🥇Вчера не беше възможно, а днес е нужно: как да започнем да работим дистанционно и да не станем причина за изтичане?

В един момент дистанционната работа стана търсен и необходим формат. Всичко заради COVID-19. Нови мерки за превенция на заразяване се появяват всеки ден. В офисите измерват температура, а някои компании, включително и големи, пренасят служителите на дистанционна работа, за да намалят загубите от престой и болнични. В това отношение ИТ секторът с опита си за работа на разпределени екипи е в печеливша позиция.

Ние в НИИ СОКБ не е първа година, откакто се занимаваме с организирането на дистанционен достъп до корпоративни данни от мобилни устройства и знаем, че дистанционната работа е сложен въпрос. Под катом ще разкажем как нашите решения помагат безопасно да се управляват мобилните устройства на служителите и защо това е важно за дистанционната работа.

Какво е нужно на служителя, за да работи дистанционно?

Стандартният набор от услуги, до които трябва да се осигури дистанционен достъп за пълноценна работа, включва комуникационни услуги (електронна поща, месинджър), уеб ресурси (разнообразни портали, например, service desk или система за управление на проекти) и файлове (системи за електронен документооборот, контрол на версиите и т.н.).

Не трябва да се надяваме, че заплахите за безопасността ще чакат, докато завършим борбата с коронавируса. При дистанционната работа има свои правила за безопасност, които трябва да се спазват дори по време на пандемия.

Важно за бизнеса информация не може просто да се изпраща на личния email на служителя, за да може той спокойно да я чете и обработва на личния си смартфон. Смартфонът може да се загуби, в него може да се инсталират приложения, които крадат информация, в него, в крайна сметка, могат да играят деца, които сидят у дома заради същия вирус. Колкото по-важни са данните, с които работи служителят, толкова повече трябва да се защитават. И защитата на мобилните устройства не трябва да е по-лоша от стационарните.

Защо антивирусът и VPN не са достатъчни?

За стационарни работни места и лаптопи с операционна система Windows инсталацията на антивирус е оправдана и необходима мярка. А за мобилни устройства — далеч не винаги.

Архитектура на устройствата на Apple пречи на информационното взаимодействие между приложенията. Това ограничава потенциалните последствия от инфектирания софтуер: ако се използва уязвимост в пощенския клиент, действията не могат да излязат извън рамките на този пощенски клиент. В същото време тази политика намалява ефективността на антивирусите. Автоматично да се провери файл, получен по пощата, вече не е възможно.

На платформата Android и вирусите, и антивирусите имат повече перспективи. Но все пак остава въпросът за целесъобразността. За да се инсталира злонамерен софтуер от магазина за приложения, е необходимо ръчно да се дадат много разрешения. Правата за достъп получават само тези потребители, които разрешават на приложенията всичко. На практика е достатъчно да се забрани на потребителите да инсталират приложения от неизвестни източници, за да не станат "таблетките" за безплатно инсталирани платени приложения "лечение" на корпоративни тайни от конфиденциалност. Но тази мярка излиза извън функциите на антивируса и VPN.

Освен това, VPN и антивирус не могат да контролират как се държи потребителят. Логиката подсказва, че на потребителското устройство трябва да бъде инсталирана поне парола (като защита от загуба). Но наличието на парола и нейната надеждност зависят единствено от съзнателността на потребителя, на която компанията няма как да влияе.

Разбира се, съществуват административни методи. Например, вътрешни документи, според които служителите ще носят лична отговорност за липсата на пароли на устройствата, инсталирането на приложения от недоверени източници и т.н. Може дори да се накарат всички служители да подпишат изменена длъжностна инструкция преди да започнат работа от разстояние, съдържаща тези точки. Но нека да погледнем истината в очите: компанията няма да може да провери как тази инструкция се изпълнява на практика. Тя ще бъде заета с извънредно преструктуриране на основните процеси, докато служителите, въпреки внедрените политики, ще копират конфиденциални документи на личния Google Диск и ще отварят достъп до тях по линк, тъй като така е по-удобно да работят съвместно по документа.

Следователно, внезапната отдалечена работа на офиса е тест за устойчивостта на компанията.

Управление на корпоративната мобилност

От гледна точка на информационната сигурност, мобилните устройства представляват заплаха и потенциална дупка в защитната система. Решенията от клас EMM (управление на корпоративната мобилност) имат за цел да затворят тази дупка.

Управлението на корпоративната мобилност (EMM) включва функции за управление на устройства (MDM, управление на мобилни устройства), приложения (MAM, управление на мобилни приложения) и съдържание (MCM, управление на мобилно съдържание).

MDM е необходимият "побойник". С помощта на функциите MDM администраторът може да рестартира или блокира устройството, ако е загубено, да настрои политики за сигурност: наличие и сложност на паролата, забрана на функции за дебъгване, инсталиране на приложения от apk и т.н. Тези основни възможности се поддържат на мобилни устройства на всички производители и платформи. По-фините настройки, като забраната за инсталиране на персонализирани рековъри, са налични само на устройства на определени производители.

MAM и MCM са "сладките" във вид на приложения и услуги, до които имат достъп. Осигурявайки достатъчно ниво на сигурност чрез MDM, могат да се предоставят защитени отдалечени достъпи до корпоративни ресурси чрез приложения, инсталирани на мобилните устройства.

На пръв поглед изглежда, че управлението на приложенията е чисто ИТ задача, която се свежда до елементарни операции като "инсталиране на приложение, настройване на приложение, обновяване на приложение до нова версия или връщане обратно на предишната версия". Всъщност и тук не става без сигурност. Нужно е не просто да се инсталират и настройват необходимите за работа приложения на устройствата, но и да се защитят корпоративните данни от изнасяне в личен Dropbox или Яндекс.Диск.

За да разделят корпоративното и личното, съвременните EMM системи предлагат да се създаде контейнер за корпоративни приложения и данни на устройството. Потребителят не може несанкционирано да изнася данни от контейнера, затова службата за сигурност няма нужда да забранява "личното" използване на мобилното устройство. За бизнеса това е, напротив, изгодно. Колкото по-добре потребителят разбира своето устройство, толкова по-ефективно ще използва работните инструменти.

Нека се върнем на ИТ задачите. Има две задачи, които не могат да бъдат решени без EMM: връщане на версията на приложението и дистанционно конфигуриране. Връщането е необходимо, когато новата версия на приложението не удовлетворява потребителите - в нея има сериозни грешки или просто е неудобна. При приложенията в Google Play и App Store връщането е невъзможно - в магазина винаги е налична само последната версия на приложението. При активна вътрешна разработка версиите могат да излизат почти всеки ден и не всички от тях се оказват стабилни.

Дистанционното конфигуриране на приложения може да бъде реализирано и без EMM. Например, могат да се правят различни версии на приложението за различни адреси на сървърите или да се съхранява файл с настройки в публичната памет на телефона, за да бъде след това променян ръчно. Всичко това е възможно, но трудно може да се нарече добри практики. От своя страна, Apple и Google предлагат стандартизирани подходи за решаване на тази задача. На разработчика му е достатъчно един път да вгради необходимия механизъм и приложението ще може да настрои всеки EMM.

Купихме зоопарк!

Не всички сценарии на използване на мобилни устройства са еднакво полезни. Различните категории потребители имат различни задачи, и те трябва да се решават по свой собствен начин. На разработчика и финансовия специалист са им нужни специфични набори от приложения и, възможно, набори от политики за сигурност поради различната конфиденциалност на данните, с които работят.

Не винаги е възможно да се ограничи броят на моделите и производителите на мобилни устройства. От една страна, е по-евтино да се създаде корпоративен стандарт за мобилни устройства, отколкото да се разберат разликите между Android от различни производители и особеностите на мобилния интерфейс на различни екрани. От друга страна, закупуването на корпоративни устройства по времето на пандемията става по-трудно и компаниите трябва да допуснат използването на лични устройства. Ситуацията в Русия допълнително се усложнява от наличието на национални мобилни платформи, които не се поддържат от западни EMM решения.

Всичко това често води до ситуация, в която вместо едно централизирано решение за управление на корпоративната мобилност, се използва разношерстен зоопарк от EMM, MDM и MAM системи, всяка от които се обслужва от собствен персонал според уникални правила.

Какви са особеностите в Русия?

В Русия, както и в която и да е друга страна, съществува национално законодателство за защита на информацията, което не се променя в зависимост от епидемиологичната обстановка. Например, в държавните информационни системи (ГИС) трябва да се прилагат средства за защита, сертифицирани по изискванията за безопасност. За да отговорят на това изискване, устройствата, получаващи достъп до данни в ГИС, трябва да се управляват с помощта на сертифицирани EMM решения, сред които е нашият продукт SafePhone.

Дълго и неясно? Всъщност не.

Инструменти на корпоративно ниво, като EMM, често се асоциират с бавно внедряване и дълга предварителна подготовка. Сега просто няма време за това — ограниченията, наложени от вируса, се въвеждат бързо, така че перестройката на дистанционна работа не може да чака.

От нашия опит, а ние сме реализирали много проекти за внедряване на SafePhone в компании с различни мащаби, дори при локално разгръщане решението може да бъде стартирано за една седмица (без да се брои времето за съгласуване и подписване на договори). Обикновените служители ще могат да ползват системата вече 1-2 дни след внедряването. Да, за гъвкава настройка на продукта е нужно да обучим администраторите, но обучението може да се проведе и паралелно с началото на експлоатацията на системата.

За да не губим време за инсталиране в инфраструктурата на клиента, предлагаме на клиентите си облачен SaaS сервис за дистанционно управление на мобилни устройства с помощта на SafePhone. Освен това предоставяме този сервис от собствен ЦОД, атестован за съответствие с максималните изисквания към ГИС и информационни системи с лични данни.

Като принос в борбата с коронавируса НИИ СОКБ безплатно свързва малките и средни предприятия към сървър SafePhone за осигуряване на безопасна работа на служителите, които работят дистанционно.

Източник: habr.com