Интерактивное взаимодействие из перспективы превращается в неотъемлемую составляющую эффективного бизнеса. Единая сеть для передачи данных, голоса и видео и беспроводное соединение для доступа позволяют не только сократить расходы на связь и техническое обслуживание, но и обеспечить непрерывность бизнес-процессов независимо от того, где в данный момент работает сотрудник. Однако при недостаточном уровне информационной безопасности и защиты данных, а также слабой осведомленности персонала об ИТ-рисках, уязвимость информации, обрабатываемой в удаленном режиме, значительно возрастает. Этот вывод подтверждает исследование компании InsightExpress, проведенное по заказу Cisco, в рамках которого было опрошено более 2 тыс. сотрудников и ИТ-специалистов из разных стран мира.

Цель исследования — помочь работодателям оценить вероятность утечки данных с учетом того, что стиль жизни сотрудников и их рабочая среда все меньше привязаны к какому-то конкретному месту. В ходе опросов были выявлены действия персонала, способные привести к утечке информации. Согласно данным отчета, в течение года каждый пятый респондент вносил изменения в настройку параметров безопасности своих рабочих устройств, с тем чтобы обойти установленные правила и получить доступ к неавторизованным сайтам Web (торрент-ресурсы, музыкальные, спортивные, развлекательные сайты, блоги, сервисы Web 2.0).

Как оказалось, в среднем один из пяти сотрудников хранит системные учетные данные и пароли в своем компьютере, записывает на бумаге и оставляет их на рабочем столе, в незакрытом кабинете или наклеивает на корпус компьютера. В некоторых странах до 28% сотрудников признавались, что хранят на своих рабочих устройствах учетную информацию и пароли к личным финансовым счетам. Кроме того, два из пяти ИТ-специалистов зафиксировали попытки получения сотрудниками неавторизованного доступа к сети. Причем две трети из них регистрировали такие попытки неоднократно, а 14% — ежемесячно.

Подавляющее большинство утечек корпоративной информации связано с непреднамеренными или «халатными» действиями пользователей. Однако, если контролировать действия сотрудников и предотвращать их вмешательство в систему ИБ внутри офисного сетевого периметра большинство компаний уже научилось, то работа с аутсорсинговыми ресурсами или информационный обмен с филиалами или мобильными рабочими группами по-прежнему сопряжены с высокой степенью информационных рисков. И это может стать серьёзной проблемой, в первую очередь, для российских организаций, привыкших реагировать на любые угрозы прецедентно, то есть постфактум, когда угроза уже реализована. Не боясь ошибиться, можно предположить, что риски, связанные с действиями мобильных пользователей, будут только расти. В нынешних сложных экономических условиях доля людей, которые в силу различных обстоятельств (сокращение штатов, «отправка» в бессрочный отпуск и др.) работают на аутсорсинге, а попросту говоря, не входят в штат, неуклонно увеличивается.

Западные эксперты и вовсе полагают, что потребность в организации мобильных рабочих мест для сотрудников может стать новым движущим фактором для развития интерактивного бизнес-взаимодействия. В частности, Майкл Спейер, директор Yankee Group по исследованиям средств связи для малых и средних предприятий утверждает следующее: «Именно мобильные сотрудники чаще всего и дольше всего находятся в сети. Именно им необходим высокий уровень безопасности, высокая скорость и простота соединений. Именно они являются главной движущей силой развития рынка».

МОБИЛЬНЫЙ ДОСТУП И ИБ

Итак, обратной стороной работы с корпоративными ресурсами за пределами традиционного офиса является высокий риск несанкционированного доступа и перехвата данных в ходе информационного обмена. Потенциально небезопасную среду представляет сам компьютер, которым в удаленном режиме, возможно, придется воспользоваться сотруднику (например, в Internet-кафе), однако не меньшего внимания требует и защита соединения с корпоративными ресурсами. В ряде случаев необходимо не только изолировать рабочее место от «недоверенной» среды ПК, но и предотвратить сохранение промежуточных результатов работы (в том числе корпоративных данных) на жестком диске или рабочем столе.

Принимая во внимание потребность в организации мобильных рабочих мест и при этом адекватно оценивая риски, в рамках технологического альянса Cisco, Aladdin и VMware были разработаны типовые подходы к построению, управлению и контролю доступа для мобильных сотрудников, внешних рабочих групп и филиалов. Схема решения представлена на Рисунке 1. Согласно предложенной концепции, возможны четыре сценария создания защищенного рабочего места в удаленном режиме. (Схема работы, плюсы и минусы этих предложений обобщены в Таблице 1).

«КЛАССИЧЕСКИЙ» ПОДХОД

«Классический» подход к организации удаленного доступа предусматривает использование стандартного соединения на базе IPSec VPN. Аутентификация реализуется при помощи аппаратного ключа; в качестве защиты от различных видов угроз (вредоносный код, Web-атаки и т.п.) на рабочем месте устанавливается персональный комплекс средств защиты с единой консолью управления.

Такой подход предполагает обязательную настройку ноутбука администратором. При ее отсутствии повышается риск потери данных в случае кражи компьютера. Для усиления защиты данных при передаче и хранении в режиме удаленного доступа рекомендуется использовать систему шифрования с внешними подключаемыми криптоалгоритмами (AES, DES, а также российский ГОСТ с применением СКЗИ «Крипто-Про CSP» или Signal-COM).

Стоит отметить, что в данном случае, равно как и во всех последующих сценариях, управление, мониторинг, ведение журнала для контроля доступа реализуется при помощи универсальной системы управления средствами аутентификации Token Management System.

НА АУТСОРСИНГЕ

Пример использования внешними сотрудниками домашнего, а значит, «недоверенного» компьютера для доступа к корпоративным приложениям — не редкий случай в бизнес-практике. Для достижения требуемого уровня защиты нужно не только организовать безопасную работу с корпоративными данными, но и обеспечить полную изоляцию рабочего места от «чужого» компьютера.

Принципиальным отличием этого сценария организации мобильного рабочего места (а также сценариев, рассмотренных ниже) является применение технологий виртуализации и, следовательно, виртуальной машины (ВМ). В данном случае образ операционной системы и виртуальная машина со всеми необходимыми приложениями загружаются не с жесткого диска, а из флэш-памяти персонального мобильного носителя, который одновременно представляет собой средство аутентификации.

Как показано на рисунке, защищенное взаимодействие с корпоративной сетью реализуется на базе виртуальной машины, настроенной при помощи VМware ACE в строгом соответствии с политикой безопасности компании. На виртуальной машине установлен межсетевой экран и клиент для IPSec VPN. Прозрачное шифрование данных, в том числе системного раздела, выполняет Secret Disk, также загруженный на виртуальную машину.

Загрузка «доверенной» ОС с внешнего носителя позволяет добиться полной независимости от потенциально небезопасной среды домашнего ПК. Рассматриваемый сценарий предполагает значительно большую мобильность и безопасность, чем предыдущий, однако пользователь должен постоянно иметь при себе носитель для работы с приложениями, сохраненными на виртуальной машине.

Преимущество этого сценария, в отличие, например, от «классического», в том, что удаленный сотрудник может работать как в интерактивном режиме, так и при отсутствии подключения к Internet, а впоследствии синхронизировать все свои «наработки» (например, заполненную документацию или списки) с базой документов корпоративной сети.

В ТЕРМИНАЛЬНОМ РЕЖИМЕ

Данный сценарий ориентирован на организацию бизнес-взаимодействия центрального офиса с филиалами. При создании рабочего места сотрудника филиала в условиях невысокой степени доверия к нему прежде всего, необходимо организовать работу в режиме терминального доступа с приложениями центрального офиса, а также с критически важными данными (коммерческая информация, персональные сведения и т.п.).

Очень важно предусмотреть, чтобы риск кражи данных с рабочего места, располагающегося в филиале, сводился к минимуму, а стоимость такого решения оказалась по возможности невысокой. Для этой цели вновь используется виртуализованная инфраструктура, однако в указанном сценарии она развернута на стороне сервера.

При подключении пользователю на выбор предлагается ряд доступных виртуальных машин – типовых шаблонов рабочих мест, с каждым из которых он может начать работу. В сочетании с использованием защищенного соединения на базе IPSec VPN этот сценарий позволяет в безопасном режиме работать с приложениями персональной виртуальной машины, которая «физически» располагается не на мобильном носителе (как в сценарии №2), а в корпоративной сети центрального офиса.

Стоит отметить, что подходы к созданию виртуальной пользовательской машины могут быть разными. Так, при каждом сеансе либо создается клон ВМ, либо сохраняются настройки единожды созданной ВМ. Во втором случае сотрудник филиала может продолжать использовать свою ВМ каждый раз, когда потребуется.

Для обеспечения безопасности и сетевого управления на стороне сервера устанавливается устройство Cisco Adaptive Security Appliance, представляющее собой комплекс средств для глубокого анализа сетевого трафика. Объединение всех перечисленных технологий обеспечивает высокий уровень защищенности и мобильности в организации информационного обмена с центральным офисом при минимальных требованиях к рабочему месту сотрудника филиала.

ИЗ НЕДОВЕРЕННОЙ СРЕДЫ

Сегодня существует множество «горячих точек» (hotspots), через которые мобильный сотрудник может получить широкополосный доступ в Internet. Но устанавливать драйверы на публичные ПК и подключать к ним дополнительные устройства нередко запрещено. Кроме того, в соответствии с политикой информационной безопасности любой компании корпоративные данные, с которыми сотрудник работает вне офисных стен, не должны оставаться на таком компьютере. Последний, червертый сценарий позволяет обеспечить возможность удаленной работы с необходимыми приложениями при выходе в Internet через общедоступную точку доступа, для чего применяется двухфакторная аутентификация и защищенное соединение, а также разграничение локальной среды и среды запускаемого приложения.

Для аутентификации используется комбинированный токен ОТР с генератором одноразовых паролей, отображающихся на дисплее ключа. Токен не нужно физически подключать к порту USB, его можно использовать для безопасного доступа к корпоративным данным из любой точки: сгенерированный одноразовый пароль отображается на дисплее токена и вводится в компьютер или PDA при помощи клавиатуры или пера (стилуса) с «гостевого» рабочего места, ПК в Internet-кафе аэропорта или даже со смартфона.

Генерация одноразовых паролей основана на алгоритме HMAC, который в качестве входных значений использует секретный ключ и текущее значение счетчика генераций. Секретный ключ известен только данному токену ОТР и серверу аутентификации. По окончании процедуры двухфакторной аутентификации пользователю предоставляется доступ к корпоративным данным и приложениям.

На весь сеанс работы пользователь получает виртуальный персональный рабочий стол, файловую систему и т.п., что исключает возможность хищения документов троянами, «шпионами» и другими типами вредоносного ПО. Благодаря решению Cisco Secure Desktop корпоративные данные, кешированные или сохраненные на рабочем столе во время сеанса, будут автоматически удалены после его закрытия.

В УСЛОВИЯХ, ПРИБЛИЖЕННЫХ К БОЕВЫМ

Предложенные сценарии – лишь некоторые примеры того, как можно обеспечить надёжную защиту удаленного рабочего места и безопасное информационное взаимодействие в аутсорсинговой, филиальной и других бизнес-схемах. Согласно прогнозам аналитиков (см. отчет Gartner Top 10 Strategic Technologies for 2009, http://www.gartner.com/it/page.jsp?id=777212), мобильные технологии, в частности, с использованием виртуализации – одна из тенденций текущего года. И это логично: бизнес-процессы требуют интерактивной, но вместе с тем безопасной работы, границы офисов постепенно стираются, а технологии виртуализации из красивой идеи превращаются в необходимость.

Гибкость таких решений способствует обеспечению непрерывности бизнес-процессов в любых условиях, даже в крайне неблагоприятных с точки зрения информационной безопасности. Кроме того, при нестабильной рыночной ситуации весомым аргументом «за» является возможность сокращения издержек на аренду и содержание региональных офисов и филиалов, так как теперь можно работать дома, в деловом центре или даже в Internet-кафе. Таким образом, мы приходим к новой модели организации бизнеса, когда производительность труда удаленных сотрудников повышается за счет использования тех же технологий связи и групповой работы, что и в штаб-квартире компании.

Ника Комарова — руководитель направления маркетинговых коммуникаций и PR компании Aladdin.

Рисунок 1. Типовые сценарии построения защищенного мобильного доступа на примере технологий Cisco, Aladdin и VMware.

Таблица 1. Сценарии организации защищенного мобильного рабочего места.