Безопасность удалённой работы: аппетит приходит во время еды
БиблиотекаБиблиотека
Сентябрь, 2020
Интервью журнала IT Manager с Сергеем Петренко, директором продуктового направления “Защищённые носители информации” компании Аладдин, — о защите информации удалённых сотрудников.
С какими проблемами сталкиваются организации при переводе сотрудников на удалёнку?
Заголовок раздела «С какими проблемами сталкиваются организации при переводе сотрудников на удалёнку?»- Плановый перевод и экстренный (как самоизоляция марта 2020-го) — разные вещи: в первом случае можно в штатном порядке продумать организационно-технические меры, выдать комплект СЗИ/СКЗИ, написать инструкции; во втором таких возможностей нет.
- Не каждая компания, включая крупные госкорпорации с огромными ИТ-бюджетами, готова оперативно выдать каждому сотруднику корпоративный ноутбук — причём не просто выдать, а сначала проработать модель ИБ удалённого доступа и предустановить настроенный, бесконфликтно работающий набор СЗИ и СКЗИ.
- Вопрос не только в стоимости ноутбуков, но и в мероприятиях по настройке серверной и пользовательской частей системы ИБ.
Что меняется при массовом переводе?
Заголовок раздела «Что меняется при массовом переводе?»- В первую очередь — финансы: даже при небольшой численности снабдить каждого ноутбуком весьма затратно, а с СЗИ, дооснащением и реконфигурированием серверной части затраты, скорее всего, окажутся неподъёмными для текущих бюджетов.
- Ради непрерывности бизнес-процессов работодателям приходится идти на компромиссы “не только с совестью, но и с корпоративными политиками информационной безопасности”.
Почему домашний компьютер небезопасен, даже с антивирусом?
Заголовок раздела «Почему домашний компьютер небезопасен, даже с антивирусом?»- Домашний компьютер — “не просто чёрный ящик, а скорее ящик Пандоры”: стоит впустить его в корпоративную сеть — последствия могут стать катастрофическими.
- Дело не в злом умысле: сотрудник верен организации, но его грамотность в ИБ оставляет желать лучшего.
- Типичный домашний ПК “не-айтишника”: старый ноутбук с нелицензионной Windows без обновлений (включая обновления безопасности), без бесплатного антивируса, в многопользовательском режиме (вся семья, включая детей), у владельца нет элементарных знаний ИБ — высокий риск любых атак.
- Вероятность инцидента и потери для личного СВТ — одна величина; когда то же СВТ используют для корпоративных задач — “совсем другая история”.
Есть ли дополнительные угрозы, кроме вирусов?
Заголовок раздела «Есть ли дополнительные угрозы, кроме вирусов?»- Пул угроз гораздо шире антивирусной “базы”: НСД к корпоративным ресурсам из-за пределов контура безопасности, нарушение конфиденциальности при передаче по открытым каналам, компрометация при отчуждении на съёмные носители.
- Заблуждение “вирусы пишут сами производители антивирусов” — именно оно: желающих написать вредоносный код под конкретные цели (хищение через онлайн-банкинг) более чем достаточно, вендоры постоянно в этом противостоянии.
Есть ли на рынке решения, отвечающие последним угрозам?
Заголовок раздела «Есть ли на рынке решения, отвечающие последним угрозам?»- Пандемия изменила весь ландшафт: “мы живём в новой киберреальности”. Вендоры оперативно представили продукты — от классических VPN-клиентов до “инновационных” защищённых ноутбуков со встроенными аппаратными средствами.
- Малый и средний бизнес может выйти малой кровью — бесплатный VPN и простейшая парольная аутентификация.
- Крупный бизнес, госкорпорации и ведомства обязаны реализовать комплексную защиту по требованиям регуляторов — только сертифицированные СЗИ/СКЗИ.
- Оптимальное решение зависит от реальных задач и нормативных ограничений; Аладдин предлагает решения безопасного удалённого доступа на базе собственных разработок в области доверенной загрузки, усиленных продуктами партнёров.
Критерии выбора продукта?
Заголовок раздела «Критерии выбора продукта?»- Совокупность желаемого уровня ИБ (сопоставимого с офисным) и реальных финансовых/технических возможностей.
- Конкретные технические требования по нейтрализации угроз в соответствии с политикой безопасности (модель нарушителя); нормативные ограничения (ФСБ, ФСТЭК, Банк России); бюджет на ИБ.
- Профессионализм производителей, дистрибьюторов и интеграторов должен позволить предложить каждой компании решение под её критерии.
На каком основании доверять новым, не обкатанным продуктам?
Заголовок раздела «На каком основании доверять новым, не обкатанным продуктам?»- Доверие строится только на двух факторах: доверие к бренду-производителю и наличие у продукта сертификатов в области защиты информации.
Будут ли пандемийные продукты востребованы после пандемии?
Заголовок раздела «Будут ли пандемийные продукты востребованы после пандемии?»- Безусловно. Пандемия закончится, а желание и возможность работать из дома, сохраняя приемлемый уровень ИБ, останется — это уже новый тренд в HR.
- Люди прочувствовали “удалёнку”, работодатели оценили эффективность и посчитали экономику; рождающиеся в спешке решения будут дорабатываться и войдут в портфели всех игроков рынка ИБ.
Возможно ли расширение функционала решения?
Заголовок раздела «Возможно ли расширение функционала решения?»- Не просто возможно, а необходимо — “аппетит приходит во время еды”: решив базовые потребности в безопасности, заказчики захотят всю привычную функциональность, доступную из офиса.
- Перспективные решения обязательно дополнятся “побочной” (не ИБ) функциональностью — корпоративные коммуникации, совместная и автономная работа с документами.
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: Журнал IT-Manager № 08/2020, сентябрь, 2020
Эксперт: Сергей Петренко, Аладдин