Безопасность работы топ-менеджеров с документами в условиях удаленного доступа
Четыре основных способа организации безопасной удаленной работы в ECM.
Вопрос читателя: Как обеспечить безопасность оперативной работы топ-менеджеров с документами и поручениями в условиях удаленного доступа в другой стране?
Требования к организации безопасного удаленного доступа к корпоративной информации едины в независимости от географического местоположения работника, поскольку движение данных в любом случае осуществляется через открытые и априори небезопасные каналы связи и сети. Под безопасным доступом подразумевается соблюдение нескольких базовых принципов:
● Конфиденциальность – уверенность в том, что каналы удаленного доступа и хранимая пользовательская информация защищены от несанкционированного доступа.
● Целостность – способность обнаруживать любые намеренные и ненамеренные изменения в процессе обмена данными по удаленному подключению.
Существует четыре основных способа организации удаленной работы, и все они могут применяться при работе с ECM. Выбор обуславливается возможностями и ограничениями способов, а также архитектурными особенностями конкретной системы управления корпоративным контентом.
Виртуальные частные сети (VPN)
Метод позволяет организовать безопасный шифрованный канал передачи данных (тоннель) между удаленным клиентом и VPN-шлюзом организации, объединяя их в единую защищенную сеть. Через тоннель клиентские приложения, установленные на устройстве пользователя (почта, текстовые редакторы, веб-браузер и т.п.), взаимодействуют с соответствующими серверами приложений, расположенными в периметре организации, что позволяет топ-менеджеру работать с документами и поручениями. При этом VPN-шлюз отвечает за аутентификацию пользователя и контроль доступа к сервисам и приложениям.
Данный метод предоставляет безопасный канал передачи данных только между клиентом и VPN-шлюзом, при это сохраняется несколько уязвимостей: данные никак не защищаются по пути от шлюза к внутренним ресурсам и в процессе работы клиентские приложения сохраняют данные локально на удаленном устройстве, где их безопасность также остаётся под вопросом. Данный метод следует рассматривать как дополнительную меру обеспечения безопасности, нежели универсальный инструмент, гарантирующий абсолютную сохранность корпоративных данных.
Корпоративные порталы
Портал – это, как правило, web-based решение, предоставляющее централизованный пользовательский интерфейс к корпоративным приложениям через web-браузер. При этом сами клиентские приложения и данные, с которыми они работают, находятся в периметре организации. Это основное отличие от описанного выше способа с применением VPN, оно обеспечивает лучшую защищенность при организации удаленной работы. Однако портал нельзя назвать рабочим инструментом топ-менеджера, зачастую он имеет ограниченные функциональные возможности и сложный пользовательский интерфейс.
Терминальный доступ (удаленный рабочий стол)
Этот способ знаком всем и в умах многих именно он ассоциируется с понятием удаленной работы. Однако помимо ограничений, связанных с требованиями к удаленному рабочему месту, едва ли десктоп или ноутбук можно назвать удобным инструментом для оперативной работы топ-менеджера, терминальный доступ имеет ряд серьезных проблем, связанных с безопасностью. Весь трафик от рабочей машины внутри организации до удаленного рабочего места имеет так называемое end-to-end (полное) шифрование, что исключает возможность использования firewall и прочих систем обнаружения угроз, для отслеживания того, какие данные циркулируют между удаленным клиентом и закрытой сетью организации. Также данный способ, в отличии от портала и VPN-шлюза, является децентрализованным и требует контроля безопасности на каждой рабочей станции, с которой осуществляется удаленная работа. Кроме того, потенциальный ущерб от возможного взлома рабочей станции крайне высок, поскольку злоумышленники получат доступ ко всем приложениям и данным без исключения.
Прямой доступ к приложениям
Сегодня это наиболее привлекательный и перспективный способ организации удаленной работы. Благодаря активному развитию облачных технологий и движению корпоративных систем в сторону гибких распределенных архитектур, появляется возможность, находясь за периметром организации, работать с конкретной системой напрямую через отдельное клиентское приложение (или веб-браузер) по защищенному каналу связи (HTTPS). При этом организация имеет полный контроль над движением информации от серверов приложений до клиентов, а пользователь получает доступ ко всем необходимым функциям системы в удобном интерфейсе. Но стоит помнить о необходимости обеспечения повышенной защиты для сервера приложений, так как он становится доступным для атак из внешних сетей. Целесообразно применять данный способ в связке с VPN-шлюзом.
Источник: Журнал "Современные технологии делопроизводства и документооборота"
Комментарии 8
Надуманная проблема. Почему так часто не обсуждается безопасность доступа, например, к электронной почте?
Удаленный доступ можно защитить с применением криптографии и межсетевого экранирования, а также средств защиты рабочего места (средства защиты от несанкционированного доступа, антивирус, анализ уязвимости и обнаружение вторжений). Основа — криптография, обеспечивающая аутентификацию участников и шифрование канала (а также подпись и шифрование файлов). Без криптографии можно обойтись, только если нет передачи данных через интернет.
В зависимости от того, против кого строится защита и каков контент, определяют место установки, алгоритмы (ГОСТ/неГОСТ) и режимы работы криптосредств. Вот тут и будут варианты: VPN-шлюз/VPN-клиент и TLS-сервер/TLS-клиент и их вариации. Приведенные в статье способы это частные случаи данных вариантов.
Потому что безопасность доступа не так актуальна, если сообщения зашифрованы в адрес абонентов.
А если не зашифрованы сообщения, что означает - мы доверяем владельцу почтового сервера, то остается лишь защитить процесс подключения (аутентификация) и трафик от клиента до сервера (шифрование). Сегодня все популярные почтовые серверы и клиенты это реализуют с использованием TLS (IMAPS/POP3S/SMTPS).
Многим кажется проблема информационной безопасности надуманной ровно до того момента, пока беда не придёт к ним в дом (работу) =).
Почему не обсуждают безопасность доступа к электронной почте? Ещё как обсуждают.
Другое дело, что люди испытывают
беспричинноебезмерное доверие к вендорам продуктов и сервисов email, которыми пользуются. Если говорить о внутреннем корпоративном сервере, то это скорее всего Microsoft Exchange + Outlook, если внешний сервис - то наверняка Google Mail. В обоих случаях используются проверенные временем (и тысячами пользователей) механизмы авторизации и аутентификации, а так же полное шифрование трафика по HTTPS. А теперь можно ли сказать то же самое о всем зоопарке ИС (в частности ECM и ERP), который присутствует на местах, с учетом того, что системы разработаны компаниями не с такими внушающими доверия именами как Microsoft или IBM? *это риторический вопросА почему вы рассматриваете только 1 из векторов атаки - канал между клиентским приложением и серверами компании?
Мне вот вспоминается, что несколько лет назад было исследование, утверждающее, что основной канал утечки корпоративных данных - кража ноутбука. У вас есть информация, что ситуация поменялась?
А какая беда? Ну что за беда может случиться? Приведите какой-нибудь известный пример. Только не нужно приводить утечку секретных данных, типа тех, что Сноуден выложил в сеть.
Частый случай, когда пользователи своими руками, по неосторожности, выкладывают в сеть конфиденциальную информацию, и подобное происходит независимо от того, работает пользователь удаленно или на рабочем месте. Как в данном направлении строится работа по защите контента?
Думаю, это вопрос не столько к проблеме обеспечения безопасности на уровне использования различных технологий, а организационный момент, как говорится "
дуракунеумному человеку уже ничего не поможет". Технологии должны помогать "думать" вместе с человеком, а не вместо.Ну, я думаю, любая организованная деятельность на технологии только опирается, а не ставит их использование самоцелью.
Однако, если отвечать на вопрос Антона со стороны чисто технологической, то данную задачу (защиту от ошибочной пересылки/выкладывания документа, а точнее - более общую задачу: защиту документа вне системы СЭД и/или сети компании) решает класс средств, называемый Information Right Management (IRM). Один из наиболее известных продуктов это Active Directory Rights Management Services, AD RMS (ранее известная как Microsoft Rights Management).
На EJ можно найти некоторую информацию об этой технологии. Например, Microsoft Rights Management и системы документооборота: есть ли связь?