Безопасная дистанционная работа с личного компьютера возможна

БиблиотекаБиблиотека

Май, 2023

Интервью CNews с генеральным директором компании Аладдин Сергеем Груздевым — об опыте внедрения Aladdin LiveOffice для безопасной дистанционной работы сотрудников с недоверенных (личных) средств вычислительной техники (по материалам онлайн-конференции “Организация безопасной удалённой работы, соответствие требованиям ФСТЭК, опыт проекта в ФНС России”).

Возможна ли в принципе безопасная работа на личных СВТ?

Личный компьютер априори “недоверенный”: в нём может сидеть всё что угодно — трояны, вирусы, вредоносы.
В начале пандемии задача обеспечить безопасную дистанционную работу сотрудников органов исполнительной власти с личных СВТ (а первыми в стране пропали ноутбуки!) казалась нерешаемой — “как попытаться вытащить себя за волосы из болота”.
Базовой взята известная технология LiveUSB — загрузка компьютера с внешней флешки; “понимая, что пандемия и удалёнка — это надолго, сосредоточились на защите от внутреннего нарушителя”.
В качестве носителя — специализированный защищённый флеш-накопитель, сертифицированный для работы с гостайной (массово поставляется силовикам) — экономия времени и повышение безопасности.

Как это работает

На недоверенном компьютере с внешнего защищённого носителя загружается преднастроенная замкнутая доверенная программная среда, из которой идёт работа на служебном компьютере пользователя (или виртуальном при развёрнутой VDI).
Все задачи и конфиденциальные документы обрабатываются внутри организации, не покидая периметра: на личный компьютер по защищённому каналу “прилетают” лишь отрисованные картинки экрана, обратно “улетают” скан-коды клавиш и координаты мыши.
Пользователь работает в терминальном режиме в привычной среде (Windows, Linux): документы на привычных местах, доступ в ГИС, АСУ ТП, ИБС, ИСПДн, выход в интернет (если разрешён) — переучиваться не надо.
Локальные ресурсы личного компьютера (диски, NAS, флешки, принтеры) — потенциальные каналы утечки — заблокированы и недоступны.
Устройство работает только на авторизованных (“привязанных”) компьютерах: если злоумышленник заполучил устройство и знает пароль, на незнакомом компьютере оно не заработает.
Пользователь не знает — значит, не может дискредитировать — свой логин и пароль для удалённого подключения, адрес шлюза, настройки VPN; не может модифицировать программную среду, установить своё приложение, сохранить или распечатать служебный документ.
В отличие от служебного ноутбука с набором сертифицированных СЗИ по 17-му приказу ФСТЭК (доверенная загрузка, российская ОС после ухода Microsoft и отзыва сертификатов, антивирус, 2ФА, шифрование, VPN, МЭ), поверхность атаки у специализированного решения кардинально меньше — риски утечки и компрометации существенно ниже.

Можно ли сохранить документы на защищённой флешке?

Базовая версия — терминальный режим: документы остаются на служебном компьютере, сервере, в ИС организации — “у пользователя ничего не остаётся”.
Предусмотрен смешанный режим (дом/командировка/офис) и автономная работа: скачал нужное на защищённый зашифрованный раздел устройства → отключил онлайн (плохая или дорогая связь) → поработал автономно (устанавливаются нужные офисные пакеты) → сохранил на защищённом разделе или загрузил в ГИС.
Кастомизация под конкретные задачи и бизнес-процессы; “на борт” можно установить клиента ВКС для защищённой видеоконференцсвязи (сервер — в контуре организации, не в публичном облаке).

А если сфотографировать экран и слить в интернет?

С экрана сделать фото можно — но сфотографировать документ можно и на работе; “в чём принципиальная разница — дома или на работе?” Если сотрудник пошёл на это — вопрос к службе внутренней безопасности “или уже к другому ведомству”.
Защититься от фотографирования технически сложно; чаще имеют в виду возможность идентифицировать нарушителя — для этого есть дополнительное решение: водяные знаки на экране, незаметные глазу, но позволяющие по фотографии определить серийный номер устройства и пользователя.
“Знание того, что наказание неотвратимо — очень серьёзный сдерживающий фактор”.

Как выглядит работа пользователя? Нужно переучиваться?

Нет: (1) подключить USB-ключ и (2) включить компьютер; (3) F12 (F8 и др.) — загрузка с внешнего USB-носителя; (4) до загрузки ОС — аутентификация пользователя по паролю; (5) проверка авторизации компьютера; (6) загрузка сертифицированной доверенной российской ОС с преднастроенными приложениями (замкнутая доверенная среда); (7) подключение к сети (Ethernet/Wi-Fi); (8) строгая или усиленная двухфакторная аутентификация; (9) автоматическое VPN-соединение со шлюзом организации (ViPNet, “Застава” или др. сертифицированные); (10) RDP-подключение к рабочему столу служебного или виртуального (VDI) компьютера.
Далее всё как в офисе: привычные ИС, подписание документы электронной подписью (LiveOffice — также средство формирования и проверки УКЭП).

Можно ли работать в государственных информационных системах?

Решение сертифицировано ФСТЭК России по 4-му классу.
Применимо в органах исполнительной власти, госсструктурах, банках, ОПК — обработка всех видов тайн (кроме гостайны) и служебных сведений: ГИС до 1-го класса защищённости, ИСПДн до 1-го уровня, ИС значимых объектов КИИ до 1-й категории.
В формуляре — полный список тайн: налоговая, банковская, врачебная, нотариальная, тайна следствия, страхования и др.

Могут ли использовать коммерческие организации?

Да: есть более гибкая настраиваемая версия под текущую ИТ-инфраструктуру организации; возможностей для “манёвра” и кастомизации сильно больше.

Какова стоимость?

Исходная задача для органов исполнительной власти: решение должно быть в 5–7 раз дешёвле служебного ноутбука с установленным набором сертифицированных средств защиты. “Мы уложились в установленные нормы”.

Это краткая аннотация статьи, полную версию читайте в первоисточнике.

Читать полную версию

Первоисточник: CNews, 2023

Эксперт: Сергей Груздев, Аладдин