Поскольку сотрудники делят свое время между офисной и внешней работой, существует большая вероятность того, что устройства и данные компании попадут в чужие руки.
В последних нескольких частях этой мини-серии о гибридной работе мы исследовали потенциальные кибер-риски, исходящие от людей и их использования облачных и других сервисов. Но как насчет ключевой технологии, соединяющей эти два элемента? Портативные устройства, такие как ноутбуки, смартфоны, планшеты и флэш-накопители, всегда представляли серьезный риск для корпоративной ИТ-безопасности. Но во время пандемии эти устройства были в основном статичными.
По мере того, как вновь открываются офисы и гибридная работа становится реальностью, новые рабочие модели подвергают работодателей знакомому набору рисков. Однако на этот раз огромное количество сотрудников, курсирующих между домом, общими рабочими местами, местоположениями клиентов и офисом, означает гораздо больший потенциал для устройств и данных, которые могут оказаться в чужих руках.
Новый способ работы
Более 60% предприятий надеются перейти на гибридную работу после снятия ограничений в Великобритании. У лидеров мирового бизнеса этот показатель еще выше (64%). Однако, хотя сочетание офисной и удаленной работы подходит большинству сотрудников, обеспечивая как производительность, так и благополучие персонала, существуют проблемы. В центре всего этого находится ваш самый важный актив и потенциально самое слабое звено организации в цепочке безопасности: ее сотрудники.
Что, скорее всего, появится, когда ограничения будут ослаблены и уляжется пыль, так это гораздо больше гибкости в том, как и где работают сотрудники. Помимо разделения времени между офисом и домом, может появиться возможность работать из общих рабочих мест, в то же время начнутся посещения клиентов и партнеров. Все это означает одно: изменение. Это потенциальная проблема, когда дело доходит до кибербезопасности, поскольку люди — существа рутины. Один из лучших способов научить более безопасным методам — поощрять автоматическое поведение, но это становится намного сложнее, когда у сотрудников больше нет единого рабочего шаблона.
Риски безопасности устройства при гибридной работе
В то же время люди будут носить с собой мобильные устройства, подключаться к ним в дороге и, возможно, даже перевозить конфиденциальные бумажные документы. В этом контексте основные киберриски можно определить как:
Утерянные или украденные мобильные устройства: если они не защищены паролем, надежным шифрованием или функцией удаленной очистки, ноутбуки, смартфоны и планшеты могут раскрыть корпоративные данные и ресурсы. Например, служба финансового надзора Великобритании зафиксировала сотни утерянных или украденных устройств сотрудников за последние три года.
Утерянные или украденные бумажные документы: несмотря на популярность цифровых технологий, традиционные документы остаются угрозой безопасности. В июне за автобусной остановкой была обнаружена куча секретных документов Министерства обороны Великобритании.
Серфинг через плечо/подслушивание: с появлением большего количества поездок в офис и из других мест повышается риск того, что люди, находящиеся поблизости, могут попытаться прослушивать видеопереговоры или отслеживать пароли и другие конфиденциальные данные. Такая информация, даже если она была получена частично, может быть использована для совершения мошенничества с идентификационными данными или в последующих попытках социальной инженерии.
Небезопасные сети Wi-Fi: удаленная работа также означает большую подверженность потенциально опасным точкам доступа Wi-Fi в общественных местах, таких как вокзалы, аэропорты и кафе. Даже если в таких сетях требуется пароль, сотрудники могут подвергаться риску цифрового перехвата, вредоносного ПО, перехвата сеанса или атак посредника.
Как снизить риск безопасности устройства
Хорошая новость заключается в том, что эти угрозы существуют уже много лет, и проверенные политики могут помочь избавиться от них. Актуальность ситуации обусловлена тем фактом, что довольно скоро может оказаться уязвимым большинство сотрудников, а не относительно небольшое количество удаленных сотрудников перед пандемией. Вот что вы можете сделать:
Обучение и осведомленность сотрудников: все мы знаем, что эффективные программы обучения персонала могут помочь снизить риск фишинга. Что ж, те же процессы могут быть адаптированы для повышения осведомленности сотрудников о потенциальных угрозах, упомянутых выше, включая такие темы, как управление паролями, социальная инженерия и безопасное использование интернета. Методы геймификации становятся все более популярными, поскольку было доказано, что они ускоряют процесс обучения, улучшают удержание знаний и приводят к устойчивым изменениям поведения.
Политики контроля доступа: аутентификация пользователей — ключевая часть любой корпоративной стратегии безопасности, особенно при управлении большим количеством удаленных пользователей. Политики должны быть адаптированы к риск-аппетиту организации, но передовой опыт обычно включает надежные уникальные пароли, хранящиеся в диспетчере паролей, и/или многофакторную аутентификацию (MFA). Последнее означает, что даже если злоумышленник перехватит ваш пароль или одноразовые учетные данные, учетная запись останется в безопасности.
Безопасность устройства: само собой разумеется, что сами устройства должны быть защищены и управляться ИТ. Надежное шифрование диска, биометрическая аутентификация, удаленная блокировка и стирание данных, защита паролем с автоматической блокировкой, безопасность конечных точек, регулярные исправления/автоматические обновления и резервное копирование в облаке — все это важные элементы. У АНБ есть полезный контрольный список для мобильных устройств.
Нулевое доверие (Zero Trust): эта набирающая популярность модель безопасности была разработана для мира, в котором пользователи могут безопасно получать доступ к корпоративным ресурсам из любого места и с любого устройства. Ключевым моментом является непрерывная проверка подлинности пользователя и устройства на основе рисков, сегментация сети и другие меры безопасности. Организации должны предполагать нарушение, применять политику наименьших привилегий и относиться ко всем сетям как к ненадежным.
Последние мысли
Переход к гибридной работе будет нелегким, и в первые дни может быть несколько корпоративных жертв. Но с надежным набором политик безопасности, обеспечиваемых надежными технологиями и поставщиками, работодатели могут многое выиграть от «освобождения своей рабочей силы».
