Утеря конфиденциальных данных и связанные с этим риски могут обойтись компании дороже, чем выгоды от мобильности сотрудников. Основной причиной такого положения дел является использование устаревших принципов защиты и отсутствие системного подхода к применению мобильных устройств. Поэтому трансформация офиса в мобильный должна начинаться не с закупки iPad, а с создания регламента применения подобной техники.
На этой неделе практически одновременно были опубликованы два исследования рынка корпоративной IT-безопасности. По данным, полученным B2B International совместно с «Лабораторией Касперского», около 35% компаний, сотрудники которых используют ноутбуки, не шифруют служебную информацию на мобильных компьютерах. В России этот показатель достигает 38%. А по данным FireEye Malware Intelligence Lab, среднестатистическая компания сталкивается с вредоносным контентом раз в три минуты, причем для технологических фирм, основную стоимость которых составляет интеллектуальная собственность, этот показатель еще выше. Объединяет эти два исследования общее следствие – как в результате утери ноутбука, так и в случае проникновения вредоносного приложения в корпоративную сеть, у злоумышленников в руках оказываются конфиденциальные данные компании. Масштаб последствий для России неочевиден, а вот в США, по исследованиями Ponemon Institute, прямой финансовый ущерб от утери ноутбуков достигает почти $1 млрд, а косвенный – от пропажи данных – почти $25 млрд.
Объемы ущерба от утраты данных делают корпоративную концепцию BYOD (принеси свое устройство) значительно менее привлекательной.
Проблема утечки данных и связанного с ней ущерба имеет несколько аспектов. Во-первых, сотрудники просто начинают пользоваться рабочей почтой и конфиденциальными файлами на личном ноутбуки или планшете, никак не меняя его настройки. Документы не зашифрованы, могут быть видны посторонним (например, домочадцам), а также украдены дистанционно при заражении компьютера вирусом или физически – вместе с ноутбуком. Кроме того, зараженный домашний компьютер при подключении к офисной сети может распространить вирус на другие машины, уже корпоративные. Наконец, даже если на личный компьютер были установлены стандартные средства корпоративной безопасности, их настройки и функциональность обычно направлены на защиту периметра сети, тогда как переносные устройства покидают этот безопасный периметр.
По словам экспертов RSA, основной способ решения проблемы – переход от защиты периметра к защите самих данных. В случае с корпоративной мобильностью это обычно реализуется так – все рабочие данные хранятся на компьютере и передаются по сети в зашифрованном виде. Временная расшифровка и пользование данными возможна только внутри специального приложения, одобренного системным администратором. «В нагрузку» к подобному приложению может полагаться современная антивирусная защита, одобренная ИТ-специалистом и снижающая риск инфицирования полу-служебного ноутбука.