Михаил Башлыков, руководитель направления информационной безопасности компании КРОК
В последнее время все острее звучат вопросы о «мобилизации» бизнеса и связанных с ней рисках. Причем не только на Западе, где возникло это явление, но и у нас.
Ведь рынок мобильных устройств развивается быстрыми темпами: ассортимент смартфонов и планшетов постоянно растет, их функциональность расширяется. Интеллектуальные и удобные в применении, они открывают для нас все новые и новые возможности. Быть в курсе происходящего, оставаться на связи, оперативно реагировать на изменения — вот те главные преимущества, которые предоставляют современному человеку мобильные устройства. И однажды воспользовавшись ими, он уже не способен от них отказаться.
Поэтому нет ничего удивительного в том, что сотрудники начинают смешивать свои личные и рабочие пространства. С помощью мобильных устройств они подключаются не только к социальным сетям, собственной почте и другим онлайн-сервисам, но и к корпоративным ресурсам. А это уже означает, что они хранят конфиденциальную информацию и обмениваются ею, могут случайно её утратить, что приведет к нежелательным последствиям для компании в целом. Что это: бездумное стремление к удобству и свободе действий или желание оставаться частью бизнес-процесса? Особенно если речь идет о сотрудниках, вынужденных работать вне офиса.
У корпоративной «мобилизации» есть, на мой взгляд, несомненные преимущества. Прежде всего, сама возможность организовать работу специалистов без привязки к месту и времени, но при сохранении взаимодействия с ними и контроля их деятельности. В результате бизнес приобретает большую гибкость и оперативность, которые так необходимы в рыночных условиях. Если же организация придерживается концепции Bring Your Own Device (BYOD, «принеси свое устройство»), то она может выиграть и в финансовом плане: не надо покупать корпоративные мобильные устройства для сотрудников.
Впрочем, я отнюдь не идеализирую корпоративную «мобилизацию». У нее есть и недостатки; основные из них связаны с рисками информационной безопасности. Так, к корпоративным ресурсам сотрудники чаще всего подключаются с разноплатформенных мобильных устройств. Но разные производители, как известно, по-разному подходят к вопросам защиты своих продуктов. В одних операционных системах (ОС) функции защиты по умолчанию включены, в других – выключены, а в третьих – вообще отсутствуют. Отсюда вопрос: насколько глубоко может пользователь вмешиваться в работу устройства, есть ли возможность устанавливать стороннее ПО? И если «да», то как: с внешнего накопителя или только централизованно – из единой точки распространения ПО (AppStore, Google Play), где оно до размещения подвергается некоторым проверкам компаний-производителей?
Другими словами, использование разноплатформенных мобильных устройств для подключения к ресурсам организации существенно увеличивает риски утечки конфиденциальных данных. Но чтобы обеспечить защиту информации, компания должна решить непростую дилемму. Ей нужно либо стандартизировать мобильные устройства, что означает применение в корпоративной сети только одной ОС, либо найти кросс-платформенные средства для создания собственной инфраструктурной системы под эти устройства. В настоящее время наиболее распространен второй способ (по сути, реализуется BYOD-концепция). А низкая популярность первого объясняется тем, что пользователю сложно навязать определенный смартфон или планшет, даже административными мерами.
Создав соответствующую инфраструктуру, компаниям необходимо контролировать подключаемые к ней мобильные устройства, чтобы уменьшить риски и противостоять взломам. И, конечно, разработать и реализовать регламенты по обеспечению информационной безопасности этих устройств.
Например, для разноплатформенных смартфонов и планшетов все риски можно разделить на две группы.
В первую входят те, которые связаны с данными, находящимися на мобильном устройстве. Наиболее распространенная угроза здесь – потеря самого устройства. Для защиты используется стандартный набор средств: аутентификация владельца, блокировка устройства через определенный промежуток времени и дистанционное удаление данных при необходимости. При этом нельзя забывать, что личная и корпоративная информация на устройстве должны быть разделены.
Ко второй группе относятся риски, связанные с доступом к информационным сервисам компании. Например, проникновение вредоносного кода в корпоративную сеть через мобильное устройство и неавторизованный доступ к информационным сервисам. Чтобы обезопасить себя от этих угроз, у компании должен быть комплекс защитных мер.
Как сейчас реализуется политика безопасности в области BYOD? Распространенный способ – ограничение доступа устройства, подключаемого к корпоративным ресурсам, посредством PIN-кода или более сложной схемы аутентификации. Некоторые компании делают к тому же обязательным шифрование хранимой информации и применение технологий для защиты удаленного взаимодействия мобильного устройства с корпоративными приложениями, например SSL VPN.
Но есть и более современные подходы к противодействию угрозам BYOD. Это использование решений, которые контролируют установленные приложения по степени риска на основе баз знаний, размещенных в «облаке» производителя. Еще один вариант – организация виртуальных защищенных пространств для удаленного взаимодействия с корпоративными системами. И, наконец, применение систем Management Mobile Device (MDM). Они позволяют компании централизованно управлять параметрами безопасности на устройствах сотрудников, контролировать доступ к ее ресурсам и в целом снижать риски, связанные с утечкой конфиденциальной корпоративной информации. По сути, благодаря MDM достигается баланс между корпоративными требованиями к безопасности и удобством использования устройств при минимизации затрат на время их простоя и обслуживания.
Разработкой мер по защите данных, попадающих в мобильные устройства сотрудников, бизнес серьезно занялся лишь года два назад. Эта проблема актуальна сейчас для компаний со штатом в 300 и более специалистов. Стоимость информации таких организаций выше, чем расходы на ее защиту. Поэтому думаю, что корпоративная «мобилизация» и связанная с ней безопасность удаленного доступа еще долго будет трендом российского ИТ-рынка.
