В последние годы удалённая работа из приятного бонуса для сотрудников превратилась в новый формат работы. Пандемия ускорила этот процесс, и теперь миллионы людей по всему миру работают из дома, уютно устроившись за кухонным столом или на диване с ноутбуком. Формат удалёнки очень удобен как для сотрудников, так зачастую и для работодателей. Однако вместе с удобством домашнего офиса пришли и новые вызовы, о которых раньше многие даже не задумывались. Один из главных — это кибербезопасность.
С переходом на удалёнку киберпреступники получили настоящий «подарок» в виде увеличившегося числа уязвимостей. Многие сотрудники используют личные устройства для работы, подключаются к небезопасным сетям, забывают о соблюдении безопасности, ведь домашняя обстановка так расслабляет. В результате количество атак,увеличивается. Например, компания Kaspersky только в 2020 году выявила более трех миллиардов атак на RDP-сервера (технология удалённого подключения к рабочим столам).
Когда мир массово перешёл на удалённую работу, казалось, что это временная мера. Но, как говорится, нет ничего более постоянного, чем временное. В итоге домашний диван стал новым офисным креслом, а кухонный стол — конференц-залом для Zoom-встреч. Однако вместе с удобством работы из дома пришли и новые вызовы, о которых раньше мало кто задумывался. Один из главных вопросов: как защитить данные компании и сотрудников в условиях, когда офис теперь — это буквально везде?
До эпохи удалёнки кибербезопасность компании была чем-то вроде крепости: есть стены (корпоративная сеть), охрана (IT-отдел) и замки (межсетевые экраны). Но с переходом на работу из дома эта крепость стала напоминать шатёр на фестивале: вход открыт для всех, а контроль за происходящим минимален. Сотрудники начали подключаться к корпоративным системам из своих домашних сетей, которые далеко не всегда защищены. А если кто-то работает из кафе или гостиницы, то риск возрастает ещё больше: публичные Wi-Fi сети — это мечта любого хакера.
Хакеры не могли не заметить такую «цифровую миграцию». Домашние сети сотрудников стали новой целью для атак. И если раньше злоумышленникам нужно было преодолевать сложные корпоративные системы безопасности, то теперь достаточно взломать роутер, пароль от которого всё ещё «password», или проникнуть через уязвимое умное устройство (про уязвимость умных устройств мы рассказывали вам совсем недавно (ссылка на предыдущую статью о безопасности IoT)). Не жизнь, а малина для любого хакера. Причем если раньше корпоративной безопасности могли угрожать серьёзные и уважаемые дядьки, то с выходом на удалёнку хакером, положившим сеть может оказаться соседский мальчишка, запустивший первый попавшийся скрипт. Неприятная ситуация выходит, ведь количество потенциальных угроз увеличилось. На фоне того, что с каждым днём растёт количество киберпреступлений – корпоративная безопасность стала как никогда уязвима.По данным исследования компании «Солар», доля заказных кибератак на российские компании выросла за 2024 год с 10% до 44%.
Когда удалёнка только-только появилась и стремительно короновирус вынудил всех перейти на удалёнку, многие компании не были готовы хоть как-то защититься от всевозможных угроз начиная от фишинга, заканчивая несанкционированным доступом злоумышленниками. Согласно данным компании Positive Technologies, различные несложные схемы удаленного доступа, которые вводились в режиме аврала, зачастую оставались в компании надолго. Один из опросов компании показал, что в 57% случаев способы удаленного доступа в организациях менять не планируют. Однако спустя несколько лет появились достаточно серьёзные методы защиты.
Давайте же разберемся конкретнее, как же обеспечивается кибербезопасность удалённых сотрудников.
VPN: виртуальная крепость для данных
VPN (Virtual Private Network) — это что-то вроде невидимого плаща для ваших данных. Он создаёт зашифрованный туннель между устройством сотрудника и корпоративной сетью, чтобы хакеры не могли подглядеть, чем вы там занимаетесь. Как это работает? Представьте, что вы идёте по шумной улице с прозрачным рюкзаком, в котором лежит ваш ноутбук. Все могут видеть, что у вас внутри. VPN превращает этот рюкзак в непрозрачный сейф: даже если кто-то захочет заглянуть внутрь, он ничего не увидит.
Двухфакторная аутентификация (2FA). Как говорил Джейсон Стэтхем: потому что одного пароля мало, а мало — это не много
В эпоху удалёнки пароли стали первой линией обороны. Но давайте честно: «12345» или «qwerty» — это не защита, а приглашение на вечеринку для хакера. Поэтому компании внедряют двухфакторную аутентификацию. Чтобы войти в систему, вам нужно не только ввести пароль, но и подтвердить свою личность вторым способом: через SMS, приложение или даже отпечаток пальца. Думаю, что с двухфакторной аутентификацией вы сталкиваетесь почти каждый день не только на работе, но и просто, чтобы войти в мобильный банк или социальные сети. С 2FA даже если хакер угадает ваш пароль, ему придётся угадать ещё и ваш отпечаток пальца, а с этим не уже тяжеловато.
Антивирусы и EDR: цифровые охранники
Антивирусы — это классика жанра, но современные системы защиты пошли дальше. Теперь компании используют EDR (Endpoint Detection and Response) — инструменты, которые не только находят угрозы, но и реагируют на них. Такой антивирус сканирует файлы и программы на устройстве сотрудника, чтобы найти вирусы и вредоносное ПО. EDR добавляет к этому возможность отслеживать подозрительное поведение: например, если ваш компьютер вдруг решит отправить все файлы на какой-то неизвестный сервер в другой стране. Антивирусы — это как сторожевые псы для вашего ноутбука, кормить их нужно, разве что обновлениями
Обучение сотрудников. Как говориться, учиться, учиться и еще раз учиться…
Даже самая мощная система безопасности бессильна перед сотрудником, который кликает на подозрительные ссылки вроде «Вы выиграли миллион долларов!». Поэтому компании активно обучают сотрудников основам кибербезопасности. Проводятся тренинги и симуляции фишинговых атак. Например, отправляют поддельное письмо с заманчивым предложением и смотрят, кто клюнул. Те, кто попался, получают дополнительные уроки. Это как игра «угадай мошенника», только ставки гораздо выше. Помимо основ, сотрудников не редко обучают также как пользоваться VPN для доступа к корпоративной сети, как создать надёжный пароль.
Политика BYOD: личное устройство — корпоративная ответственность
BYOD (Bring Your Own Device) или «принеси своё устройство» – это использование сотрудниками личных устройств для работы. В таком случае компании внедряют жёсткие требования безопасности, ведь личные устройства являются более уязвимы. Например, на личные устройства устанавливаются корпоративные приложения с дополнительной защитой, а доступ к данным ограничивается. Например, если сотрудник потеряет телефон, IT-отдел сможет удалённо стереть все данные с устройства.
Защита Wi-Fi: домашняя сеть тоже под контролем
Домашний Wi-Fi — это слабое звено в цепочке безопасности. Компании рекомендуют сотрудникам использовать сложные пароли и шифрование WPA3 для своих маршрутизаторов. А иногда даже предоставляют роутеры с предустановленными настройками безопасности. IT-отдел проводит аудит домашних сетей сотрудников или выдаёт инструкции по настройке безопасного подключения. Как говорится, держи ухо востро, а пароль от Wi-Fi надёжным. Ведь если роутер защищён хуже, чем аккаунт в соцсетях, то беды не миновать.
Разграничение доступа: меньше знаешь — крепче спишь
Компании внедряют разграничение доступа, чтобы сотрудники могли работать только с теми данными и приложениями, которые им действительно нужны для работы. Например, маркетолог не сможет случайно открыть конфиденциальные документы бухгалтерии (и слава богу). Это снижает риск утечек данных и делает систему более управляемой. Согласно различным исследованиям, одной из эффективных тактик при выстраивании защиты является принцип «Что не разрешено, то запрещено», благодаря этому сотрудники имеют доступ только к тем документам и инструментам, необходимыми им в работе, а хакеру сложнее получить нужную ему информацию, заполучив доступ к рядовому сотруднику.
Удалёнка изменила всё: от того, где мы работаем, до того, как мы защищаем данные. Но благодаря современным методам безопасности компании могут быть уверены: их сотрудники защищены даже тогда, когда работают из пляжного шезлонга (с включённым VPN). Главное — помнить: кибербезопасность начинается с нас самих… и крепкого пароля!
