3.3. Решение: Комплексная
стратегия безопасности BYOD
Что касается безопасности
BYOD, любая система управления мобильными
устройствами (MDM) будет эффективна только
в качестве компонента в более широкой,
комплексной стратегии обеспечения безопасности
данных на мобильных устройствах. MDM-системы
следует применять для решения задач общего
управления и контроля мобильных устройств,
шифрования данных – т.е. как «последнюю
линию обороны».
Наиболее эффективным решением
безопасности данных для устройств BYOD
является предоставление доступа к информационным
активам компании через удаленное подключение
BYOD-устройств через терминальные сессии
к виртуальным Windows-средам, которые в свою
очередь защищены функционирующей на
хосте DLP-системой, обеспечивающей предотвращение
неконтролируемых утечек данных с хоста.
Такой подход называется Virtual Data Leak Prevention
(vDLP).
Производительность
пользователей и Безопасность
Как правило, повышение
производительности мобильных пользователей
является основным обоснованием для санкционирования
компанией доступа к корпоративным данным
с мобильных устройств. Высокоскоростное
подключение к сети и доступ к информационным
активам компании через виртуальные среды
не только решает проблему производительности
мобильных сотрудников в стратегии BYOD,
но и существенно снижает риски утечки
данных. При этом обычные рабочие места,
размещенные в офисе компаний, также должны
быть защищены от несанкционированного
использования съемных носителей и USB-устройств,
позволяющих незаметно для служб информационной
безопасности скачивать корпоративные
данные.
Технология Virtual DLP
предлагает контролируемое предоставление
удаленного доступа к корпоративным данным
в отличие от локального хранения данных
на BYOD-устройствах в подходе MDM.
При использовании
виртуальных рабочих сред сотрудники
получают доступ к данным только после
авторизации учетной записи в домене Active
Directory (AD) или ином каталоге LDAP. Доступ предоставляется
через защищенный VPN-туннель, использующий
в свою очередь строгую аутентификацию
пользователя и/или устройства.
Таким образом обеспечивается
выполнение трех ключевых условий безопасности:
Безопасная обработка
данных – сотрудники не используют приложения
для локальной обработки данных на устройстве
BYOD при подключении к корпоративному порталу
по безопасной сессии, либо возможность
использования данных блокируется на
контекстном уровне. Таким образом гарантируется,
что корпоративные данные компании не
будут распространены далее контролируемого
устройства.
Безопасное хранение
данных – защищаемые корпоративные данные
могут быть доступны только в виртуальной
среде, и в случае редактирования или иного
изменения сохраняются только на сервере
или могут быть распечатаны на принтерах
в корпоративной сети – при этом не допускается
или контролируется локальное сохранение
данных во встроенной памяти BYOD-устройств,
подключаемых съемных накопителях, печать
на принтерах вне корпоративной сети.
Поскольку корпоративные данные компании
существуют только на серверах организации,
а не на персональных устройствах, возможно
обеспечить надлежащий контроль и резервное
копирование на стороне организации.
Мониторинг данных
– для каждой сессии сотрудника Virtual DLP-решение,
функционирующее в виртуальной среде
Windows, обеспечивает фильтрацию содержимого
файлов и данных, проходящих через коммуникационные
каналы (электронная почта, вебсайты, мессенджеры
и т.д.), опубликованные приложения, канал
печати, перенаправленные диски и сетевые
файловые ресурсы, а также съемные носители,
доступ к которым разрешен программным
обеспечением виртуального хостинга.
Приложения и целостность
данных
Мобильные сотрудники
нуждаются в высокой продуктивности и
созидательности, из чего следует потребность
сотрудников в быстрой адаптации к модели
виртуализации, поддержке различных видов
виртуальных сред и исключении любых непредвиденных
запросов на расширение функциональности
виртуальной среды.
Это означает, что перечень
размещенных в виртуальной среде приложений
должен включать в себя те, которые могут
качественно заменить приложения, обычно
используемые для работы с данными или
для коммуникаций в «локальном» режиме:
Браузер для работы
в Internet,
Outlook или другой клиент электронной почты,
Разрешенный в организации
мессенджер (IM),
Microsoft Office или другой продукт для работы с документами различных типов,
Прочие приложения,
используемые в организации и необходимые
для выполнения должностных обязанностей.
Важно отметить, что
при использовании сценариев виртуализации
рабочей среды также решается задача обеспечения
защиты данных благодаря тому, что корпоративные
данные хранятся только на серверах организации,
которые в свою очередь обеспечены надлежащей
защитой и регулярным резервным копированием.
Таким образом, большая часть создаваемого
на мобильных устройствах контента может
быть гарантированно сохранена для организации
вне зависимости от того, на каком виде
BYOD-устройства были созданы или изменены
документы и данные.
При использовании
решения Virtual DLP все приложения, работающие
с корпоративными данными, запускаются
внутри виртуальной Windows-сессии, т.е. по
сути существуют только на «домашнем»
сервере организации. При таком подходе
сотрудники могут свободно использовать
опубликованные на сервере виртуализации
приложения, необходимые им для работы,
при этом служба информационной безопасности
сохраняет полный контроль над обрабатываемыми
данными, поскольку сохранение происходит
не на устройстве BYOD, а на сервере.
MDM-системы –
это НЕ предотвращение утечек данных
(DLP)
Безусловно, MDM-системы
играют значительную роль в обеспечении
безопасности стратегии BYOD, но следует
вновь четко обозначить, что при этом они
не выполняют задачи предотвращения утечек
данных.
Для создания полноценного
и эффективного решения по предотвращению
утечек данных с мобильных устройств MDM-системы
должны работать совместно с резидентными
DLP-системами.
Специализированные
DLP-решения могут помочь организации, решающей
вопросы быстрой интеграции персональных
мобильных устройств в технические бизнес-процессы,
в задачах выявления критически важных
для бизнеса данных, определения правил
работы, хранения и передачи данных за
пределы компании (или внутри компании).
Персональных мобильных
устройств, проникающих внутрь корпоративного
сетевого периметра, становится все больше
и больше – это смартфоны, планшеты, флэш-носители,
цифровые камеры, и даже MP3-плееры. Активное
развитие сетевых сервисов и приложений,
широкое распространение и общедоступность
облачных хранилищ и социальных сетей
также существенно повышает риски неконтролируемых
утечек данных. Для решения этой проблемы
и предназначены специализированные резидентные
DLP-системы.
Эффективная защита
от утечек данных предполагает контроль
на разных уровнях и разными методами
(как основанными на контексте данных,
так и на анализе содержимого файлов и
данных) в сочетании с избирательностью
применения технологий контроля для широчайшего
спектра потенциальных каналов утечки
данных.
Немалая часть каналов
утечки напрямую связана с подключением
различных устройств через порт USB, из
чего следует обязательность использования
контекстных и контентных методов контроля
и фильтрации подключаемых через USB устройств
везде, где это подключение персональных
мобильных устройств может привести к
обмену данными между устройством и рабочей
станцией. Специалисты по информационной
безопасности должны определять права
доступа для пользователей и групп в соответствии
с их функциональными обязанностями, чтобы
достичь баланса между продуктивностью
использования персональных устройств
для работы – и снижением рисков утечек.
Заключение
Компании и организации из всех
отраслей экономики тратят массу сил и
средств на обеспечение сохранности корпоративных,
конфиденциальных и персональных данных,
пряча их за периметром, защищенным брандмауэрами
и сложными методами авторизации. Но, к
сожалению, объективная реальность такова,
что защиты периметра недостаточно –
и тщательно охраняемые данные по-прежнему
утекают сквозь пальцы. Динамичный рост
уровня мобильности рабочих мест сотрудников
в сочетании с все нарастающей консьюмеризацией
(активным применением различных персональных
устройств) порождает новые угрозы утечки
данных, с которыми организации вынуждены
активно бороться уже сегодня.
Поскольку мобильные устройства
чаще всего используются за пределами
защищаемых офисных сетей, традиционные
компоненты безопасности периметра не
могут обеспечить надлежащие контроль
и мониторинг коммуникаций с мобильных
устройств. Кроме того, стоит помнить о
рисках физической утери или кражи мобильных
устройств.
Эффективная стратегия BYOD заключается
не только в управлении, отслеживании
и уничтожении данных на устройствах при
необходимости – но и в предотвращении
утечек данных с мобильных устройств.
При этом следует использовать как контекстные,
так и контентные методы контроля данных.
Технологии предотвращения
утечек данных (DLP) будут крайне полезны
и эффективны для организаций, решающих
задачу быстрой интеграции персональных
мобильных устройств в бизнес-процессы
предприятия благодаря фундаментальным
принципам, определяющим основы DLP-технологий.
Здесь подразумевается четкое выделение
критичных для организации данных и политик
доступа к ним, определение политик хранения,
перемещения и передачи, а также использования
данных – что в совокупности образует
целостную технологию защиты ценных для
организации файлов и данных.
Список использованной литературы