Соответствие никогда не спит: проблемы безопасности данных при удаленной работе

Из-за пандемии коронавируса (COVID-19) можно с уверенностью предположить, что подавляющее большинство ИТ-работодателей инструктируют своих сотрудников работать из дома. Внезапный и немедленный характер пандемии ограничил возможности компаний по окончательному согласованию механизмов удаленной работы, включая логистику для обеспечения безопасности данных.

В то время как некоторые учреждения смогли легко адаптироваться к удаленной работе, многие не смогли. В результате фундаментальные методы кибербезопасности, такие как многофакторная аутентификация (MFA), безопасное резервное копирование рабочего стола, установка исправлений удаленного компьютера, безопасное хранение и передача файлов, а также другие требования для безопасной удаленной работы никогда не применялись должным образом. В начале пандемии системные интеграторы и ИТ-компании были перегружены работой по миграции в облако и системной интеграции. Это означает, что другие виды работ сильно задерживаются. Понятно, что в глобальном масштабе у нас не было предпосылок для плавного перехода на удаленную работу. Без идеальной удаленной рабочей среды нам пришлось адаптировать то, что доступно в настоящее время. Однако по-прежнему существует требование соблюдения требований защиты данных и других существующих форм соответствия.

Обеспечение безопасного и надежного хранения данных наших клиентов в системах, которые мы используем, остается нашей обязанностью. Это означает, что мы по-прежнему должны подтверждать, что только авторизованные пользователи имеют доступ к соответствующим данным. Кроме того, должны быть предусмотрены разумные технические средства контроля личной информации. Как и прежде, это продолжает оставаться актуальным. На самом деле, поскольку мир работает с большего количества устройств и инструментов удаленной работы, это может быть более важным, чем когда-либо прежде.

Работа из дома кейс

Чтобы подчеркнуть важность безопасной удаленной работы и безопасности данных, приведем пример проблем и решений, с которыми столкнулась реальная (но неназванная) компания, переходящая на удаленную работу. Давайте углубимся в то, с чем столкнулась эта компания — скорее всего, ваша компания сталкивается с аналогичными проблемами.

Контекст

В конце февраля, после надвигающихся ограничений, связанных с пандемией, компания объявила, что все без исключения сотрудники должны работать из дома. Непосредственной задачей было перемещение оборудования в дом, что позволило тем, у кого нет доступа, работать на машине, выпущенной компанией.

Компания срочно запросила более 600 ноутбуков у онлайн-торговца, который продавал отремонтированные машины. Были различные области беспокойства.

Исправление и обслуживание

Прежде всего, домашние компьютеры не защищены строгим графиком исправлений, который поддерживает программное обеспечение, поддерживая его в актуальном состоянии. Сюда входят встроенные приложения, операционные системы и браузеры. Обеспечение того, чтобы известные уязвимости не использовались, требует уровня осмотрительности, синонимического предприятиям. Если домашний компьютер взломан и данные раскрыты, компания может нести ответственность за нарушение.

Однако, поскольку компания установила программное обеспечение для удаленного управления как на домашних компьютерах, так и на новых машинах, компьютеры постоянно обновлялись. Примечательно, что ИТ-отделу потребовалось больше месяца, чтобы добиться этого, но это было выполнено.

Стандартизация компьютеров

Во-вторых, 600 отремонтированных компьютеров были выданы сразу для поддержания работы рабочей силы. Хотя это гарантировало, что сотрудники могли продолжать свою работу, это создавало потенциал для нарушения.

Компания наняла команду из четырех человек для запуска программного обеспечения для удаленного управления, последующего сканирования на наличие вредоносных программ и обеспечения полной инвентаризации всего программного обеспечения на компьютерах. Затем вредоносное ПО было идентифицировано на 16 машинах. В результате они были переформатированы, переустановлены и переведены в соответствии со стандартами компании удаленно. Это было выполнено без подключения устройств к VPN компании. Таким образом, возможность распространения вредоносного ПО в корпоративную сеть была снижена.

Познакомив компанию с концепцией нулевого доверия (когда компании не доверяют ни одному компьютеру и гарантируют, что все проверяется перед предоставлением доступа), была обеспечена целостность машин.

На двух машинах были размещены программы-вымогатели, которые могли распространиться по сети компании. Однако благодаря дезинфекции машин этого удалось избежать.

Корпоративные данные на личных устройствах

Ожидается, что после этих действий компания ускорит переход на облачный Office 365. Крайне важно использовать облако, чтобы предоставить пользователям возможность; однако ожидалось, что это будет завершено за выходные. За это время все корпоративные данные должны были быть перенесены в облако с предоставлением соответствующего доступа. Кроме того, необходимо было сообщить о новой рабочей среде и обучить пользователей ее работе. Учитывая характер временных ограничений, компания добилась в основном успеха: более 90 процентов пользователей смогли получить доступ к необходимым им данным после миграции.

Многие пользователи смогли перенести данные на свои домашние компьютеры и загрузить их с помощью различных приложений для онлайн-хранилищ. После развертывания технического контроля поведение пользователей отслеживалось. Это позволило компании сформулировать, передать и обработать план, который информировал бы пользователей о действиях, которые следует предпринять в отношении корпоративных данных. Это могло быть сложно, поскольку некоторые пользователи были проинструктированы о том, что можно и что нельзя делать на их собственных персональных машинах. Тем не менее, автономность не подвергалась угрозе, поскольку связь и данные управлялись правильно. Это означало, что можно было хранить корпоративные данные отдельно от личных данных.

Через 60 дней компания выдала ноутбуки тем, кто использовал свои личные устройства. Затем данные с персональных компьютеров были удалены, и проблемы, связанные с использованием персональных устройств, были полностью устранены.

Защита VPN

Более половины пользователей в компании нуждались в VPN для обеспечения доступа к ресурсам в сети. Управление взаимоотношениями с клиентами (CRM) и другие приложения, характерные для компании, оставались жизненно важными даже при работе из дома.

Виртуальные частные сети являются эффективным решением при правильном развертывании. В противном случае они могут вызвать различные нарушения безопасности данных во время удаленной работы. Например, при использовании домашнего устройства для подключения к корпоративной сети VPN должна заканчиваться в безопасной посадочной зоне или демилитаризованной зоне, подходящей для этой цели. Это гарантирует, что пользователю будут доступны только необходимые службы и протоколы. Сеть должна быть полностью сегментирована, чтобы гарантировать, что удаленный пользователь имеет доступ только к тому, что требуется, и не может причинить вред какой-либо другой системе через VPN.

Здесь компания работала с сетевой командой, чтобы обеспечить изоляцию сети и внедрение правила наименьших привилегий. Это гарантировало безопасность VPN для тех, кто должен был ее использовать.

Многофакторная аутентификация

Во время миграции в облако было подчеркнуто, что компании необходимо развернуть MFA. Компания позвонила поставщику, чтобы заказать больше физических токенов. Однако, поскольку у продавца их не было на складе, они не смогли предоставить токены. Компании пришлось принять меры, чтобы сменить поставщиков MFA и развернуть новые токены MFA на мобильных телефонах, SMS и собственных приложениях всех пользователей. Все это произошло за считанные дни, чтобы обеспечить более высокий уровень безопасности.

Коммуникация

Жизненно важным элементом перехода на удаленную работу оставались общение, документация и руководство. Чтобы обеспечить работу, компания должна была поддерживать своих сотрудников, руководителей и клиентов. В конечном итоге стало ясно, что ежедневное общение и письменное подкрепление решают проблемы.

Несмотря на огромные изменения, вызванные пандемией, быстрая реакция и успешная коммуникация поддерживали работу компании.

Безопасность данных и удаленная работа: соблюдение требований по-прежнему имеет решающее значение

Эта компания успешно перешла на удаленную работу при сохранении безопасности данных и в очень сложных условиях. Скорее всего, ваша компания сталкивается с аналогичными проблемами. Крайне важно, чтобы во время удаленной работы наши компьютеры и устройства были защищены для обеспечения безопасности данных. Соблюдение требований по-прежнему имеет решающее значение, и всем доверено быть хорошими хранителями данных как на рабочем месте, так и за его пределами.