Оставлено на ваше усмотрение: советы по безопасности для удаленных сотрудников, использующих собственное ИТ-оборудование

Безопасность бизнеса

Поскольку персональные устройства в корпоративных сетях представляют собой потенциально взрывоопасную смесь, бесцеремонный подход к безопасности BYOD не поможет.

Кристиан Али Браво

Февраль 06 2024  •  , 6 минута. читать

Поскольку это помогло организациям пережить потрясения, вызванные пандемией, remote work (что впоследствии часто трансформировалось в гибридная работа) укрепил свою стойкость. С границами между работой и домом становится более размытым, чем когда-либо, многие люди хотят или действительно нуждаются в доступе к рабочим ресурсам не только из любого места и в любое время, но и с любого устройства – введите использование личных устройств для выполнения работы и получить доступ к корпоративным данным.

С другой стороны, использование личных устройств для работы, будь то исключительно или вместе с устройствами, выданными работодателем, сопряжено с повышенными рисками кибербезопасности, особенно если это не поддерживается надежными методами обеспечения безопасности и мерами предосторожности. Несмотря на то, что опасения по поводу механизмов использования собственных устройств (BYOD) ни в коем случае не новыйРост использования персональных устройств для работы вдохнул новую жизнь в потенциально сложные проблемы защиты корпоративных данных и вызвал необходимость переоценки и корректировки существующих политик с учетом меняющейся рабочей среды.

Так как же сотрудники и организации могут снизить киберриски, связанные с устройствами, принадлежащими сотрудникам, и помочь избежать угрозы корпоративным данным и данным своих клиентов? Хотя не существует универсального решения, подходящего всем, некоторые меры будут иметь большое значение для защиты компаний от вреда.

Уменьшите поверхность корпоративных атак

Использование сотрудниками устройств, находящихся за пределами компетенции ИТ, становится серьезной угрозой для корпоративных данных, особенно если его не контролировать. В эпоху, когда злоумышленники постоянно ищут бреши в броне компаний, ограничение количества таких потенциальных точек входа не составляет труда. Важно отметить, что организациям необходимо провести инвентаризацию каждого устройства, имеющего доступ к их сетям, а также установить стандарты безопасности и конфигурации, которым должны соответствовать устройства сотрудников, чтобы обеспечить базовый уровень защиты.

Несанкционированные приложения или другое программное обеспечение на устройствах, принадлежащих сотрудникам, являются распространенным источником риска, который тень ИТ в целом обеспечивает целостность, доступность и конфиденциальность корпоративных данных и систем. Чтобы предотвратить нерегулируемый доступ третьих лиц к конфиденциальным данным, организации могут извлечь выгоду из создания «барьера» между личной и рабочей информацией на устройствах и обеспечить контроль за внесением в черный (или белый) список приложений. Существуют и другие способы держать под контролем устройства, принадлежащие сотрудникам, с помощью специального программного обеспечения для управления мобильными устройствами, что подводит нас к следующему пункту.

Обновление программного обеспечения и операционных систем

Важность своевременной установки обновлений безопасности для исправления известных уязвимостей невозможно переоценить, поскольку едва ли день проходит без новостей об обнаружении новых уязвимостей в широко используемом программном обеспечении.

Обеспечить работу сотрудников на обновленных устройствах, безусловно, проще, если они используют ноутбуки и смартфоны, выпущенные компанией, и могут рассчитывать на поддержку со стороны ИТ-отдела, который постоянно следит за обновлениями программного обеспечения и устанавливает их на компьютеры вскоре после их выпуска. Многие компании в наши дни используют программное обеспечение для управления устройствами, чтобы помочь не только с установкой обновлений на устройства сотрудников, но и с общим усилением их безопасности.

Если задача поддержания программного обеспечения на своих устройствах в актуальном состоянии ложится на самих сотрудников, организации могут, по крайней мере, усердно напоминать своим сотрудникам о доступности исправлений, предоставляя им практические руководства. для применения обновлений и мониторинга прогресса.

Установите безопасное соединение

Если удаленному сотруднику необходим доступ к сети организации, организация должна знать об этом. Удаленные сотрудники могут использовать не только свои домашние сети Wi-Fi, но и общедоступные сети Wi-Fi. В любом случае правильно настроенная виртуальная частная сеть (VPN), которая позволяет удаленным работникам получать доступ к корпоративным ресурсам, как будто они сидят в офисе, является простым способом снизить уязвимость организации к уязвимостям, которыми в противном случае могли бы воспользоваться киберпреступники.

Другой способ обеспечить удаленное подключение к ИТ-среде организации — через протокол удаленного рабочего стола (RDP). Когда большая часть населения мира перешла на работу из дома, количество RDP-соединений резко возросло, как и атаки на конечные точки RDP. Было очень много случаев злоумышленников, которые находят способы использовать неправильно настроенные параметры RDP или слабые пароли для получения доступа к сетям компании. Успешный киберпреступник может использовать эти возможности для выкачивания интеллектуальной собственности, шифрования и хранения всех корпоративных файлов с целью получения выкупа, обманом заставить бухгалтерию перевести деньги на счета, находящиеся под их контролем, или нанести ущерб резервным копиям данных компании.

Хорошей новостью является то, что существует множество способов защиты от атак через RDP. Доступ по RDP должен быть настроен правильно, в том числе путем отключения RDP с выходом в Интернет и требования надежных и сложных паролей для всех учетных записей, в которые можно войти через RDP. Правильная настройка RDP — это еще не все, и наша недавняя статья расскажет вам:

Защитите драгоценности короны

Хранение конфиденциальных корпоративных данных на личном устройстве явно представляет собой риск, особенно если устройство потеряно или украдено и не защищено паролем, а его жесткий диск не зашифрован. То же самое можно сказать и о том, чтобы позволить кому-то другому использовать устройство. Даже если это «просто» член семьи, такая практика все равно может привести к компрометации драгоценностей компании, независимо от того, хранятся ли данные локально или, как это часто бывает в эпоху работы из любого места, в облаке.

Несколько простых мер – таких как введение надежной защиты паролем и требование автоматической блокировки, а также обучение сотрудников необходимости запретить кому-либо использовать устройство – будут иметь большое значение для защиты данных компании от вреда.

Чтобы ограничить риск доступа к конфиденциальной информации посторонних лиц, организациям следует шифровать конфиденциальные данные как при передаче, так и при хранении, внедрять многофакторную аутентификацию и защищать сетевые соединения.

Безопасная видеоконференция

Услуги видеоконференций пережили бум благодаря пандемии, поскольку все встречи, которые изначально проводились лично, были перенесены в виртуальный мир. Организациям следует разработать рекомендации по использованию услуг видеоконференций, например, какое программное обеспечение использовать и как защитить соединение.

В частности, желательно использовать программное обеспечение с надежными функциями безопасности, включая сквозное шифрование и защиту паролем для вызовов, которые защитят конфиденциальные данные от посторонних глаз. Излишне говорить, что программное обеспечение для видеоконференций необходимо постоянно обновлять с помощью последних обновлений безопасности, чтобы гарантировать, что любые лазейки в программном обеспечении будут устранены в спешке.

Программное обеспечение и люди

Было бы упущением не упомянуть, что отказ от надежного многоуровневого программного обеспечения безопасности на устройствах, имеющих доступ к корпоративным системам, — это прямой путь к катастрофе. Такое программное обеспечение – особенно если оно управляется службой безопасности или ИТ-отделом компании – может сэкономить каждому массу головной боли и, в конечном итоге, время и деньги. Помимо прочего, это может обеспечить защиту от самых последних угроз вредоносного ПО, защитить корпоративные данные, даже если устройство потеряно, и, в конечном итоге, помочь системным администраторам обеспечить соответствие устройств политикам безопасности компании.

Обеспечение регулярного резервного копирования устройств и данных (а также тестирование резервных копий) и обучение персонала вопросам безопасности также не представляют никакой сложности: технический контроль не был бы полным, если бы сотрудники не понимали повышенные риски, связанные с использование личных устройств для работы.