[Технологии] Как защитить компанию в условиях BYOD

BYOD (Bring Your Own Device, практика работы сотрудников компаний на собственных мобильных устройствах) –довольно распространенный среди российских компаний тренд.

Несмотря на мнение, что BYOD ставит под вопрос сохранение коммерческих тайн компании, ИТ-специалисты уверены- нивелировать риски можно, если грамотно расставить акценты на защите ИТ-инфраструктуры и уделить внимание повышению грамотности сотрудников в области информационной безопасности.

В 2014 г. компания Check Point Software Technologies опубликовала результаты исследования влияния мобильных устройств на информационную безопасность. В опросе приняли участие около 800 ИТ-специалистов из США, Австралии, Канады, Германии и Великобритании. 95% из них заявили, что процесс обеспечения защиты и поддержки концепции BYOD сопряжен со множеством сложностей.

По мнению опрошенных специалистов, угрозы чаще всего возникают из-за недостаточной осведомленности сотрудников в области информационной безопасности, отсутствия политик безопасности в компаниях. Также в качестве основных рисков респонденты называли возможность утечки данных из-за несанкционированного вторжения в сеть, действия вирусов и прочего вредоносного ПО.

Георгий Барсегян -ИТ-директор компании "Делфи Трейд"

В некоторых компаниях сама идея использования сотрудниками собственных устройств воспринимается как крамольная, и речь идет не о предприятиях оборонного комплекса и атомной энергетики, которые функционируют в режиме особой секретности.
Нередко это связано с тем, что топ-менеджеры слабо представляют, какой должна быть политика защиты информации при использовании мобильных приложений и BYOD. Они морально не готовы к таким нововведениям. Как правило, особенно негативно настроены финансисты, для которых предоставление сотруднику возможности использовать собственное мобильное устройство при работе с цифрами равносильно явке с повинной в налоговую.

Кто прав: сторонники BYOD или противники?_

У BYOD есть множество приверженцев и оппонентов. Пока дискуссия между ними продолжается, BYOD продолжает завоевывать мир.

Илья Долгих -ИТ-директор TOPS Consulting

Проникновение концепции зависит от проникновения мобильных технологий на рынок.
Большинству сотрудников проще использовать собственные устройства для работы, т.к. они привычны им. Уровень проникновения напрямую зависит от уровня жизни: чем дальше от Москвы –тем он ниже.

По мнению 91% ИТ-специалистов, опрошенных Check Point Software Technologies, ежегодно количество личных мобильных устройств, подключающихся к корпоративным сетям, увеличивается. При этом отношение бизнеса к возможной выгоде от BYOD зачастую не зависит от размера компании и сферы ее деятельности.

Владимир Сизых -руководитель департамента маркетинга РДТЕХ

Использование подхода BYOD можно оценить деньгами, рисками, временем. Эта оценка у каждой компании будет своя. Когда она покажет явные бизнес-выгоды, тогда и станет очевидной целесообразность использования данного подхода.

Откуда исходит угроза_

По словам Ильи Гончарова, директора по маркетингу компании LETA, использование BYOD достаточно безопасно, если грамотно расставлены акценты на защите ИТ-инфраструктуры. Тем не менее, по подсчетам специалистов Check Point Software Technologies ежегодно 42% компаний теряют более 250 тыс. долларов от инцидентов мобильной безопасности. Львиная доля из этих потерь (87%) связана с небрежностью и невнимательностью самих сотрудников. Кроме того, мобильные устройства используемые работниками, зачастую не защищены специальными программами, что также повышает риски разглашения конфиденциальных данных.

Нередко проблема связана с тем, что на предприятиях не прописаны правила подключения личных мобильных устройств к серверам, не разграничены права доступа. Как свидетельствует статистика Check Point Software Technologies, в 2014 г. только 56% опрошенных специалистов управляли корпоративными данными на личных устройствах. Впрочем, ежегодно таких компаний становится все больше.

В 2013 г. об обеспечении безопасности при использовании личных мобильных устройств задумывались лишь 37% респондентов. При этом в большинстве компаний системный подход к защите данных отсутствует.

Станислав Дзюба -ИТ-специалист компании "Аквилон"

Должен признать, что все цифры относительны. Не для кого не секрет, что многие компании, которые оказывают поддержку мобильных устройств (частичную или полную) относятся к этой задаче формально. Зачастую работа проводится от случая к случаю, бессистемно и ни кем не контролируется. Что касается полной поддержки планшетов и других гаджетов, которые сотрудники используют для работы, то такую задачу перед ИТ-службой ставит не более трети предприятий. В большинстве случае это крупные холдинги, которые очень трепетно относятся к сохранению коммерческой тайны.

Что и как защищать_

Специалисты уверены, что при использовании сотрудниками собственных устройств ИТ-службе стоит позаботиться не только о технических средствах защиты (межсетевые экраны, иное специальное программное и аппаратное обеспечение и т.д.), но и продумать организационные меры (ограничить доступ сотрудников к корпоративной сети, с учетом выполняемых ими функций, вести учет устройств, подключенных к ней и многое другое).

Виктор Кульбицкий -генеральный директор компании "Энерджи Логистика"

На мой взгляд, возможны несколько вариантов решения проблемы, в зависимости от того, каким бюджетом располагает компания, – говорит. Первый, наиболее затратный способ -обеспечение сотрудников устройствами (например, нетбуками), которые будут настроены в соответствии с политиками безопасности компании. Для средней компании, в которой удаленным доступом пользуется лишь небольшое число сотрудников, это вполне приемлемый вариант. К слову, такой подход практикуется в нашей компании. Второй способ более бюджетный, но и менее надежный. ИТ-служба может вести строгий учет и контроль приложений, которые используют сотрудники. Например, передача данных допускается только в одном из них.

Независимо от того, какой из перечисленных способов был выбран компанией, специалисты по информационной безопасности рекомендуют, во-первых, выяснить, какие именно данные нужно защищать. В этом случае будет проще определить, обращение к каким файлам необходимо контролировать. Во-вторых, BYOD –модная тенденция, но разрешать сотрудникам использование личных устройств стоит лишь в тех случаях, когда это действительно оправдано. В третьих, специалисты по информационной безопасности не рекомендуют пренебрегать защитой самого устройства (начиная от антивируса и заканчивая средствами MDM). Не лишним будет настроить оповещения о подозрительной деятельности, например, о попытках получить доступ.

Станислав Дзюба -ИТ-специалист компании "Аквилон"

К превентивным мерам защиты также стоит отнести ограничение на установку и скачивание программ.
Конечно, никто не гарантирует, что сотрудник не нарушит это ограничение, но лучше рекомендовать ему скачивать программы только с проверенных интернет-сайтов. Для защиты информации нередко используются межсетевые экраны, подключения через VPN для всех устройств. На мой взгляд, имеет смысл обязать всех сотрудников блокировать личные устройства надежными паролями.

Давно известная и эффективная мера –разграничение доступа пользователей.

Илья Долгих -ИТ-директор TOPS Consulting

При расширении для ИТ-сервисов парка поддерживаемой техники обычно реализуется система безопасности, состоящая из нескольких контуров. Такое разделение сервисов на контуры безопасности существует почти в каждой компании, однако внедрение BYOD зачастую требует его пересмотра и усиления формализации подхода. Все предоставляемые сервисы делятся на уровни согласно содержащейся в них информации, а для сервисов каждого уровня выбирается возможность или невозможность их предоставления на BYOD устройствах. В случае же предоставления сервиса могут оговариваться дополнительные условия для устройства, как, например, включение устройств в систему корпоративного мониторинга, требования к антивирусной защите, наличие шифрования и прочее.

По оценкам ИТ-специалистов, эффективным методом защиты информации при BOYD остается шифрование, методы многофакторной аутентификации. Все правила использования для работы собственных устройств стоит закрепить в отдельном документе. Чтобы подобная политика не воспринималась как простая формальность, следует под роспись ознакомить с ней всех работников.

Илья Гончаров -директор по маркетингу компании LETA

Важно понимать, что самым слабым звеном в системе информационной безопасности всегда остается пользователь.
Поэтому при переходе к BYOD я бы рекомендовал компаниям повысить уровень осведомленности персонала в вопросах защиты информации. Благо, сегодня поставщики услуг в области ИБ предлагают программы, подобные нашей "Так безопасно!", помогающие объяснить сотрудникам, как, от кого и зачем защищать данные. В некоторых компаниях не ограничиваются регламентацией процесса и вводят административные наказания за нарушение установленных требований.

Георгий Барсегян -ИТ-директор компании "Делфи Трейд"
Думаю, единственный действенный способ убедить работников их придерживаться –подробно объяснить, чем персонально им грозит утечка данных. Например, из-за разглашения данных выгодный контракт перехватят конкуренты, упущенная выгода составит сотни тысяч рублей, что повлечет ухудшение финансового состояния бизнеса, руководство будет вынуждено прибегнуть к непопулярным мерам: оптимизировать штат, сократить оклады и т.д. Чтобы все это не выглядело пустой угрозой в некоторых случаях оправдано депремирование работников за нарушение правил.

По материалам: Cnews