Gestern war es verboten, heute ist es nötig: Wie man remote zu arbeiten beginnt und nicht Ursache einer Datenleckage wird?

Plötzlich wurde das Arbeiten im Homeoffice zu einem gefragten und notwendigen Format. Alles wegen COVID-19. Täglich kommen neue Maßnahmen zur Verhinderung der Ansteckung hinzu. In Büros wird die Temperatur gemessen, und einige Unternehmen, darunter große, stellen ihre Mitarbeiter auf Homeoffice um, um Verluste durch Stillstand und Krankheitsfälle zu reduzieren. In diesem Sinne hat der IT-Sektor mit seiner Erfahrung in der Arbeit mit verteilten Teams einen Vorteil.

Wir im NII SOKB beschäftigen uns seit mehreren Jahren mit der Organisation des Fernzugriffs auf Unternehmensdaten von mobilen Geräten und wissen, dass das Arbeiten im Homeoffice eine komplexe Angelegenheit ist. Im Folgenden erläutern wir, wie unsere Lösungen dabei helfen, mobile Geräte der Mitarbeiter sicher zu verwalten und warum dies für die Arbeit im Homeoffice wichtig ist.

Was braucht ein Mitarbeiter, um im Homeoffice zu arbeiten?

Eine Standardausstattung an Diensten, für die ein Fernzugriff für eine vollständige Arbeitsweise gewährleistet werden muss, umfasst Kommunikationsdienste (E-Mail, Messenger), Webressourcen (verschiedene Portale, wie zum Beispiel Service Desk oder Projektmanagementsysteme) und Dateien (Systeme für den elektronischen Austausch von Dokumenten, Versionskontrollsysteme usw.).

Man kann nicht darauf hoffen, dass Sicherheitsbedrohungen warten, bis wir mit dem Coronavirus fertig sind. Beim Arbeiten im Homeoffice gibt es eigene Sicherheitsregeln, die selbst während einer Pandemie befolgt werden müssen.

Wichtige Geschäftsinformationen sollten nicht einfach an die persönliche E-Mail eines Mitarbeiters gesendet werden, damit er sie ruhig auf seinem persönlichen Smartphone lesen und verarbeiten kann. Ein Smartphone kann verloren gehen, es können Apps installiert werden, die Informationen stehlen, und schließlich können Kinder, die wegen des gleichen Virus zu Hause sind, damit spielen. Je wichtiger die Daten sind, mit denen der Mitarbeiter arbeitet, desto besser müssen sie geschützt werden. Und der Schutz mobiler Geräte sollte nicht schlechter sein als der von stationären Geräten.

Warum sind Antivirenprogramme und VPN nicht ausreichend?

Für stationäre Arbeitsplätze und Laptops, die unter Windows laufen, ist die Installation eines Antivirenprogramms sinnvoll und notwendig. Für mobile Geräte hingegen ist dies längst nicht immer der Fall.

Die Architektur von Apple-Geräten erschwert den Informationsaustausch zwischen Anwendungen. Dies begrenzt das mögliche Ausmaß der Folgen von Schadsoftware: Wenn eine Schwachstelle im E-Mail-Client ausgenutzt wird, können die Handlungen nicht über den E-Mail-Client hinausgehen. Gleichzeitig vermindert diese Politik die Effizienz der Antiviren-Software. Eine automatisierte Überprüfung von Dateien, die per E-Mail empfangen wurden, ist nicht mehr möglich.

Auf der Plattform Android gibt es sowohl für Viren als auch für Antivirenprogramme mehr Perspektiven. Dennoch stellt sich die Frage der Zweckmäßigkeit. Um Malware aus dem App Store zu installieren, müssen viele Berechtigungen manuell erteilt werden. Angreifer erhalten Zugriffsrechte nur von den Nutzern, die den Anwendungen alles erlauben. In der Praxis reicht es aus, den Nutzern die Installation von Anwendungen aus unbekannten Quellen zu verbieten, damit „Kopien“ von kostenlos installierten kostenpflichtigen Anwendungen nicht die Unternehmensgeheimnisse aus der Vertraulichkeit „kurieren“. Aber diese Maßnahme fällt nicht in den Aufgabenbereich von Antivirenprogrammen und. VPN.

Darüber hinaus können VPN und Antiviren-Software nicht überwachen, wie sich der Nutzer verhält. Die Logik legt nahe, dass auf dem Benutzergerät mindestens ein Passwort (zum Schutz vor Verlust) eingerichtet sein sollte. Aber die Existenz und Zuverlässigkeit des Passworts hängt allein vom Bewusstsein des Nutzers ab, auf das das Unternehmen keinen Einfluss nehmen kann.

Natürlich gibt es administrative Methoden. Zum Beispiel interne Dokumente, gemäß denen Mitarbeiter persönlich für das Fehlen von Passwörtern auf Geräten, die Installation von Anwendungen aus nicht vertrauenswürdigen Quellen usw. verantwortlich sind. Man kann sogar alle Mitarbeiter dazu zwingen, vor dem Wechsel zur Fernarbeit eine geänderte Stellenbeschreibung zu unterschreiben, die diese Punkte enthält. Aber lassen Sie uns der Wahrheit ins Auge sehen: Das Unternehmen wird nicht in der Lage sein zu überprüfen, wie diese Anleitung in der Praxis umgesetzt wird. Es wird mit der dringenden Umstrukturierung der wesentlichen Prozesse beschäftigt sein, während die Mitarbeiter trotz der eingeführten Richtlinien vertrauliche Dokumente auf ihre persönliche Google Drive kopieren und den Zugriff über einen Link gewähren, weil es einfacher ist, gemeinsam an dem Dokument zu arbeiten.

Deshalb ist plötzliche Remote-Arbeit im Büro ein Test für die Widerstandsfähigkeit des Unternehmens.

Unternehmensmobility-Management

Aus Sicht der Informationssicherheit stellen mobile Geräte eine Bedrohung und potenzielle Sicherheitslücke dar. Diese Lücke soll durch EMM-Lösungen (Enterprise Mobility Management) geschlossen werden. 

Das Management der Unternehmensmobilität (EMM) umfasst Funktionen zum Gerätemanagement (MDM, Mobile Device Management), zum Anwendungsmanagement (MAM, Mobile Application Management) und zum Inhaltsmanagement (MCM, Mobile Content Management).

MDM ist der notwendige "Stock". Mit Hilfe der MDM-Funktionen kann der Administrator ein Gerät zurücksetzen oder sperren, wenn es verloren gegangen ist, Sicherheitsrichtlinien festlegen: Passwortanforderungen und -komplexität, das Verbot von Debugging-Funktionen, das Installieren von Apps aus APK und dergleichen. Diese grundlegenden Funktionen werden auf mobilen Geräten aller Hersteller und Plattformen unterstützt. Feinere Einstellungen, wie das Verbot der Installation von benutzerdefinierten Recovery-Versionen, sind nur auf Geräten bestimmter Hersteller verfügbar.

MAM und MCM sind das "Zuckerstück" in Form von Anwendungen und Diensten, auf die sie Zugriff gewähren. Nachdem ein ausreichendes Sicherheitsniveau durch MDM hergestellt wurde, kann sicherer Remote-Zugang zu Unternehmensressourcen über die auf mobilen Geräten installierten Anwendungen bereitgestellt werden.

Auf den ersten Blick scheint das Anwendungsmanagement eine rein IT-technische Aufgabe zu sein, die sich auf einfache Operationen wie "Anwendung installieren, Anwendung konfigurieren, Anwendung auf die neue Version aktualisieren oder auf die vorherige Version zurücksetzen" beschränkt. Tatsächlich kommt es auch hier nicht ohne Sicherheitsaspekte aus. Es reicht nicht aus, die benötigten Anwendungen auf den Geräten zu installieren und zu konfigurieren, man muss auch die Unternehmensdaten vor dem Hochladen in persönliche Dropbox- oder Yandex.Disk-Konten schützen.

Um Unternehmens- und private Daten zu trennen, bieten moderne EMM-Systeme an, auf dem Gerät einen Container für Unternehmensanwendungen und deren Daten zu erstellen. Der Benutzer kann Daten nicht unbefugterweise aus dem Container entnehmen, weshalb es für die Sicherheitsabteilung nicht notwendig ist, die "persönliche" Nutzung des mobilen Geräts zu verbieten. Das ist für das Unternehmen im Gegenteil vorteilhaft. Je mehr der Benutzer mit seinem Gerät vertraut ist, desto effektiver kann er seine Arbeitswerkzeuge nutzen.

Kehren wir zu den IT-Aufgaben zurück. Es gibt zwei Aufgaben, die ohne EMM nicht gelöst werden können: die Rücksetzung der App-Version und die Fernkonfiguration. Eine Rücksetzung ist notwendig, wenn die neue Version der App die Benutzer nicht überzeugt – sie enthält schwerwiegende Fehler oder ist einfach unpraktisch. Bei Apps in Google Play und im App Store ist eine Rücksetzung nicht möglich – im Store ist immer nur die letzte Version der App verfügbar. Bei aktiver unternehmensinterner Entwicklung können neue Versionen nahezu täglich erscheinen, und nicht alle davon sind stabil.

Die Fernkonfiguration von Apps kann auch ohne EMM realisiert werden. Beispielsweise können verschiedene Builds der App für unterschiedliche Serveradressen erstellt oder eine Konfigurationsdatei im öffentlichen Speicher des Telefons gespeichert werden, um sie später manuell zu ändern. All dies kommt vor, doch das lässt sich kaum als beste Praxis bezeichnen. Apple und Google bieten in der Zwischenzeit standardisierte Ansätze zur Lösung dieser Herausforderung an. Für Entwickler reicht es aus, den erforderlichen Mechanismus einmal zu integrieren, und die App kann jede EMM konfigurieren.

Wir haben einen Zoo gekauft!

Nicht alle Nutzungsszenarien mobiler Geräte sind gleich nützlich. Verschiedene Benutzergruppen haben unterschiedliche Anforderungen, und diese müssen auf ihre eigene Weise angegangen werden. Der Entwickler und der Finanzexperte benötigen spezifische Anwendungssätze und möglicherweise Sicherheitspolitiken aufgrund der unterschiedlichen Vertraulichkeit der Daten, mit denen sie arbeiten.

Es gelingt nicht immer, die Anzahl der Modelle und Hersteller mobiler Geräte zu begrenzen. Auf der einen Seite ist es günstiger, einen Unternehmensstandard für mobile Geräte zu erstellen, als sich mit den Unterschieden zwischen Android-Versionen verschiedener Hersteller und den Besonderheiten der mobilen Benutzeroberfläche auf Bildschirmen unterschiedlicher Diagonalen auseinanderzusetzen. Auf der anderen Seite wird die Beschaffung von Unternehmensgeräten in Zeiten einer Pandemie komplizierter, sodass Unternehmen die Nutzung persönlicher Geräte zulassen müssen. Die Situation in Russland wird zusätzlich durch die Existenz nationaler mobiler Plattformen verschärft, die von westlichen EMM-Lösungen nicht unterstützt werden. 

All dies führt oft dazu, dass anstelle einer einzigen zentralisierten Lösung zur Verwaltung der Unternehmensmobilität ein bunt gemischter Zoo aus EMM-, MDM- und MAM-Systemen betrieben wird, von denen jede von eigenem Personal nach einzigartigen Regeln betreut wird.

Welche Besonderheiten gibt es in Russland?

In Russland gibt es, wie in jedem anderen Land, nationale Gesetze zum Schutz von Informationen, die unabhängig von der epidemiologischen Lage gelten. In staatlichen Informationssystemen (GIS) müssen Sicherheitsschutzmaßnahmen angewendet werden, die nach Sicherheitsanforderungen zertifiziert sind. Um diese Anforderungen zu erfüllen, müssen die Geräte, die auf Daten von GIS zugreifen, mit zertifizierten EMM-Lösungen verwaltet werden, zu denen unser Produkt SafePhone gehört.

Langwierig und unverständlich? Eigentlich nicht.

Unternehmenswerkzeuge wie EMM werden oft mit langsamer Einführung und langwieriger Vorprojektvorbereitung in Verbindung gebracht. Dafür gibt es jetzt einfach keine Zeit – die durch das Virus bedingten Einschränkungen werden schnell eingeführt, sodass es keine Zeit gibt, um auf Remote-Arbeit umzustellen. 

Nach unserer Erfahrung, da wir viele Projekte zur Implementierung von SafePhone in Unternehmen verschiedener Größen durchgeführt haben, kann die Lösung selbst bei einer lokalen Bereitstellung innerhalb einer Woche (ohne die Zeit für die Abstimmung und Unterzeichnung von Verträgen) gestartet werden. Regulierte Mitarbeiter können bereits 1–2 Tage nach der Einführung auf das System zugreifen. Ja, für die flexible Anpassung des Produkts müssen Administratoren geschult werden, aber die Schulung kann parallel zur Inbetriebnahme des Systems durchgeführt werden.

Um keine Zeit mit der Installation in der Infrastruktur des Kunden zu verlieren, bieten wir unseren Kunden einen Cloud-SaaS-Service für die Fernverwaltung von Mobilgeräten mit SafePhone an. Dabei stellen wir diesen Service aus unserem eigenen Rechenzentrum bereit, das nach den höchsten Anforderungen an GIS und Informationssysteme personenbezogener Daten zertifiziert ist.

Als Beitrag zur Bekämpfung des Coronavirus verbindet das NII SOKB kostenfrei Unternehmen des kleinen und mittelständischen Sektors mit dem Server. SafePhone um die sichere Arbeit von Mitarbeitern, die im Remote-Modus arbeiten, zu gewährleisten.

Quelle: habr.com