Компании массово выводят сотрудников на удалёнку, и периметр безопасности расползается по домашним сетям и личным ноутбукам. Открыть RDP «наружу» и раздать пароли – самый быстрый способ потерять данные. Защищённый удалённый доступ можно собрать за неделю, если не пытаться построить всё сразу, а закрыть три уровня: канал, рабочее место и права. Ниже – рабочая схема, которую мы разворачиваем у заказчиков из бизнеса и госсектора.
Канал: VPN с двухфакторной аутентификацией
Первый шаг – закрыть прямой доступ к внутренним ресурсам. Весь трафик идёт через VPN-шлюз, наружу не торчит ни RDP, ни админские панели. Для госсектора и компаний с требованиями по защите ПДн берите решения с сертификацией ФСТЭК и российскую криптографию по ГОСТ – «КриптоПро», С-Терра, «Континент». Это снимает вопросы регулятора и укладывается в логику импортонезависимой инфраструктуры, которую государство выстраивает последние годы.
Пароля недостаточно. Добавляйте второй фактор: OTP в приложении или SMS, для критичных групп – аппаратные токены. Развернуть базовый VPN-шлюз с 2FA на 100–300 пользователей реально за два-три дня, включая выпуск сертификатов и инструкцию для сотрудников.
Рабочее место: VDI вместо личных ноутбуков
VPN пускает пользователя в сеть, но не решает проблему незащищённого устройства. Домашний компьютер с пиратским софтом и без антивируса – это вынос корпоративных данных на диск, который вы не контролируете. VDI (виртуальные рабочие столы) разрывает эту связь: данные и приложения остаются в дата-центре, на устройство сотрудника передаётся только картинка.
Это особенно важно для подразделений, работающих с финансами, персональными данными и гостайной по соответствующим классам. Сотрудник подключается к своему рабочему столу, но скопировать файл к себе на диск или вставить флешку не может – политики запрещают. Базовый пул VDI для отдела разворачивается на существующей виртуализации за несколько дней; о том, как при этом не уронить производительность каналов и серверов, мы писали в разборе инфраструктуры удалённой работы.
Права: контроль доступа по принципу минимума
Третий уровень – кто и куда имеет доступ. На удалёнке цена ошибки в правах растёт: скомпрометированная учётка бухгалтера не должна открывать доступ ко всей сети. Раздавайте права по ролям и по принципу минимальных привилегий – пользователь видит только те системы, которые нужны для работы.
Технически это сегментация сети между группами пользователей, централизованная аутентификация через каталог (AD или его российские аналоги) и журналирование действий. Если внутренние системы общаются между собой через сервисную шину, контроль доступа удобно вынести на уровень интеграции – шина становится единой точкой, где проверяются права и пишутся логи обращений. Логи нужны не для галочки: при инциденте только они покажут, что именно утекло и через чью учётную запись.
Вывод
За неделю реально закрыть все три уровня: VPN с 2FA на сертифицированной криптографии, VDI для работы с чувствительными данными и контроль доступа по ролям с журналированием. Это не «идеальная» архитектура на годы, а работающий минимум, который защищает периметр уже сейчас и который потом наращивают без переделок. Развернуть такой контур быстро и с учётом требований регулятора – это и есть защита периметра удалённого доступа на практике.
