Тема про удаленную работу сотрудников является одной из самых популярных на сегодняшний день и одной из самых неоднозначных. Своим видением этого вопроса специально для NBJ поделился Алексей КУРСКИХ, руководитель направления pre-sale по информационной безопасности компании ARinteg.

С одной стороны, как показала практика последнего времени, мало кто из производителей имеет единое и простое решение для обеспечения системы безопасного удаленного доступа сотрудников к удаленным ресурсам предприятия, такое, чтобы его взять и встроить в существующую готовую инфраструктуру предприятия. А чтобы еще и соответствующего требованиям регуляторов, это вообще несбыточно. С другой стороны, некоторыми компаниями уже наработан довольно большой опыт удаленной работы сотрудников и без пандемии.

Взять и перевести людей на «удаленку» мало у кого получалось просто и легко с первого раза. Виной тому, конечно, традиции. Традиционный метод организации защиты данных компании – это, естественно, организация старого доброго «периметра». Это самое простое, тщательно изученное, легко поддающееся управлению, осмыслению и бюджетированию действие. Еще это очень удобно с точки зрения управления процессом безопасности. Сотрудники прошли через проходную, попали в доверенную зону, тут все понятно и отработано годами.

Однако когда переводить сотрудников на удаленную работу стало жизненно необходимо для бизнеса, это сразу переломило ход событий и несколько модифицировало парадигму информационной безопасности в целом. На самом деле бизнес строится не вокруг ИБ и ИТ, а ровно наоборот. Именно информационная безопасность должна быть на страже бизнеса, а информационные технологии призваны упрощать процесс и увеличивать прибыльность и эффективность организации.

Если раньше ответственные лица отмахивались от организации удаленного
доступа к ресурсам организации извне, просто не желая изучать эту тему, так как априори считали весь этот процесс небезопасным по определению, то теперь отделы информационной безопасности дружно вздохнули и начали глубже изучать предмет. И оказалось, что там не так уж плохо, а местами очень даже хорошо, но иногда дорого. А бюджет ИТ/ИБ во время пандемии – та еще история.

Какие же основные сложности встречают нас при переводе на удаленную работу? Первое – это неподготовленность основной инфраструктуры предприятия, например, способность принимать большое количество одновременных подключений к себе из внешней сети. Конечно, в реальной жизни большинство компаний уже имеют в составе своей инфраструктуры хотя бы один маленький скромный VIP-сегмент сети для осуществления удаленной работы, это как минимум VPN, RDP/VDI и, возможно, почтовый сервер, который видно из интернета. Ну и минимально необходимые средства безопасности для охраны этого небольшого участка. В таком случае остается только осметить увеличение масштаба.

Следующим немаловажным фактором, влияющим на успех перехода на удаленную работу, являются, как это ни удивительно, сами люди. Первое, что нужно сделать, это, как принято сейчас говорить, поднимать осведомленность пользователей в области ИБ. Так как техподдержка теперь не рядом, и приходится часто думать самим, что можно делать, а что нельзя. А вот вторым шагом, зачастую неожиданным для ИТ, должно стать увеличение технической поддержки как в количестве сотрудников, так и прочих временных и финансовых затратах. Причина простая: в подавляющем большинстве случаев пользователи используют свои домашние компьютеры для доступа к корпоративной сети. Это как бы система BYOD, но наоборот. А что у нас на домашних компьютерах пользователях? Правильно – зоопарк.

В результате оказывается мало один раз настроить сотруднику VPN-клиент и RDP подключение, на практике приходится постоянно подключаться в режиме удаленной техподдержки к пользователям и что-то подтягивать, подкручивать и приколачивать гвоздями, чтобы пользователи стабильно могли выполнять свои должностные обязанности. Конечно, это помогает ненадолго, так как администратор на рабочем компьютере –
сам пользователь, и следующее обращение в техподдержку не заставляет себя долго ждать. И на это уходят силы и время.

Немного отвлекаясь от технической стороны дела, посмотрим, что же еще интересного принес массовый переход на удаленную работу, ведь впервые в истории на такой вид работы перешло множество людей самых разных профессий и должностей. Как ни удивительно – это принесло улучшение бизнес-процессов и эффективности бизнеса в целом. Основное, что пришлось поменять, чтобы остаться на плаву, кроме технических средств, это способы измерения эффективности и результативности работы сотрудников.

До пандемии как было: пришел на работу – уже молодец. Автоматически считалось, что ты работаешь. Естественно, в дополнение к простой пропускной системе некоторые компании внедряли всякие системы для отслеживания действий пользователей, учета рабочего времени и прочих систем измерений, напрямую вообще не связанных ни с бизнесом, ни с должностными обязанностями. Но на самом же деле людям платят зарплату не за проведенное на работе время, а за сделанную работу, вот её и надо измерять. Даже сейчас при переводе на «удаленку» мы постоянно получаем запросы о контроле действий пользователей там, на той стороне.

На самом деле интересно то, что методы измерения эффективности работы сотрудников всё же претерпели качественные изменения. Сейчас успешные в текущих условиях компании переходят на методы измерения именно результатов работы сотрудников, а не просто осуществляют замеры времени нахождения на работе. Что, безусловно, позволяет вычислять настоящих бездельников и существенно повысить работу организации как бизнеса.

Итого, если суммировать все вводные данные, то для организации простого, надежного и не требующего существенных вложений удаленного доступа к корпоративным ресурсам предприятия, необходимо следующее.

Самое правильное – выдавать сотрудникам заранее настроенные ноутбуки с установленными необходимыми программами, закрытым администраторским доступом и настроенным удаленным доступом. Это, пожалуй, самое правильное с точки зрения информационной безопасности, но самое затратное действие. А если еще к рабочему месту применяются требования в части защиты ИСПДн, то цена ноутбука выливается в очень круглую сумму.

Второй самый популярный способ – это настройка удаленного доступа на домашних устройствах сотрудников. Плюс тут один – дешево, а минусов много, это полностью не доверенное устройство и постоянная техподдержка.

На самом деле, есть один вид организации удаленного рабочего места, который незаслуженно забыт, и мы
считаем, что в новых реалиях он более чем жизнеспособен, и даже более того, безопасен и не особенно затратен по финансовой составляющей.

Это старый добрый принцип LiveCD.

Конечно, просто взять с полки любой дистрибутив Linux, записать на первый, попавшийся под руку, носитель и начать использовать налево-направо – в корне неправильно. Это будет небезопасно, небыстро, да и принесет больше проблем, чем пользы.

Важно определиться с операционной системой (ОС). По выбранной «операционке» должна быть достаточная компетенция, и вот почему. Из ОС, предназначенной для удаленного доступа, нужно удалять всё, что не относится к удаленному доступу, по умолчанию там слишком много лишнего. Оставшееся надо настраивать строго на выполнение определенных задач.

Далее, выбор механизмов подключения и управления. Что нужно? Нужен VPN, сопряженный с нашим шлюзом, при необходимости – криптошлюзом с полноценным ГОСТ на борту, дабы исполнять требования регуляторов для работы с защищенными системами, например, ИСПДн. Какого уровня должна быть защита? Смотрим в нашей частной модели угроз из пакета документов по 152-ФЗ.

Необходимо понимать, что у нас будет входить в экосистему, кроме обычных ПК с Windows. Это могут быть и другие операционные системы или мобильные ОС, а может быть и ПАК с повышенным классом защиты, и все вполне можно организовать в единую систему, если предусмотреть такую возможность заранее.

Выбор рабочего места, если у нас RDP/VDI, соответственно, это одна программа, если нужен доступ к WEB ресурсам – подходящий браузер. Не все браузеры поддерживают ГОСТ-шифрование, и не все работают правильно с Office 365.

Затем нужно внимательно выбирать носитель. В нашем случае мы используем отлично подходящий программно-аппаратный токен в формате USB-носителя с Flash-память на борту, нужного размера для записи полноценной ОС.

Почему токен? Потому что двухфакторная аутентификация. Если усиливать удаленный доступ, то 2FA – один из краеугольных камней сетевой безопасности. Вторым фактором аутентификации назначаем электронный сертификат, можно неквалифицированный, а выпущенный нашим PKI, т.е. бесплатный. Записываем его в память токена, что, как известно, в одну сторону: сертификат неизвлекаемый. Далее, подключаем к системе дополнительный софт для удаленного мониторинга работы и удаленного управления, например, заменить сертификат или залить новые драйвера в ОС, и на этом всё.

ЧТО В ИТОГЕ?

Выдаем пользователю под роспись флешку, и он едет к себе на «удаленку». Там наш пользователь может загрузиться с неё практически на любом компьютере. После загрузки у него на экране ОС, с которой он при всем желании ничего не сможет сделать, только работать! Root права мы, конечно же, не выдаем, но оставляем три ярлыка на рабочем столе. Первый – настроить сеть, второй – VPN подключение, третий – работа, браузер или RDP.

Всё, что остается сделать пользователю после загрузки – последовательно их нажать, и «выйти на работу».

Флешку скопировать нельзя, сертификат не даст. Скопировать сам сертификат нельзя и подделать невозможно. Просто переписать образ ОС и воспроизвести его отдельно – какой смысл, если для входа в систему нужен сертификат? Красть флешку так же бессмысленно, нужно знать пин-код загрузки, пароли, да и вообще – в случае пропажи флешки по звонку в техподдержку можно отозвать сертификат и закрыть доступ.

Доступа и обмена информацией с домашним компьютером пользователя не происходит, это еще один большой плюс.

Сама флешка на аппаратном уровне может переводить разделы flash-памяти в режим read-only.

Из сложностей – техподдержка. Как мы знаем, не все умеют грузиться с внешнего накопителя, но хорошая новость в том, что это однократная операция. Также нужно будет изредка менять сертификаты и добавлять драйвера на устройства, если что-то пойдет не так, например, компьютер окажется не совсем стандартной архитектуры.

Остальная техподдержка – попросить перезагрузиться или, в крайнем случае, приехать обменять флешку.

Как мы видим, организовать качественно защищенный и беспроблемный удаленный доступ вполне возможно, правда, делается это не единым решением от одного поставщика – все же это интеграторская работа. И, при должном уровне компетенции и опыте, миграция пользователей происходит к общему удовольствию и положительному результату.