Многие компании, переводящие сотрудников на удалённую работу, беспокоились о том, как обеспечить защиту от утечек, к которой они привыкли внутри корпоративной сети. Как изменились архитектура и функции системы противодействия утечкам конфиденциальной информации при распределённой работе?
Периметр информационной системы размазался до квартир сотрудников. Если компания раскошелилась на собственные ноутбуки или развезла по домам офисные рабочие станции и позаботилась о настройке VPN на домашних роутерах, то изменений не так много – это те же рабочие станции под контролем компании. На рабочих станциях установлены те же DLP-агенты и действия с конфиденциальной информацией контролируются точно так же.
А вот если компания не предоставляет своим сотрудникам «железа» для удалённой работы, появляются нюансы. Если контролировать персональные домашние рабочие станции – то на каком основании? Если не контролировать, то как обеспечить безопасность? Ведь речь не только о защите от утечек, контроль нужен и для антивирусных и других программ защиты конечных точек. И это при том, что у домашнего компьютера может быть несколько пользователей.
Конечно, можно использовать решения с использованием терминального режима работы с корпоративными приложениями – терминальные сессии контролируются на корпоративных серверах. Популярное сегодня решение на виртуальных рабочих местах так же доставляет все необходимые инструменты уже упакованными. Однако эти решения требуют серьёзных серверных мощностей и не все компании готовы оперативно разворачивать такие архитектуры.
Контролировать компьютер, не принадлежащий компании можно только с согласия владельца. Обычно согласие сотрудников на контроль их личных компьютеров получается в обмен на доступ в корпоративную сеть. Не хочешь разрешать контроль – не получаешь доступа, а значит не выполняешь рабочие задания, становишься первым в очередь на сокращения. Современные операционные системы позволяют создать отдельную учётную запись, которая используется для работы, а для развлечений и для использования компьютера другими членами семьи используются другие учётные записи, таки образом приватность не нарушается, а работодатель контролирует только ту среду, в которой используются рабочие данные.
Что нового в функциях DLP появилось на «удалёнке»? DLP-агенты, а точнее, их модули с UBA-функционалом, на «удалёнке» могут выступать и в качестве средства контроля производительности. То, что сотрудник не рискнёт делать в офисе: смотреть сериалы, посещать развлекательные сайты, играть в игры, зависать в соцсетях и т.п., он может делать в комфортной домашней обстановке. Конечно, если он справляется с нагрузкой и это устраивает его руководителя, то пусть так и будет, хотя если человек делает дневную работу за несколько часов чистой работы, то, может быть, кто-то неправильно рассчитал дневную норму. А вот если сотрудник план не выполняет, то резервы его производительности можно начинать искать в нерационально организованном рабочем времени.
Если с конечными точками всё более-менее понятно – просто они переместились в квартиры сотрудников, то со шлюзами главное не потерять на время «удалёнки» трафик. Важно отключить возможность пользователям ходить в облачные ресурсы напрямую из дома, то есть ввести авторизацию во все типы облачных сервисов, даже находящихся за пределами корпоративной сети, только через корпоративный шлюз. Таким образом удастся сохранить политики по пользованию облачных сервисов и продолжать контролировать трафик, не боясь, что часть его идёт мимо средств контроля.
Роль контроля поведения пользователей и генерируемого ими трафика при «удалёнке» только возрастает, поэтому скорее всего, информации с них будет собираться всё больше и больше – не важно, с помощью dlp-агентов или шлюзов, средств удалённого администрирования или логов операционной системы. Сбор таких данных может быть полезен не только для целей безопасности, но и для оптимизации рабочего процесса. Но это уже тема для другой колонки.
