматично відображається як короткий підсумок під електронними листами у вашій папці “Вхідні”, або ви можете вручну торкнутися a Кнопка «Підсумувати» у відкритому електронному листі, щоб отримати більш детальний огляд комплексу повідомлення та розмови, допомагаючи вам зрозуміти головне з першого погляду без читаючи все.

    💡 Обґрунтування безпеки:

    Якщо є занепокоєння щодо того, що ваш конфіденційний вміст електронної пошти, навіть якщо для узагальнення, може потенційно буде скеровано до цієї сторонньої служби (навіть із запитами згоди), або якщо ви хочемо уникнути будь-якої можливості обробки серверами Apple даних з дуже конфіденційних даних комунікацій (навіть у межах надійних гарантій PCC), вимкнення цієї функції гарантує вміст вашої електронної пошти обробляється через затверджені організаційні служби та на керованому пристроїв. Це надає пріоритет абсолютному контролю та мінімізує будь-який зовнішній ризик обробки для дуже конфіденційна інформація.

    ⚠️ Вплив на робочий процес (Impact):

    Користувач більше не бачитиме автоматичних коротких підсумків під електронними листами або матиме можливість генерувати їх на вимогу.

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    Наразі немає спеціального способу перевірити, чи підсумовування пошти вимкнено за допомогою Apple Configurator 2 або за допомогою графічного інтерфейсу користувача.

      ⚙️ Виправлення (Remediation / Налаштування)
      📱 Профіль конфігурації (MDM / Configuration Profile)
      1. Створіть або відредагуйте профіль конфігурації з такою інформацією:
      2. 1. Рядок PayloadType — com.apple.applicationaccess
      3. 2. Ключ, який потрібно включити, це allowMailSummary
      4. 3. Ключ повинен бути встановлений на
      5. Тільки внутрішні – загальні
      📋 CIS Controls & Нормативні посилання
      CIS Controls V8: 4.1
      IG 1, 2, 3
      Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

      CIS Controls V8: 4.8
      IG 1, 2
      Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

      CIS Controls V8: 15.3
      IG 1, 2
      Classify Service Providers Classify service providers. Classification consideration may include one or more characteristics, such as data sensitivity, data volume, availability requirements, applicable regulations, inherent risk, and mitigated risk. Update and review classifications annually, or when significant enterprise changes occur that could impact this Safeguard.

      CIS Controls V7: 5.1
      IG 1, 2, 3
      Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

      CIS Controls V7: 9.2
      IG 1, 2
      Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

      3.10.4 Переконайтеся, що засоби запису вимкнено (Автоматизовано)

      Level 1Автоматизовано

      Оригінал: Ensure Writing Tools Is Disabled (Automated)

      Інструменти Apple Intelligence Writing Tools — це набір інтегрованих функцій на основі ШІ iOS, iPadOS і macOS, що дозволяє користувачам покращувати свій текст за допомогою коректури помилки, переписування вмісту для коригування тону чи стилю, узагальнення довгих уривків у лаконічні форми, і навіть складання нового тексту з нуля. Хоча таких багато безпечно обробляти функції на пристрої, є можливість використовувати Apple приватна хмарна інфраструктура.

      💡 Обґрунтування безпеки:

      Основний аргумент безпеки для вимкнення інструментів запису Apple Intelligence обертається навколо неприйнятного ризику для третіх сторін і потенціалу для ненавмисний витік даних. Для окремих осіб або організацій, які займаються чутливими, конфіденційні чи регульовані дані, передбачувані ризики впливу третьої сторони, потенційні випадковий витік даних і проблеми з відповідністю часто переважують зручність переваги. Вимкнення цієї функції є раціональним і проактивним заходом безпеки.

      ⚠️ Вплив на робочий процес (Impact):

      Вимкнення інструментів запису Apple Intelligence означає, що ви можете зменшити зручність і ефективність для письма, що змушує вас виконувати ці завдання вручну. Однак це також посилює безпека та конфіденційність, запобігаючи потенційному надсиланню будь-якого тексту за межі пристрою.

      🔍 Аудит (перевірка налаштувань)
      🖥️ Графічний інтерфейс (GUI / WebUI)

      Наразі немає спеціального способу перевірити, чи інструменти запису вимкнено через Apple Configurator 2 або через графічний інтерфейс.

        ⚙️ Виправлення (Remediation / Налаштування)
        📱 Профіль конфігурації (MDM / Configuration Profile)
        1. Створіть або відредагуйте профіль конфігурації з такою інформацією:
        2. 1. Рядок PayloadType — com.apple.applicationaccess
        3. 2. Ключ, який потрібно включити, це allowWritingTools
        4. 3. Ключ повинен бути встановлений на
        5. Тільки внутрішні – загальні
        📋 CIS Controls & Нормативні посилання
        CIS Controls V8: 4.1
        IG 1, 2, 3
        Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

        CIS Controls V8: 4.8
        IG 1, 2
        Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

        CIS Controls V8: 15.3
        IG 1, 2
        Classify Service Providers Classify service providers. Classification consideration may include one or more characteristics, such as data sensitivity, data volume, availability requirements, applicable regulations, inherent risk, and mitigated risk. Update and review classifications annually, or when significant enterprise changes occur that could impact this Safeguard.

        CIS Controls V7: 5.1
        IG 1, 2, 3
        Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

        CIS Controls V7: 9.2
        IG 1, 2
        Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

        Потрібні інші розділи стандарту?

        Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


        До повного змісту CIS Apple iPadOS 26 Benchmark →