Чек-лист по организации безопасной удаленной работы

Вокруг уже даже не говорят, а кричат про удаленную работу, это безусловный тренд весны 2020 года. Хотя «удаленка» в нашей стране появилась довольно давно, массовым явлением ее сделали последние события. Режим самоизоляции форсировал вынужденный переход на удаленную работу многих предприятий, благо современные технологии связи позволяют организовать подключение в короткие сроки. Однако многочисленные сообщения о быстром росте киберпреступности показывают, что недостаточно просто открыть доступ к корпоративной сети. Нужно позаботиться об информационной безопасности, но непонятно, с чего начать? Достаточно ли поставить антивирус, стоит ли использовать VPN, какие технические средства нужно купить, какие бумаги оформить? Много вопросов, но еще больше вариантов ответов, а время поджимает, сотрудники уже сидят по домам и должны выполнять свою работу.

Для начала давайте успокоимся, руководителю не нужно разбираться во всех технических тонкостях. Достаточно знать общее состояние информационных систем предприятия и в общих чертах понимать, где прячутся угрозы, с деталями уже будут разбираться узкие специалисты. Эта статья поможет вам наметить основные направления работы и сформулировать задачи для разных категорий сотрудников. Итак, начнем.

Перед предприятием ставится цель: организовать безопасную удаленную работу. Что это значит? Во-первых, конфиденциальные сведения остаются конфиденциальными: предприятие защищено от случайных и преднамеренных утечек информации. Во-вторых, корпоративная сеть функционирует в штатном режиме: все узлы доступны, серверы работают бесперебойно. В-третьих, сайт организации показывает то, что надо, что не надо скрывает. Информация, которая обязательно должна раскрываться, остается достоверной и неизменной, конфиденциальная информация на сайте скрыта в личном кабинете. В-четвертых, электронный документооборот корректно работает, и электронная подпись имеет юридическую силу. Первые три пункта и есть пресловутые конфиденциальность, целостность и доступность – три кита, на которых стоит защита информации. Четвертый пункт – подтверждение авторства, будем считать его черепахой. Вот на этих китах и черепахе все и держится. В общем-то, все просто, осталось лишь понять, как обеспечить информационную безопасность на практике.

Чек-лист в самом общем виде будет выглядеть как список ответов на пять главных вопросов. Что обрабатываем? Информация может быть конфиденциальной или общедоступной, в законодательстве выделяются отдельные категории информации: служебная тайна, персональные данные, коммерческая тайна и т. д.

Кто обрабатывает? Должен быть утвержден перечень сотрудников, имеющих удаленный доступ.

Где обрабатываем? Удаленный доступ может предполагать доступ непосредственно к ресурсам корпоративной сети или к облаку, могут использоваться как служебные, так и домашние устройства.

Как обрабатываем? В организации должны быть установлены правила безопасной работы: что делать, чего не делать, как проверить.

Когда обрабатываем? Должен быть установлен режим работы, он может отличаться для разных сотрудников. Системному администратору необходим круглосуточный доступ, а рядовому сотруднику достаточно режима «с 9 до 18».

Для уменьшения энтропии разделим ответственность. Самое удобное, на мой взгляд, – выделить три категории: руководство, технические специалисты и пользователи. Давайте посмотрим, что должен делать каждый сотрудник, чтобы вместе прийти к заявленной цели – организации безопасной удаленной работы.

Руководство

Под руководством будем понимать руководителей самых разных уровней: директора, замов, начальников структурных подразделений. Это люди, которые в той или иной степени способны принимать управленческие решения и влиять на бюджет. При организации безопасной удаленной работы руководство должно взять на себя выполнение следующих глобальных задач: утверждение правил безопасной работы (выпуск нормативной документации) и обеспечение ресурсами (финансовыми, людскими, временными). Ниже приведу список основных задач, которые должны взять на себя руководители.

Определение видов и объема информации, к которой будет предоставлен удаленный доступ. Нужно идентифицировать как общедоступную, так и конфиденциальную информацию (служебную тайну, персональные данные, коммерческую тайну и т. д.), оценить ее объем. Например, для персональных данных объем информации измеряется в субъектах персональных данных (физических лицах).

Определение видов информации, с которой запрещено работать удаленно. Например, в информационном сообщении ФСТЭК России от 25 марта 2020 года указано, что запрещено предоставлять удаленный доступ для управления режимами функционирования технологического оборудования автоматизированных систем управления технологическими процессами, являющихся значимыми объектами критической информационной инфраструктуры.

Определение оборудования для удаленной работы сотрудников. Есть ли у организации деньги и время на покупку служебных ноутбуков? Может быть, они уже куплены и лежат на складе, тогда необходимо организовать их выдачу. Также следует подумать о приобретении гарнитур, источников бесперебойного питания и веб-камер – не у всех сотрудников есть личное оборудование. Можно дополнительно повысить лояльность, предложив сотрудникам компенсацию оплаты доступа к Интернету, частичную оплату электричества, организовать выдачу корпоративных симок, рассмотреть вопросы по найму курьеров и оплате такси при необходимости срочного прибытия на работу.

Определение мест хранения конфиденциальной информации. Будет ли использоваться облако или предполагается, что каждый работает локально на своем компьютере, а может, вам понадобится и то и другое?

Организация электронного документооборота. Вариантов систем электронного документооборота очень много – от самых простых до полностью заменяющих бумажное делопроизводство. Все зависит от возможностей организации.

Организация канала связи. Нужно обязательно рассмотреть вопрос о необходимости применения средств криптографической защиты, в некоторых ситуациях это может быть требованием законодательства. В остальных случаях применение шифрования – желание собственника.

Определение перечня лиц, переходящих на удаленную работу. Перевести полностью на удаленную работу получится не каждого.

Оформление соглашения о неразглашении конфиденциальной информации. Касается не только коммерческой, но и служебной тайны, персональных данных и других категорий охраняемой законом информации.

Введение режима коммерческой тайны (при необходимости). Удаленная работа таит в себе дополнительные угрозы, режим коммерческой тайны поможет предприятию защитить свои интересы в случае возникновения инцидентов.

Утверждение порядка контроля и реагирования на инциденты. Все должно быть закреплено на бумаге.

Утверждение режима удаленной работы. Сотрудники на «удаленке» должны четко знать правила: установленный график работы, способы связи, порядок отчета о результатах.

Технические специалисты

К техническим специалистам будем относить системного администратора, администратора безопасности, специалиста техподдержки, инженеров связи и т. д. В рамках решаемой задачи эти сотрудники с разных сторон отвечают на следующие вопрос: «Как защитить информацию при удаленном доступе?» Ниже представлены типовые задачи технических специалистов.

Классификация информации. Специалисты выделяют не только общие виды информации, такие как служебная и коммерческая тайна, персональные данные, но и определяют более узкие категории. Например, для персональных данных выделяются специальные категории, биометрические, обезличенные, общедоступные и иные персональные данные.

Определение готовности документации по информационной безопасности и ее доработка. Технические специалисты должны знать о пробелах в локальной нормативной документации и привлекать для доработки документов юристов, кадровиков и других специалистов. В первую очередь стоит проверить содержание трудовых договоров, соглашений о неразглашении, гражданско-правовых договоров, должностных инструкций. Особое внимание нужно уделить утверждению парольной и антивирусной политики.

Определение готовности корпоративной сети к подключению удаленных пользователей и исправление существующих недостатков. Не каждая корпоративная сеть способна безболезненно пережить подключение удаленных пользователей. Некоторые сегменты сети могут быть безопасными исключительно благодаря своей автономности.

Определение возможных вариантов организации удаленного доступа. Таких вариантов множество: можно использовать виртуальные машины на своем сервере, полностью перейти в арендованное облако, применять дополнительные средства безопасности, например, двухфакторную аутентификацию.

Определение возможных решений по организации электронного документооборота. Также в рамках этой задачи решается вопрос о требованиях к электронной подписи.

Определение возможных вариантов организации защищенного канала связи. Технические специалисты знают ограничения существующей информационной системы.

Определение угроз безопасности и мер защиты. Угроз при удаленном доступе становится очень много: использование домашнего Wi-fi с простым паролем или без оного, установка сомнительного программного обеспечения (если сотрудник работает на домашнем компьютере), подключение съемных носителей, случайный доступ членов семьи к конфиденциальной информации. Для всех угроз нужны защитные меры, некоторые из них определяются требованиями законодательства (персональные данные), другие необходимо выявить самостоятельно (коммерческая тайна).

Проведение обучения пользователей. Пользователей можно научить отличать фишинговые письма, придумывать и не забывать сложные пароли, вовремя устанавливать обновления безопасности и поддерживать актуальными базы антивируса.

Проведение закупок необходимого программного и аппаратного обеспечения. Необходимо выбрать и закупить нужные программы и оборудование.

Организация безопасного удаленного доступа пользователей. Технические специалисты непосредственно подключают удаленных пользователей, для чего выдают служебные ноутбуки, устанавливают и настраивают программное и аппаратное обеспечение, а затем осуществляют техническую поддержку.

Осуществление контроля работы пользователей и реагирование на инциденты. С помощью средств удаленного доступа администратор осуществляет контроль и реагирует на инциденты. Признаками инцидентов могут быть аномалии подключений: нетипичная геолокация пользователя, дублирование пользователей, работа в нерабочее время.

Пользователи

Под пользователями будем подразумевать всех сотрудников, которые работают посредством получения удаленного доступа к информационным ресурсам. Они отвечают на вопрос: «Что нужно для эффективной работы?» Типовые обязанности пользователей приведены ниже.

Пользователи принимают на себя обязательство о неразглашении конфиденциальной информации. Удаленная работа с точки зрения законодательства регламентируется статьей 312.2 Трудового кодекса (Дистанционная работа) и локальными нормативными актами, в том числе на удаленную работу распространяется обязательство о неразглашении сведений конфиденциального характера.

Пользователи проходят обучение по информационной безопасности. Технические специалисты обучают пользователей правилам безопасной работы. Пользователям должно быть понятно, что можно, а чего нельзя делать.

Пользователи заявляют о необходимости выделения дополнительных ресурсов для безопасной работы и должны своевременно уведомлять о возникающих проблемах: устарели базы антивируса, нестабильное соединение с сетью, не работает микрофон.

Пользователи работают с соблюдением требований безопасности информации и должны выполнять требования законодательства и локальных нормативных актов.

Пользователи уведомляют об инцидентах, они должны оперативно сообщать ответственным лицам об инцидентах согласно руководству по реагированию на инциденты информационной безопасности.

***

Итак, типовой чек-лист по организации безопасной удаленной работы сформирован, можно приступать к оценке ситуации в своей организации.

Смотреть все статьи по теме "Информационная безопасность"