Удаленная работа и информационная безопасность: какие правила необходимо соблюдать?

Многие компании в последние несколько лет начали активно применять удаленный режим работы. Удаленно сейчас работают сотрудники буквально всех офисных мастей, а это значит, что обычно для работы используются личные компьютеры, как минимум в качестве инструмента для подключения к удаленному рабочему столу на ПК компании, а зачастую личный ПК полностью замещает рабочий. В связи с этим возникают определенные вопросы к информационной безопасности.

Для работодателя и работника плюсы удаленной работы очевидны и понятны. Их нет смысла перечислять и обсуждать. Для информационной безопасности же плюсов практически нет. К рискам и уязвимостям в офисном пространстве добавляются риски, связанные с физической безопасностью конфиденциальных документов, физических ключевых носителей и др. По факту теперь доступ к конфиденциальной информации компании может получить не случайный коллега, а буквально любой посторонний человек.

Новые риски

Как правило, компания старается держать контролируемый контур закрытым и обеспечивать подключение во внутреннюю сеть через выделенное защищенное соединение либо виртуальный терминальный сервер и т.д. То есть пользователь в первую очередь не должен работать в своей личной среде, смешивая рабочие документы и файлы из обычной жизни.

При удаленном подключении к своему рабочему ПК стоит помнить об обеспечении мер информационной безопасности не только на рабочем ПК, но и на тех устройствах, с которых вы осуществляете удаленный доступ к корпоративным ресурсам.

В этом помогут следующие меры для настройки удаленного рабочего места работников, ПК или ноутбука:

• Использование лицензионного ПО.
• Наличие антивирусного ПО с актуальными антивирусными базами.
• Установка всех актуальных обновлений для операционной системы.
• Обновление ПО роутера и установка сложного пароля для доступа к нему.
• Разделение учетных записей пользователей на одном ПК.
• Использование межсетевого экрана (брандмауэра или файрвола).
• Ограничение использования функции сохранения паролей в браузерах и иных консолях.
• Включение автоматической блокировки ПК в случае, если пользователь неактивен в течение длительного времени.

В идеале, конечно, стоит не рассчитывать на то, что удаленный сотрудник будет все это применять самостоятельно, а подготовить для него ПК или персональный ноутбук, который настроят для удаленного подключения в соответствии с политикой безопасности. Как минимум это необходимо сделать для самых критически важных кадров.

Меры предосторожности

Что должно быть запрещено:

• Хранить информацию ограниченного доступа на домашнем ПК и иных устройствах, не относящихся к корпоративным.
• Допускать к устройству третьих лиц во время запущенной сессии удаленного подключения.
• Использовать общественные сети Wi-Fi и иные незнакомые сети для подключения удаленного доступа (рекомендовано).
• Сохранять скриншоты с рабочей информацией в открытом доступе либо на личном устройстве.
• По завершении работы оставлять запущенную сессию удаленного подключения.

Полезные рекомендации

1. Настоятельно рекомендуется использование двухфакторной аутентификации при организации безопасного соединения работника со своего рабочего ПК.
2. Для обеспечения коммуникации с коллегами и партнерами компании при установке Teams и/или Skype for Business на домашний ПК или мобильные устройства iOS/Android стоит помнить о том, что дистрибутивы (установочные файлы) программ необходимо скачивать только с официальных сайтов их производителей. В идеале проверенный дистрибутив должен предоставить сам работодатель – через ИТ-отдел или отдел ИБ.
3. В целях обеспечения безопасной работы с домашнего ПК и иных устройств, с которых осуществляется удаленный доступ к корпоративным ресурсам, настоятельно рекомендуется использовать антивирусное ПО крупных поставщиков данного софта (Kaspersky, Dr. Web, Eset, McAfee, Symantec). Понятно, что такие антивирусы стоят немало. Но практически у каждого поставщика антивирусного софта есть бесплатные версии ПО, которые могут обеспечить базовый уровень защиты устройств. Для максимального уровня защиты рекомендуется использовать те продукты, которые обеспечивают комплексную безопасность устройств, но опять же они являются платными. Тем не менее поставщики софта предоставляют временную возможность использования пробных версий (trial version) этих продуктов. В настройках антивирусного ПО должна быть включена функция ежедневного обновления антивирусных баз.
4. В целях обеспечения безопасности домашней сети с использованием роутера Wi-Fi рекомендуется регулярно менять пароли для Wi-Fi и консоли администратора, а также обновлять прошивку устройства.
5. Если выдается сертификат для удаленного подключения, то всегда нужно использовать его, а не авторизацию формата "логин и пароль".
6. Если домашним компьютером, с которого сотрудник подключается к рабочему, пользуются и другие члены семьи, необходимо создать для них отдельные учетные записи (или же создать одну отдельную учетную запись под работу).

И в заключение хочется сказать, что насколько бы руководство компании ни было бдительным, нужно в первую очередь приучить к такой бдительности сотрудников, так как именно от их действий зависят риски реализации порядка 80% угроз информационной безопасности.