คุณทำอะไรกับพนักงานและแล็ปท็อปส่วนตัว?

วันนี้หนึ่งในนักพัฒนาของเรามีแล็ปท็อปของเขาถูกขโมยจากบ้านของเขา เห็นได้ชัดว่าเขามีการชำระเงินเต็มรหัสแหล่งที่มาของ บริษัท เช่นเดียวกับสำเนาเต็มของฐานข้อมูล SQL

นี่คือเหตุผลหนึ่งที่ทำให้ฉันไม่สามารถอนุญาตให้ บริษัท ทำงานกับแล็ปท็อปส่วนตัวได้
อย่างไรก็ตามแม้ว่านี่จะเป็นแล็ปท็อปของ บริษัท แต่เราก็ยังมีปัญหาเดิมอยู่แม้ว่าเราจะอยู่ในตำแหน่งที่แข็งแกร่งกว่าเล็กน้อยในการบังคับใช้การเข้ารหัส (WDE) บนดิสก์ทั้งหมด

คำถามเหล่านี้:

1. บริษัท ของคุณทำอะไรเกี่ยวกับข้อมูล บริษัท บนฮาร์ดแวร์ที่ไม่ใช่ของ บริษัท
2. WDE เป็นทางออกที่สมเหตุสมผลหรือไม่? มันผลิตค่าใช้จ่ายจำนวนมากในการอ่าน / เขียน?
3. นอกเหนือจากการเปลี่ยนรหัสผ่านสำหรับสิ่งที่จัดเก็บ / เข้าถึงได้จากที่นั่นมีอะไรอีกบ้างที่คุณสามารถแนะนำได้

1. ปัญหาคือการอนุญาตให้คนทำงานล่วงเวลาค้างชำระในชุดของตัวเองนั้นราคาถูกมากดังนั้นผู้จัดการจึงไม่ยอมหยุดมัน แต่แน่นอนว่าจะมีความสุขที่จะตำหนิไอทีเมื่อมีการรั่วไหล ... นโยบายบังคับใช้อย่างยิ่งเท่านั้นที่จะป้องกันปัญหานี้ได้ มันเป็นเรื่องของการจัดการที่พวกเขาต้องการสร้างสมดุล แต่มันเป็นปัญหาของคน

2. ฉันได้ทดสอบ WDE (Truecrypt) บนแล็ปท็อปที่มีภาระงานระดับผู้ดูแลระบบและมันก็ไม่ได้แย่ขนาดนั้นประสิทธิภาพที่ชาญฉลาดการโจมตี I / O นั้นน้อยมาก ฉันมีนักพัฒนาหลายคนเก็บสำเนาการทำงานประมาณ 20GB ไว้ด้วยเช่นกัน มันไม่ใช่ 'ทางออก' ในตัวของมันเอง (มันจะไม่หยุดข้อมูลที่ถูก slurped ออกจากเครื่องที่ไม่ปลอดภัยในขณะที่มันถูกบูทเป็นต้น) แต่มันจะปิดประตูจำนวนมากอย่างแน่นอน

3. วิธีการเกี่ยวกับการห้ามไม่ให้ใช้ข้อมูลที่จัดขึ้นภายนอกทั้งหมด; ตามด้วยการลงทุนในบริการเดสก์ท็อประยะไกล VPN ที่เหมาะสมและแบนด์วิดท์ที่รองรับ วิธีนี้จะทำให้รหัสทั้งหมดอยู่ในสำนักงาน ผู้ใช้จะได้รับเซสชันพร้อมการเข้าถึงทรัพยากรเครือข่ายท้องถิ่น และเครื่องที่ใช้ในบ้านก็กลายเป็นเครื่องที่โง่ มันจะไม่เหมาะกับทุกสภาพแวดล้อม (การเข้าถึงเป็นระยะ ๆ หรือการปล่อยให้สูงอาจเป็นตัวจัดการในกรณีของคุณ) แต่ก็คุ้มค่าที่จะพิจารณาว่าการทำงานที่บ้านมีความสำคัญต่อ บริษัท หรือไม่

บริษัท ของเราต้องการการเข้ารหัสทั้งดิสก์ในแล็ปท็อปของ บริษัท ทั้งหมด แน่นอนว่ามีค่าใช้จ่าย แต่สำหรับผู้ใช้ส่วนใหญ่ของเรานี่ไม่ใช่ปัญหา - พวกเขากำลังเรียกใช้เว็บเบราว์เซอร์และชุดสำนักงาน MacBook ของฉันถูกเข้ารหัสและมันไม่ได้ส่งผลกระทบต่อสิ่งต่าง ๆ มากพอที่ฉันสังเกตเห็นแม้เมื่อใช้ VMs ภายใต้ VirtualBox สำหรับคนที่ใช้เวลาส่วนใหญ่ในการรวบรวมรหัสต้นไม้ขนาดใหญ่อาจเป็นปัญหามากกว่า

คุณต้องมีกรอบนโยบายสำหรับสิ่งนี้: คุณต้องกำหนดให้แล็ปท็อปของ บริษัททั้งหมดได้รับการเข้ารหัสและคุณต้องกำหนดให้ไม่สามารถจัดเก็บข้อมูล บริษัท ในอุปกรณ์ที่ไม่ใช่ของ บริษัท นโยบายของคุณจะต้องมีการบังคับใช้สำหรับเจ้าหน้าที่ด้านเทคนิคและผู้บริหารแม้ว่าพวกเขาจะบ่นก็ตามไม่เช่นนั้นคุณก็จะพบปัญหาเดียวกันอีกครั้ง

ฉันจะให้ความสำคัญกับอุปกรณ์และข้อมูลที่เกี่ยวข้องน้อยลง วิธีนี้จะช่วยหลีกเลี่ยงปัญหาที่คุณพบในตอนนี้ คุณอาจไม่มีอำนาจในการกำหนดนโยบายเกี่ยวกับอุปกรณ์ที่เป็นของส่วนตัว อย่างไรก็ตามคุณควรมีเลเวอเรจที่ดีกว่าในการจัดการวิธีการจัดการข้อมูลของ บริษัท การเป็นมหาวิทยาลัยเรามีปัญหาเช่นนี้เกิดขึ้นตลอดเวลา คณะอาจไม่ได้รับเงินทุนในลักษณะที่แผนกของพวกเขาสามารถซื้อคอมพิวเตอร์หรือพวกเขาสามารถซื้อเซิร์ฟเวอร์การประมวลผลข้อมูลในการอนุญาต โดยทั่วไปการแก้ไขปัญหาเหล่านี้คือการปกป้องข้อมูลไม่ใช่ฮาร์ดแวร์

องค์กรของคุณมีนโยบายการจำแนกประเภทข้อมูลหรือไม่ ถ้าเป็นเช่นนั้นมันพูดว่าอะไร? ที่เก็บรหัสจะจำแนกได้อย่างไร? จะมีข้อกำหนดอะไรบ้างในหมวดหมู่นั้น หากคำตอบของคำตอบใด ๆ คือ "ไม่" หรือ "ฉันไม่รู้" ฉันขอแนะนำให้พูดคุยกับสำนักงานความปลอดภัยของข้อมูลของคุณหรือบุคคลใดก็ตามในองค์กรของคุณมีหน้าที่รับผิดชอบในการพัฒนานโยบาย

จากสิ่งที่คุณพูดออกมาฉันเป็นเจ้าของข้อมูลที่ฉันจะจัดว่าเป็น High หรือ Code Red หรือระดับสูงสุดของคุณคืออะไร โดยทั่วไปแล้วจะต้องมีการเข้ารหัสที่เหลือในระหว่างการขนส่งและอาจแสดงรายการข้อ จำกัด บางอย่างที่ข้อมูลได้รับอนุญาตให้ตั้ง

ยิ่งไปกว่านั้นคุณอาจกำลังมองหาวิธีการเขียนโปรแกรมที่ปลอดภัย สิ่งที่อาจประมวลผลวงจรชีวิตของการพัฒนาและไม่อนุญาตให้ผู้พัฒนาติดต่อกับฐานข้อมูลการผลิตยกเว้นในสถานการณ์ที่แปลกและหายาก

1. ) ทำงานจากระยะไกล

สำหรับนักพัฒนาเดสก์ท็อประยะไกลเป็นวิธีแก้ปัญหาที่ดีมากหากไม่ต้องการ 3D ประสิทธิภาพมักจะดีพอ

ในสายตาของฉันเดสก์ท็อประยะไกลนั้นปลอดภัยกว่า VPN เพราะโน้ตบุ๊กที่ปลดล็อคที่มีการใช้งาน VPN ช่วยให้มุมมองของเซิร์ฟเวอร์เทอร์มินัลค่อนข้างน้อย

VPN ควรมอบให้กับผู้ที่สามารถพิสูจน์ได้ว่าพวกเขาต้องการมากขึ้น

การย้ายข้อมูลที่ละเอียดอ่อนออกไปนอกบ้านเป็นสิ่งที่ไม่ต้องเดินทางและควรป้องกันหากเป็นไปได้ การทำงานในฐานะนักพัฒนาที่ไม่มีการเชื่อมต่ออินเทอร์เน็ตนั้นเป็นสิ่งต้องห้ามเนื่องจากการขาดการควบคุมแหล่งที่มาการติดตามปัญหาระบบเอกสารและการสื่อสารทำให้ประสิทธิภาพในการทำงานดีที่สุด

2. ) การใช้งานฮาร์ดแวร์ที่ไม่ใช่ของ บริษัท ในเครือข่าย

บริษัท ควรมีมาตรฐานของสิ่งที่ต้องการจากฮาร์ดแวร์ที่ต่อกับ LAN:

• ป้องกันไวรัส
• ไฟร์วอลล์
• อยู่ในโดเมนได้รับการประดิษฐ์
• หากอุปกรณ์เคลื่อนที่ถูกเข้ารหัส
• ผู้ใช้ไม่มีผู้ดูแลท้องถิ่น (ยากหากนักพัฒนา แต่ทำได้)
• เป็นต้น

ฮาร์ดแวร์ต่างประเทศควรปฏิบัติตามแนวทางเหล่านี้หรือไม่ได้อยู่ในเน็ต คุณสามารถตั้งค่า NAC เพื่อควบคุมสิ่งนั้นได้

3. ) สามารถทำได้เล็กน้อยเกี่ยวกับนมที่หก แต่สามารถทำตามขั้นตอนเพื่อหลีกเลี่ยงการเกิดซ้ำได้

หากทำตามขั้นตอนข้างต้นและโน้ตบุ๊กมีขนาดเล็กกว่าไคลเอนต์แบบพกพาเล็กน้อยไม่จำเป็นต้องมากขึ้น เฮ้คุณสามารถซื้อโน๊ตบุ๊คราคาถูกได้ (หรือใช้สมุดเก่า)

คอมพิวเตอร์ที่ไม่ได้อยู่ภายใต้การควบคุมของ บริษัท ของคุณไม่ควรได้รับอนุญาตบนเครือข่าย เคย เป็นความคิดที่ดีที่จะใช้บางอย่างเช่น VMPS เพื่อติดตั้งอุปกรณ์โกงใน VLAN ที่ถูกกักกัน ในทำนองเดียวกันข้อมูล บริษัท ไม่มีธุรกิจนอกอุปกรณ์ของ บริษัท

ทุกวันนี้การเข้ารหัสฮาร์ดดิสก์นั้นง่ายมากดังนั้นควรเข้ารหัสสิ่งใดก็ตามที่ออกจากสถานที่ ฉันเคยเห็นการจัดการแล็ปท็อปที่ประมาทเป็นพิเศษซึ่งจะเป็นหายนะหากไม่มีการเข้ารหัสดิสก์เต็มรูปแบบ ผลการดำเนินงานไม่เลวร้ายนักและผลประโยชน์มีมากกว่าที่คิด หากคุณต้องการประสิทธิภาพที่โดดเด่น VPN / RAS ในฮาร์ดแวร์ที่เหมาะสม

หากต้องการไปในทิศทางอื่นจากคำตอบอื่น ๆ ที่นี่:

ในขณะที่การปกป้องและรักษาความปลอดภัยของข้อมูลเป็นสิ่งสำคัญความน่าจะเป็นที่คนขโมยแล็ปท็อป:

1. รู้ว่าพวกเขาขโมยอะไร
2. ทราบตำแหน่งที่จะค้นหาข้อมูลและรหัสต้นฉบับ
3. รู้ว่าจะทำอย่างไรกับข้อมูลและรหัสต้นฉบับ

สวยไม่น่า สถานการณ์ที่เป็นไปได้มากที่สุดคือผู้ที่ขโมยแล็ปท็อปนั้นเป็นขโมยเก่าปกติและไม่ใช่สายลับของ บริษัท ที่ขโมยรหัส บริษัท เพื่อสร้างผลิตภัณฑ์ที่แข่งขันและนำออกสู่ตลาดก่อน บริษัท ของคุณ ของธุรกิจ

อย่างที่กล่าวไปแล้วมันอาจจะทำให้ บริษัท ของคุณต้องวางนโยบายและกลไกบางอย่างเพื่อป้องกันสิ่งนี้ในอนาคต แต่ฉันจะไม่ปล่อยให้เหตุการณ์นี้ทำให้คุณตื่นขึ้นในตอนกลางคืน คุณสูญเสียข้อมูลในแล็ปท็อป แต่สันนิษฐานว่าเป็นเพียงการคัดลอกและการพัฒนาจะดำเนินต่อไปโดยไม่หยุดชะงัก

แล็ปท็อปที่เป็นเจ้าของ บริษัท ควรใช้ดิสก์เข้ารหัส ฯลฯ แน่นอน แต่คุณถามเกี่ยวกับคอมพิวเตอร์ส่วนบุคคล

ฉันไม่เห็นว่านี่เป็นปัญหาด้านเทคนิค แต่เป็นเรื่องเกี่ยวกับพฤติกรรม มีน้อยมากที่คุณสามารถทำได้จากมุมมองเทคโนโลยีเพื่อให้เป็นไปไม่ได้สำหรับคนที่จะเอาโค้ดกลับบ้านและแฮ็กมัน - แม้ว่าคุณจะสามารถป้องกันพวกเขาจากการตรวจสอบแหล่งที่มาทั้งหมดไปยังโครงการบนพื้นฐานที่เป็นทางการ ตัวอย่างข้อมูลที่บ้านหากพวกเขาตั้งใจแน่วแน่ที่จะทำเช่นนั้นและถ้ามีหนึ่งบรรทัด 10 ส่วนของโค้ด (หรือข้อมูลใด ๆ ) เป็นบิตที่มีซอสลับของคุณ / ข้อมูลที่มีค่าและเป็นความลับของลูกค้า / สถานที่ตั้งของจอกศักดิ์สิทธิ์ ยังคงมีแนวโน้มเช่นเดียวกับกระดูกโดยการสูญเสีย 10 บรรทัดที่คุณจะโดยการสูญเสีย 10 หน้า

ดังนั้นธุรกิจต้องการทำอะไร เป็นไปได้อย่างสมบูรณ์ที่จะกล่าวว่าผู้คนจะต้องไม่ทำงานในธุรกิจของ บริษัท จากคอมพิวเตอร์ที่ไม่ใช่ บริษัท และทำให้การเลิกจ้าง "การกระทำผิดขั้นต้น" เป็นการกระทำที่ผิดกฎหมายสำหรับผู้ที่ฝ่าฝืนกฎนั้น นั่นเป็นการตอบสนองที่เหมาะสมกับคนที่ตกเป็นเหยื่อของการลักขโมยหรือไม่? มันจะขัดกับวัฒนธรรมองค์กรของคุณหรือไม่? บริษัท ชอบเมื่อคนทำงานจากที่บ้านในเวลาของตัวเองและพร้อมที่จะสร้างความสมดุลระหว่างความเสี่ยงของการสูญเสียทรัพย์สินเมื่อเทียบกับการรับรู้ผลผลิตที่เพิ่มขึ้นหรือไม่? รหัสที่ใช้ในการควบคุมอาวุธนิวเคลียร์หรือตู้เซฟของธนาคารหรืออุปกรณ์ช่วยชีวิตในโรงพยาบาลและการละเมิดความปลอดภัยนั้นไม่สามารถนับได้ไม่ว่าในกรณีใด ๆ คุณมีข้อผูกมัดทางกฎหมายหรือข้อบังคับเกี่ยวกับความปลอดภัยของรหัส "เสี่ยง" หรือไม่

นี่คือคำถามที่ฉันคิดว่าคุณต้องพิจารณา แต่ไม่มีใครที่นี่สามารถตอบคำถามเหล่านี้ให้คุณได้

บริษัท ของคุณทำอะไรเกี่ยวกับข้อมูล บริษัท บนฮาร์ดแวร์ที่ไม่ใช่ของ บริษัท

แน่นอนว่าคุณควรมีข้อมูล บริษัท ที่เก็บไว้ในอุปกรณ์ของ บริษัท ไม่ว่าที่ไหนนอกจากจะถูกเข้ารหัสโดยแผนกไอทีของคุณ

WDE เป็นทางออกที่สมเหตุสมผลหรือไม่? มันผลิตค่าใช้จ่ายจำนวนมากในการอ่าน / เขียน?

ซอฟต์แวร์เข้ารหัสดิสก์ใด ๆ จะมีค่าใช้จ่ายบ้าง แต่ก็คุ้มค่าและแล็ปท็อปและไดรฟ์ USB ภายนอกทั้งหมดควรได้รับการเข้ารหัส

นอกเหนือจากการเปลี่ยนรหัสผ่านสำหรับสิ่งที่จัดเก็บ / เข้าถึงได้จากที่นั่นมีอะไรอีกบ้างที่คุณสามารถแนะนำได้

คุณยังสามารถรับซอฟต์แวร์การลบข้อมูลจากระยะไกลได้เช่นเดียวกับที่คุณมีในระบบ BES สำหรับแบล็กเบอร์รี่

ในสถานการณ์ที่มีซอร์สโค้ดเกี่ยวข้องและโดยเฉพาะอย่างยิ่งที่เครื่องที่ใช้ไม่สามารถควบคุมได้โดยแผนกไอทีของ บริษัท ฉันจะอนุญาตให้บุคคลนั้นพัฒนาในเซสชันระยะไกลที่โฮสต์บนเครื่องในสถานที่ของ บริษัท ผ่านทาง VPN

ซอฟต์แวร์เช็ดจากระยะไกล ซึ่งแน่นอนว่ามันจะใช้งานได้ก็ต่อเมื่อขโมยนั้นเป็นคนโง่พอที่จะเปิดคอมพิวเตอร์ให้กับอินเทอร์เน็ต แต่มีเรื่องราวของคนมากมายที่พบแล็ปท็อปที่ถูกขโมยด้วยวิธีนี้ดังนั้นคุณอาจโชคดี

การล้างเวลาที่กำหนดอาจเป็นตัวเลือกเช่นกันหากคุณไม่ได้ป้อนรหัสผ่านในเวลา X ชั่วโมงทุกอย่างจะถูกลบและคุณต้องชำระเงินอีกครั้ง ไม่เคยได้ยินเรื่องนี้มาก่อนอาจเป็นเพราะมันค่อนข้างงี่เง่าเพราะต้องใช้งานมากขึ้นจากผู้ใช้ที่เข้ารหัส อาจจะดีเมื่อใช้ร่วมกับการเข้ารหัสสำหรับผู้ที่กังวลเกี่ยวกับประสิทธิภาพ แน่นอนว่าคุณมีปัญหาในการเพิ่มพลังที่นี่เช่นกัน แต่ที่นี่ไม่จำเป็นต้องใช้อินเทอร์เน็ต

ความคิดของฉันเกี่ยวกับเรื่องนี้ว่าปัญหาที่ใหญ่ที่สุดของคุณคือสิ่งนี้ดูเหมือนจะบอกเป็นนัยว่าแล็ปท็อปสามารถเข้าถึงเครือข่าย บริษัท ฉันสมมติว่าคุณได้ป้องกันไม่ให้แล็ปท็อปเครื่องนี้ใช้ VPN ในเครือข่ายสำนักงาน

การอนุญาตให้คอมพิวเตอร์ที่ไม่ใช่ บริษัท เข้าสู่เครือข่ายสำนักงานเป็นความคิดที่ไม่ดี หากไม่ใช่แล็ปท็อปของ บริษัท คุณจะสามารถป้องกันไวรัสได้อย่างเพียงพอ การอนุญาตให้ใช้บนเครือข่ายหมายความว่าคุณไม่สามารถควบคุมโปรแกรมที่กำลังทำงานอยู่ได้ - เช่น wireshark ดูที่แพ็กเก็ตเครือข่าย ฯลฯ ...

คำตอบอื่น ๆ แนะนำว่าควรพัฒนาชั่วโมงนอกในเซสชัน RDP และไม่ชอบ จริงๆแล้วนี่หมายความว่าพวกเขาสามารถทำงานได้เฉพาะที่ที่พวกเขามีการเชื่อมต่ออินเทอร์เน็ต - ไม่สามารถทำได้บนรถไฟ ฯลฯ เสมอไป แต่มันก็ยังต้องการให้แล็ปท็อปสามารถเข้าถึงเซิร์ฟเวอร์สำหรับเซสชัน RDP ได้ คุณจำเป็นต้องพิจารณาว่าคุณรักษาความปลอดภัยการเข้าถึง RDP กับบุคคลที่มีสิทธิ์เข้าถึงแล็ปท็อปที่ถูกขโมย (และอาจเป็นรหัสผ่านบางส่วนที่เก็บไว้ในแล็ปท็อป)

ในที่สุดผลลัพธ์ที่น่าเป็นไปได้มากที่สุดคือแล็ปท็อปนั้นขายให้กับบุคคลที่ไม่สนใจเนื้อหาและจะใช้กับอีเมลและเว็บ อย่างไรก็ตาม .... นั่นเป็นความเสี่ยงที่ยิ่งใหญ่สำหรับ บริษัท

ล็อคแล็ปท็อปจะป้องกันปัญหาในกรณีนี้ (ฉันยังไม่ได้ยินการล็อคเดสก์ท็อป แต่จากนั้นอีกครั้งฉันยังไม่ได้ยินการขโมยขโมยเดสก์ท็อป)

เช่นเดียวกับที่คุณไม่ทิ้งเครื่องประดับไว้เมื่อคุณออกจากบ้านคุณไม่ควรปล่อยให้แล็ปท็อปของคุณไม่มีความปลอดภัย