За пять недель режима нерабочих дней периметр компании растворился. Сотрудники открывают корпоративные базы с домашних ноутбуков, пересылают документы через личную почту и хранят выгрузки на флешках. Старая модель защиты строилась вокруг офиса: межсетевой экран на входе, контроль печати, запрет USB. Эта модель больше не работает – данные ушли туда, где их некому контролировать. DLP и шифрование перестали быть опцией для параноиков и стали базовым требованием.

Где теперь проходит граница утечки

Раньше конфиденциальный документ покидал контур через три-четыре известных канала. Сейчас их десятки: личный мессенджер, облачное хранилище, сторонний сервис видеосвязи, домашний принтер, синхронизация на смартфон. Каждый новый инструмент удалённой работы – это новый путь утечки, и спешка апреля только умножила их число.

DLP-система (Data Loss Prevention) восстанавливает контроль не за счёт запретов, а за счёт видимости. Агент на рабочей станции отслеживает, какие документы куда уходят: по содержимому, по меткам конфиденциальности, по реакции на попытку отправить файл с грифом во внешнюю почту. Для распределённых команд критична работа агента в офлайне – он должен накапливать события и применять политики, даже когда ноутбук вне корпоративной сети. Это та же логика, что мы закладываем в мобильные приложения для распределённых команд: защита привязана к данным и к устройству, а не к стенам офиса.

Госсектору здесь сложнее. Требования по защите персональных данных и гостайны не сделали паузу на карантин. DLP в таком контуре должен опираться на сертифицированные ФСТЭК решения и фиксировать инциденты так, чтобы отчёт выдерживал проверку регулятора.

Шифрование: два рубежа, которые нельзя путать

Защита данных в покое и защита данных в передаче – разные задачи, и закрывать нужно обе.

Шифрование дисков (FDE) спасает, когда устройство физически потеряно или украдено. Домашний ноутбук в метро, забытая в такси флешка – без шифрования это готовая утечка с уведомлением Роскомнадзора. С BitLocker или сертифицированным российским СКЗИ диск превращается в бесполезный набор байтов.

Шифрование каналов закрывает второй рубеж – трафик между домом сотрудника и корпоративными ресурсами. VPN с криптографией по ГОСТ обязателен для госсектора и компаний с гостайной; для остального бизнеса достаточно корректно настроенного TLS и VPN на проверенном стеке. Ошибка, которую мы видим чаще всего, – VPN подняли за выходные, а контроль доступа за ним остался плоским: попал внутрь – получил всё. Сегментация и принцип минимальных прав не отменяются удалёнкой.

С чего начать на этой неделе

Полноценное внедрение DLP займёт месяцы, но защиту нельзя откладывать до их конца. Минимальный набор разворачивается быстро.

  • Включите шифрование дисков на всех рабочих устройствах, включая личные, через которые идёт работа.
  • Закройте удалённый доступ за VPN и уберите прямые публикации RDP в интернет.
  • Запретите хранение рабочих документов в личных облаках, дайте корпоративную альтернативу.
  • Разверните DLP в режиме мониторинга – сначала смотрите, потом блокируйте, чтобы не парализовать работу ложными срабатываниями.

Этот же подход – быстрый минимум сейчас, зрелая система потом – мы описывали применительно к автоматизации процессов в кризис. Скорость не должна означать отказ от контроля.

Вывод

Удалённая работа не ослабляет требования к защите данных – она переносит их ближе к каждому сотруднику. DLP даёт видимость потоков, шифрование закрывает потерю устройств и перехват трафика, контроль доступа не пускает лишних дальше нужного. Прогнозы конца прошлого года уже указывали на смещение периметра – мы разбирали это в обзоре трендов на 2020, просто никто не ждал, что переход случится за неделю. Когда защита данных в новом контуре остаётся открытым вопросом, её стоит свести в единый контур безопасности под удалённую работу с учётом требований регуляторов.