211service.com
Ryzyko związane z telepracą
Umożliwienie pracownikom pracy w domu, w kawiarniach, pociągach lub gdziekolwiek indziej z dostępem do Internetu obniża koszty i zwiększa produktywność, ale stwarza również poważne zagrożenie dla bezpieczeństwa. Wielu ekspertów ds. bezpieczeństwa komputerowego twierdzi, że firmy nie robią wystarczająco dużo, aby zmniejszyć ryzyko utraty przez pracownika danych lub własności intelektualnej poza biurem.
Wiele organizacji chroni swoje sieci za pomocą zapór ogniowych, które ograniczają dostęp do określonych zasobów, co przypomina zamknięcie drzwi. Wiele z nich ma również wirtualne sieci prywatne (VPN), które szyfrują dane przesyłane z sieci korporacyjnych do zdalnych pracowników. Ale to, jak skuteczne jest to, zależy od tego, w jaki sposób przyznawany jest dostęp do VPN; biorąc pod uwagę, że podstawowe hasła można odgadnąć lub wyłudzić od pracowników, bezpieczniej jest dodać dodatkowy krok.
W przypadku niektórych organizacji ten krok obejmuje tokeny sprzętowe — małe urządzenia, które co jakiś czas generują hasła jednorazowe — lub ich odpowiedniki programowe. (Niedawne ataki hakerskie na dostawcę tokenów RSA, które doprowadziły do kolejnego ataku hakerskiego na Lockheed Martin, nie wydają się trwale podważać podstawowej technologii kryptograficznej używanej w tokenach RSA). Przy prawidłowym użytkowaniu sieci VPN z silnymi procedurami uwierzytelniania są trudne do włamać się, nawet w publicznych sieciach Wi-Fi, w których podsłuchujący z łatwością wykrywają ruch.
Jednak zabezpieczenie danych wymaga czegoś więcej niż tylko skonfigurowania zapór i sieci VPN. Chociaż ataki socjotechniczne, w których ofiara jest oszukiwana lub zmuszana do podania haseł lub innych poufnych informacji, nie są unikalne dla telepracowników, oszustwa mogą być trudniejsze do przeprowadzenia w obliczu bezpieczeństwa organizacyjnego, jakie oferuje biuro, mówi Steven Chan. , pracownik naukowy i główny architekt oprogramowania w dziale systemów inżynieryjnych MIT. Aby skontaktować się z pracownikiem, który zajmuje się poufnymi informacjami, możesz udawać, że jesteś kurierem rowerowym lub pracownikiem FedEx, ale nadal musisz ominąć ochroniarza, recepcjonistę i tak dalej, mówi Chan. Osoby pracujące same są bardziej narażone.
Chan dodaje, że wielu pracowników, którzy pracują w domu, prawdopodobnie nie ma tak dobrych zabezpieczeń sieci, jak w ich biurze. Jeśli wiem, że twoje domowe biuro jest przedłużeniem domu lub że twój pokój znajduje się na pierwszym piętrze, wszystko, co muszę zrobić, to ukraść ci laptopa lub ominąć [zabezpieczenie Wi-Fi], mówi Chan. Być może twój router Verizon jest nadal ustawiony na domyślne hasło. Ogólnie rzecz biorąc, dokładnie wiem, gdzie znajdują się twoje krytyczne pliki, a jeśli jestem [naprawdę dobry w tym, co robię], celem jest toast.
Pracownicy zdalni są również narażeni na utratę lub kradzież urządzeń przenoszących dane ich organizacji. W 2006 roku pracownik Departamentu ds. Weteranów Stanów Zjednoczonych zgubił laptopa i dysk twardy, które zawierały poufne, niezaszyfrowane informacje o ponad 26 milionach weteranów i ich rodzinach.
Aby zapobiec takim stratom, eksperci zalecają co najmniej szyfrowanie najbardziej wrażliwych materiałów na dysku twardym telepracownika. Aby zapewnić pełne bezpieczeństwo, cały dysk twardy powinien być zaszyfrowany i powinien być dostępny tylko za pomocą silnych haseł — firma Microsoft zaleca hasła o długości co najmniej 14 znaków, z których część to litery, cyfry i symbole. Co więcej, oprogramowania śledzącego można użyć do zlokalizowania zgubionego laptopa, telefonu lub tabletu i zdalnego wyczyszczenia go z danych.
Chan sugeruje również uwierzytelnianie, co oznacza, że pracownicy powinni uzyskiwać dostęp tylko do tych informacji, których potrzebują w swojej pracy. Uprawnienia powinny być regularnie przemyślane, a nie dopiero ustanawiane przy pierwszym zatrudnianiu pracowników. Taka struktura może również pomóc organizacji w śledzeniu, kiedy uzyskano dostęp do jej najważniejszych danych — dzięki czemu mniej prawdopodobne jest, że umknie uwadze, na przykład, że jakikolwiek pojedynczy pracownik regularnie opuszczał budynek z danymi osobowymi 26 milionów weteranów.
Innym potencjalnym źródłem problemów jest to, że pracownicy telepracujący wykorzystują do pracy różne urządzenia mobilne. Obecnie wiele urządzeń zostało narzuconych organizacjom przez pracowników, a nie na odwrót, zauważa Rich Campagna, który nadzoruje produkty zabezpieczające dla Juniper Networks. Jednym ze sposobów zapobieżenia naruszeniu bezpieczeństwa przez serwery w sieci jest identyfikowanie i uwierzytelnianie wszystkich urządzeń próbujących uzyskać dostęp. W kroku znanym jako „odcisk palca” urządzenia, sieć może próbować odróżnić legalnego pracownika zdalnego od nieuczciwego hakera, sprawdzając adres IP, numery seryjne urządzenia i inne ustawienia na komputerze użytkownika. Jeśli nieznane urządzenie próbuje uzyskać dostęp do sieci — nawet z poprawnymi hasłami i identyfikatorami — albo wpis jest odrzucany, albo żądanie jest oceniane po dalszym uwierzytelnieniu (na przykład przez telefon do użytkownika).
Takie automatyczne procedury są lepsze niż oczekiwanie, że pracownicy sami dokonają mądrych wyborów w zakresie bezpieczeństwa, Campagna mówi: „Jest duża szansa, że tak się nie stanie, jeśli użytkownik końcowy będzie musiał podjąć świadomą decyzję w tej sprawie.