Gestern war es nicht möglich, aber heute ist es notwendig: Wie man remote arbeitet, ohne ein Leck zu verursachen?

Über Nacht wurde Remote-Arbeit zu einem gefragten und notwendigen Format. Dies geschah aufgrund von COVID-19. Täglich werden neue Maßnahmen zur Infektionsprävention eingeführt. In Büros wird Fieber gemessen, und einige Unternehmen, darunter auch große, stellen ihre Mitarbeiter auf Homeoffice um, um Verluste durch Betriebsstillstände und Krankheitsfälle zu minimieren. In diesem Zusammenhang hat der IT-Sektor mit seiner Erfahrung im Umgang mit verteilten Teams einen Vorteil.

Wir bei NII SOKB beschäftigen uns seit mehreren Jahren mit der Organisation von Remote-Zugriff auf Unternehmensdaten von mobilen Geräten und wissen, dass Remote-Arbeit eine anspruchsvolle Angelegenheit ist. Im Folgenden erläutern wir, wie unsere Lösungen dabei helfen, mobile Geräte von Mitarbeitern sicher zu verwalten und warum dies für die Remote-Arbeit von Bedeutung ist.

Was benötigt ein Mitarbeiter, um remote zu arbeiten?

Eine typische Sammlung von Dienstleistungen, für die ein Fernzugriff gewährleistet werden muss, um eine vollständige Arbeit zu ermöglichen, umfasst Kommunikationsdienste (E-Mail, Messenger), Webressourcen (verschiedene Portale wie Service-Desk oder Projektmanagementsysteme) und Dateien (elektronische Dokumentenmanagementsysteme, Versionskontrolle usw.).

Es ist naiv zu glauben, dass Sicherheitsbedrohungen warten, bis wir mit der Bekämpfung von Coronavirus fertig sind. Beim Remote-Arbeiten gibt es Sicherheitsregeln, die auch während einer Pandemie beachtet werden müssen.

Wichtige Unternehmensinformationen dürfen nicht einfach an die persönliche E-Mail-Adresse eines Mitarbeiters gesendet werden, damit dieser sie ruhig auf seinem persönlichen Smartphone lesen und bearbeiten kann. Ein Smartphone kann verloren gehen, es können dazu Apps installiert werden, die Daten stehlen, und schließlich können Kinder, die wegen des Virus zu Hause bleiben, damit spielen. Je wichtiger die Daten sind, mit denen ein Mitarbeiter arbeitet, desto besser sollten sie geschützt werden. Der Schutz mobiler Geräte sollte nicht schlechter sein als der von stationären Geräten.

Warum sind Antivirussoftware und VPN nicht genug?

Für stationäre Arbeitsplätze und Laptops mit Windows-Betriebssystem ist die Installation von Antivirussoftware eine gerechtfertigte und notwendige Maßnahme. Für mobile Geräte ist das jedoch nicht immer der Fall.

Die Architektur von Apple-Geräten schränkt den Informationsaustausch zwischen Anwendungen ein. Dies begrenzt die möglichen Auswirkungen von Malware: Wenn eine Schwachstelle im E-Mail-Client ausgenutzt wird, können die Aktionen nicht über diesen E-Mail-Client hinausgehen. Gleichzeitig reduziert diese Politik die Effizienz von Antivirenprogrammen. Eine automatische Überprüfung von Dateien, die per E-Mail empfangen wurden, ist nicht mehr möglich.

Auf der Android-Plattform haben sowohl Viren als auch Antivirenprogramme größere Perspektiven. Dennoch stellt sich die Frage der Praktikabilität. Um Malware aus dem App-Store zu installieren, müssen viele Berechtigungen manuell erteilt werden. Die Zugriffsrechte erhalten die Angreifer nur von den Nutzern, die den Anwendungen sämtliche Genehmigungen erteilen. In der Praxis reicht es aus, den Nutzern die Installation von Anwendungen aus unbekannten Quellen zu verbieten, damit „Cracks“ für kostenlos installierte kostenpflichtige Anwendungen nicht die Unternehmensgeheimnisse vor der Vertraulichkeit „heilen“. Diese Maßnahme geht jedoch über die Funktionen eines Antivirenprogramms hinaus. VPN.

Darüber hinaus können VPN und Antivirus-Programme nicht überwachen, wie sich der Benutzer verhält. Es liegt nahe, dass auf dem Endgerät des Benutzers mindestens ein Passwort als Schutz vor Verlust eingerichtet sein sollte. Doch die Existenz und die Sicherheit des Passworts hängen einzig und allein vom Verantwortungsbewusstsein des Benutzers ab, auf das das Unternehmen keinen Einfluss nehmen kann.

Natürlich gibt es administrative Methoden. Zum Beispiel interne Dokumente, die festlegen, dass Mitarbeiter persönlich verantwortlich sind, wenn auf Geräten keine Passwörter verwendet werden, Anwendungen aus unsicheren Quellen installiert werden usw. Man könnte sogar alle Mitarbeiter dazu bringen, vor Beginn der Remote-Arbeit eine überarbeitete Stellenbeschreibung zu unterschreiben, die diese Punkte enthält. Aber seien wir ehrlich: Die Firma wird nicht in der Lage sein zu überprüfen, wie diese Anweisungen in der Praxis umgesetzt werden. Während sie damit beschäftigt ist, ihre Kernprozesse dringend umzustellen, werden Mitarbeiter trotz eingeführter Richtlinien sensible Dokumente auf ihrem persönlichen Google Drive speichern und über Links zugänglich machen, weil dies die Zusammenarbeit am Dokument erleichtert.

Daher ist plötzliches Homeoffice eine Prüfung der Widerstandsfähigkeit des Unternehmens.

Management der Unternehmensmobilität

Aus Sicht der Informationssicherheit stellen mobile Geräte eine Bedrohung und potenzielle Sicherheitslücke dar. Diese Sicherheitslücke soll durch EMM-Lösungen (Enterprise Mobility Management) geschlossen werden. 

Das Management der Unternehmensmobilität (EMM) umfasst Funktionen für das Gerätemanagement (MDM, Mobile Device Management), das Anwendungsmanagement (MAM, Mobile Application Management) sowie das Inhaltsmanagement (MCM, Mobile Content Management).

MDM ist der unerlässliche "Zwang". Mit MDM-Funktionen kann der Administrator ein Gerät zurücksetzen oder sperren, wenn es verloren geht, Sicherheitsrichtlinien festlegen: Passwortanforderungen und -komplexität, Deaktivierung von Debugging-Funktionen, Verbot der Installation von Anwendungen aus APKs usw. Diese grundlegenden Funktionen werden auf Mobilgeräten aller Hersteller und Plattformen unterstützt. Feinere Einstellungen, wie das Verbot der Installation von benutzerdefinierten Recovery-Systemen, sind nur bei Geräten bestimmter Hersteller verfügbar.

MAM und MCM sind der „Zucker“ in Form von Anwendungen und Diensten, auf die sie Zugriff gewähren. Wenn ein достаточник Niveau an Sicherheit durch MDM gewährleistet ist, kann der geschützte Remote-Zugriff auf Unternehmensressourcen über auf Mobilgeräten installierte Anwendungen bereitgestellt werden.

Auf den ersten Blick scheint die Verwaltung von Anwendungen eine rein IT-technische Aufgabe zu sein, die sich auf grundlegende Operationen wie "Anwendung installieren, Anwendung konfigurieren, Anwendung auf die neueste Version aktualisieren oder auf die vorherige Version zurücksetzen" beschränkt. Tatsächlich geht es auch hier nicht ohne Sicherheitsaspekte. Es reicht nicht aus, die erforderlichen Anwendungen auf den Geräten zu installieren und zu konfigurieren; es ist auch wichtig, Unternehmensdaten vor dem Hochladen in persönliche Cloud-Dienste wie Dropbox oder Yandex.Disk zu schützen.

Um Unternehmens- und persönliche Daten voneinander zu trennen, bieten moderne EMM-Systeme die Möglichkeit, auf dem Gerät einen Container für Unternehmensanwendungen und deren Daten zu erstellen. Der Benutzer kann keine unbefugten Daten aus dem Container herausnehmen, sodass die Sicherheitsabteilung nicht gezwungen ist, die "private" Nutzung des Mobilgeräts zu untersagen. Dies ist für Unternehmen vorteilhaft. Je besser ein Benutzer sein Gerät versteht, desto effizienter kann er die Arbeitswerkzeuge nutzen.

Kommen wir zu IT-Aufgaben zurück. Es gibt zwei Herausforderungen, die ohne EMM nicht gelöst werden können: das Zurücksetzen der Anwendungsversion und die Fernkonfiguration. Ein Zurücksetzen ist notwendig, wenn die neue Version der Anwendung den Nutzern nicht zusagt – sei es aufgrund gravierender Fehler oder weil sie einfach unpraktisch ist. Bei Anwendungen im Google Play Store und im App Store ist ein Zurücksetzen nicht möglich – im Store ist immer nur die neueste Version der Anwendung verfügbar. Im Rahmen einer aktiven unternehmensinternen Entwicklung können Versionen fast täglich veröffentlicht werden, und nicht alle sind stabil.

Die Fernkonfiguration von Anwendungen kann auch ohne EMM umgesetzt werden. Beispielsweise können verschiedene Builds der Anwendung für unterschiedliche Serveradressen erstellt oder eine Datei mit Einstellungen im öffentlichen Speicher des Telefons abgelegt werden, um sie später manuell zu ändern. Das kommt vor, lässt sich jedoch kaum als beste Praxis bezeichnen. Apple und Google hingegen bieten standardisierte Ansätze zur Lösung dieser Aufgabe an. Der Entwickler muss nur einmal den erforderlichen Mechanismus integrieren, und die Anwendung kann sich an jede EMM anpassen.

Wir haben einen Zoo gekauft!

Nicht alle Nutzungsszenarien von Mobilgeräten sind gleich nützlich. Verschiedene Benutzergruppen haben unterschiedliche Anforderungen, die jeweils auf ihre Weise angegangen werden müssen. Entwickler und Finanzexperten benötigen spezifische Anwendungssets und möglicherweise unterschiedliche Sicherheitsrichtlinien aufgrund der variierenden Sensibilität der Daten, mit denen sie arbeiten.

Es ist oft schwierig, die Anzahl der Mobilgerätemodelle und -hersteller zu begrenzen. Einerseits ist es kostengünstiger, einen Unternehmensstandard für Mobilgeräte festzulegen, als die Unterschiede zwischen Android-Versionen verschiedener Hersteller und die Besonderheiten der mobilen Benutzeroberfläche auf Bildschirmen mit unterschiedlichen Diagonalen zu verstehen. Andererseits wird die Beschaffung von Unternehmensgeräten in Zeiten der Pandemie komplizierter, sodass Unternehmen gezwungen sind, die Verwendung persönlicher Geräte zuzulassen. In Russland wird die Situation zusätzlich durch nationale mobile Plattformen verschärft, die von westlichen EMM-Lösungen nicht unterstützt werden. 

All dies führt oft dazu, dass anstelle einer zentralen Lösung für das Management der Unternehmensmobilität ein vielfältiger Zoo von EMM-, MDM- und MAM-Systemen betrieben wird, von denen jedes durch eigenes Personal nach einzigartigen Regeln verwaltet wird.

Welche Besonderheiten gibt es in Russland?

In Russland gibt es, wie in jedem anderen Land, nationale Gesetze zum Datenschutz, die unabhängig von der epidemiologischen Lage gelten. So müssen in staatlichen Informationssystemen (GIS) Schutzmittel eingesetzt werden, die gemäß den Sicherheitsanforderungen zertifiziert sind. Um diesem Anforderungen gerecht zu werden, müssen die Geräte, die auf die Daten der GIS zugreifen, mit zertifizierten EMM-Lösungen verwaltet werden, zu denen auch unser Produkt SafePhone gehört.

Lang und unverständlich? Eigentlich nicht.

Unternehmenswerkzeuge wie EMM werden oft mit langsamen Implementierungen und langwieriger Vorprojektvorbereitung in Verbindung gebracht. Dafür haben wir jetzt einfach keine Zeit — die Beschränkungen aufgrund des Virus werden schnell eingeführt, sodass es keine Zeit gibt, auf Remote-Arbeit umzustellen. 

Nach unserer Erfahrung, die wir durch zahlreiche Projekte zur Implementierung von SafePhone in Unternehmen unterschiedlicher Größe gesammelt haben, kann die Lösung auch bei einer lokalen Implementierung innerhalb einer Woche in Betrieb genommen werden (abgesehen von den Zeiten für die Genehmigung und Unterzeichnung von Verträgen). Die Mitarbeiter können das System bereits 1–2 Tage nach der Implementierung nutzen. Ja, um das Produkt flexibel anzupassen, ist eine Schulung der Administratoren erforderlich, aber diese kann parallel zum Beginn des Systembetriebs erfolgen.

Um Zeit bei der Installation in der Infrastruktur des Kunden zu sparen, bieten wir unseren Kunden einen Cloud-SaaS-Service für das Remote-Management von mobilen Geräten mit SafePhone an. Dabei stellen wir diesen Service aus unserem eigenen, nach den höchsten Anforderungen an Geoinformations- und personenbezogene Informationssysteme zertifizierten Rechenzentrum bereit.

Im Rahmen unseres Beitrags zur Bekämpfung von Coronavirus stellt das NII SOKB Unternehmen des kleinen und mittleren Geschäfts kostenlos eine Verbindung zum Server bereit. SafePhone um die sichere Arbeit von Mitarbeitern, die im Homeoffice tätig sind, zu gewährleisten.

Quelle: habr.com