Pracownik korzystający z własnego urządzenia przy biurku.

Korzystanie przez pracowników z własnych urządzeń: środki bezpieczeństwa w miejscu pracy

Każda firma, której pracownicy mogą przynosić do pracy smartfony, tablety lub własne laptopy, powinna wdrożyć zasady bezpiecznego korzystania z własnych urządzeń (ang. Bring Your Own Device, BYOD). Niemal wszyscy pracownicy przynoszą do pracy urządzenia łączące z Internetem, które nawet jeśli nie są podłączone do sieci firmowej, wciąż mogą stanowić zagrożenie dla bezpieczeństwa.

Użycie własnego urządzenia w pozornie tak nieszkodliwym celu, jak wysłanie służbowej wiadomości e-mail, może przyczynić się do powstania luki w zabezpieczeniach sieci organizacji. Firmy różnej wielkości uważają zapewnienie bezpieczeństwa BYOD za duże wyzwanie, ponieważ wymaga ono sprawowania pewnej kontroli nad smartfonami i tabletami należącymi do pracowników. Przecież aż 40% naruszeń danych jest następstwem zgubienia lub kradzieży urządzenia. Jednak w kulturach, w których przywiązuje się dużą wagę do wolności osobistej, tego typu zasady mogą spotkać się z oporem lub niechęcią pracowników. Najlepsze jest delikatne, ale jednocześnie stanowcze podejście do tej kwestii.

Co mogą zrobić firmy, aby w tych warunkach poprawić swoje cyberbezpieczeństwo? Jedną z opcji jest całkowity zakaz korzystania z własnych urządzeń i rygorystyczne egzekwowanie tej zasady. Jednak globalny rynek BYOD jest duży i wciąż rośnie. W 2022 r. jego wartość szacowano na 350 miliardów dolarów. Trend pracy zdalnej z domu, którego katalizatorem była pandemia, przyspieszył ten proces. Alternatywą jest wdrożenie zdroworozsądkowych zasad i zabezpieczeń BYOD, aby uczynić tę praktykę bezpieczniejszą zarówno dla firm, jak i pracowników. Większość firm uważa tę opcję za łatwiejszą do wdrożenia, jednak to nie oznacza, że rozsądna polityka BYOD nie wymaga wysiłku i przemyślenia.

Zagrożenia bezpieczeństwa związane z BYOD

BYOD oznacza, że nominalnie firmy wydają mniej na sprzęt i oprogramowanie dla swoich pracowników. 82% firm umożliwia pracownikom korzystanie z własnych urządzeń w pracy. 71% z tej grupy pracodawców uważa, że pozwala to pracownikom bardziej komfortowo korzystać z urządzeń, ponieważ najlepiej znają się na obsłudze własnych telefonów. 58% uważa, że jest to bardziej produktywne. Jednak tylko 55% jest zdania, że pozwala to obniżyć koszty. Skąd ta rozbieżność? Prawdopodobnie stąd, że aż 50% firm, których polityka bezpieczeństwa zezwala korzystanie przez pracowników z własnych urządzeń, doświadcza naruszeń danych za pośrednictwem urządzeń należących do pracowników. Nic zatem dziwnego, że spośród firm, które sprzeciwiają się przyjęciu zasad BYOD, 26% jako główny powód podaje obawy związane z bezpieczeństwem.

Najlepsze metody zapewnienia bezpieczeństwa BYOD

Pracownicy korzystający wspólnie z laptopów, tabletów i telefonów komórkowych

Każda skuteczna polityka BYOD obejmuje następujące elementy:

  • Dopuszczalne rodzaje urządzeń
  • Dopuszczalne użycie: do jakich aplikacji i zasobów pracownicy mają dostęp ze swoich urządzeń?
  • Minimalne wymagania dotyczące kontroli bezpieczeństwa urządzeń: jakich środków bezpieczeństwa będzie wymagać firma w odniesieniu do urządzeń BYOD?
  • Komponenty dostarczane przez firmę: np. certyfikaty SSL do uwierzytelniania urządzeń
  • Prawa firmy dotyczące modyfikacji urządzeń: np. zdalne usunięcie danych w przypadku kradzieży lub utraty urządzenia
  • Co dzieje się z firmowymi danymi na urządzeniach pracowników odchodzących z firmy?
  • Kto jest właścicielem aplikacji i danych na urządzeniu? Czy firma będzie zwracać pracownikom koszty zakupu aplikacji lub miesięczne opłaty?
  • Jakiego wsparcia IT udzieli właścicielom urządzeń?

Osoby decydujące o kształcie polityki muszą wziąć pod uwagę następujące kwestie, aby zapewnić jej optymalny kształt:

  • Zasady zdrowego rozsądku: ograniczenie prywatnych rozmów i wideopołączeń w pracy, zakaz używania podczas prowadzenia samochodu
  • Konserwacja i aktualizacje: przyjęte zasady powinny gwarantować, że pracownicy będą rzetelnie aktualizować oprogramowanie urządzeń i aplikacje
  • Zasady dotyczące przesyłania danych: dane firmowe powinny być zaszyfrowane i chronione hasłem oraz przesyłane wyłącznie przy użyciu aplikacji dopuszczonych przez firmę
  • Zasady dotyczące haseł: ochrona poufnych informacji wymaga obowiązkowego stosowania haseł; może być także wymagane uwierzytelnianie dwuskładnikowe

Zasady dotyczące ochrony prywatności: w jaki sposób firmy mogą pogodzić ochronę danych i prywatności pracowników z BYOD?

Polityka bezpieczeństwa BYOD

Jak najlepiej opracować spójne i bezpieczne praktyki BYOD? Każdy proces kształtowania polityki na taką skalę powinien obejmować zarówno pracowników, jak i interesariuszy. Opinie pracowników można poznać, przeprowadzając ankietę, która będzie doskonałą podstawą do planowania polityki. W zespole zarządzającym projektami BYOD powinni znaleźć się przedstawiciele kierownictwa oraz działów kadr, IT, finansowego i administracji (ochrona). Działy te powinny wnieść swój wkład.

Po rozesłaniu ankiety i otrzymaniu odpowiedzi warto przeprowadzić analizę w celu określenia, jakie dane i aplikacje są niezbędne na urządzeniach pracowników. Po wdrożeniu zasad opracowanej polityki istotnym etapem procesu są szkolenia. Pracownicy wszystkich szczebli muszą zapoznać się z protokołem postępowania z danymi, rozwiązywania problemów z urządzeniami, procedurami w przypadku zgubienia lub kradzieży urządzenia itp. Powinni także dowiedzieć się, jakich używać aplikacji, jak chronić się przed phishingiem oraz jak zachowywać czujność wobec innych cyberzagrożeń.

Powszechnie uważa się, że pracownicy nieprzeszkoleni w zakresie cyberbezpieczeństwa stanowią największe zagrożenie dla integralności danych organizacji. W 2014 r. 87% menedżerów IT uważało, że największym zagrożeniem dla organizacji są urządzenia mobilne używane przez nieostrożnych pracowników. W 2020 r. aż 96% ataków na urządzenia mobilne wykorzystywało w tym celu aplikacje. Przyczyną jest to, że większość aplikacji (blisko 4 na 5) korzysta z wbudowanych bibliotek innych dostawców, które mogą tworzyć luki w zabezpieczeniach.

Z jakich aplikacji powinna korzystać firma wdrażająca skuteczną politykę BYOD? Badanie wykazało, że pracownicy używają codziennie pięciu lub więcej aplikacji. Organizacje powinny posiadać dedykowaną bezpieczną platformę do przesyłania wiadomości, pocztę e-mail, oprogramowanie CRM i wszelkie inne aplikacje, których będą potrzebować pracownicy. Należy zadbać o to, aby aplikacje, które mogą stwarzać zagrożenie, były na pewno wyłączone.

Organizacje powinny mieć również określone procedury dla pracowników, którzy z jakiegoś powodu odchodzą z firmy. Gdy pracownik odchodzi, organizacja musi upewnić się, że z jego urządzeń zostały usunięte wszystkie dane, a także cofniętego dostęp do firmowych aplikacji. Obowiązek ten nastręcza jednak wiele trudności i często jest uważany za wystarczający powód do rezygnacji z polityki BYOD i zapewnienia przez firmę własnych urządzeń.

Skuteczność przyjętych zasad zależy od zdolności firmy do ich egzekwowania, co niestety oznacza konieczność poniesienia konsekwencji przez tych, którzy nie zdołają ich przestrzegać. Każda polityka powinna obejmować szczegółowe zasady dotyczące monitorowania, pomiaru i egzekwowania odpowiedzialności, aby wszyscy członkowie zespołu byli tego świadomi. Brak nadzoru jest jednym z głównych problemów związanych z wdrażaniem polityki BYOD. Firmy potrzebują wystarczającej liczby pracowników wsparcia IT, aby skonfigurować urządzenia pracowników i zapewnić im ciągłe wsparcie i monitoring.

Po zabezpieczeniu systemów i protokołów organizacje powinny nadać priorytet edukacji pracowników. Jeśli BYOD ma się powieść, konieczne jest uświadomienie pracownikom, jak ważne jest dopuszczalne użytkowanie i jakie znaczenie ma podstawowa higiena bezpieczeństwa danych.

Widok z góry na trzy osoby pracujące przy biurku z laptopami, tabletami i dokumentami.

Rozwiązania z zakresu bezpieczeństwa BYOD

Rozwiązania z zakresu bezpieczeństwa, które należy rozważyć w kontekście polityki BYOD, obejmują:

  • Szyfrowanie danych w spoczynku i w ruchu
  • Oprogramowanie antywirusowe: dostarczone przez firmę lub zalecone do zainstalowania przez pracowników
  • Monitorowanie: śledzenie lokalizacji GPS urządzeń pracowników, ruchu internetowego itp.
  • Konteneryzacja: urządzenia są dzielone na osobiste lub finansowe „bańki” ochronione hasłem
  • Szkolenie dotyczące higieny haseł, w tym wymagań ich regularnej zmiany
  • Czarna lista: blokowanie lub ograniczanie korzystania z aplikacji, głównie ze względu na to, że zagrażają bezpieczeństwu operacyjnemu lub szkodzą produktywności; zwykle nie jest to możliwe na urządzeniach należących do pracowników, o ile nie stosuje się konteneryzacji
  • Biała lista: zezwalanie na dostęp tylko do niektórych zatwierdzonych aplikacji – zwykle bardziej praktyczne w przypadku sprzętu rozproszonego w organizacji
  • Wymóg regularnego tworzenia kopii zapasowych, a także aktualizacji aplikacji i systemów operacyjnych
  • Okresowe szkolenia i szkolenia utrwalające w zakresie ochrony danych firmowych, dostępu do sieci Wi-Fi i korzystania ze sprzętu BYOD
  • Ograniczenie dostępu do danych: w celu zapobiegania wyciekom danych dostęp do danych powinien być ściśle kontrolowany, tak aby tylko te osoby, które potrzebują dostępu do określonych zestawów danych w pracy, miały do nich dostęp z własnych urządzeń

Narzędzia do monitorowania lokalizacji danych i schematów dostępu do danych, do wykrywania podejrzanych zachowań, takich jak dostęp z niezabezpieczonych lub podejrzanych lokalizacji (np. Korea Północna).

Jedną z metod zapewnienia większego bezpieczeństwa systemów BYOD jest zaopatrzenie pracowników w szyfrowane pamięci flash USB oraz szyfrowane dyski SSD. To bardziej ekonomiczne rozwiązanie niż zaopatrzenie wszystkich pracowników w telefony lub tablety i znacznie prostsze niż konteneryzacja każdego z urządzeń, które pracownicy przynoszą do pracy. Dane przechowywane w takich urządzeniach pamięci są znacznie lepiej chronione niż na tradycyjnych nośnikach. Przy odpowiedniej jakości szyfrowania złodziej, który może fizycznie wejść w posiadanie nośnika pamięci, nie jest w stanie uzyskać dostępu do cennych danych.

#KingstonIsWithYou #KingstonIronKey

Ikona usługi Zapytaj eksperta firmy Kingston na płytce drukowanej chipsetu

Zapytaj eksperta

Aby wybrać odpowiednie rozwiązanie, należy poznać cele bezpieczeństwa swojego projektu. Skorzystaj ze wskazówek ekspertów firmy Kingston.

Zapytaj eksperta

Powiązane filmy

Powiązane artykuły