Нынешние условия удалёнки дарят возможность совмещать работу c живописными видами из любой точки мира. Правда, бонусом с тропическим бризом вы получаете тележку с дополнительными рисками безопасности для корпоративных данных. Для того чтобы успешно практиковать работу в условиях all inclusive необходимо разобраться, с какими рисками можно столкнуться, работая удалённо.
Рассматривая риски информационной безопасности, свойственные удалённой работе, может показаться, что всё до смешного просто, банально и неоднократно изучено. Тем не менее такие условия работы могут сильно бить по бдительности (релакс-атмосфера, отсутствие начальника за плечами и пр. :), поэтому утечке данных быть. Действительно, поспешный режим перевода работников на удалёнку, предоставил лакомые кусочки бизнеса для чёрных шляп.
Утечки в цифрах
Перед тем как перейти к самим рискам, предлагаю обратиться к статистике, чтобы убедиться, что этот вопрос ещё актуален:
Согласно исследованию, проведённому Positive Technologies количество атак за 2021 год возросло на 20% относительно того же периода 2020 года, наибольший процент похищенных данных составляют персональные данные, учётные данные и коммерческая тайна. Среди методов атак лидируют социальная инженерия и вредоносное программное обеспечение.
За текущий год уже были «громкие» утечки, например, крупнейшая база скомпрометированных данных — 3,2 млрд пар адресов электронной почты и паролей на одном из хакерских форумов, база основана на утечках с Linkedln, Netflix и Bitcoin и т.д. сообщает cybernews. Также нередки случаи утечек данных из медучреждений, содержащие чувствительную информацию о пациентах.
Риски информационной безопасности в режиме удалённой работы
1. Безопасность устройства
Вот мы и добрались до самой главной части моего повествования. Мысленно перенесёмся на Бали и вот, находясь в уютном номере отеля, вы с серьёзным видом собираетесь работать на благо компании и берёте свой рабочий ноутбук. Использовать собственный ноутбук или гаджет означает подвергнуть корпоративные данные рискам. При работе на личном устройстве информация покидает защищённый периметр, и злоумышленники могут воспользоваться уязвимостями вашего компьютера, появившимися, например, ввиду устаревшей версии ПО. Отсюда вытекает первое правило – никаких BYOD (bring your own device), только в случае, если в компании применяется UEM (unified endpoint management) – единая система контроля пользовательских устройств или VDI (virtual desktop infrastructure) – виртуальные рабочие места. Хотя, как это не парадоксально, большинство используют свои личные устройства для работы, поэтому есть несколько простых правил, делающие этот путь более безопасным:
- Использовать актуальную версию ПО
- Не хранить корпоративную информацию на устройстве, вместо этого использовать облачные решения, виртуальные рабочие места
- Использовать антивирусные решения
- Шифрование данных на устройстве. При утрате устройства данная опция позволит выиграть время и удалённо сбросить данные, сделать их неактуальными
2. Выход в интернет
Итак, следующее, что вам потребуется – это подключение к интернету для дальнейшей работы. В зависимости от того, насколько вам повезло с интернетом в отеле, есть два, не очень безопасных, варианта. Поэтому из двух зол придётся выбирать меньшее:
- Wi-fi. Следует избегать общедоступные сети Wi-fi, они заведомо небезопасны. Так, например, данные, отправленные в незашифрованном виде могут быть перехвачены и украдены злоумышленниками. То же самое касается и платного доступа к Wi-fi, предлагаемым отелем, который также имеют пользователи (и злоумышленник), оплатившие данную опцию. В данном случае вы платите вовсе на за безопасность. Это такая же публичная сеть, только с меньшим числом пользователей. Общедоступные сети Wi-fi уязвимы из-за:
- отсутствия встроенных средств контроля безопасности на маршрутизаторе
- отсутствия автоматического обновления ПО до новой версии
- наличия распространённого IP-адреса маршрутизатора и т.д. Имеется ещё большое множество настроек безопасности беспроводной сети, рассмотрение которых требует отдельной статьи, но отсутствие каждой из них несёт в себе потенциальную угрозу вашим корпоративным данным
Что необходимо предпринять при подключении к Wi-fi в отеле:
- сверить имя сети SSID, с тем которое указано в отеле, так как злоумышленники могут создать «двойник» – подконтрольную сеть с схожим названием
- подключаться с использованием VPN для шифрования трафика
- не забыть проверить, включён ли брандмауэр
- USB-модем и SIM-карта. На случай если вы предпочтёте отказаться от предоставляемого отелем Wi-fi, есть альтернативный вариант. Относительно безопасности USB-модемов и SIM-карт всё тоже не очень радужно. Об этом читайте в исследованиях Positive Technologies здесь и подробнее здесь. Большинство атак были возможны благодаря методам социальной инженерии (в особенности фишинга). Поэтому если знать, как не попасться на крючок, этот вариант выхода в интернет я нахожу безопаснее.
3. Безопасность в интернете
Наконец, получив выход в интернет, вы начинаете работать. Как вдруг вам на почту приходит письмо от «коллеги» с ссылкой на конференцию на привычной вам платформе. Перейдя по ссылке, вы увидели ожидаемый дизайн и оформление сайта, а также форму входа. Недолго думая, вы ввели туда свои данные. Для вас всё прошло незаметно, но на самом деле ваши учётные данные утекли к злоумышленникам. С помощью полученной комбинации почты и пароля злоумышленники могут предпринять попытки взлома ваших других аккаунтов. Из этого следует несколько правил, способных защитить информацию:
- Не использовать корпоративную почту для регистрации на различных сайтах, чтобы не допустить её утечки, а также чтобы не получать рассылки с различных источников. Получив подобного рода письмо, вы сразу сможете определить, что оно фишинговое, так как на сервисе вы не регистрировали данный адрес электронной почты. Лучше оставить почту только для взаимодействия с коллегами, заказчиками
- Проверять почтовый адрес отправителя письма. Если вы сомневаетесь в идентификации отправителя, лучше сверить адрес его электронной почты с проверенным адресом того человека, за которого он себя выдаёт. P.S. Тем не менее, адрес отправителя может ни о чём и не говорить
- Проверять доменные имена сайтов, на которые указывают ссылки. Фишинговые сайты создаются с доменами, максимально схожими на оригинальные сайты. Злоумышленники, например, могут заменить или удвоить букву в домене
- Не использовать одинаковые или схожие пароли для аккаунтов. Чем сложнее просматривается ваша логика создания паролей, тем лучше. Также применяйте многофакторную аутентификацию
Для большей убедительности, злоумышленники могут направить зловредную ссылку в мессенджере под видом коллеги или приближённого вам лица. Они действительно могут писать с аккаунта вашего знакомого, который раннее попался на такую же фишинговую атаку, и его данные от аккаунта попали в руки к злоумышленникам. Тем не менее, вы всегда можете проверить доменное имя и, если сомневаетесь, то лучше связаться со знакомым в ином мессенджере или по телефону, чтобы убедиться в факте отправки сообщения.
4. Физическая безопасность
На солнечном Бали риски поджидают на каждом шагу. Поэтому не стоит забывать правила физической безопасности, необходимость которых возникает в режиме удалённой работы. Предположим у вас есть сосед по номеру, которого вы не очень хорошо знаете, в таком случае стоит внимательнее относится к корпоративным данным, чтобы не допустить утечки информации. Не оставляйте носители информации на видном месте, исключите возможность подсматривания данных с экрана монитора. То же самое стоит делать в общественных местах за пределами номера. Будьте бдительны во время телефонных переговоров, не стоит обсуждать конфиденциальную информацию, ведь это может привлечь злоумышленников.
Таким образом, режим удалённой работы дарит злоумышленникам больше возможностей для совершения своих тёмных делишек, но, следуя перечисленным правилам и держа руку на пульсе в вопросе новых уязвимостей и методов атак, можно спокойно работать удалённо. А, заодно, и мир посмотреть.
Если в вашей компании имеется политика безопасности, описывающая правила удалённой работы, не будет лишним с ней ознакомиться. Если же данной политики не имеется, то не стоит затягивать с её разработкой. Несмотря на все перечисленные тут угрозы, которые таятся в условиях удалённой работы, такой режим способен придать бизнесу гибкость, а также сократить ежегодные траты компании на устройство рабочих мест работников. Тем не менее, на реализацию данного режима работы также требуются финансы, поэтому важно найти баланс в этом вопросе. Но, в любом случае, для сохранения вашего бизнеса, не стоит пренебрегать правилами информационной безопасности.
Представленный здесь список рисков и угроз не является исчерпывающим и, по моему мнению, он ограничивается только фантазией и изощрённостью злоумышленников. О том, какие ещё риски могут поджидать сотрудников на удалёнке, пишите в комментариях)