Весной компании и ведомства перевели сотрудников на удалёнку за считанные дни. Безопасность догоняла на ходу: VPN ставили в авральном режиме, личные ноутбуки пускали в корпоративную сеть, доступы раздавали по принципу «лишь бы работало». К осени аврал прошёл, и теперь видно, какие решения держат нагрузку, а какие создают дыры. Соберём уроки года – без паники и без рекламы «серебряных пуль».

Периметр размылся, а доступы остались широкими

Главная ошибка весны – попытка натянуть старую модель «защищённого периметра» на распределённую работу. Когда половина сотрудников сидит дома, а трафик идёт через домашние роутеры и публичный Wi-Fi, граница между «внутри» и «снаружи» исчезает. Те, кто это понял, переходят к модели нулевого доверия: каждый запрос проверяется по пользователю, устройству и контексту, а не по факту нахождения в сети.

На практике это означает три вещи. Первое – многофакторная аутентификация на всех внешних входах, без исключений для руководства. Второе – сегментация: бухгалтерия, разработка и АРМ с гостайной не должны видеть друг друга на сетевом уровне. Третье – ревизия прав. За год большинство организаций раздали доступов больше, чем нужно, и почти никто их не отозвал. Принцип минимальных привилегий – не лозунг, а конкретная работа по чистке учётных записей.

Для госсектора добавляется регуляторный слой. Требования ФСТЭК и приказы по защите ГИС и персональных данных никто не отменял на время пандемии. Удалённый доступ к информационным системам нужно строить на сертифицированных СКЗИ и фиксировать в модели угроз – иначе аттестация рухнет при первой же проверке.

Устройства – слабое звено, которое чинится управляемо

Личные ноутбуки и смартфоны стали нормой, и это главный источник риска: непропатченные ОС, отсутствие шифрования диска, общий доступ к корпоративной почте и семейному торрент-клиенту на одной машине. Запретить личные устройства задним числом невозможно – людям надо работать. Значит, их нужно взять под контроль.

Здесь помогает централизованное управление парком устройств. Мы уже писали, почему единый источник данных об устройствах через MDM снимает половину головной боли: политики шифрования, удалённое стирание при утере, контроль версий ПО и приложений применяются из одной точки. Без этого служба ИБ просто не знает, что подключается к её сети.

Второй вывод – безопасность нельзя пристраивать сбоку. Когда защита, идентификация и управление устройствами живут в разных несвязанных продуктах, появляются зазоры, в которые и проходят инциденты. Экосистемный подход, при котором сервисы спроектированы как единое целое, закрывает стыки, где обычно и случаются утечки.

Мониторинг важнее запретов

Год показал: запретами удалёнку не защитить. Сотрудники обходят неудобные правила, и чем жёстче запрет, тем изобретательнее обход. Работает другое – видимость. Логирование действий, контроль аномалий, анализ доступа к чувствительным данным дают шанс заметить инцидент до того, как он станет утечкой.

Технологии анализа данных, которые мы применяем и в промышленных задачах вроде компьютерного зрения на производстве, работают и в ИБ: модели выявляют отклонения в поведении пользователей, на которые человек не успеет среагировать вручную. Это не замена аналитику, а его усилитель.

Вывод

Удалёнка из временной меры превратилась в постоянный режим, и защищать её по остаточному принципу больше нельзя. Три приоритета на ближайший год – нулевое доверие вместо периметра, управляемые устройства вместо хаоса BYOD и мониторинг вместо запретов. Системный подход здесь начинается не с закупки очередной коробки, а с проектирования и внедрения защиты под распределённую работу.