С современными развитыми технологическими средствами и сильными стратегиями ИТ-директора могут грамотно использовать шифрование для защиты мобильных устройств
Еще до того как в штате Калифорния стало обязательным публичное оглашение случаев утечки информации, Кристи Куинлэн осознала важность шифрования клиентских данных на мобильных устройствах. В 2005 году Куинлэн стала ИТ-директором департамента здравоохранения Калифорнии, а вскоре после этого один из ее партнеров потерял компьютер. Подрядчику пришлось потратить несколько сот тысяч долларов, чтобы известить каждого, кто мог от этого пострадать. И, хотя ноутбук потеряли не сотрудники Куинлэн, они все равно большую часть недели накануне праздников потратили на то, чтобы определить вместе с подрядчиком возможный масштаб урона, а затем постарались быстро и четко организовать оповещение. «Когда информация утеряна, ее уже не вернуть», — говорит Куинлэн.
После того происшествия Куинлэн решила, что не может пассивно ждать, когда же появится окончательный вариант внутренней политики. Она велела своим людям в течение 30 дней зашифровать все данные на двух тысячах ноутбуков линейного персонала. Что и было сделано при помощи программного обеспечения от GuardianEdge. По калифорнийскому закону обнародование не требуется, если данные зашифрованы, так как они недоступны для воров. Куинлэн рассчитывала на то, что этот пункт будет принят и расходы окажутся оправданными, ведь шифрование намного снижает риски.
Благодаря существующим системам и инфраструктуре шифрование прошло легче, чем она думала. Незадолго до этого агентство добавило в свои ноутбуки поддержку Windows XP — что дало необходимые вычислительные мощности и объем памяти, — а также операционную систему, поддерживающую кодирующее ПО корпоративного уровня. Вдобавок у агентства была система управления клиентами для автоматической установки на пользовательские ноутбуки нового ПО и приведения в исполнение политик шифрования и других требований безопасности.
По мнению Пола Кочера, президента и руководителя исследовательских работ консалтинговой фирмы Cryptography Research, ИТ-директорам следует серьезно отнестись к опыту Куинлэн. «У тех, кто этого не делает, уже нет оправданий», — считает Кочер. Ведь технологии шифрования теперь повсеместно доступны и опробованы.
Трудности управления
Кочер советует ИТ-директорам, внедряющим шифрование на ноутбуках (а также на настольных ПК), сосредоточиться главным образом на стратегиях управления кодировками и пользователями. Сами по себе технологии шифрования достигли зрелости. Разница состоит лишь в методах управления. Главная трудность заключается в определении, что шифровать, как восстанавливать пароли для доступа к зашифрованным данным, если пользователи потеряют их или покинут компанию, и как сделать пароли доступными программам резервного копирования и управления клиентами, работающим автономно.
И Куинлэн из Калифорнии, и Саймон Жикман, ИТ-директор национального института стандартов и технологий (National Institute of Standards and Technology, NIST), осуществляют шифрование всего диска, полностью защищая файлы на ноутбуке, даже приложения. Этот вид ПО когда-то сильно снижал производительность, заставляя некоторые компании переходить на шифрование файлов. Шифрование файлов налагает на пользователей более высокую ответственность, так как для шифрования они должны сохранять свои файлы в правильные папки. Однако ноутбуки, выпускаемые в последние годы, могут справляться с шифрованием всего диска без ущерба производительности. «Так отчего же не защитить все?», — спрашивает Жикман.
Многие инструменты шифрования корпоративного уровня работают в сочетании с инструментами управления, выдающими и восстанавливающими пароли (часто через Web-сервис, облегчая работу справочного стола). Эти инструменты также производят обновление политик шифрования на ноутбуках, чтобы они могли подключаться к сети. Многие ИТ-директора предпочли бы, чтобы имеющееся у них ПО управления клиентами осуществляло управление шифрованием, но ИТ-отделы уже привыкли иметь различные консоли для антивирусов и резервного копирования. Поэтому если вы не можете достать инструмент, интегрирующийся в вашу систему управления клиентами — а это удается немногим, — то лучше позаботиться о добавлении еще одной консоли, чем ничего не делать.
Кен Жуно, помощник вице-президента и директор по построению корпоративной архитектуры в компании American National Insurance, убедился, что иметь отдельную консоль управления не так обременительно для его программы шифрования PGP. Куинлэн из Калифорнии выбрала более тесную интеграцию. Например, она использует инструмент управления SMS-клиентами от Microsoft, чтобы быть уверенной, что последняя версия клиента шифрования установлена на каждом ноутбуке, и внедряет политики шифрования через тот же сервер политик Active Directory, который используется для всего остального. Она также объединила управление паролями с сервисом единого доступа своего агентства. Таким образом, от пользователей требуется помнить всего один пароль, а от справочного стола — его восстанавливать. Но, как замечает Куинлэн, проведение интеграции не обошлось без дополнительного программирования.
Ни один из этих ИТ-руководителей не предоставил своим системам резервного копирования или управления клиентами доступа к паролям шифрования, что позволило бы им автоматически действовать на ноутбуках пользователей. Пользователи должны подключаться к сети и входить под своей учетной записью (что делает их данные доступными) прежде, чем инструменты резервного копирования и управления смогут начать работать.
Как советует Джон Пиронте, главный стратег по информационным рискам консалтинговой фирмы Getronic, специализирующейся на ИТ-услугах, необходимо убедиться, что внедрение шифрования не будет сопровождаться генерацией новых паролей, которые придется запоминать пользователям. Вы же не хотите, чтобы пользователи записывали их на бумажке и приклеивали к своим ноутбукам. Пиронте замечает: «Если кто-то заполучит пароль, шифрование бессмысленно». Это еще одна причина, по которой Куинлэн сделала так, чтобы ПО шифрования работало с существующей в агентстве системой единого доступа. Жикман из NIST использует тот же метод.
КПК — бомба замедленного действия
Что потерять еще легче, чем ноутбук? Как замечает Пиронти из Getronic, растущий объем памяти карманных компьютеров превращает их в бомбу с часовым механизмом. Их часто используют руководители, работающие с наиболее важными и ценными данными, и, как говорит Пиронти, «эти ребята все время теряют такие штуковины». По словам Кочера из Cryptography Research, проблема для ИТ-директоров в том, что ПО шифрования для наладонников недостаточно эффективно из-за их ограниченных вычислительных мощностей.
По мнению Кочера, утешает только одно: КПК хранят мало данных. В будущем проблема станет острее. А тем временем ИТ-отдел должен настоять, чтобы доступ к этим устройствам был защищен паролем. Хотя поставщики продвигают программы, удаленно стирающие данные на украденных или потерянных КПК, остается большая угроза безопасности; Пиронти обращает внимание на то, что устройства уязвимы, пока не объявлена их утеря или кража.
Жикман рассказал, что из-за неудовлетворительного уровня безопасности в NIST подумывают о принятии в качестве корпоративного стандарта устройства BlackBerry производства компании Research in Motion со встроенными функциями шифрования. Жикман предпочел бы позволить пользователям иметь те устройства, которые они хотят и, по его словам, он продолжит поиск решения по шифрованию для продуктов иных производителей. Может оказаться, однако, что альтернатива, если она и найдется, не будет поддерживать платформы других КПК.
Компания Aramark сделала BlackBerry корпоративным стандартом из соображений безопасности. По словам Дэвида Кауфмана, ИТ-директора этой международной компании, занимающейся организацией питания и обслуживанием помещений, весомое преимущество BlackBerry в том, что «во всех устройствах и сетях действует единая модель обеспечения безопасности», поэтому эти инструменты надежны. У других наладонников, которые он тестировал, такого не было.
Страхование стоит недешево
Шифрование данных сопряжено с расходами. Очевидные расходы — это затраты, предшествующие развертыванию; они включают лицензии на ПО, инсталляцию, интеграцию и часто модернизацию аппаратного обеспечения. Например, Жикману из NIST пришлось заменить несколько ноутбуков, так как их жесткие диски были слишком маленькими, а их центральные процессоры — слишком медленными и не могли выполнять дополнительные задачи шифрования. Кроме того, нужно потратить несколько часов на первичное шифрование каждого диска, а это может снизить производительность пользователей.
Пиронти из Getronic добавляет, что постоянным источником расходов станут растущие требования к вашему справочному столу. Пользователи будут чаще обращаться за восстановлением паролей, и ИТ-отделу придется упорнее работать над доступом к зашифрованным данным, если они или пароль будут утеряны. Кауфман из Aramark согласен: «Для моего штата это дополнительные заботы».
ИТ-директора могут постараться управлять расходами на внедрение шифрования. В Aramark Кауфман зашифровал все ноутбуки, принадлежащие отделам, которые подвержены, по его мнению, наибольшему риску: отделу кадров, отделу расчета заработной платы и отделу здравоохранения, Но для других пользователей он шифрует ноутбуки только тогда, когда машины меняют или требуются другие услуги ИТ-отдела.
«Мы хотим обеспечить максимальную безопасность при минимальных потерях», — говорит Кауфман. Для всех ИТ-директоров, упоминавшихся выше, шифрование конфиденциальных данных, которые могут пропасть у линейных сотрудников, является всего-навсего элементом эффективной политики. Как говорит Кауфман, шифрование превращается в еще одну статью расходов компании: «Учитывая ценность наших данных и влияние их утечки на нашу репутацию, мы не можем не идти на дополнительные затраты»
Galen Gruman. How to lock up laptop security. CIO Magazine. November 1, 2007