Предотвращение утечек данных с помощью удаленных работников

Несмотря на множество преимуществ найма удаленных работников, существует существенное увеличение риска внутренних угроз и утечек данных, связанных с удаленной работой. Это актуальная проблема даже для экспертов в сфере бизнеса, не говоря уже о владельцах стартапов, только вступающих в мир бизнеса.

Titan Security Europe уже десять лет работает полностью удаленно. Как эксперты в области удаленной работы, мы собираемся предложить советы с точки зрения кибер- и физической безопасности по защите вашего бизнеса от утечек данных при работе с удаленными сотрудниками.

Статистика

Прежде чем перейти к тому, что вы можете сделать, чтобы предотвратить утечку данных от ваших удаленных сотрудников, важно знать факты.

Вот некоторая статистика угроз кибербезопасности при удаленной работе по данным Wifi Talents:

• 75% ИТ-специалистов говорят, что предприятия стали более уязвимы для киберугроз теперь, когда они перешли на удаленную работу.
• Более 55% ИТ-специалистов считают, что удаленные работники чаще, чем офисные, нарушают политику компании, что приводит к более высокому риску утечек.
• 95% нарушений кибербезопасности происходят из-за человеческой ошибки.
• 80% удаленных работников НЕ имеют адекватной подготовки по кибербезопасности.
• Предприятия сталкиваются в среднем с 22 угрозами безопасности в неделю из-за удаленных работников.

Хотя эта статистика указывает на серьезную проблему с удаленными работниками, не позволяйте этому удержать вас от найма удаленных работников для вашей начинающей компании. Выгоды перевешивают риски, если вы успешно ими управляете.

Как бороться с проблемами

Когда дело доходит до удаленных работников, существует определенный набор проблем безопасности, которые могут возникнуть в отношении данных. Есть шаги, которые компания и сотрудники могут предпринять для решения этих проблем.

Незащищенное, уязвимое оборудование

Использование сотрудниками личных и незащищенных устройств может привести к утечке данных. Эти устройства часто не имеют того уровня безопасности, который имеет корпоративное устройство, а смешивание рабочих файлов с личными файлами может привести к небрежным утечкам.

Что ты можешь сделать?

• Предоставьте сотрудникам корпоративное устройство, на котором установлены указанные ниже процессы. Если это невозможно, убедитесь, что сотрудники установили на устройства, на которых они будут работать, следующее:
  • Многофакторная аутентификация: система, которая позволяет пользователям входить на устройство или сервер, только выполнив несколько шагов. Например, помимо пароля они должны отправить код на другое устройство, использовать свой отпечаток пальца, ответить на секретный вопрос и т. д. Примеры программного обеспечения MFA включают JumpCloud, ManageEngine, Cisco Secure и другие.
  • Endpoint Security: практика защиты всех устройств, подключенных к сети, платформы Endpoint Protection проверяют все файлы при их попадании в сеть, что позволяет быстро обнаруживать вредоносные программы и угрозы. Примеры Endpoint Security включают Cisco Secure, WatchGuard, Avast Business Security и другие.
  • Программное обеспечение для шифрования: программное обеспечение для шифрования файлов и данных, установленное на устройствах, используемых для работы, защищает все данные от несанкционированного изменения, кражи или компрометации. Программное обеспечение для шифрования включает Secure IT, Folder Lock и Kruptos 2 Professional.
• Настройте Политику удаленной работы, в которой указано, что для работы можно использовать только устройства, на которых настроены указанные выше программы.

Что могут сделать сотрудники?

• Следуйте установленной политике и работайте только на устройствах, предоставленных компанией.
• По возможности не используйте устройства компании в личных целях.

Незащищенные, уязвимые сети

Одной из самых больших проблем безопасности при удаленной работе являются незащищенные и уязвимые сети. В то время как личная домашняя сеть обычно работает нормально, общедоступная и незащищенная сеть делает устройства чрезвычайно уязвимыми.

Что ты можешь сделать?

• Сохраняя данные на сервере, а не в базе данных устройства (особенно на сервере с MFA или зашифрованными данными), вы можете гарантировать, что конфиденциальные данные будут защищены, даже если устройство подключено к незащищенной сети.
• Данные хранятся отдельно от устройства, поэтому даже если устройство будет взломано через незащищенную сеть, данные по-прежнему будут в безопасности.

Что могут сделать сотрудники?

• По возможности избегайте общедоступных сетей.
• Используйте личные точки доступа или работайте офлайн, если находитесь в общественных местах.
• Используйте VPN для защиты соединения.

Меньше контроля над обработкой данных

Когда все сотрудники работают из дома, службам безопасности гораздо сложнее контролировать обработку данных. Им нужно беспокоиться о большем количестве устройств, серверов и сетей. Также существует риск того, что сотрудники откроют свои ноутбуки на публике, а представители общественности увидят конфиденциальные данные.

Что ты можешь сделать?

• Если все ваши данные хранятся на сервере и не могут быть загружены или переданы другим, обработка данных станет гораздо меньшим риском.
• Если для использования данные необходимо загрузить, включите в свою политику, чтобы в тот момент, когда сотрудники закончили работу с данными, которые они используют, они повторно загружали их в облако и удаляли их со своего устройства.
• Внедрите программное обеспечение для отслеживания на предоставленные компанией устройства, чтобы их могли использовать удаленные сотрудники. Это позволит службам безопасности отслеживать обработку данных на отдельных устройствах.
• Убедитесь, что у вас заблокированы сведения о каждом устройстве, получающем доступ к вашим системам, чтобы ваша группа безопасности могла использовать необходимое программное обеспечение для удаления с устройств всех паролей, данных или документов компании в тот момент, когда будет сообщено об их утере или краже.

Что могут сделать сотрудники?

• Сообщите о потере устройства, как только это произойдет.
• По возможности избегайте работы на публике. В противном случае убедитесь, что никто другой не видит их экран.

Мошенничество по электронной почте и уязвимость к фишингу

Удаленные работники, как и все работники, подвергаются риску фишинга и мошенничества по электронной почте. Нахождение за пределами корпоративной среды может привести к небрежности и изменению восприятия, что сделает удаленных работников более восприимчивыми. У сотрудников также меньше возможностей проверить, пришло ли электронное письмо от коллеги, когда они не находятся в одной комнате.

Что ты можешь сделать?

• Циркуляция разговора. Проведите семинары о том, как распознать потенциальное мошенничество и что делать, если сотрудник считает, что его обманывают.
• Держите сотрудников в курсе историй о фишинговых мошенничествах.
• Отслеживайте электронную почту сотрудников – проверяйте любые потенциальные мошенники.

Что могут сделать сотрудники?

• Отправляйте любое электронное письмо, которое, по их мнению, может быть мошенничеством, немедленно начальству.
• Не открывайте ссылки от людей, которых они не знают.
• Отвечайте на электронные письма от коллег и известных клиентов только до тех пор, пока письмо не будет проверено.
• Имейте контактные данные всех коллег, не относящиеся к электронной почте, например номера телефонов. Используйте их, чтобы проверить, было ли письмо отправлено коллегой или нет.

Автоматические устройства

Как и в офисах, оставленные без присмотра устройства представляют собой огромный риск для безопасности, но в большей степени при удаленной работе, поскольку любой, даже не только другой сотрудник, может получить доступ к данным, хранящимся внутри.

Что ты можешь сделать?

• Пароль защищает любые данные на устройстве.
  • MFA, как упоминалось выше, обеспечивает дополнительный уровень безопасности.
  • Убедитесь, что данные зашифрованы. Это смешивает данные в нечитаемом формате, если не используется очень специфический цифровой ключ. Этот конкретный цифровой ключ будет известен только тем сотрудникам, которым необходим доступ к этим данным.
• Убедитесь, что вход в систему с помощью MFA необходим каждый раз при доступе к данным, даже если эти данные были закрыты всего несколько минут назад.
• Сотрудникам будет предоставлен доступ к конкретным данным, которые им нужны, только при наличии паролей к этим данным. Например, сотрудникам отдела продаж не нужен доступ к информации о человеческих ресурсах.

Что могут сделать сотрудники?

• Защита паролем. McAfee предлагает, чтобы пароли включали буквы верхнего и нижнего регистра, специальные символы и цифры, чтобы обеспечить надежность пароля. Все рабочие устройства должны иметь уникальные пароли, которые сотрудники никому не разглашают.
  • MFA: у сотрудников должно быть доверенное устройство для отправки кодов MFA или личный контрольный вопрос, ответ на который будут знать только они.
• Никогда не оставляйте свои устройства без присмотра в общественных местах.
• Убедитесь, что устройства заблокированы, когда они не используются.

Правила соответствия и данных

Команды безопасности должны гарантировать, что методы обработки данных соответствуют правилам GDPR.

• Без установленной политики сотрудники могут легко нарушить правила GDPR при доступе к данным и управлении ими.
• Ограничив доступ сотрудников к данным и приняв меры безопасности, как указано выше, соблюдение правовых норм безопасности будет намного проще.

Жонглирование безопасностью и доверием сотрудников

Крайне важно обеспечить защиту данных вашей компании от небрежности или даже злонамеренных утечек и инсайдерских атак. Однако не менее важно убедиться, что ваши сотрудники знают, что им доверяют.

Совместить безопасность с доверием сотрудников может быть непросто. Вот несколько советов и приемов, как с этим справиться:

• Сообщите своим работникам. Сообщите своим работникам, какие именно меры безопасности вы принимаете, и объясните им, почему : это гарантия безопасности для защиты данных, а не вопрос доверия.
• Предоставьте им факты. Объясните, что большая часть утечек данных происходит из-за невинных ошибок и халатности.
• Разрешите НЕКОТОРУЮ конфиденциальность . Отслеживайте то, что вам нужно отслеживать — базы данных, сайты компаний, деловые коммуникации и т. д. — но не отслеживайте каждое движение, совершаемое на устройстве. Сотрудники заслуживают того, чтобы не чувствовать, что за каждым их шагом следят.
• Циркуляция разговора . Проводите виртуальные встречи, на которых обсуждаете утечки данных, угрозы и многое другое. Рассылайте истории об утечках данных, чтобы доказать свою точку зрения. Попросите сотрудников рассказать об утечках данных и о том, что они могут сделать, чтобы их предотвратить.

Заключение

Когда дело доходит до удаленных работников, необходимо учитывать как преимущества, так и риски.

Они эффективны и экономически выгодны для начинающих компаний, поскольку позволяют нанимать работников, не беспокоясь об аренде офисных помещений. Удаленные работники также, как правило, более мотивированы и наслаждаются балансом между работой и личной жизнью при удаленной работе.

Однако вы должны учитывать и быть готовыми к потенциальным утечкам безопасности. Это не тот случай, когда стоит доверять своим сотрудникам – не тогда, когда подавляющее большинство утечек происходят из-за человеческой ошибки. Речь идет о принятии всех возможных мер, чтобы ваши удаленные сотрудники могли получить доступ к необходимым им данным с минимальной вероятностью утечки.