Быстрые шаги к повышению безопасности домашней работы

Новая норма предполагает меньше людей в офисах и больше людей, работающих дома. Работая полный или неполный рабочий день, большая часть рабочей силы теперь работает удаленно. Это вводит новый набор проблем безопасности.

Новая норма

Есть причина, по которой специалисты по безопасности ненавидят внезапные изменения, особенно радикальные. Риск появления уязвимости из-за того, что что-то было упущено из виду или кто-то действовал в спешке, даже исходя из наилучших интересов, слишком реален.

Пандемия COVID-19 принесла именно такие изменения в большинство организаций. Рабочие были вынуждены оставаться дома и работать удаленно. Компании, у которых были некоторые возможности удаленной работы, должны были попытаться быстро масштабировать их. Другим организациям нужно было как можно быстрее собрать что-то воедино. Безопасность редко стоит на первом месте в этих сценариях.

Излишне говорить, что предприятия, у которых вообще не было возможности удаленной работы, были наименее подготовлены к изменениям. Отсутствие возможности удаленной работы означало, что в бизнесе либо не было ноутбуков, либо их было очень мало. Многим из них пришлось разрешить домашним работникам использовать свои собственные домашние компьютеры для работы.

ИТ-отдел, который внезапно оказался распределенным и работающим из дома, теперь должен был поддерживать ИТ-ресурс, который изменился за одну ночь и теперь включает устаревшие и неподдерживаемые операционные системы, домашние маршрутизаторы и оборудование от любого количества производителей.

Если что-то из этого звучит знакомо, вот несколько эффективных шагов, чтобы вернуть некоторую безопасность в ситуацию.

Использовать шифрование

Организация, заботящаяся о безопасности, уже будет шифровать портативные и мобильные устройства, такие как ноутбуки, планшеты и смартфоны. На корпоративных ПК это сделать легко и бесплатно, если вы используете правильную версию Microsoft Windows. Microsoft Windows 10 Pro, Enterprise и Education поддерживают шифрование устройств BitLocker. Windows 10 Домашняя нет. Напротив, если вы используете компьютер Apple, macOS поддерживает шифрование устройства по умолчанию и повсеместно.

Шифрование вашего компьютера защищает ваши данные от доступа, если устройство попадет в чужие руки. Даже если злоумышленники извлекут жесткий диск и попытаются прочитать его на другом устройстве, им помешают.

Однако при электронной передаче файлов возникает другой вид риска. Если они будут перехвачены злоумышленниками, они смогут прочитать их, если только они не будут зашифрованы перед передачей. Это легко сделать. Все продукты Microsoft Office позволяют сохранять файлы с паролем. Это шифрует их, защищая от посторонних глаз.

Другие приложения могут не предлагать эту возможность. Если вы используете программный пакет, который не предлагает шифрование внутри приложения, вы все равно можете зашифровать файлы перед их отправкой. Используйте бесплатную утилиту, например 7Zip, или одно из других приложений для архивации, чтобы сжать файлы и зашифровать их с помощью пароля. Это также уменьшает размер файлов, сокращая время передачи и требования к хранению.

Архивирование файлов — отличный способ инкапсулировать наборы разрозненных файлов, созданных с помощью различных программных пакетов, которые необходимо распространять как пакет связанных документов. Сжатие их в один файл означает, что вам нужно отправить кому-то только один файл, и вы знаете, что у него есть весь набор файлов.

Сообщите пароль получателю, используя другой носитель или, по крайней мере, другое сообщение, отличное от того, который несет файлы. И не используйте пароли повторно, не делайте их предсказуемыми или шаблонными. Например, не используйте имя клиента и дату.

Для пользователей с устаревшими версиями Windows вы могли бы также позволить им взять свой офисный компьютер домой. Если вы этого не сделаете, он просто будет лежать неиспользованным в пустом офисе, обесцениваясь. Почему бы не позволить им использовать текущее защищенное устройство, известное вашей ИТ-команде, включенное в реестр аппаратных активов и над которым вы можете полностью контролировать?

Домашний Wi-Fi

Домашний Wi-Fi может быть безопасным, но часто он не настраивается таким образом. Начните проект сейчас, чтобы ваша ИТ-команда прошла через домашних работников, убедившись, что учетные данные администратора маршрутизатора по умолчанию изменены, используются безопасные и надежные пароли, а также обновите прошивку.

Убедитесь, что используется наиболее безопасный протокол, предлагаемый устройством, и измените пароль на уникальный безопасный пароль. Это означает, что друзья и посетители не смогут подключиться к Wi-Fi, когда они придут, в этом и смысл. Если устройство поддерживает это, создайте гостевой Wi-Fi, чтобы семья и друзья могли выйти в Интернет. Они получат необходимый им доступ, будут отделены от основного Wi-Fi, и им не нужно будет получать частный пароль Wi-Fi.

Вы можете вообще скрыть основную сеть Wi-Fi, но большинству домашних пользователей эта система покажется проблематичной. К сожалению, то же самое касается фильтрации MAC-адресов.

Включите брандмауэр и проверьте правила брандмауэра. Если роутер устаревший, замените его.

VPN, RDP и 2FA

Используйте зашифрованные безопасные методы связи, такие как виртуальные частные сети (VPN) или протокол удаленного рабочего стола Microsoft (RDP). Или, более строго говоря, они безопасны, когда на них установлены последние исправления и каждый использует уникальные и надежные пароли. Убедитесь, что вы ограничили количество попыток, прежде чем учетная запись будет заблокирована.

Везде, где это поддерживается, внедряйте двухфакторную аутентификацию (2FA) или многофакторную аутентификацию (MFA). Используйте системы, в которых есть приложения для проверки подлинности или устройства, генерирующие коды. Системы, использующие текстовые сообщения Small Messaging System (SMS), менее безопасны.

Если ваши сотрудники используют облачные сервисы, помните, что многие из них смогут обеспечить двухфакторную аутентификацию без дополнительных затрат. Включите его и используйте эти бесплатные функции в своих интересах.

Проверка на проницаемость

Актеры-угрозы могут быть разными, но они не глупые. Они знают, что произошли изменения в рабочих привычках и что теперь сотрудники работают удаленно и имеют удаленный доступ к ИТ-ресурсам в главном офисе.

Они также знают, что многим организациям приходилось внедрять решения для удаленной работы настолько быстро, насколько это было физически возможно. И они будут знать, что очень немногие из них будут пересматриваться. Таким образом, запреты безопасности и провалы, которые были проигнорированы, когда топ-менеджеры кричали «просто заставьте это работать», по-прежнему будут присутствовать.

Быть инициативным. Проведите тестирование на проникновение в вашей организации до того, как это сделают киберпреступники. Проведите тестирование, просмотрите результаты и сразу же устраняйте самые опасные уязвимости.

Расставьте приоритеты для остальных и проработайте их в порядке серьезности.

Соответствие и стандарты

Изменение рабочей среды и практики означает, что многие ваши процессы и процедуры потребуют внесения поправок. Необходимо будет пересмотреть ваше управление, чтобы убедиться, что рекомендации и меры контроля, наложенные на персонал, по-прежнему имеют смысл и применимы в новой ситуации. Если они нуждаются в исправлении или обновлении, сделайте это как можно скорее.

В частности, проверьте свою политику паролей, допустимую политику использования и правила хранения и передачи данных. Переход на домашнюю работу мог противоречить существующим правилам о переносе ИТ-оборудования домой, отказе от подключения к домашним сетям, доступе к корпоративным ресурсам только с корпоративных компьютеров и т. д. Крайне важно, чтобы сотрудники понимали, какие правила все еще применяются, какие были заменены и чем.

Не забудьте просмотреть свои сертификаты стандартов и аккредитации. Если ваша организация добилась соответствия каким-либо стандартам, таким как ISO 27001, Cyber Essentials или Cybersecurity Framework, ИТ-инфраструктура, для которой вы описали, задокументировали и создали процессы, больше не существует. Вам необходимо привести все управление в соответствие с новой ситуацией.

Необходимо будет пересмотреть законодательство о защите данных, чтобы увидеть, как оно соотносится с вашей текущей деятельностью по обработке данных. Если вы вносите изменения в свои политики и процедуры защиты данных, обязательно обновите свою Политику конфиденциальности, чтобы субъекты данных были проинформированы об изменениях.

Мойте руки в течение 40 секунд

Как и другие режимы гигиены, которые имеют решающее значение в настоящее время, помните и о своей базовой гигиене кибербезопасности. Правильное понимание основ будет иметь большое значение для победы в битве.