Вчера беше невъзможно, но днес е необходимо: ​​как да започнете да работите дистанционно и да не предизвикате теч?

За една нощ дистанционната работа се превърна в популярен и необходим формат. Всичко заради COVID-19. Всеки ден се появяват нови мерки за предотвратяване на инфекцията. Измерват се температурите в офисите, а някои компании, включително големи, прехвърлят работниците на дистанционна работа, за да намалят загубите от престой и отпуск по болест. И в този смисъл ИТ секторът с неговия опит в работата с разпределени екипи е победител.

Ние от Научноизследователския институт СОКБ от няколко години организираме отдалечен достъп до корпоративни данни от мобилни устройства и знаем, че дистанционната работа не е лесен проблем. По-долу ще ви разкажем как нашите решения ви помагат да управлявате безопасно мобилните устройства на служителите и защо това е важно за дистанционната работа.

От какво се нуждае един служител, за да работи дистанционно?

Типичен набор от услуги, до които трябва да осигурите отдалечен достъп за пълноценна работа, са комуникационни услуги (електронна поща, месинджър), уеб ресурси (различни портали, например сервизно бюро или система за управление на проекти) и файлове (системи за управление на електронни документи, контрол на версиите и т.н.).

Не можем да очакваме заплахите за сигурността да чакат, докато приключим борбата с коронавируса. При дистанционна работа има правила за безопасност, които трябва да се спазват дори по време на пандемия.

Важната за бизнеса информация не може просто да бъде изпратена на личния имейл на служителя, за да може той спокойно да я прочете и обработи на личния си смартфон. Смартфонът може да бъде загубен, на него могат да се инсталират приложения, които крадат информация, и в крайна сметка може да се играе от деца, които седят вкъщи заради същия вирус. Така че колкото по-важни са данните, с които работи един служител, толкова по-добре трябва да бъдат защитени. И защитата на мобилните устройства трябва да бъде не по-лоша от тази на стационарните.

Защо антивирусната програма и VPN не са достатъчни?

За стационарни работни станции и лаптопи, работещи под Windows OS, инсталирането на антивирус е оправдана и необходима мярка. Но за мобилни устройства - не винаги.

Архитектурата на устройствата на Apple предотвратява комуникацията между приложенията. Това ограничава възможния обхват на последствията от заразен софтуер: ако се използва уязвимост в имейл клиент, тогава действията не могат да надхвърлят този имейл клиент. В същото време тази политика намалява ефективността на антивирусите. Вече няма да е възможно автоматично да проверявате файл, получен по пощата.

В платформата Android както вирусите, така и антивирусите имат повече перспективи. Но все още възниква въпросът за целесъобразността. За да инсталирате зловреден софтуер от магазина за приложения, ще трябва ръчно да дадете много разрешения. Нападателите получават права за достъп само от онези потребители, които позволяват на приложенията всичко. На практика е достатъчно да се забрани на потребителите да инсталират приложения от неизвестни източници, така че „хапчетата“ за свободно инсталирани платени приложения да не „лекуват“ корпоративните тайни от поверителността. Но тази мярка надхвърля функциите на антивирусната програма и VPN.

Освен това VPN и антивирусната програма няма да могат да контролират поведението на потребителя. Логиката диктува, че поне парола трябва да бъде зададена на потребителското устройство (като защита срещу загуба). Но наличието на парола и нейната надеждност зависят само от съзнанието на потребителя, на което компанията не може да повлияе по никакъв начин.

Разбира се, има административни методи. Например вътрешни документи, според които служителите ще носят лична отговорност за липсата на пароли на устройствата, инсталиране на приложения от ненадеждни източници и т.н. Можете дори да принудите всички служители да подпишат променена длъжностна характеристика, съдържаща тези точки, преди да отидат на работа от разстояние . Но нека си признаем: компанията няма да може да провери как тези инструкции се прилагат на практика. Тя ще бъде заета с спешно преструктуриране на основните процеси, докато служителите, въпреки въведените политики, ще копират поверителни документи в личния си Google Drive и ще отварят достъп до тях чрез връзка, защото е по-удобно да работят заедно върху документа.

Затова внезапната дистанционна работа на офиса е тест за стабилността на компанията.

Управление на корпоративната мобилност

От гледна точка на информационната сигурност мобилните устройства са заплаха и потенциален пробив в сигурността. Решенията от клас EMM (Enterprise Mobility Management) са предназначени да запълнят тази празнина. 

Управлението на корпоративната мобилност (EMM) включва функции за управление на устройства (MDM, управление на мобилни устройства), техните приложения (MAM, управление на мобилни приложения) и съдържание (MCM, управление на мобилно съдържание).

MDM е необходима "пръчка". Използвайки функциите на MDM, администраторът може да нулира или блокира устройството, ако е изгубено, да конфигурира политики за сигурност: наличие и сложност на парола, забрана на функции за отстраняване на грешки, инсталиране на приложения от apk и т.н. Тези основни функции се поддържат на всички мобилни устройства производители и платформи. По-фините настройки, например забрана за инсталиране на персонализирани възстановявания, са налични само на устройства от определени производители.

MAM и MCM са „моркова“ под формата на приложения и услуги, до които осигуряват достъп. С достатъчна сигурност на MDM можете да осигурите сигурен отдалечен достъп до корпоративни ресурси с помощта на приложения, инсталирани на мобилни устройства.

На пръв поглед изглежда, че управлението на приложения е чисто ИТ задача, която се свежда до основни операции като „инсталиране на приложение, конфигуриране на приложение, актуализиране на приложение до нова версия или връщане към предишна“. Всъщност и тук има сигурност. Необходимо е не само да инсталирате и конфигурирате приложенията, необходими за работа на устройства, но и да защитите корпоративните данни от качване в личен Dropbox или Yandex.Disk.

За да разделят корпоративните и личните, модерните EMM системи предлагат създаване на контейнер на устройството за корпоративни приложения и техните данни. Потребителят не може неоторизирано да премахне данни от контейнера, така че службата за сигурност не трябва да забранява „личната“ употреба на мобилното устройство. Напротив, това е от полза за бизнеса. Колкото повече потребителят разбира своето устройство, толкова по-ефективно ще използва работните инструменти.

Да се ​​върнем на ИТ задачите. Има две задачи, които не могат да бъдат решени без EMM: връщане назад на версия на приложение и отдалечено конфигуриране. Връщане е необходимо, когато новата версия на приложението не е подходяща за потребителите - има сериозни грешки или просто е неудобна. В случай на приложения в Google Play и App Store, връщане назад не е възможно - само най-новата версия на приложението винаги е налична в магазина. При активно вътрешно развитие версиите могат да се пускат почти всеки ден и не всички от тях се оказват стабилни.

Конфигурирането на отдалечено приложение може да се реализира без EMM. Например, направете различни компилации на приложението за различни сървърни адреси или запишете файл с настройки в публичната памет на телефона, за да го промените ръчно по-късно. Всичко това се случва, но едва ли може да се нарече най-добра практика. От своя страна Apple и Google предлагат стандартизирани подходи за решаване на този проблем. Разработчикът трябва само да вгради необходимия механизъм веднъж и приложението ще може да конфигурира всеки EMM.

Купихме си зоопарк!

Не всички случаи на използване на мобилни устройства са еднакви. Различните категории потребители имат различни задачи и те трябва да бъдат решени по свой начин. Разработчикът и финансистът се нуждаят от специфични набори от приложения и може би набори от политики за сигурност поради различната чувствителност на данните, с които работят.

Не винаги е възможно да се ограничи броят на моделите и производителите на мобилни устройства. От една страна, се оказва по-евтино да се направи корпоративен стандарт за мобилни устройства, отколкото да се разберат разликите между Android от различни производители и функциите за показване на мобилен потребителски интерфейс на екрани с различни диагонали. От друга страна, закупуването на корпоративни устройства по време на пандемията става по-трудно и компаниите трябва да разрешат използването на лични устройства. Ситуацията в Русия допълнително се влошава от наличието на национални мобилни платформи, които не се поддържат от западните EMM решения. 

Всичко това често води до факта, че вместо едно централизирано решение за управление на корпоративната мобилност, се управлява пъстра зоологическа градина от системи EMM, MDM и MAM, всяка от които се поддържа от собствен персонал според уникални правила.

Какви са особеностите в Русия?

В Русия, както във всяка друга страна, има национално законодателство за защита на информацията, което не се променя в зависимост от епидемиологичната ситуация. По този начин държавните информационни системи (GIS) трябва да използват мерки за сигурност, сертифицирани според изискванията за сигурност. За да изпълнят това изискване, устройствата, които имат достъп до ГИС данни, трябва да се управляват от сертифицирани EMM решения, които включват нашия продукт SafePhone.

Дълго и неясно? Не точно

Инструменти от корпоративен клас като EMM често се свързват с бавно внедряване и продължително време за предпроизводство. Сега просто няма време за това - ограниченията поради вируса се въвеждат бързо, така че няма време за адаптиране към дистанционна работа. 

Според нашия опит и ние сме реализирали много проекти за внедряване на SafePhone в компании с различни размери, дори и с локално внедряване, решението може да бъде стартирано за една седмица (без да се брои времето за съгласуване и подписване на договори). Обикновените служители ще могат да използват системата в рамките на 1-2 дни след внедряването. Да, за гъвкаво конфигуриране на продукта е необходимо обучение на администратори, но обучението може да се проведе успоредно с пускането на системата в експлоатация.

За да не губим време за инсталиране в инфраструктурата на клиента, ние предлагаме на нашите клиенти облачна SaaS услуга за дистанционно управление на мобилни устройства чрез SafePhone. Освен това ние предоставяме тази услуга от собствен център за данни, сертифициран да отговаря на максималните изисквания за ГИС и информационни системи за лични данни.

Като принос към борбата с коронавируса, Изследователският институт SOKB свързва безплатно малки и средни предприятия към сървъра SafePhone за осигуряване на безопасна работа на служителите, работещи от разстояние.

Източник: www.habr.com