Z ubiegłorocznego raportu Gartnera wynika, że komputer stacjonarny jest wciąż najpopularniejszym urządzeniem wykorzystywanym do pracy, także tej zdalnej. Co zrobić, by uniknąć wycieku firmowych danych? Jak edukować pracowników i jakie technologie wdrażać?
Telepraca to światowy trend, który coraz bardziej widoczny jest także w polskich firmach. Nic w tym dziwnego, ponieważ model ten oferuje wiele korzyści dla obu zainteresowanych stron. Pracownicy są bardziej elastyczni i dostępni, nie tracąc przy tym czasu na dojazdy do pracy, a pracodawcy ograniczają koszty operacyjne. Nawet firmy, które otwarcie nie promują telepracy, dostrzegają jej zalety np. w trakcie podróży pracownika lub choroby jego dziecka.
Oprócz widocznych plusów, praca zdalna niesie ze sobą jedno, często nieoczywiste dla pracodawcy zagrożenie w postaci wycieku bądź utraty strategicznych danych przedsiębiorstwa. Jak zatem zabezpieczać środowisko pracy poza firmową siecią?
Ważne jest, aby stosować kompleksowe podejście do zabezpieczeń punktów końcowych i dostępu zdalnego zamiast zastanawiać się, czy pracownicy stosują coś więcej niż tylko szyfrowanie WEP oferowane w standardzie przez każdy domowy router. Oto kilka sposobów na stworzenie bezpiecznego środowiska pracy zdalnej bez względu na lokalizację.
1. Używaj sieci VPN
To najważniejszy postulat. Niezależnie od tego, w jaki sposób pracownik uzyskuje dostęp do zasobów przedsiębiorstwa, jeśli używa do tego odpowiednio wdrożonego tunelu VPN, pobierane i wysyłane przez niego treści są bezpieczne. Dostępne są również sieci VPN oferowane jako usługa, które służą do zabezpieczania sesji na urządzeniach mobilnych za pośrednictwem publicznej sieci Wi-Fi, przy czym stworzenie sieci VPN pod kontrolą przedsiębiorstwa jest łatwiejsze, tańsze i bezpieczniejsze niż poleganie na sieci VPN działającej w chmurze publicznej.
2. Wymagaj instalacji programów antywirusowych i ich aktualizowania
Instalowanie aktualizacji programów antywirusowych i poprawek do systemów operacyjnych nie znajduje się na liście zadań pracowników, dlatego wdrożenie usług, które automatycznie zainstalują aktualizacje na klientach znajdujących się poza siecią przedsiębiorstwa jest bardziej niż wskazane.
3. Zablokuj korzystanie z usług przechowywania danych w chmurze publicznej
Jako że usługi takie jak Dropbox czy Google Drive mają coraz więcej funkcji i są coraz łatwiejsze w obsłudze, użytkownicy mogą ulec pokusie i przesyłać pliki służbowe do chmury. Niestety po odejściu pracownika z firmy pracodawca nie ma możliwości sprawdzenia, czy zasoby przedsiębiorstwa nie pozostały na komputerze w jego biurze domowym. Blokada dostępu do takich usług podczas korzystania przez pracowników z sieci przedsiębiorstwa zapewnia ochronę danych.
4. Zainwestuj w narzędzia eliminujące zgrywanie plików na przenośne dyski
Gdy pracownik nie będzie mógł przesłać plików do swojego Dropboxa bądź innego folderu w chmurze, prawdopodobnie zechce zgrać je na pendrive lub inny nośnik wymienny w celu późniejszego skorzystania z nich w domu. Takie nośniki mogą być siedliskiem wirusów. Co zrobić? Najlepiej zakupić oprogramowanie klasy biznesowej do bezpiecznego synchronizowania i udostępniania plików oraz do współpracy.
5. Jeśli to możliwe, zabezpiecz środowisko pracy
O ile nie jest możliwe odwiedzenie każdego użytkownika w jego domu, zainstalowanie punktu dostępu z optymalnymi ustawieniami bezpieczeństwa, a następnie centralne zarządzanie nim, można poprosić pracowników zdalnych o wdrożenie silnego szyfrowania na domowych routerach. Nawet jeśli będzie to oznaczać konieczność przeprowadzenia użytkownika krok po kroku przez proces instalacji lub zakupienia punktów dostępu 4G (które domyślnie używają szyfrowania), warto zapewnić względne bezpieczeństwo sieci domowych.
6. Bezpieczeństwo zaczyna się od edukacji
Nawet specjaliści ds. bezpieczeństwa i hakerzy nie rodzą się ze swoją wiedzą. Dlatego nie powinniśmy wymagać od pracowników, że będą w stanie uniknąć najnowszych ataków. Niestety często w tę pułapkę wpada kadra zarządzająca przedsiębiorstwa. Większość firm stosuje firewalle, systemy zapobiegania włamaniom i ochronę przed szkodliwym oprogramowaniem w celu zabezpieczenia swoich sieci, ale ignoruje najsłabsze ogniwo w łańcuchu bezpieczeństwa: człowieka. Nawet największe przedsiębiorstwa dysponujące solidnymi zabezpieczeniami mogą zostać narażone na ryzyko, gdy niczego nieświadomy użytkownik padnie ofiarą wyrafinowanego ataku wykorzystującego techniki inżynierii społecznej, nieopatrznie ujawniając dane logowania lub wprowadzając złośliwe oprogramowanie do firmowej sieci.
6 ½. Miej strategię
Zastosowaliśmy w tym punkcie ułamek, gdyż ten postulat powinien być oczywisty. Niemniej niedawno przeprowadzone badania pokazują, że wiele przedsiębiorstw nie ma strategii w zakresie urządzeń osobistych, biur domowych oraz zdalnego dostępu do sieci i zasobów przedsiębiorstwa. Być może ten punkt powinien być numerem jeden, gdyż dobra, przemyślana strategia, akceptowalna zarówno dla działu informatycznego, jak i pracowników, stanowi fundament bezpieczeństwa. Aby wdrażać technologie, przedsiębiorstwa potrzebują strategii!
Mariusz Rzepka, dyrektor Fortinet na Polskę, Białoruś i Ukrainę.
Oprócz widocznych plusów, praca zdalna niesie ze sobą jedno, często nieoczywiste dla pracodawcy zagrożenie w postaci wycieku bądź utraty strategicznych danych przedsiębiorstwa. Jak zatem zabezpieczać środowisko pracy poza firmową siecią?
Ważne jest, aby stosować kompleksowe podejście do zabezpieczeń punktów końcowych i dostępu zdalnego zamiast zastanawiać się, czy pracownicy stosują coś więcej niż tylko szyfrowanie WEP oferowane w standardzie przez każdy domowy router. Oto kilka sposobów na stworzenie bezpiecznego środowiska pracy zdalnej bez względu na lokalizację.
1. Używaj sieci VPN
To najważniejszy postulat. Niezależnie od tego, w jaki sposób pracownik uzyskuje dostęp do zasobów przedsiębiorstwa, jeśli używa do tego odpowiednio wdrożonego tunelu VPN, pobierane i wysyłane przez niego treści są bezpieczne. Dostępne są również sieci VPN oferowane jako usługa, które służą do zabezpieczania sesji na urządzeniach mobilnych za pośrednictwem publicznej sieci Wi-Fi, przy czym stworzenie sieci VPN pod kontrolą przedsiębiorstwa jest łatwiejsze, tańsze i bezpieczniejsze niż poleganie na sieci VPN działającej w chmurze publicznej.
2. Wymagaj instalacji programów antywirusowych i ich aktualizowania
Instalowanie aktualizacji programów antywirusowych i poprawek do systemów operacyjnych nie znajduje się na liście zadań pracowników, dlatego wdrożenie usług, które automatycznie zainstalują aktualizacje na klientach znajdujących się poza siecią przedsiębiorstwa jest bardziej niż wskazane.
3. Zablokuj korzystanie z usług przechowywania danych w chmurze publicznej
Jako że usługi takie jak Dropbox czy Google Drive mają coraz więcej funkcji i są coraz łatwiejsze w obsłudze, użytkownicy mogą ulec pokusie i przesyłać pliki służbowe do chmury. Niestety po odejściu pracownika z firmy pracodawca nie ma możliwości sprawdzenia, czy zasoby przedsiębiorstwa nie pozostały na komputerze w jego biurze domowym. Blokada dostępu do takich usług podczas korzystania przez pracowników z sieci przedsiębiorstwa zapewnia ochronę danych.
4. Zainwestuj w narzędzia eliminujące zgrywanie plików na przenośne dyski
Gdy pracownik nie będzie mógł przesłać plików do swojego Dropboxa bądź innego folderu w chmurze, prawdopodobnie zechce zgrać je na pendrive lub inny nośnik wymienny w celu późniejszego skorzystania z nich w domu. Takie nośniki mogą być siedliskiem wirusów. Co zrobić? Najlepiej zakupić oprogramowanie klasy biznesowej do bezpiecznego synchronizowania i udostępniania plików oraz do współpracy.
5. Jeśli to możliwe, zabezpiecz środowisko pracy
O ile nie jest możliwe odwiedzenie każdego użytkownika w jego domu, zainstalowanie punktu dostępu z optymalnymi ustawieniami bezpieczeństwa, a następnie centralne zarządzanie nim, można poprosić pracowników zdalnych o wdrożenie silnego szyfrowania na domowych routerach. Nawet jeśli będzie to oznaczać konieczność przeprowadzenia użytkownika krok po kroku przez proces instalacji lub zakupienia punktów dostępu 4G (które domyślnie używają szyfrowania), warto zapewnić względne bezpieczeństwo sieci domowych.
6. Bezpieczeństwo zaczyna się od edukacji
Nawet specjaliści ds. bezpieczeństwa i hakerzy nie rodzą się ze swoją wiedzą. Dlatego nie powinniśmy wymagać od pracowników, że będą w stanie uniknąć najnowszych ataków. Niestety często w tę pułapkę wpada kadra zarządzająca przedsiębiorstwa. Większość firm stosuje firewalle, systemy zapobiegania włamaniom i ochronę przed szkodliwym oprogramowaniem w celu zabezpieczenia swoich sieci, ale ignoruje najsłabsze ogniwo w łańcuchu bezpieczeństwa: człowieka. Nawet największe przedsiębiorstwa dysponujące solidnymi zabezpieczeniami mogą zostać narażone na ryzyko, gdy niczego nieświadomy użytkownik padnie ofiarą wyrafinowanego ataku wykorzystującego techniki inżynierii społecznej, nieopatrznie ujawniając dane logowania lub wprowadzając złośliwe oprogramowanie do firmowej sieci.
6 ½. Miej strategię
Zastosowaliśmy w tym punkcie ułamek, gdyż ten postulat powinien być oczywisty. Niemniej niedawno przeprowadzone badania pokazują, że wiele przedsiębiorstw nie ma strategii w zakresie urządzeń osobistych, biur domowych oraz zdalnego dostępu do sieci i zasobów przedsiębiorstwa. Być może ten punkt powinien być numerem jeden, gdyż dobra, przemyślana strategia, akceptowalna zarówno dla działu informatycznego, jak i pracowników, stanowi fundament bezpieczeństwa. Aby wdrażać technologie, przedsiębiorstwa potrzebują strategii!
Mariusz Rzepka, dyrektor Fortinet na Polskę, Białoruś i Ukrainę.
