Сергей Петренко, Аладдин: Работа на удалёнке в безопасном режиме
Октябрь, 2020
Экспертная статья Сергея Петренко, директора продуктового направления “Защищённые носители информации” компании Аладдин, о безопасности удалённой работы. Следует разделять плановый осознанный перевод части персонала на удалёнку и экстренный переход всего штата, как в марте 2020 года: при плановом можно в штатном порядке продумать комплекс организационно-технических мер, выдать СЗИ и СКЗИ, разработать инструкции — при вынужденном таких возможностей нет.
Ключевые тезисы из ответов эксперта:
О финансовых реалиях массовой удалёнки:
-
Не каждая компания, даже крупная госкорпорация с огромными ИТ-бюджетами, готова оперативно выдать каждому сотруднику корпоративный ноутбук — причём не просто выдать, а проработать модель ИБ удалённого доступа, разработать систему защиты и предустановить необходимый набор СЗИ/СКЗИ, настроенный по политике безопасности и бесконфликтно работающий в ОС.
-
При массовом переводе вопрос финансов встаёт первым: даже при небольшой численности персонала снабдить каждого ноутбуком весьма затратно, а с добавлением стоимости средств ИБ и дооснащения серверной части затраты с большой вероятностью окажутся неподъёмными для текущих бюджетов. Работодателям приходится идти на компромиссы не только с совестью, но и с корпоративными политиками ИБ.
О домашнем компьютере как “ящике Пандоры”:
-
Использовать домашние компьютеры в рабочих целях небезопасно даже с антивирусами: компании вынуждены разрешать удалённый доступ с них, но обязаны защищать циркулирующую тайну — и в собственных интересах, и по внешним обязательствам.
-
Типичный домашний компьютер “не-айтишника”: старенький ноутбук с нелицензионной ОС, которая давно не обновляется (включая обновления безопасности); отсутствие даже бесплатного антивируса; многопользовательский режим, когда за компьютером сидят все члены семьи; отсутствие у владельца элементарных знаний по ИБ. Вероятность инцидента и возможные потери для личного устройства — одна величина, для того же устройства в корпоративных задачах — совсем другая история.
-
Антивирус — лишь базовое средство; пул угроз шире. Актуальны угрозы НСД к корпоративным ресурсам из-за пределов контура, нарушения конфиденциальности при передаче по открытым каналам, компрометации при отчуждении на съёмные носители.
О ландшафте решений:
-
Пандемия изменила весь ландшафт корпоративной ИБ — мы живём в новой киберреальности; большинство вендоров оперативно представили продукты для безопасного удалённого доступа: от классических программных VPN-клиентов до “инновационных” защищённых ноутбуков со встроенными аппаратными средствами защиты. Вопрос, как всегда, в рисках и средствах, которые компания готова тратить на их нивелирование.
-
Малый и средний бизнес может выйти из ситуации “малой кровью” — бесплатный VPN и простейшая парольная аутентификация. Крупный бизнес, госкорпорации и ведомства обязаны реализовать комплексное обеспечение ИБ по требованиям регуляторов — только сертифицированные СЗИ и СКЗИ со всеми нюансами регулируемого рынка.
-
Критерии выбора: технические требования по нейтрализации угроз в соответствии с моделью нарушителя; нормативные ограничения (ФСБ, ФСТЭК, Банк России); финансовые ограничения по бюджету на ИБ. Аладдин предлагает решения на базе собственных разработок в области доверенной загрузки, усиленных продуктами партнёров.
О доверии и будущем:
-
Доверие к новым продуктам основывается только на двух факторах — доверие к бренду-производителю и наличие сертификатов в области защиты информации.
-
Пандемия закончится, а желание работать из дома с приемлемым уровнем ИБ останется — это уже новый тренд в HR; выводы сделали и люди, и работодатели, посчитавшие экономику “удалёнки”. Решения для безопасного удалённого доступа будут дорабатываться и войдут в портфели всех игроков рынка.
-
“Аппетит приходит во время еды”: решив базовые потребности в безопасности, заказчики захотят получить всю привычную функциональность — решения будут дополняться “побочной” функциональностью корпоративных коммуникаций, совместной и автономной работы с документами.
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: “Национальный банковский журнал”, октябрь, 2020
Эксперт: Сергей Петренко, Аладдин