Plötsligt blev distansarbete ett efterfrÄgat och nödvÀndigt format. Allt pÄ grund av COVID-19. Nya ÄtgÀrder för att förebygga smitta dyker upp varje dag. I kontoren mÀts temperaturen, och vissa företag, inklusive stora, skickar sina anstÀllda hem för att minska förluster frÄn nedstÀngningar och sjukskrivningar. I detta avseende har IT-sektorn, med sin erfarenhet av distribuerade team, en fördel.
Vi pÄ NII SOKB har i mÄnga Är arbetat med att organisera sÀker Ätkomst till företagsdata frÄn mobila enheter och vi vet att distansarbete Àr en utmanade frÄga. Nedan berÀttar vi hur vÄra lösningar hjÀlper till att sÀkert hantera anstÀlldas mobila enheter och varför detta Àr viktigt för distansarbete.
Vad behöver en anstÀlld för att arbeta pÄ distans?
Den typiska uppsÀttningen tjÀnster som behöver sÀkerstÀllas för fullt distansarbete inkluderar kommunikationstjÀnster (e-post, meddelandeapplikationer), webbresurser (olika portaler som till exempel servicedesk eller projektledningssystem) och filer (system för elektronisk dokumenthantering, versionskontroll, etc.).
Man kan inte rÀkna med att sÀkerhetshot kommer att vÀnta tills vi Àr klara med att bekÀmpa coronaviruset. Vid distansarbete finns det sÀkerhetsregler som mÄste följas Àven under pandemin.
Viktig affÀrsinformation kan inte bara skickas till en anstÀllds personliga e-postadress sÄ att de kan lÀsa och hantera den pÄ sin privata smartphone. En smartphone kan tappas bort, man kan installera appar som stjÀl information, och barn, som sitter hemma pÄ grund av samma virus, kan rÄka leka med den. Ju viktigare data som en anstÀlld arbetar med, desto bÀttre mÄste de skyddas. Skyddet för mobila enheter bör vara lika bra som för stationÀra.
Varför rÀcker inte antivirus och VPN?
För stationÀra arbetsplatser och bÀrbara datorer som kör Windows Àr installation av antivirus en berÀttigad och nödvÀndig ÄtgÀrd. Men för mobila enheter gÀller det lÄngt ifrÄn alltid.
Apples enhetsarkitektur förhindrar informationsutbyte mellan applikationer. Detta begrÀnsar de potentiella konsekvenserna av skadlig programvara: om en sÄrbarhet i e-postklienten utnyttjas kan inte ÄtgÀrderna strÀcka sig utanför denna e-postklient. Samtidigt minskar en sÄdan policy effektiviteten hos antivirusprogram. Det Àr inte lÀngre möjligt att automatiskt kontrollera en fil som kommit via e-post.
PÄ Android-plattformen har bÄde virus och antivirusprogram fler möjligheter. Men frÄgan om lÀmpligheten kvarstÄr. För att installera skadlig programvara frÄn appbutiken mÄste mÄnga behörigheter ges manuellt. Kriminella fÄr Ätkomstbehörigheter endast frÄn de anvÀndare som ger apparna alla möjliga rÀttigheter. I praktiken rÀcker det att förbjuda anvÀndare frÄn att installera appar frÄn okÀnda kÀllor för att "tabletter" till gratisinstallerade betalappar inte ska "bota" företagshemligheter frÄn konfidentialitet. Men denna ÄtgÀrd gÄr utanför antivirusets funktioner och VPN.
Dessutom kan varken VPN eller antivirusprogram kontrollera hur anvÀndaren beter sig. Logiken antyder att det bör finns ett lösenord installerat pÄ anvÀndarens enhet (som skydd mot förlust). Men nÀrvaron av ett lösenord och dess pÄlitlighet beror enbart pÄ anvÀndarens omdöme, nÄgot företaget inte kan pÄverka.
SjÀlvklart finns det administrativa metoder. Till exempel interna dokument dÀr anstÀllda kommer att hÄllas personligt ansvariga för avsaknad av lösenord pÄ enheter, installation av appar frÄn otillförlitliga kÀllor osv. Man kan till och med krÀva att alla anstÀllda ska skriva under en Àndrad arbetsbeskrivning som innehÄller dessa punkter innan de börjar arbeta pÄ distans. Men lÄt oss se sanningen i ögonen: företaget kommer inte kunna kontrollera hur denna instruktion efterföljs i praktiken. Det kommer att vara upptaget med akut omstrukturering av sina grundlÀggande processer, medan anstÀllda, trots de infogade policyn, kommer att kopiera konfidentiella dokument till sina personliga Google Drive och öppna tillgÄng till dem via lÀnk, eftersom det Àr smidigare att samarbeta kring dokumentet.
Den plötsliga distansarbetet för kontoret Àr ett test pÄ företagets motstÄndskraft.
Hantering av företagsmobilitet
Ur informationssĂ€kerhetens perspektiv utgör mobila enheter ett hot och en potentiell lucka i skyddssystemet. Lösningar av typen EMM (enterprise mobility management) syftar till att stĂ€nga denna lucka.Â
Hantering av företagsmobilitet (EMM) inkluderar funktioner för enhetshantering (MDM, mobile device management), hantering av appar (MAM, mobile application management) och innehÄll (MCM, mobile content management).
MDM Àr den nödvÀndiga "piska". Genom MDM-funktioner kan administratören ÄterstÀlla eller lÄsa enheten om den tappas bort, stÀlla in sÀkerhetspolicyer: krav pÄ lösenord och deras komplexitet, förbud mot avlusningsfunktioner, installation av appar frÄn apk och sÄ vidare. Dessa grundlÀggande funktioner stöds pÄ mobila enheter frÄn alla tillverkare och plattformar. Mer specifika instÀllningar, som att förbjuda installation av anpassade recovery, finns endast pÄ enheter frÄn vissa tillverkare.
MAM och MCM Àr "moroten" i form av appar och tjÀnster som de ger tillgÄng till. Genom att sÀkerstÀlla en tillrÀcklig sÀkerhetsnivÄ med MDM kan man ge skyddad fjÀrrÄtkomst till företagsresurser med hjÀlp av appar installerade pÄ mobila enheter.
Vid första anblicken verkar det som att hantering av appar Àr en rent IT-uppgift som begrÀnsar sig till grundlÀggande operationer som "installera app, konfigurera app, uppdatera app till ny version eller ÄterstÀlla till tidigare version". I verkligheten handlar det ocksÄ om sÀkerhet. Det handlar inte bara om att installera och konfigurera nödvÀndiga appar för arbetet pÄ enheterna, utan Àven om att skydda företagsdata frÄn att laddas upp till en privat Dropbox eller Yandex.Disk.
För att separera företags- och privatliv erbjuder moderna EMM-system att skapa en behÄllare för företagsappar och deras data pÄ enheten. AnvÀndaren kan inte obehörigt föra ut data frÄn behÄllaren, vilket innebÀr att sÀkerhetstjÀnsten inte behöver förbjuda "privat" anvÀndning av den mobila enheten. För företaget Àr detta tvÀrtom fördelaktigt. Ju mer anvÀndaren kÀnner till sin enhet, desto mer effektivt kommer hen att anvÀnda arbetsverktygen.
LÄt oss ÄtergÄ till IT-uppgifter. Det finns tvÄ uppgifter som inte kan lösas utan EMM: ÄterstÀllning av applikationsversionen och fjÀrrinstÀllning av den. à terstÀllning behövs nÀr den nya versionen av applikationen inte tillfredsstÀller anvÀndarna - den har allvarliga fel eller Àr helt enkelt obekvÀm. NÀr det gÀller applikationer i Google Play och App Store Àr ÄterstÀllning omöjlig - i affÀren finns alltid endast den senaste versionen av applikationen tillgÀnglig. Vid aktiv intern företagsutveckling kan versioner slÀppas nÀstan varje dag, och inte alla av dem Àr stabila.
FjÀrrinstÀllning av applikationer kan realiseras Àven utan EMM. Till exempel kan man göra olika versioner av applikationen för olika serveradresser eller spara en fil med instÀllningar i den offentliga minnet pÄ telefonen för att sedan Àndra den manuellt. Allt detta förekommer, men det Àr knappast att betrakta som bÀsta praxis. à sin sida erbjuder Apple och Google standardiserade angreppssÀtt för att lösa denna uppgift. Utvecklaren behöver bara en gÄng integrera den nödvÀndiga mekanismen, och applikationen kan konfigurera vilken EMM som helst.
Vi har köpt en djurpark!
Inte alla anvÀndningsscenarier för mobila enheter Àr lika anvÀndbara. Olika kategorier av anvÀndare har olika uppgifter, och dessa mÄste lösas pÄ olika sÀtt. Utvecklaren och finansiÀren behöver specifika uppsÀttningar av applikationer och, möjligtvis, uppsÀttningar av sÀkerhetspolicyer pÄ grund av den olika sekretessen för de data de arbetar med.
Det Ă€r inte alltid möjligt att begrĂ€nsa antalet modeller och tillverkare av mobiltelefoner. Ă ena sidan Ă€r det billigare att skapa en företagsstandard för mobila enheter Ă€n att förstĂ„ skillnaderna mellan Android frĂ„n olika tillverkare och sĂ€rdragen i mobil UI pĂ„ skĂ€rmar av olika diagonaler. Ă andra sidan kompliceras inköp av företagsenheter under pandemin, och företagen mĂ„ste tillĂ„ta anvĂ€ndning av personliga enheter. Situationen i Ryssland förvĂ€rras dessutom av förekomsten av nationella mobila plattformar som inte stöds av vĂ€sterlĂ€ndska EMM-lösningar.Â
Det hÀr leder ofta till att istÀllet för en centraliserad lösning för hantering av företagsmobilitet, anvÀnds en brokig djungel av EMM-, MDM- och MAM-system, som var och en hanteras av egen personal enligt unika regler.
Vilka sÀrdrag finns i Ryssland?
I Ryssland, precis som i vilket annat land som helst, finns det nationell lagstiftning om informationsskydd som inte Àndras beroende pÄ den epidemiologiska situationen. SÄ, i statliga informationssystem (GIS) mÄste skyddsÄtgÀrder som Àr certifierade enligt sÀkerhetskraven tillÀmpas. För att uppfylla detta krav mÄste enheter som fÄr Ätkomst till GIS-data hanteras med hjÀlp av certifierade EMM-lösningar, bland vilka vÄrt produkt SafePhone ingÄr.
LĂ„ngt och oklart? Egentligen inte.
Verktyg pĂ„ företagsnivĂ„, som EMM, förknippas ofta med lĂ„ngsam implementering och lĂ„ng förberedelse innan projektstart. Just nu finns det helt enkelt ingen tid för detta â virusets restriktioner införs snabbt, sĂ„ det finns ingen tid att anpassa sig till distansarbete.Â
Enligt vĂ„r erfarenhet, dĂ„ vi har genomfört mĂ„nga projekt för att implementera SafePhone i företag av olika storlekar, kan lösningen Ă€ven vid lokal distribution startas pĂ„ en vecka (exklusive tiden för godkĂ€nnande och underskrift av avtal). OrdinĂ€ra anstĂ€llda kan börja anvĂ€nda systemet redan 1â2 dagar efter implementeringen. Ja, för att anpassa produkten flexibelt mĂ„ste administratörer utbildas, men utbildningen kan genomföras parallellt med systemets driftsĂ€ttning.
För att inte slösa tid pÄ installation i kundens infrastruktur, erbjuder vi vÄra kunder en molnbaserad SaaS-tjÀnst för fjÀrrhantering av mobila enheter med hjÀlp av SafePhone. Dessutom tillhandahÄller vi denna tjÀnst frÄn vÄr egen datacenter, som Àr certifierat för att uppfylla de högsta kraven för GIS och informationssystem för personuppgifter.
Som ett bidrag till kampen mot coronaviruset ansluter NII SOKB pÄ gratis basis smÄ och medelstora företag till servern för att sÀkerstÀlla en sÀker arbetsmiljö för anstÀllda som arbetar pÄ distans.
KĂ€lla: habr.com
