Активное распространение стратегии Bring Your Own Device (BYOD, использо­вание персональных устройств в рабо­чих целях) по всем секторам экономики существенно ускоряет темпы мобилиза­ции бизнес-процессов. Это значит, что многие компании поставлены перед необходимостью искать баланс между мобильностью сотрудников и информа­ционной безопасностью бизнеса, решая ряд новых задач, связанных с эффек­тивностью управления персональными устройствами и обеспечением безопас­ности их применения.

Для решения ряда задач безопасности BYOD-устройств рынку было предло­жено множество самых разных BYOD-стратегий, но вследствие ложного марке­тингового шума, генерируемого конку­рирующими производителями, многие BYOD-стратегии, представляемые рын­ку как наиболее эффективные, таковы­ми не являются. В частности, в области BYOD-управления был целый ряд ми­фов и заблуждений относительно того, что делает программу внедрения BYOD-устройств в бизнес-практику предпри­ятия безопасной и успешной.

НАИБОЛЕЕ РАСПРОСТРАНЕННЫЕ МИФЫ В СТРАТЕГИЯХ BYOD:

1. системы класса Mobile Device Ma­nagement (MDM) предоставляют пол­ное решение проблем безопасности

в BYOD;

2. важные корпоративные данные мо­гут безопасно храниться и создавать­ся непосредственно на персональных устройствах;

3. решения класса Mobile Device Ma­nagement (MDM) равноценны решени­ям класса Data Leak Prevention (DLP).

Действительно, системы класса Mobile Device Management (MDM) позволяют удаленно (централизован­но) управлять множеством мобильных устройств, будь то устройства, предо­ставленные сотрудникам компанией, или собственные устройства сотруд­ников. Подобное управление обычно включает в себя такие функции, как удаленное обновление политик безопас­ности (без подключения к корпоратив­ной сети), распространение приложений и данных, управление конфигурацией для обеспечения необходимыми ресур­сами всех устройств.

Некоторые MDM-решения содер­жат встроенную «мину» - способность самоуничтожения всего программного обеспечения и данных с мобильно­го устройства в случае злонамеренно­го неавторизованного удаления с него MDM-приложения. Однако пока на BYOD-устройствах не появятся полно­стью независимые операционные среды (бизнес, персональная, среда производи­теля и т.п.), сегментированные на физи­ческом уровне и снабженные низкоуров­невыми интерфейсами для доступа СЗИ независимых производителей, ограни­ченность возможностей MDM-решений по контролю исходящих потоков данных на мобильных устройствах останется принципиальной проблемой, обсужде­ния которой MDM-вендоры старатель­но избегают, а для имитации решения проблемы используют «заплатки» типа вышеупомянутых встроенных «мин».

Сильными сторонами MDM-систем являются такие функции, как надежная парольная защита устройства, шифрова­ние встроенной памяти и карт хранения данных, либо контейнеризация данных приложений, управляемое уничтожение информации с устройства в случае по­тери или кражи. Однако же на практике по крайней мере функцию удаленного уничтожения данных можно реализо­вать только при условии, что устройство появится в Сети и будет обнаружено управляющей частью MDM-системы. То есть приходится полагаться на уда­чу - низкую техническую квалифика­цию вора или человека, нашедшего та­кое защищенное мобильное устройство, и на то, что при этом сработают функ­ции шифрования и парольной защиты.

Рассматривая миф о безопасности хранения и создания данных на BYOD-устройствах, следует помнить о том, что задача обеспечения безопасности кор­поративной информации на персональ­ных устройствах стоит не только в связи с коммерческой необходимостью защи­ты корпоративных наработок, сведений, персональных данных сотрудников и т.п., но и в силу требований различ­ных законодательных и нормативных актов. В реальности уже сама практика хранения данных на BYOD-устройствах порождает риск утечки информации, независимо от наличия на устройстве агента MDM-системы. Данные ограни­ченного доступа могут быть попросту отправлены непосредственно с устрой­ства по сетевым каналам или на под­ключаемые внешние устройства печати и хранения данных. Другая связанная с этим мифом проблема - резервное копирование информации, принадлежа­щей компании. Если новые документы и данные создаются на персональном устройстве, организация вынуждена по­лагаться на сознательность сотрудни­ка, надеясь на то, что он самостоятель­но позаботится о создании резервных копий или своевременно проведет синхронизацию устройства с рабочим компьютером в офисе для обеспечения резервного копирования надлежащим образом на корпоративном уровне.

Некоторые разработчики MDM-систем заявляют, что их решения обеспечивают полноценную защиту от утечек информации в силу наличия функций шифрования и уничтожения данных на устройстве. Однако же рас­сматривать MDM-системы как рав­ноценные DLP-системам некорректно уже в силу существования довольно четкого определения термина Data Leak Prevention, установленного отраслевы­ми аналитиками. DLP-решение долж­но быть способно анализировать данные в состояниях «Передаваемые данные» (data-in-motion), «Исполь­зуемые данные» (data-in-use) и/или «Хранимые данные» (data-at-rest) по их содержимому. Указанные виды анализа информации, имеющие реша­ющее значение для выполнения задач контроля, мониторинга и обеспечения целостности данных, попросту отсут­ствуют в современных MDM-системах.

Наиболее эффективным решением для безопасности данных для устройств BYOD является предоставление доступа к информационным активам компании посредством удаленного подключения BYOD-устройств через терминальные сессии к виртуальным Windows-сре-дам, которые, в свою очередь, защище­ны функционирующей на хосте DLP-системой, обеспечивающей предотвра­щение неконтролируемых утечек данных с хоста. Такой подход называется Virtual Data Leak Prevention. Коротко говоря, технология Virtual DLP предлагает кон­тролируемое предоставление уда­ленного доступа к корпоративным данным в отличие от локального хра­нения данных на BYOD-устройствах в подходе MDM.

ПОДХОД VIRTUAL DLP ПОДРАЗУМЕВАЕТ ВЫПОЛНЕНИЕ КЛЮЧЕВЫХ ЗАДАЧ БЕЗОПАСНОСТИ.

■ Безопасная обработка данных - при подключении к корпоративному порталу по безопасной сессии сотруд­ники не применяют приложения для локальной обработки данных на устройстве BYOD либо возможность использования информации блоки­руется на контекстном уровне. Таким образом гарантируется, что корпо­ративные данные компании не будут распространены далее контролируе­мого устройства.

■ Безопасное  хранение данных -защищаемые корпоративные данные могут быть доступны только в вир­туальной среде и в случае редакти­рования или иного изменения могут сохраняться только на сервере или быть распечатаны на принтерах в кор­поративной сети. При этом не допуска­ется локальное сохранение данных во встроенной памяти BYOD-устройств, на подключаемых съемных накопи­телях, печать на неконтролируемых принтерах вне корпоративной сети.

■ Контроль передачи данных - DLP-система, функционирующая в вирту­альной среде Windows, обеспечивает контентную   фильтрацию содержи­мого файлов и данных, проходящих через коммуникационные каналы, и контекстный контроль каналов (элек­тронная почта, веб-сайты, мессендже-ры и т.д., канал печати, перенаправ­ленные диски и сетевые файловые ресурсы, а также съемные носители).

Безусловно,  MDM-системы игра­ют значительную роль в обеспечении безопасности стратегии BYOD, но сле­дует вновь четко обозначить, что при этом они не выполняют задачи предот­вращения утечек данных. Для созда­ния полноценного и эффективного решения по обеспечению безопас­ности в стратегии BYOD MDM-систе-мы должны работать совместно с ре­зидентными DLP-системами. Любая MDM-система будет эффективна толь­ко в качестве компонента в более ши­рокой,   комплексной   стратегии обе­спечения безопасности данных на мо­бильных устройствах. MDM-системы следует применять для решения задач общего управления и контроля мобиль­ных устройств, шифрования данных, то есть как одну из линий обороны.

ВСЕОБЪЕМЛЮЩАЯ И ОПТИМАЛЬНАЯ СТРАТЕГИЯ БЕЗОПАСНОСТИ BYOD ОПИСЫВАЕТСЯ УПРОЩЕННОЙ ФОРМУЛОЙ:

Безопасность BYOD = MDM + App + VPN + VM + DLP,

где комплексно применяются MDM-система для контроля локальных при­ложений на устройствах, удаленного уничтожения данных, обеспечения на­дежной парольной защиты устройства и шифрования данных и т.п.; приложе­ние (App) для удаленного подключения мобильного устройства через Интернет к виртуальной среде (например, Citrix Receiver);защищенный VPN-туннель; виртуальная рабочая Windows-среда (VM), в которой опубликованы и до­ступны необходимые для работы при­ложения и данные; и, наконец, DLP-система предотвращения утечек данных, интегрированная в виртуальную рабо­чую среду Windows и обеспечивающая контроль доступных в этой виртуальной среде каналов передачи информации (электронная почта, веб-сайты, мессен-джеры, канал печати, перенаправленные в виртуальную среду локальные USB-устройства) для предотвращения утечек данных с BYOD-устройства.

Такой DLP-системой является про­граммный комплекс DeviceLock DLP Suite, обеспечивающий полный кон­троль разнообразных вариантов при­менения персональных мобильных устройств в различных моделях ис­пользования решений виртуализации (BYOD, home office, облачные корпора­тивные серверы), построенных на плат­формах виртуализации и терминально­го доступа от Microsoft, Citrix, VMwa-re и других производителей. При нали­чии заданных DLP-политик, опреде­ляющих допустимость использования корпоративных данных, DeviceLock, будучи установленным на стороне ком­пании - в виртуальной среде или на терминальном сервере - гарантирует, что передача информации пользовате­лем находится строго внутри границ виртуальной среды (терминальной сес­сии), и данные, утечка которых недопу­стима, не попадают на личную часть персонального устройства (от «тонкого клиента» или домашнего компьюте­ра до мобильного устройства любого типа), оставаясь при этом доступными для эффективного выполнения бизнес-задач. Таким образом службы ИБ могут полностью контролировать обмен дан­ными между корпоративной средой и персональным устройством, а также между подключенными к нему перифе­рийными устройствами и буфером об­мена, что особенно важно, если учиты­вать факт: все эти каналы передачи данных вне корпоративных границ ста­новятся небезопасными и должны рас­сматриваться как угроза корпоративной информационной безопасности.