Как обеспечить безопасность филиалов

Незащищенные филиалы

Блестящий облик штаб-квартиры компании, оборудованной самыми современными компьютерами, вполне подходит на роль привлекательной рекламной картинки вашего корпоративного сайта. Но все мы знаем, что большая часть повседневной работы крупных организаций выполняется в удаленных филиалах – маленьких, плохо оснащенных и недоукомплектованных. Кроме того, многие сотрудники с удовольствием используют Интернет для работы из дома. Зачастую такие удаленные работники становятся причиной нешуточной головной боли для технических специалистов, отвечающих за безопасность активов компании. Попытаемся прояснить возникающие сегодня угрозы и возможные пути их устранения.

Домашним офисам требуется помощь

Домашний офис – настоящее минное поле с точки зрения безопасности. Подключенные домашние устройства контролируются в гораздо меньшей степени. Поэтому у каждой организации должны быть политики, процедуры и инструкции по использованию корпоративных ресурсов за пределами офиса.

Часто уязвимым местом для атаки становится скромный домашний маршрутизатор. Пользователям необходимо сменить присваиваемое по умолчанию имя admin, задать надежный пароль и контролировать своевременное обновление прошивки маршрутизатора. А организациям следует поощрять удаленных работников, следящих за безопасностью своих маршрутизаторов.

Ваши устройства могут вас подвести

Впрочем, в обновлении нуждаются не только маршрутизаторы: любое домашнее устройство может стать лазейкой для желающих проникнуть в рабочую машину, если вы принесете ее домой.

«Однажды я беседовал с сотрудником морской полиции, который расследовал взлом ноутбука одного морского офицера через портативный компьютер его дочери», – признался Эндрю Хей, возглавляющий в компании DataGravity ИТ-службу и службу безопасности.

Опасности маленького офиса

Но если большинству людей понятно, что дома нужно принимать соответствующие меры предосторожности, то сотрудникам филиалов и удаленных офисов угрожает гораздо более серьезная опасность – ведь люди полагают, что находятся «на работе», а значит, защищены. В действительности же все обстоит совсем не так. «Конечно, корпоративная ИТ-служба должна следить за всем, что происходит в офисе, но в большой сети такой контроль может оказаться весьма проблематичным, не говоря уже об удаленных филиалах», – подчеркнул руководитель направления глобальных угроз компании Trend Micro Джон Клэй.

Во многих случаях филиалы оказываются брошенными на произвол судьбы: у подавляющего числа крупных предприятий имеются отличные решения и специалисты, следящие за их большими сетями, что же касается филиалов, то их оснащение ограничено брандмауэрами и антивирусным программным обеспечением.

Дилемма персонала

Проблема укомплектованности небольших офисов заключается в том, что от технических специалистов на местах требуется умение работать самостоятельно и без какого-либо присмотра. То есть фактически человек, занимающийся поддержкой небольшого офиса, принимает на себя еще и функции руководителя. А это приводит к неэффективным затратам времени с точки зрения технического специалиста, может вызвать недовольство и работодателя, и сотрудника и стать причиной текучки кадров на данной позиции, может также появиться ощущение, что сотрудники вымогают завышенную зарплату.

Пренебрежение безопасностью

«В результате мерами безопасности многие начинают пренебрегать, – заметил Джошуа Крамбо, директор компании PeopleSec, которая занимается проверкой в филиалах персональной, физической и кибербезопасности и зачастую обнаруживает ее несоответствие принятым стандартам. – Компьютеры в удаленных филиалах защищены, как правило, хуже, чем в штаб-квартире. Не раз мне приходилось наблюдать отсутствие защиты BIOS, повторное использование паролей локального администратора и размещение сетевых разъемов в местах общего пользования».

Но и это еще не все. «Физической безопасности здесь уделяют меньше внимания, чем в головном офисе, – добавил Крамбо. – Для атакующего не составляет никакого труда зайти в помещение и подключиться к сетевому оборудованию. Я лично много раз приходил в удаленные филиалы и подключался к их локальной сети без какого-либо разрешения».

Централизованное управление

Чтобы навести порядок, необходимо использовать программное обеспечение, позволяющее контролировать ситуацию и внедрять политики безопасности удаленно. ИТ-службам рекомендуется выбирать решения, управляемые централизованно и поддерживающие типовые шаблоны, поскольку тогда упрощаются настройка конфигурации и безошибочное развертывание соответствующих средств на всех узлах. Кроме того, это облегчает своевременное обновление компонентов безопасности и их администрирование.

Повседневная поддержка сетей филиалов предполагает наличие не только удаленного доступа, но и автоматизации. Автоматизируя как можно больше процессов и выстраивая инфраструктуру, позволяющую осуществлять удаленную настройку конфигурации, вы сможете следить за всем, что происходит в филиалах.

Машинный контроль

Внешнее управление и интеллектуальные системы мониторинга, осуществляющие контроль за сетевым оборудованием, заметно укрепляют безопасность сетей филиалов даже при отсутствии там технического персонала. То же самое относится и к физической инфраструктуре.

Интеллектуальные системы управления используют массив датчиков, защищающих удаленные сети от несанкционированного проникновения, от природных и техногенных катастроф. Сигнал тревоги подается при открытии дверей и в случаях, когда возникает риск затопления оборудования. Большинство предприятий захотят, очевидно, добавить к этому автоматическое управление энергоснабжением и переадресацию в случае чрезмерного повышения температуры, влажности и при наличии других факторов риска.

Мобильная автоматизация

Аналогичным образом централизованное управление и автоматизацию следует применять и к мобильным устройствам. Обычно такие средства следят за тем, какие приложения устанавливаются на устройстве, и могут при необходимости блокировать установку программного обеспечения, тем самым защищая устройства.

Вы можете обучить персонал всему, что сочтете нужным, внедрить на местах необходимые политики и процедуры, но без удаленного контроля и управления мобильными устройствами компании риск возникновения слабого звена, открывающего возможность к совершению вредоносных действий в корпоративной сети, остается слишком высок.

Хранение данных в целости и безопасности

Помимо автоматизации, эксперты предлагают использовать целый ряд специальных технологий, обеспечивающих безопасность удаленной работы. И особое значение они придают шифрованию связи: «Дистанционная работа несет в себе определенные риски, поскольку вам приходится искать способы подключения к домашней системе. И такая точка подключения становится еще одним слабым звеном».

Облачные решения и приложения очень часто используются для связи удаленных офисов с корпоративной системой, но это порождает целый клубок проблем с безопасностью. Поэтому организациям необходимо иметь план восстановления данных SaaS с использованием решений автоматического резервного копирования, предлагаемых независимыми игроками.

Облако средств безопасности

У облачных сервисов тоже имеются уязвимые места, но существуют сетевые и облачные инструменты, помогающие блокировать атаки. Предприятиям нужно перестать использовать только те средства, которые развернуты на их собственной территории. Конечно, выход за рамки физического брандмауэра сопряжен с определенными рисками, но, когда компания перемещает межсетевой экран в сеть, в облако, у нее появляется возможность защищать корпоративные активы вне зависимости от того, где находятся ее сотрудники.

Интеграция функций безопасности с сетями филиалов – использование элементов SD-Security, встроенных в SD-WAN, – позволяет значительно улучшить управление и разгрузить сотрудников ИТ-службы.

Проблемы вне технической сферы

Технические решения – далеко не единственный и даже не лучший способ поддержания безопасности. Нужно понимать, что филиалы находятся в невыгодном положении. «Если официальная связь поддерживается через систему онлайн-обучения независимо от конкретного местоположения, то формально можно рапортовать о прохождении обучения всеми сотрудниками, – указал Том Пендергаст, разрабатывающий в компании MediaPro стратегию в области безопасности, конфиденциальности и соблюдения нормативных требований. – Но есть ведь еще и неформальная сторона: обсуждение недавних фишинговых атак, нового видео об Интернете вещей, а также личное общение с руководством и ИТ-специалистами. Всего этого филиалы лишены».

Кто там на земле?

Присутствие в филиале человека, имеющего в своем послужном списке упоминание о кибербезопасности, помогает повысить общую культуру безопасности организации даже при отсутствии на местах соответствующих ИТ-специалистов, работающих полный рабочий день.

Закрепление функций приема и установки средств безопасности за сотрудником филиала может оказаться весьма полезным. Причем сотрудник не обязательно должен быть ИТ-специалистом. Это может быть офис-менеджер или представитель каких-то других подразделений – продаж, маркетинга, поддержки клиентов и т. д. Подготовка соответствующих средств в этом случае проводится в центральном офисе, а их развертывание на месте выполняется человеком, о котором только что шла речь.

***

В конечном итоге риски, связанные с удаленными офисами, должны заставить персонал ИТ-службы сосредоточиться на поставленных целях. Профессионалам в области безопасности нужно обеспечить сохранность активов компании, а для этого им следует поменьше думать о домашней среде и сконцентрироваться на оконечных узлах подключения к корпоративной сети.

Риски компьютерной безопасности касаются каждого конечного пользователя и не зависят от применяемых ими систем. Ваш персонал может подключаться к корпоративной системе из разных мест. Задача заключается в том, чтобы обеспечить безопасность взаимодействия между вашими системами и всеми авторизованными и неавторизованными оконечными узлами, через которые происходит регистрация. В большинстве случаев в удаленных офисах не появляются существенные новые риски, а лишь акцентируются уже существующие, связанные с облаком.

– Josh Fruhlinger.How to keep branch offices as secure as corporate HQ. CSO. January 23, 2017