Разработка механизмов методов защиты

Уже есть ряд прецедентов, когда личные сообщения на личном устройстве служащего, подключенного к программе BYOD, исследуются в принудительном порядке и приводят в конечном итоге к увольнению нарушителя. Суд в таких случаях становится на сторону работодателя.

Юридическое 2: Сверхурочное время

Согласно обзору TEKserve, 63% IT-руководителей верят, что эффективность BYOD увеличивается при постоянном доступе служащего в корпоративную систему. Наверное, это хорошо для оплачиваемых по ставке служащих. Проблемы возникают с почасовиками.

Показательный пример: судебный процесс в Чикаго по поводу задолженности нескольких миллионов долларов двумстам полицейским, поскольку от них требовали читать связанные с работой письма во внеурочное время.

Потеря доверия

Итак, поначалу предполагалось и казалось, что BYOD повышает удовлетворенность людей своей работой, предоставляя им определенный выбор и не слишком ограничивая их. Довольно быстро компании поняли, что этим осложняют себе жизнь и начали вводить все более жесткие требования к использованию личных устройств на работе.

В итоге это привело к нарушению privacy служащих. Согласно исследованию MobileIron, сегодня только три из десяти работодателей настолько доверяют своим служащим, что позволяют им держать на рабочем устройстве личную информацию.

Если процесс потери взаимного доверия не остановится (пока нет никаких признаков этого), то следующим этапом станет введение системы санкций – от начальственных головомоек до судебных процессов с обеих сторон.

«Зомбифоны»

Zombie phones атакуют  корпоративный мобильный бюджет! Когда компания переходит к BYOD, служащие часто отказываются  от их корпоративного телефона  в пользу личного мобильного  устройства.

Ничего страшного в этом нет – нужно просто отключить аккаунт у провайдера и забросить прежнее устройство в дальний ящик стола. Однако Amtel определила, что в 10% случаях неиспользуемый аппарат остается действующим и должен оплачиваться.

Бойтесь СМИ!

Однако худшая вещь, которая может произойти с компанией в мире BYOD (по крайней мере, в США) -- это интерес со стороны прессы к данным, которые могли храниться на потерянном или украденном мобильном BYOD устройстве.

Как отметила юридическая фирма Dowling Aaron в интервью ресурсу CIO.com: «Если очень не повезет, то убытки компании от потери репутации могут составить миллионы долларов». Очевидно, это касается не только хорошо умеющей раздувать сенсации американской прессы.

 

Глава III. Разработка механизмов методов защиты

3.1. Этапы введения  стратегии BYOD

Для оптимального введения концепции BYOD в работу стоит придерживаться следующих этапов:

Сначала анализ

Организации не смогут выстроить эффективную защиту корпоративной сети, если не поймут, что именно нужно защитить, указывает Solutionary. Тщательный анализ поможет выявить все типы устройств, уже используемых служащими, и внутрикорпоративные системы и данные, к которым они обращаются. После того как получена ясная картина, можно формулировать политику, не забыв привлечь юрисконсульта. Поддержка со стороны руководства жизненно важна для успеха политики и ее эффективности, подчеркивают эксперты.

Перед разработкой стратегии потенциального внедрения и применения BYOD, необходимо провести детальный анализ преимуществ и недостатков решения.

Обычно общие Pro-аргументы сводятся к экономии времени, простоте в обращении, или доступу в любом месте. Под Contra-аргументами обычно выступают более высокие расходы на управление доступом к сети, комплексное соответствие правовым и корпоративным нормам, и на обеспечение безопасности, так как подобный подход требует не только единой стратегии, но и повышенной информационной безопасности, связанной с необходимостью разграничить на одном устройстве деловое и личное пространство сотрудника.

Данный анализ, ориентированный на процесс, должен быть дополнен анализом затрат и выгод и расчета возврата инвестиций (ROI). Который включает в себя затраты на время администрирования, стоимость лицензий программного обеспечения, возможные затраты на аппаратные средства. Поскольку в рамках проекта BYOD новые устройства, приложения и процессы всегда необходимо обновлять и адаптировать для использования под конкретную компанию. После чего следует разрешение правовых вопросов, особенно в отношении защиты данных сотрудников.

Подготовьте пользователей

Политику BYOD необходимо довести до сведения персонала. Это означает обучение, желательно систематическое, всестороннее описание характера угроз, которым подвержены данные на смартфонах и планшетах. Хотя основное внимание будет направлено на корпоративные данные, эксперты полагают, что такое обучение поможет защитить самих служащих, в том числе и дома, от киберпреступников, а значит, создать более сильную линию обороны в целом.

Не забывайте про обновления

Как только появится обновление микропрограммного обеспечения для ПЗУ или сервисный пакет для приложения или ОС, необходимо установить их как можно скорее. Установка патчей на мобильные устройства столь же важна, как и на персональные ПК и серверы, пишет Solutionary. Возможно даже, что организациям придется пойти на ограничение спектра поддерживаемых устройств, чтобы обеспечить своевременную установку всех обновлений.

Запретите перепрошивку

Перепрошитый смартфон или планшет позволит его владельцу установить нештатную ОС и программы, не прошедшие проверку у Apple или Google. Оценки экспертов варьируются, но большинство уверены, что небольшая часть пользователей делают перепрошивку своих устройств. Microsoft Exchange ActiveSync не располагает средствами обнаружения, но организации могут использовать тот или иной пакет MDM (администрирования мобильных устройств), если хотят защитить себя с этой стороны. Как минимум, такой запрет перепрошивки ограничивает использование сторонних приложений и доступ к сети и требует ввода PIN или пароля для разблокировки устройства, пишет Solutionary.

Ограничьте доступ к сети

Solutionary рекомендует организациям  ввести контроль сетевого доступа (NAC), ограничив подключение устройств  отдельными сегментами сети или  виртуальной ЛВС (VLAN). Разрешайте  только минимум требуемого доступа, чтобы максимально исключить  потери конфиденциальных данных, пишет фирма.

Удаленное стирание - необходимость

Потерянный или украденный смартфон либо планшет становится угрозой безопасности намного более опасной, чем вредоносное ПО или утечка данных, пишет фирма. Возможность дистанционно стереть данные на устройстве - безусловный минимум мер безопасности. Для этой цели можно использовать функции, уже встроенные в Exchange ActiveSync (EAS). Кроме того, с их помощью можно потребовать от пользователей ввести PIN на устройстве и заставить регулярно его менять.

 

3.2. Способы укрепления безопасности при использовании BYOD

Если вы собираетесь позволить сотрудникам компании использовать для работы собственные устройства, необходимо предпринять некоторые шаги по обеспечению безопасности. В этом вам помогут следующие 10 советов.

1. Наймите консультанта по безопасности с опытом работы в области мобильных технологий. 92 процента брешей в безопасности обнаруживается третьими лицами. Хороший консультант сможет не только укрепить вашу безопасность, но и поможет найти решения, о которых вы даже не подозревали.

2. Установите MDM/MAM-ПО (mobile device management и mobile application management) для управления мобильными устройствами и их безопасностью. Это крайне мощное ПО, способное достаточно тонко управлять настройками безопасности. Такое ПО выпускают несколько вендоров, посоветуйтесь с представителями других компаний, выберите подходящее решение.

3. Требуйте подключения через VPN для всех устройств. Это стандартная практика. Если у вас в компании она не применяется, пора приступать. Консультант по безопасности должен быть способен помочь вам подобрать необходимое аппаратное и программное обеспечение для обеспечения работы VPN.

4. Требуйте блокировать устройства надежными паролями. Вы будете удивлены, когда узнаете, как много людей не защищает свои устройства даже простыми паролями.

5. Требуйте осуществления шифрования данных на устройствах. Чтобы получить доступ к корпоративным данным со своих устройств, сотрудники должны предварительно настроить на них шифрование. Все данные скачиваемые на пользовательское устройство должны храниться на нем в зашифрованном виде.

6. Требуйте установки антивирусного ПО. Вполне очевидная рекомендация. Нельзя использовать компьютеры без какой-либо защиты от вредоносного ПО. Вы можете требовать от сотрудников установки одобренного компанией антивирусного ПО.

7. Внедряйте листы контроля доступа и брандмауэры. Это может показаться слишком сложным, но на самом деле тут все достаточно просто. Хороший консультант по безопасности поможет вам закрыть нежелательный доступ к важным данным и файлам.

8. Контролируйте доступ к файлам. Любое обращение к ценным файлом должно быть зафиксировано и отмечено. Включая автоматические обращения со стороны сервисных процессов, таких как SFTP.

9. Настройте оповещения о подозрительной деятельности. На основе логов доступа, о которых говорится в пункте 8, настройте оповещения неавторизованных попытках получения доступа и другой подозрительной активности. Часто при атаках хакеры стараются удалять логи, отсутствие лог-файлов также должно служить причиной для поднятия тревоги.

10. Установите ограничение на скачивание и установку программ. Программы должны скачиваться и устанавливаться либо с одного проверенного ресурса, либо с собственного хранилища приложений компании. Многие сайты, распространяющие приложения не следят за наличием среди них вредоносного ПО. Сотрудники компании должны устанавливать приложения только из надежных источников. Лучший способ защиты в данном случае – собственное средство распространения ПО.

97% прорывов безопасности можно  было бы избежать при условии  обеспечения базовых (надежные пароли, антивирусное ПО) и более продвинутых (брандмауэры, VPN) мер.

Основными проблемами BYOD респонденты назвали обеспечение безопасности/конфиденциальности и необходимость ИТ-поддержки множества мобильных платформ.

Растущее число устройств требует новых политик и подхода, обеспечивающего контроль над уровнем расходов. По данным Cisco IBSG, только 14% затрат BYOD связаны с оборудованием. Консалтинговое подразделение Cisco отмечает также важность выбора верных моделей управления и технической поддержки для контроля над этими затратами.

78% руководителей высшего звена  из Европы и США сообщают  о том, что их сотрудники используют  свои персональные устройства  для работы, — таковы итоги  исследования, проведенного летом 2012 года аналитиками ForresterConsulting по заказу Trend Micro. Эти результаты подкрепляются выводами другого исследования, выполненного специалистами Decisive Analytics при поддержке Trend Micro. Все собранные данные говорят о том, что консьюмеризация в той или иной мере затронула все компании, а риски, которые она несет для информационной безопасности, осознаются на самом высоком уровне бизнес-руководства.

Исследование, проведенное Forrester Consulting, показало, что программы в сфере консьюмеризации реализуются большинством (78%) компаний. При этом 60% респондентов сообщили о том, что основой их стратегии BYOD стали смартфоны, а 47% компаний развертывают среды BYOD на основе ноутбуков и планшетных ПК. В качестве причин внедрения программ BYOD 70% респондентов назвали возможность повысить эффективность работы сотрудников.

Вместе с тем, исследование Mobile Consumerization Trends & Perceptions показало, что подавляющие большинство (83%) компаний, реализующих программы BYOD, в качестве меры предосторожности требуют от сотрудников устанавливать на свои персональные устройства защитное ПО. Кроме того, согласно данным Trend Micro, 86% руководителей по ИТ из США, Великобритании и Германии считают защиту данных на смартфонах «проблемой номер один» в том, что касается консьюмеризации.

Все исследователи сходятся во мнении, что сегодня консьюмеризация является повседневной реальностью большинства крупных компаний. Авторы отчета Mobile Consumerization Trends & Perceptions приводят следующие цифры: в половине (47%) компаний, разрешающих сотрудникам подключать свои персональные устройства к корпоративной сети, имели место случаи утечки данных. Как правило, при обнаружении подобных проблем первой мерой защиты является изменение протоколов безопасности. В качестве корректирующих мер компании выбирают наложение ограничений доступа (45% респондентов) и установку защитного ПО (43% респондентов). 12% компаний после подобного инцидента приняли решение о сворачивании программы BYOD до тех пор, пока не убедятся в надежности мер защиты.