Z dnia na dzień praca zdalna stała się poszukiwanym i potrzebnym formatem. Wszystko przez COVID-19. Nowe środki zapobiegające zakażeniom pojawiają się każdego dnia. W biurach mierzona jest temperatura, a niektóre firmy, w tym duże, przenoszą pracowników na zdalny system pracy, aby ograniczyć straty związane z przestojami i zwolnieniami lekarskimi. W tym kontekście sektor IT, posiadający doświadczenie w pracy z rozproszonymi zespołami, ma przewagę.
W NII SOKB od lat zajmujemy się organizacją zdalnego dostępu do danych korporacyjnych z urządzeń mobilnych i wiemy, że praca zdalna to niełatwa kwestia. Pod tym linkiem opowiemy, jak nasze rozwiązania pomagają w bezpiecznym zarządzaniu mobilnymi urządzeniami pracowników i dlaczego jest to ważne dla pracy zdalnej.
Czego potrzebuje pracownik, aby pracować zdalnie?
Typowy zestaw usług, do których należy zapewnić zdalny dostęp dla pełnej pracy, to usługi komunikacyjne (poczta elektroniczna, komunikatory), zasoby internetowe (różne portale, np. help desk lub system zarządzania projektami) oraz pliki (systemy elektronicznego obiegu dokumentów, kontroli wersji itp.).
Nie można liczyć na to, że zagrożenia bezpieczeństwa będą czekać, aż skończymy walczyć z koronawirusem. W przypadku pracy zdalnej istnieją zasady ochrony, które należy przestrzegać nawet w czasie pandemii.
Ważnych informacji biznesowych nie można po prostu wysyłać na osobowego maila pracownika, aby mógł je swobodnie czytać i przetwarzać na swoim osobistym smartfonie. Smartfon można zgubić, można na nim zainstalować aplikacje kradnące dane, a dzieci, które siedzą w domu z powodu tego samego wirusa, mogą się nim bawić. Dlatego im ważniejsze dane, z którymi pracuje pracownik, tym lepiej je chronić. Ochrona urządzeń mobilnych powinna być co najmniej tak dobra, jak w przypadku stacjonarnych.
Dlaczego sam antywirus i VPN to za mało?
Dla stacjonarnych stanowisk pracy i laptopów działających na systemie Windows zainstalowanie oprogramowania antywirusowego to uzasadniona i potrzebna chwila. Natomiast w przypadku urządzeń mobilnych nie zawsze jest to wystarczające.
Architektura urządzeń Apple ogranicza komunikację między aplikacjami. To ogranicza potencjalne konsekwencje zainfekowanego oprogramowania: jeśli wykorzystana zostanie luka w kliencie poczty, działania nie mogą wyjść poza ten właśnie klient. Jednocześnie taka polityka zmniejsza skuteczność działania programów antywirusowych. Automatyczne sprawdzenie pliku przesłanego pocztą staje się niemożliwe.
Na platformie Android zarówno wirusy, jak i programy antywirusowe mają większe perspektywy. Jednak nadal pojawia się pytanie o zasadność. Aby zainstalować złośliwe oprogramowanie z sklepu z aplikacjami, trzeba ręcznie udzielić wielu uprawnień. Dostęp do uprawnień uzyskują tylko ci użytkownicy, którzy zgadzają się na wszelkie zezwolenia dla aplikacji. W praktyce wystarczy zakazać użytkownikom instalacji aplikacji z nieznanych źródeł, aby "tabletki" do darmowo zainstalowanych płatnych aplikacji nie "leczyły" korporacyjnych sekretów z poufności. Ale ten środek wykracza poza funkcje programu antywirusowego i VPN.
Co więcej, VPN i programy antywirusowe nie będą w stanie kontrolować, jak zachowuje się użytkownik. Logika podpowiada, że na urządzeniu użytkownika powinien być zainstalowany przynajmniej hasło (jako zabezpieczenie przed utratą). Jednak posiadanie hasła i jego siła zależy jedynie od świadomości użytkownika, na którą firma nie ma żadnego wpływu.
Oczywiście istnieją metody administracyjne. Na przykład wewnętrzne dokumenty, zgodnie z którymi pracownicy będą ponosić osobistą odpowiedzialność za brak haseł na urządzeniach, instalację aplikacji z niezweryfikowanych źródeł itd. Można nawet wymusić na wszystkich pracownikach podpisanie zmienionej instrukcji stanowiskowej przed przejściem do pracy zdalnej, zawierającej te punkty. Ale bądźmy szczerzy: firma nie będzie w stanie sprawdzić, jak ta instrukcja jest realizowana w praktyce. Będzie zajęta pilnym dostosowywaniem podstawowych procesów, podczas gdy pracownicy, mimo wprowadzonych polityk, będą kopiować poufne dokumenty na osobisty Google Drive i otwierać do nich dostęp za pomocą linku, bo tak jest wygodniej w pracy zespołowej nad dokumentem.
Dlatego nagła praca zdalna biura to test odporności firmy.
Zarządzanie mobilnością korporacyjną
Z perspektywy bezpieczeństwa informacji, urządzenia mobilne stanowią zagrożenie i potencjalną lukę w systemie ochrony. Rozwiązania klasy EMM (enterprise mobility management) mają na celu załatanie tej luki.
Zarządzanie mobilnością korporacyjną (EMM) obejmuje funkcje zarządzania urządzeniami (MDM, mobile device management), ich aplikacjami (MAM, mobile application management) i treściami (MCM, mobile content management).
MDM to niezbędna „kij”. Dzięki funkcjom MDM administrator może zresetować lub zablokować urządzenie, jeśli zostało zgubione, ustawić polityki bezpieczeństwa: wymaganie i złożoność hasła, zakaz debugowania, instalowania aplikacji z apk itp. Te podstawowe funkcje są wspierane na urządzeniach mobilnych wszystkich producentów i platform. Bardziej szczegółowe ustawienia, takie jak zakaz instalacji niestandardowych recovery, dostępne są tylko na urządzeniach od niektórych producentów.
MAM i MCM to „cukierek” w postaci aplikacji i usług, do których dają dostęp. Zapewniając wystarczający poziom bezpieczeństwa MDM, można udostępnić zabezpieczony zdalny dostęp do zasobów korporacyjnych za pomocą aplikacji zainstalowanych na urządzeniach mobilnych.
Na pierwszy rzut oka wydaje się, że zarządzanie aplikacjami to czysto informatyczne zadanie, które sprowadza się do podstawowych operacji typu „zainstalować aplikację, skonfigurować aplikację, zaktualizować aplikację do nowej wersji lub przywrócić ją do poprzedniej”. W rzeczywistości również tutaj konieczne jest zapewnienie bezpieczeństwa. Należy nie tylko zainstalować i skonfigurować na urządzeniach potrzebne aplikacje do pracy, ale także chronić dane korporacyjne przed przesyłaniem do osobistego Dropbox lub Yandex.Disk.
Aby oddzielić przestrzeń korporacyjną od osobistej, nowoczesne systemy EMM oferują stworzenie na urządzeniu kontenera dla aplikacji korporacyjnych i ich danych. Użytkownik nie może nieautoryzowanie wydobywać danych z kontenera, dlatego służbie bezpieczeństwa nie trzeba zabraniać „osobistego” wykorzystania urządzenia mobilnego. Dla biznesu jest to wręcz korzystne. Im więcej użytkownik zna swoje urządzenie, tym skuteczniej wykorzysta narzędzia pracy.
Wracając do zadań IT. Istnieją dwa zadania, których nie można rozwiązać bez EMM: przywrócenie wcześniejszej wersji aplikacji oraz jej zdalna konfiguracja. Przywrócenie jest potrzebne, gdy nowa wersja aplikacji nie spełnia oczekiwań użytkowników — zawiera poważne błędy lub jest po prostu niewygodna. W przypadku aplikacji w Google Play i App Store przywrócenie wersji jest niemożliwe — w sklepie zawsze dostępna jest tylko najnowsza wersja aplikacji. W przypadku aktywnego rozwoju wewnętrznego wersje mogą pojawiać się niemal codziennie, a nie wszystkie z nich są stabilne.
Zdalną konfigurację aplikacji można zrealizować również bez EMM. Na przykład, można tworzyć różne wersje aplikacji dla różnych adresów serwerów lub przechowywać plik z ustawieniami w publicznej pamięci telefonu, aby następnie zmieniać go ręcznie. Wszystko to się zdarza, ale trudno to nazwać najlepszymi praktykami. Z kolei Apple i Google oferują ustandaryzowane podejścia do rozwiązania tego problemu. Deweloper musi raz wbudować potrzebny mechanizm, a aplikacja będzie mogła skonfigurować dowolne EMM.
Kupiliśmy zoo!
Nie wszystkie scenariusze wykorzystania urządzeń mobilnych są równie przydatne. Różne grupy użytkowników mają różne zadania i należy je realizować na różne sposoby. Programiści i finansiści potrzebują specyficznych zestawów aplikacji oraz, być może, różnych zestawów polityk bezpieczeństwa ze względu na odmienną poufność danych, z którymi pracują.
Nie zawsze udaje się ograniczyć liczbę modeli i producentów urządzeń mobilnych. Z jednej strony, okazuje się, że łatwiej jest stworzyć korporacyjny standard urządzeń mobilnych, niż zgłębiać różnice pomiędzy Androidami różnych producentów i specyfikę wyświetlania mobilnego UI na ekranach o różnych przekątnych. Z drugiej strony, zakup urządzeń korporacyjnych w trudnych warunkach pandemii staje się bardziej skomplikowany, a firmy muszą pozwalać na korzystanie z prywatnych urządzeń. Sytuacja w Rosji dodatkowo komplikuje się z powodu istnienia krajowych platform mobilnych, które nie są obsługiwane przez zachodnie rozwiązania EMM.
Często prowadzi to do sytuacji, w której zamiast jednego scentralizowanego rozwiązania do zarządzania mobilnością korporacyjną, eksploatowany jest różnorodny zestaw systemów EMM, MDM i MAM, z których każdy jest obsługiwany przez własny zespół zgodnie z unikalnymi zasadami.
Jakie są szczegóły w Rosji?
W Rosji, tak jak w każdym innym kraju, istnieje krajowe ustawodawstwo w sprawie ochrony danych, które nie zmienia się w zależności od sytuacji epidemiologicznej. W systemach informacji publicznej (GIS) muszą być stosowane środki ochrony, które są certyfikowane zgodnie z wymaganiami bezpieczeństwa. Aby spełnić te wymagania, urządzenia, które uzyskują dostęp do danych GIS, muszą być zarządzane za pomocą certyfikowanych rozwiązań EMM, takich jak nasz produkt SafePhone.
Długo i skomplikowanie? W rzeczywistości nie.
Narzędzia na poziomie korporacyjnym, takie jak EMM, często kojarzone są z powolnym wdrożeniem i długotrwałym przygotowaniem przedprojektem. Teraz po prostu nie ma na to czasu — ograniczenia związane z wirusem wprowadzane są szybko, więc nie ma czasu na dostosowanie się do pracy zdalnej.
Z naszego doświadczenia, a wdrożyliśmy wiele projektów związanych z SafePhone w firmach różnej wielkości, nawet przy lokalnym wdrożeniu, rozwiązanie można uruchomić w ciągu tygodnia (nie licząc czasu na uzgodnienia i podpisanie umów). Pracownicy będą mogli korzystać z systemu już po 1–2 dniach od wdrożenia. Tak, aby elastycznie dostosować produkt, należy przeszkolić administratorów, ale szkolenie można przeprowadzić równolegle z rozpoczęciem eksploatacji systemu.
Aby nie tracić czasu na instalację w infrastrukturze klienta, oferujemy naszym klientom chmurową usługę SaaS do zdalnego zarządzania urządzeniami mobilnymi za pomocą SafePhone. Ponadto oferujemy tę usługę z naszego własnego centrum danych, które zostało certyfikowane zgodnie z najwyższymi wymaganiami dla GIS i systemów informacji o danych osobowych.
W ramach wkładu w walkę z koronawirusem, NII SOKB bezpłatnie podłącza małe i średnie firmy do serwera w celu zapewnienia bezpiecznej pracy pracowników pracujących zdalnie.
Źródło: habr.com
