Как защитить мобильных работников

Дистанционная работа входит в образ жизни сотрудников многих организаций. Все больше компаний и правительственных агентств организуют мобильные и гибкие рабочие места. Помогая своему персоналу работать дома, в отеле, аэропорту, кафе и т. п., предприятие получает двойную выгоду:

• во-первых, снижаются потери, связанные с болезнью сотрудников, нехваткой рабочих помещений и переездами;
• во-вторых, повышается производительность работников и крепче становится их привязанность к компании.

Дистанционный доступ необходим, когда у работников есть такие портативные устройства, как ноутбуки, мобильные телефоны, КПК или смартфоны, и они могут использовать высокоскоростные телекоммуникации для удаленной работы, находясь дома или в поездке.

В США, например, пилотные проекты по организации дистанционной работы начались уже в начале 90-х годов, а потом Конгресс дал федеральным агентствам указание к 2004-му обеспечить возможность удаленной работы для всех государственных служащих при их желании. Крупные проекты в этой области реализуются под контролем правительства в американских штатах Мэриленд, Виргиния и Западная Виргиния. Самые последние опросы показывают, что уже более 100 тыс. государственных служащих в США работают в дистанционном режиме, что означает рост на 93 % по сравнению с исследованиями, выполненными в апреле 2001 г.

Однако предоставляя своему персоналу возможность удаленного доступа к корпоративной информации и другим системам, компания открывает ящик Пандоры, поскольку открытость всегда несет с собой угрозу безопасности. Традиционные способы “защиты периметра” не работают для мобильных сотрудников, которые делают этот периметр прозрачным.

Недостаточная защищенность проявляется в четырех сферах:

• целостность системы — компьютеры, используемые для удаленного доступа, могут не удовлетворять требованиям безопасности и стать мишенью для действий хакеров (прослушивания, кражи информации или запуска червей и вирусов в системы компании). Крайне важно иметь гарантию, что все устройства, получающие доступ в корпоративную сеть, в точности соответствуют требованиям существующей политики безопасности;
• уязвимые приложения — незащищенные компьютеры могут поставить под угрозу конфиденциальные данные и приложения. Одна из наиболее опасных областей — это обмен файлами по технологии P2P (peer-to-peer); американское министерство юстиции, например, строго преследует использование таких приложений, поскольку они нарушают права интеллектуальной собственности. Нужно понимать, что широкое использование P2P открывает дорогу хакерам и другим злоумышленникам в сеть компании;
• контроль доступа — появляется угроза неконтролируемого доступа к системе компании. Есть хорошо известные способы защиты беспроводных сетей, их обязательно надо использовать для удаленных работников; в некоторых компаниях администрация требует от своих сотрудников отключить модуль беспроводного доступа в ноутбуках, потому что нет уверенности в надежном обеспечении безопасности;
• баланс производительности и безопасности — выгоды, которые несет с собой дистанционная работа, могут быть потеряны из-за недостаточной защиты. Нельзя безопасность приносить в жертву мобильности, но в то же время шаги по её обеспечению не должны быть чрезмерно сложными, чтобы не раздражать удаленных пользователей.

Информационные технологии должны гарантировать все четыре перечисленных аспекта автоматически и эффективно. Эксперты из компании Altiris (www.altiris.com), например, выделяют семь направлений обеспечения безопасности для удаленных работников.

1. Категории риска

Первый шаг в обеспечении безопасности удаленных работников состоит в определении риска. Министерство торговли США предлагает делить риски на три разновидности в соответствии с уровнем вреда, который они могут нанести, и значением информации, с которой они связаны.

В США уже более 100 тыс. государственных служащих работают в дистанционном режиме — это на 93 % больше по сравнению с 2001 г.

Невысокий риск возникает при удаленном доступе к не слишком важным данным, расположенным за пределами корпоративного брандмауэра.

Средний риск обусловлен доступом к важным, но не секретным данным, находящимся в пределах корпоративного брандмауэра. К такой информации обычно имеет доступ большинство пользователей.

Высокий риск связан с системами, которые обрабатывают или хранят важную информацию с доступом уровня администратора (или суперпользователя). Любой удаленный доступ к секретной информации автоматически относится к высокому риску.

2. Защита данных от кражи или просмотра при работе “в пути”

Это второй шаг обеспечения безопасности — защита информации при сетевой работе сотрудника, находящегося не на основном рабочем месте. При работе в Интернете рекомендуется применять шифрование паролей и данных по стандартам AES (Advanced Encryption Standard) или Triple DES (Triple Data Encryption Standard).

Один из наиболее важных аспектов мобильности — достижение оптимального баланса между безопасностью и производительностью.

Естественно, все системы шифрования должны быть сертифицированы. Чаще всего такие системы защиты сопряжены с использованием VPN (Virtual Private Network — виртуальные частные сети). Некоторые компании требуют обращаться к VPN вне зависимости от того, с какой информацией работает пользователь. Чтобы сделать защиту канала еще надежнее, нужна двукратная аутентификация. Подобные меры особенно важны при беспроводных соединениях.

3. Щит для удаленной системы

Удаленные компьютерные системы, работающие с низким или средним риском, должны быть защищены брандмауэром на внешнем уровне. По сути их нужно сделать невидимыми для хакеров и неавторизованных пользователей. С такой целью проводится проверка пакетов и пропускаются лишь те, что исходят из портов, инициировавших трафик. При использовании Microsoft Windows 2000 или Windows XP очень важно, чтобы брандмауэр использовал драйверы, работающие в слое NDIS (Network Driver Interface Specificaton) сетевого стека протоколов. Это даст гарантию эффективного функционирования и предотвратит атаки хакеров. Брандмауэр должен конфигурироваться автоматически без вмешательства пользователя, чтобы не заставлять его принимать решения из области безопасности, конфигурации портов и т. п.

Не менее важно защитить удаленную систему от известных механизмов атак, использующих слабости протоколов доступа Telnet, ftp и rlogin. Есть и другие уязвимые технологии, например упомянутая выше P2P — технология совместного владения файлами. При неправильном использовании они могут привести к нарушению прав интеллектуальной собственности. Кроме того, и с точки зрения безопасности такие технологии представляют серьезный риск, поскольку из-за них всё содержание жесткого диска компьютера может стать доступным хакерам. Надо очень четко различать сертифицированные программы обмена файлами, необходимые для работы, и потенциально опасные программы, которые должны быть запрещены.

4. Борьба с хакерами и шпионским ПО

Недостаточный контроль за удаленным компьютером — это большой риск. Хакер может проникнуть в такой компьютер и украсть из него всю информацию. Но и это ещё не всё: он может использовать его в своих целях как “зомби”-компьютер, который без ведома владельца будет проводить хакерские атаки. В такой ПК может быть установлено специальное шпионское ПО, чтобы собирать имена пользователей и пароли для следующих атак.

Некоторые компании требуют обращения к VPN вне зависимости от того, с какой информацией работает пользователь. Чтобы сделать защиту канала еще надежнее, нужна двукратная аутентификация. Подобные меры особенно важны при беспроводных соединениях.

В него может быть помещен вирус или червь, который далее будет распространяться по всей корпоративной системе.

Поэтому удаленные компьютеры надо защищать от хакеров и шпионского ПО точно так же, как и всю сеть. Есть как минимум три вида политик безопасности, которые здесь могут помочь: управление обновлениями, усиление борьбы с вирусами и использование антишпионского ПО.

В каждой удаленной системе должны своевременно обновляться все программы; лучше всего, если это будет происходить автоматически и независимо от пользователя при соединении с корпоративной сетью. Если же необходимые обновления не сделаны, то этот компьютер может просто не допускаться в сеть.

Обеспечьте автоматическое отключение беспроводного доступа, если ноутбук соединяется через проводную сеть.

Кроме того, нужно иметь в виду, что каждый удаленный компьютер, использующий любые съёмные носители информации, может быть источником вирусов, червей или троянов. Значит, на таком ПК надо установить антивирусное ПО и регулярно обновлять его. Если в корпоративную сеть попытается войти компьютер с необновленной антивирусной программой, его туда не следует пускать до тех пор, пока антивирусная защита не будет обновлена.

И наконец, на каждом удаленном компьютере должно быть установлено антишпионское ПО вне зависимости от уровня риска, с которым имеет дело данный ПК. Кроме того, желательно установить на нём систему для выявления вторжений как еще один уровень защиты.

5. Контроль соединения

Удаленные работники могут соединяться с корпоративной сетью самыми разными способами: через контролируемое или неконтролируемое интернет-соединение, посредством беспроводного доступа, по выделенному каналу. Соответственно разные типы соединения могут обуславливать различные риски, причем наибольшие связаны с очень популярным сегодня беспроводным доступом.

Во многих компаниях воздерживаются от внедрения беспроводного доступа для мобильного персонала как раз по этой причине. Ведь даже если сотрудник получит данные через контролируемый доступ путём прямого соединения, но при этом забудет отключить беспроводной канал в своем ноутбуке, этим могут воспользоваться хакеры.

Максимально защитить себя поможет соблюдение следующих правил.

• Убедитесь, что соединение даже из домашнего офиса идет через VPN (см. выше пункт 2), что оно защищено брандмауэром и не использует приложения P2P (пункт 3).
• Убедитесь, что доступ через хотспоты достаточно хорошо защищен, поскольку беспроводной доступ в отелях, аэропортах и т. п. представляет собой большой риск. Ноутбук в таких местах легко можно просканировать и проникнуть в него. В таких случаях удаленный доступ надо защищать с помощью методов, описанных в пунктах 2 и 3.
• Обеспечьте автоматическое отключение беспроводного доступа, если ноутбук соединяется через проводную сеть. Это очень важный аспект безопасности, о котором начинают задумываться многие компании, поскольку он снимает тысячи проблем.

6. Защита производительности

Один из наиболее важных аспектов мобильности — достижение оптимального баланса между безопасностью и производительностью. Проще всего отключить удаленный доступ к корпоративной системе — это даст вам максимальную безопасность, но вы утратите все преимущества мобильности и гибкости. С другой стороны, легко, увлекшись повышением производительности, поставить компанию под угрозу риска. Сложнейшая задача — найти оптимальное решение.

Есть четыре способа защитить производительность.

Убедитесь, что у удаленного сотрудника все время включено и работает “устройство самозащиты”, которое нельзя отключить или обойти. Это совсем не так просто сделать, как кажется, поскольку у хакеров есть очень много методов отключения подобной защиты. Клиентское защитное ПО должно быть защищено даже от пользователей с правами администратора.

Ситуация в сфере безопасности находится в постоянном развитии: новые угрозы возникают ежедневно, а методы их нейтрализации не заставляют себя ждать. Таким же подвижным должен быть и подход к обеспечению защиты — её средства требуют постоянного обновления и модернизации, причем делать это надо без участия пользователя.

• Сделайте так, чтобы пользователь не мог сам контролировать свою безопасность. Не позволяйте ему самостоятельно конфигурировать брандмауэр и выбирать методы защиты сети и сетевых приложений. Не допускайте в корпоративную сеть удаленные компьютеры, которые не удовлетворяют необходимым требованиям.
• Старайтесь соотносить меры безопасности с потенциальным риском. Надо очень хорошо понимать уровень риска, но это — единственный способ обеспечить достаточную гибкость системы и не снизить производительность.
• Защищайте удаленных пользователей от угрозы кражи. Здесь есть два аспекта: кража данных из ноутбука и кража самого ноутбука. Например, при работе в кафе можно не заметить, как вор стащит данные, если вы на несколько минут отойдете от своего ПК. Значит, надо предусмотреть возможность использования ноутбука только для чтения данных. Кроме того, вся информация на жестком диске должна быть зашифрована.

7. Поддержание уровня безопасности

Ситуация в сфере безопасности находится в постоянном развитии: новые угрозы возникают ежедневно, а методы их нейтрализации не заставляют себя ждать. Таким же подвижным должен быть и подход к обеспечению защиты — её средства требуют постоянного обновления и модернизации, причем делать это надо без участия пользователя.

Лучше всего, если политика безопасности для удаленных сотрудников будет обновляться при каждой попытке соединения, причём так, чтобы со стороны центральной системы проводился аудит удаленного компьютера по всем параметрам. Кроме того, удаленные пользователи должны постоянно следить за работой своей и центральной систем и реагировать на их неадекватное поведение.

Приведённые нами рекомендации позволят вам использовать все преимущества мобильной удаленной работы, не подвергая угрозам компьютерную сеть компании.