Защита интранета в мире цифровых аборигенов

Введение

Многие из сегодняшних новых сотрудников, поступающих на работу в компании по всему миру, могут считаться «цифровыми аборигенами» — представителями поколения, выросшего с компьютерами и воспринимающего преимущества подключения к Интернету как должное. Это может быть преимуществом для компаний, поскольку пользователям компьютеров требуется меньше времени на ввод в эксплуатацию и обучение основам использования компьютера, но это также создает новые проблемы для тех, кому поручено защищать сети, в которых работают эти цифровые аборигены. Многие из этих молодых людей не ожидают, что их заблокируют в использовании инструментов и посещении нужных им сайтов, и на удивление многие из них достаточно сообразительны, чтобы найти обходные пути для мер безопасности, которые хорошо работали с более традиционными сотрудниками.

В этой статье мы стремимся повысить осведомленность о том, чем защита сети в этой новой пользовательской среде отличается от старой модели, и почему может быть полезно изменить некоторые давние политики и методы обучения, чтобы сохранить безопасность сети, не делая «родных» слишком беспокойный.

Разрыв цифрового населения

Термин «цифровой абориген» обычно приписывают Марку Пренски, который противопоставил их «цифровым иммигрантам», которые выросли до эпохи компьютеров в каждом доме и повсеместного подключения и, следовательно, должны адаптироваться к окружающей среде. См. «Цифровые аборигены», «Цифровые иммигранты», 2001 г.

Примечание:
Просто принадлежность к молодому поколению не делает человека цифровым аборигеном. Речь идет о культуре, а не только о возрасте. Многие даже сейчас растут в странах третьего мира, где компьютеры и доступ в Интернет не так широко доступны. Таким образом, цифровые аборигены на самом деле представляют собой население, а не поколение.

Общая предпосылка заключается в том, что «аборигены» думают и учатся по-другому. Они привыкли и чувствуют себя комфортно, обрабатывая поток информации, который сокрушил бы многих «иммигрантов». В какой-то степени они даже говорят на другом языке. Хотя статья Пренски сосредоточена на том, как образовательные учреждения должны адаптироваться к этому новому поколению студентов, то же самое относится и к рабочему месту. Цифровые аборигены не рассматривают компьютеры так же, как средний пожилой пользователь компьютеров, как просто машину, которую можно использовать для выполнения работы. Для туземца компьютеры являются неотъемлемой частью жизни, так же, как телевизоры и телевизоры для сегодняшнего поколения бэби-бумеров.

Влияние на сетевую безопасность

На прошлогоднем саммите для Microsoft Most Valuable Professionals (MVP) Стив Райли провел презентацию для MVP Enterprise Security под названием «Будущее безопасности не такое, каким оно было раньше», в которой он рассказал о трех аспектах безопасности: технологиях, процессах. и люди. В ходе этого обсуждения он отметил, что традиционные подходы к безопасности не будут работать с новым поколением, у которого другие ожидания от работы. Они ожидают, что смогут получить доступ к своим сайтам в Facebook или отправить электронное письмо своим друзьям во время перерывов, так же как пожилые работники ожидают, что смогут использовать корпоративный телефон для личных звонков, если это не мешает выполнению работы. Цифровые аборигены не любят политику и ограничения, которые кажутся им произвольными и карательными.

И если вы попытаетесь заставить их принять эту форму, они склонны а) уйти или б) взломать свои пути в обход ваших мер безопасности. Вы могли бы сказать «скатертью дорога» и поклясться нанимать только тех, кто будет соблюдать правила, но что вы будете делать, когда пул кандидатов будет заполнен исключительно цифровыми аборигенами? И более вероятно, что те, у кого есть технические навыки, выберут вариант б — в процессе подвергая вашу сеть большему количеству угроз, чем если бы вы предоставили им безопасный способ получить доступ, который они хотят.

Это не остановило работодателей от попыток. Согласно этой статье, исследование ScanSafe (производителя программного обеспечения для веб-фильтрации) показывает, что за последнее время число их клиентов, блокирующих сайты социальных сетей, увеличилось на 20%, причем более трех четвертей из них делают это (посмотрите на эту ссылку). Например).

Одним из последствий взросления в мире социальных сетей является совершенно иное отношение туземцев к информации и конфиденциальности. Они могут прийти на работу с мыслью, что «информация хочет быть бесплатной — как в денежном, так и в либертарианском смысле. Во многих отношениях у них никогда не было личной жизни, и это усложняет им понимание концепции конфиденциальности применительно к рабочему месту. Это может стать настоящей проблемой в эпоху государственных постановлений, таких как HIPAA и GLB, которые требуют, чтобы определенные данные оставались конфиденциальными, а также в бизнес-среде, где раскрытие коммерческой тайны может привести к краху всей компании.

Эти цифровые аборигены также с большей вероятностью попытаются установить свои собственные приложения на свои компьютеры или перенести данные на флэш-накопители. Если вы еще не внедрили политику, регулирующую эту деятельность, пора это сделать.

К сожалению, тот факт, что цифровые аборигены владеют определенными технологиями, не означает, что они знают или заботятся о безопасности. Для молодежи характерно то, что они считают себя неуязвимыми и идут на риск, которого обычно избегают пожилые люди. Онлайн ничем не отличается; предположительно сообразительные местные жители чаще всего скачивают нелегальную музыку и фильмы, обмениваются файлами по одноранговым сетям, посещают хакерские веб-сайты и занимаются аналогичной деятельностью в Интернете. И, конечно же, это действия, которые представляют наибольший риск. Молодые сотрудники могут уметь обходить ваши брандмауэры и средства контроля доступа, не имея представления о последствиях для себя или организации.

Работа над решением

Как же в таком случае ваша организация должна защитить себя от новых угроз, связанных с персоналом цифровых аборигенов, при этом пользуясь их навыками? Как и в случае с любой группой пользователей, первым ключевым моментом является образование. Вот несколько советов:

• Не думайте, что только потому, что ваши молодые пользователи знают, как перемещаться по своим компьютерам лучше, чем старики, они также знают, как защитить эти компьютеры от атак или вторжений. Просветите их в этом отношении.
  
  
• Не говорите с ними свысока. Покажите им, что вы уважаете их знания и навыки, и попросите их внести свой вклад в установление политик. Просто у них могут быть хорошие идеи.
  
  
• Возьмите их в свою команду. Вместо того, чтобы создавать враждебные отношения, вовлеките их в работу по достижению тех же целей безопасности, что и у вас (и разделите с ними эти цели). Покажите им, «что в этом есть» для них — будь то что-то конкретное, например, дополнительные интернет-привилегии для них самих, или что-то более абстрактное, например, удовлетворение от помощи в предотвращении атаки извне.
  
  
• Помните и сообщайте своим сотрудникам, что компании угрожают не только технологические угрозы. Даже если вы можете запретить им использовать Facebook или MySpace на работе, они могут пойти домой и опубликовать информацию о своей работе, которая непреднамеренно попадет в чужие руки (например, к конкурентам) и вызовет проблемы. Разработайте политику относительно того, должны ли они идентифицировать себя как сотрудников компании в социальных сетях, и какие типы информации должны быть запрещены для обмена с лицами за пределами компании.

Поймите, что образование должно идти в обоих направлениях. Менеджмент и ИТ должны сначала осознать, что они имеют дело с новым типом сотрудников, а также внести некоторые коррективы в политику и отношение.

• Не думайте, что высоко мотивированные цифровые аборигены не смогут обойти технологические средства контроля, которые ограничивали ваших старых пользователей. Может быть хорошей идеей нанять технически подкованного местного жителя, который намеренно попытается обойти ваши меры безопасности и найти дыры, чтобы вы могли их закрыть. Это отличается от традиционного тестирования на проникновение тем, что оно проводится с точки зрения инсайдера, пытающегося «прорваться».
  
  
• Помните, что пряник работает лучше, чем кнут. Не думайте, что с аборигенами сработает жесткий авторитарный подход. «Установление закона», скорее всего, вдохновит их на еще более усердные попытки обойти ваш контроль. Раньше они делали это, потому что хотели получить доступ. Теперь они сделают это, чтобы «отомстить» вам. И если они недовольны, они могут чувствовать себя вправе пойти гораздо дальше, чем в противном случае.
  
  
• Предоставьте им то, что они хотят, не подвергая риску вашу производственную сеть. Предоставьте им отдельную беспроводную сеть, к которой они могут подключаться со своими ноутбуками (почти у всех есть ноутбуки), чтобы просматривать веб-страницы, отправлять электронную почту и т. д. Они должны иметь доступ к Интернету через эту сеть, но она должна быть полностью отдельно от корпоративной сети.

Говоря о ноутбуках, цифровым аборигенам важна мобильность. Если компания выпускает ноутбуки или если сотрудники подключаются к корпоративной сети со своими собственными, разверните решение для обеспечения соблюдения политик работоспособности, такое как Microsoft Network Access Protection (NAP), и предоставьте способ обновления систем независимо от того, вошел ли пользователь в систему или нет, например Microsoft DirectAccess. Требуйте BitLocker или другое шифрование всего диска и установите программное обеспечение для отслеживания, такое как Computrace LoJack, чтобы в случае утери или кражи машины она «позвонила домой», если кто-то подключит ее к Интернету, и данные можно было удаленно стереть с жесткого диска.