Защита мобильных данных


Блог Брета Хартмана (Bret Hartman), вице-президента и главного технолога подразделения компании Cisco, занимающегося разработкой решений для обеспечения информационной безопасности

Защита мобильных данных
Отчет Cisco VNI («Индекс развития визуальных сетевых технологий») продемонстрировал очевидный факт, который никто не может отрицать: объем мобильного трафика увеличился, и, судя по всему, эта тенденция сохранится. Напомню основные содержащиеся в этом отчете выводы:
• к 2018 году более половины устройств, подключенных к мобильной сети, будут «умными».
• Доля планшетов в глобальном трафике мобильных данных к 2016 году превысит 15%.
• К концу текущего года число подключенных к сети мобильных устройств превысит число жителей Земли, а к 2018 году на каждого человека будет приходиться примерно 1,4 такого устройства.

Учитывая лавинообразный рост числа «умных» мобильных устройств и распространение принципа BYOD, т.е. свободы использования личных устройств в работе, защита корпоративных и личных данных в мире, где мобильная точка доступа — это новый периметр сети, является нетривиальной технической и юридической задачей для руководителей организаций. Какие трудности возникают при этом чаще всего? Сотрудники используют в личных целях принадлежащие компании устройства намного чаще, чем могут предполагать специалисты ИТ-отделов, а из-за сложной юридической базы и сотрудники, и ИТ-отделы могут не до конца понимать, каким образом обеспечивается приватность. В урегулировании данного вопроса должен участвовать и отдел кадров.
Руководители бизнеса и ИТ-подразделений должны вместе выработать такие механизмы, чтобы использование мобильных устройств (как в личных, так и в рабочих целях) не угрожало безопасности данных, устройств и сети. При создании новых или корректировке существующих планов руководители организаций должны учитывать нижеописанные факторы.

Непрерывная защита данных
Чтобы предотвратить компрометацию сети и данных, первое, что можно сделать на опережение, — это научиться распознавать угрозы для устройств и сетей. Так как угрозы носят динамический характер (могут затаиваться, скрываться, маскироваться), защита должна быть не однократным действием, а постоянным процессом. К таким угрозам относятся, например, вредоносный код, шпионские программы, кибератаки и веб-угрозы (фишинг или инфицированные загрузки).
Кроме того, к компрометации могут привести типичные человеческие ошибки (потерянное, украденное или не защищенное паролем устройство). Результаты исследования, проведенного в этом году, показали, что 80% специалистов по ИБ и ИТ-администраторов считают беспечность конечных пользователей главной угрозой для информационной безопасности своей организации. На такую беспечность или, скорее, безответственность и рассчитывают злоумышленники. В ситуации, когда более 60% пользователей мобильных устройств скачивают себе критичные данные и ведут себя беспечно, защита данных важна, как никогда. К тому же многие пользователи считают, что ИТ-специалисты делают все необходимое за них.

Четко сформулированные политики
Если политика безопасности мобильных данных написана кое-как, то сотрудники, ИТ-специалисты и руководители могут быть сбиты с толку. Когда происходит компрометация, каждая секунда на счету, и только четко сформулированная политика информационной безопасности поможет предотвратить утрату данных. Политика эффективна тогда, когда ее реализация не зависит от конечных пользователей.
Определив потенциальные угрозы, способные проникнуть в сеть через мобильные устройства, руководители бизнеса и ИТ-подразделений должны совместно выработать политику управления мобильными устройствами. Эта политика должна быть комплексной и учитывать все — от типов устройств, с которых осуществляется доступ к сети (более новые устройства могут иметь более надежные функции защиты, чем предыдущие модели), до запрета загрузки определенных приложений и программ, используемых злоумышленниками для доступа к данным на устройстве или в сети.

Контроль доступа
Контроль доступа — это механизм безопасности. Четкие правила по использованию личных устройств в служебных целях и список компонентов, которые имеют (или не имеют) доступ к личной информации сотрудника, подготовят сотрудников к тому, что их права доступа и, следовательно, возможности выполнять свою работу могут меняться. Например, некоторые организации могут применять политику, предусматривающую следующее: если ИТ-отдел получает уведомление о том, что личное мобильное устройство может являться источником угрозы или просто не соответствует требованиям ИБ, ему будет предоставлен доступ только к Интернету, но не к ресурсам компании. В таком случае запрещается доступ даже к корпоративной электронной почте.
Организации могут предоставлять защищенный (зашифрованный) доступ только к утвержденным службам и приложениям. Или же, если устройство украдено, доступ с него незамедлительно запрещается, и все данные (рабочие и личные) с устройства удаляются. (Здесь, кстати, может возникнуть вопрос о политике резервного копирования). Существует множество методик контроля доступа.
Руководителям бизнеса и ИТ-подразделений важно не только внедрить защитные меры, но и дать сотрудникам инструменты для защиты критичной информации. Поощряйте усилия сотрудников по защите корпоративных и личных данных. Добейтесь активного вовлечения сотрудников в реализацию политик ИБ и убедитесь, что политики обновляются по мере выпуска новых устройств и превращения проблем ИБ в потенциальные угрозы.
Мобильные технологии позволяют работать в любой точке мира, а возможность взаимодействовать с клиентами в режиме реального времени открывает небывалые перспективы для развития бизнеса. Вместе с тем эти же технологии становятся приманкой для атак, которые могут скомпрометировать те самые данные, которые предоставляют нам все эти возможности.
Какого-то универсального рецепта не существует. И все же руководители бизнеса и ИТ-подразделений во всем мире, независимо от специализации, масштаба и целей их компаний, могут объединить усилия и сформировать условия для поиска правильных решений.
Более подробная информация о вышеизложенном — на интерактивном ресурсе «Обзор угроз безопасности в мобильном мире».

Предыдущая статья того же автора:
• Как обеспечить сотрудникам свободу использования мобильных устройств - http://www.cisco.com/web/RU/news/releases/txt/2014/07/080114b.html

Метки: Cisco, мобильные устройства, BYOD, мобильность, информационная безопасность.


О компании Cisco
Cisco, мировой лидер в области информационных технологий, помогает компаниям использовать возможности будущего и собственным примером доказывает, что, подключая неподключенное, можно добиться поразительных результатов.
Чистый объем продаж компании в 2013 финансовом году составил 48,6 млрд долларов. Информация о решениях, технологиях и текущей деятельности компании публикуется на сайтах www.cisco.ru и www.cisco.com.