Сегодня у одного из наших разработчиков украли ноутбук из дома. Судя по всему, у него была полная svn проверка исходного кода компании, а также полная копия базы данных SQL.
Это одна из веских причин, почему я лично против того, чтобы компания могла работать с личными ноутбуками.
Однако, даже если бы это был ноутбук компании, у нас все равно была бы та же проблема, хотя мы были бы в немного более сильной позиции, чтобы принудительно применять шифрование (WDE) на всем диске.
Вопросы такие:
Проблема в том, что позволять людям неоплачиваемую сверхурочную работу на собственном оборудовании обходится очень дешево, поэтому менеджеры не так охотно отказываются от этого; но, конечно, будет счастлив обвинить ИТ в утечке ... Только строго соблюдаемая политика сможет предотвратить это. Это зависит от руководства, где они хотят найти баланс, но это в значительной степени проблема людей.
Я тестировал WDE (Truecrypt) на ноутбуках с рабочими нагрузками на уровне администратора, и это действительно не так уж плохо, с точки зрения производительности, удары по вводу-выводу незначительны. У меня есть несколько разработчиков, которые хранят на нем рабочие копии ~ 20 ГБ. Само по себе это не «решение»; (Например, это не остановит передачу данных с незащищенной машины во время ее загрузки), но определенно закроет множество дверей.
Как насчет полного запрета на все данные, хранимые извне; затем последовали некоторые инвестиции в службы удаленного рабочего стола, достойный VPN и пропускную способность для его поддержки. Таким образом, весь код остается внутри офиса; пользователи получают сеанс с доступом к ресурсам локальной сети; а домашние машины просто становятся тупыми терминалами. Он не подойдет для всех сред (прерывистый доступ или высокий уровень знаний могут быть препятствием в вашем случае), но стоит подумать, важна ли работа на дому для компании.
Наша компания требует шифрования всего диска на всех принадлежащих компании ноутбуках. Конечно, есть накладные расходы, но для большинства наших пользователей это не проблема - они используют веб-браузеры и офисные пакеты. Мой MacBook зашифрован, и это не так сильно повлияло на то, что я заметил, даже при запуске виртуальных машин под VirtualBox. Для человека, который большую часть дня тратит на компиляцию больших деревьев кода, это может стать большой проблемой.
Очевидно, что вам нужна политическая структура для такого рода вещей: вам нужно потребовать, чтобы все ноутбуки, принадлежащие компании, зашифрованы, и вам необходимо потребовать, чтобы данные компании не могли храниться на оборудовании, не принадлежащем компании. Ваша политика также должна применяться к техническому и руководящему персоналу, даже если они жалуются, иначе вы снова столкнетесь с той же проблемой.
Я бы меньше сосредоточился на самом оборудовании и больше на задействованных данных. Это поможет избежать проблем, с которыми вы столкнулись сейчас. У вас может не быть рычагов воздействия на политику в отношении личного оборудования. Тем не менее, вам лучше иметь рычаги влияния, чтобы указать, как обрабатываются данные, принадлежащие компании. Мы, университет, постоянно сталкиваемся с подобными проблемами. Факультет не может получать финансирование таким образом, чтобы его отдел мог купить компьютер, или они могли купить сервер обработки данных на грант. Как правило, решение этих проблем заключается в защите данных, а не оборудования.
Есть ли в вашей организации политика классификации данных? Если да, то что там написано? Как бы классифицировать репозиторий кода? Какие требования будут предъявляться к этой категории? Если ответ на любой из этих вопросов - «Нет» или «Я не знаю», я бы порекомендовал поговорить с вашим офисом информационной безопасности или с кем-либо в вашей организации, ответственным за разработку политик.
Основываясь на том, что, по вашему мнению, было выпущено, будь я владельцем данных, я бы, вероятно, классифицировал их как Высокий, или Красный Код, или каков ваш самый высокий уровень. Обычно для этого требуется шифрование в состоянии покоя, при передаче и даже могут быть указаны некоторые ограничения на то, где данные могут быть размещены.
Помимо этого, вы можете захотеть реализовать некоторые методы безопасного программирования. Что-то, что может кодифицировать жизненный цикл разработки и прямо запрещать разработчикам вступать в контакт с производственной базой данных, за исключением странных и редких обстоятельств.
1.) Работа удаленно
Для разработчиков удаленный рабочий стол - очень хорошее решение, если не требуется 3D. Производительность обычно достаточно хорошая.
На мой взгляд, удаленный рабочий стол даже безопаснее, чем VPN, потому что незаблокированный ноутбук с активным VPN позволяет гораздо больше, чем просмотр терминального сервера.
VPN следует предоставлять только тем людям, которые могут доказать, что им нужно больше.
Выносить конфиденциальные данные из дома запрещено, и по возможности его следует избегать. Работа разработчика без доступа к Интернету может быть запрещена, потому что отсутствие доступа к системе контроля версий, отслеживанию проблем, системам документации и коммуникациям в лучшем случае снижает эффективность.
2.) Использование стороннего оборудования в сети.
Компания должна иметь стандарт того, что требуется от оборудования, подключенного к локальной сети:
Зарубежное оборудование должно либо соответствовать этим рекомендациям, либо отсутствовать в сети. Вы можете настроить NAC, чтобы это контролировать.
3.) Немногое можно сделать с пролитым молоком, но можно предпринять шаги, чтобы избежать повторного возникновения.
Если все вышеперечисленные шаги предприняты, а ноутбуки - это не что иное, как мобильные тонкие клиенты, больше не потребуется. Эй, вы даже можете купить дешевые ноутбуки (или использовать старые).
Компьютеры, не находящиеся под контролем вашей компании, не должны допускаться в сеть. Когда-либо. Хорошая идея использовать что-то вроде VMPS, чтобы поместить несанкционированное оборудование в изолированную VLAN. Точно так же данные компании не ведут бизнес за пределами оборудования компании.
В наши дни шифрование жесткого диска довольно просто, поэтому шифруйте все, что выходит за пределы помещения. Я видел очень небрежное обращение с ноутбуками, которое было бы катастрофой без полного шифрования диска. Падение производительности не так уж и плохо, а выгода намного перевешивает. Если вам нужна невероятная производительность, подключите VPN / RAS к соответствующему оборудованию.
Чтобы пойти в другом направлении от некоторых других ответов здесь:
Несмотря на то, что защита и безопасность данных важны, вероятность того, что человек, укравший ноутбук:
Вряд ли. Наиболее вероятный сценарий состоит в том, что человек, который украл ноутбук, является обычным старым вором, а не корпоративным шпионом, стремящимся украсть исходный код вашей компании, чтобы создать конкурирующий продукт и вывести его на рынок раньше вашей, тем самым вытеснив вашу компанию. бизнеса.
При этом, вероятно, вашей компании следовало бы ввести в действие некоторые политики и механизмы, чтобы предотвратить это в будущем, но я бы не позволил этому инциденту мешать вам спать по ночам. Вы потеряли данные на ноутбуке, но предположительно это была только копия, и разработка будет продолжаться без перерыва.
Корпоративные ноутбуки, конечно, должны использовать зашифрованные диски и т. Д., Но вы спрашиваете о персональных компьютерах.
Я не считаю это технической проблемой, а скорее поведенческой. С технологической точки зрения вы очень мало можете сделать, чтобы кто-то не смог взять код домой и взломать его - даже если вы можете запретить им проверять весь исходный код проекта на формальной основе, которую они все еще могут принять. сниппетов домой, если они полны решимости сделать это, и если один 10-строчный «фрагмент» кода (или любые данные) окажется битом, содержащим ваш секретный соус / ценную и конфиденциальную информацию о клиенте / местонахождение святого Грааля, тогда вы Потеря этих 10 строк по-прежнему потенциально так же уязвима, как если бы вы потеряли 10 страниц.
Так что же хочет делать бизнес? Вполне возможно сказать, что люди абсолютно не должны работать над бизнесом компании с компьютеров, не принадлежащих компании, и расценить это как «грубое неправомерное поведение» и увольнение людей, нарушающих это правило. Это подходящая реакция для человека, ставшего жертвой кражи со взломом? Будет ли это противоречить сути вашей корпоративной культуры? Нравится ли компании, когда люди работают дома в свободное время, и поэтому она готова сбалансировать риск потери собственности с предполагаемым увеличением производительности? Используется ли утерянный код для управления ядерным оружием, банковскими хранилищами или спасательным оборудованием в больницах, и поэтому нарушение безопасности не может быть допущено ни при каких обстоятельствах? Есть ли у вас юридические или нормативные обязательства в отношении безопасности кода, "подверженного риску" из-за этой потери?
Это некоторые из вопросов, которые, я думаю, вам нужно обдумать, но на самом деле здесь никто не может ответить на них за вас.
Что ваша компания делает с данными компании об оборудовании, не принадлежащем компании?
Разумеется, данные компании должны храниться только на устройствах компании, только если они не были зашифрованы вашим ИТ-отделом.
WDE - разумное решение? Создает ли это много накладных расходов при чтении / записи?
Любое программное обеспечение для шифрования дисков будет иметь некоторые накладные расходы, но оно того стоит, и все ноутбуки и внешние USB-накопители должны быть зашифрованы.
Что вы можете предложить, кроме смены паролей для вещей, которые хранились / использовались оттуда?
Вы также можете получить программу удаленной очистки, как в среде BES для ежевики.
В ситуации, когда задействован исходный код, и особенно когда используемая машина не может контролироваться ИТ-отделом компании, я бы позволил этому человеку развиваться только в удаленном сеансе, размещенном на машине в помещении компании, через VPN.
Как насчет программного обеспечения для удаленного стирания. Это, конечно, сработает только в том случае, если вор достаточно глуп, чтобы подключить компьютер к Интернету. Но есть масса историй о людях, которые таким образом находили украденные ноутбуки, так что вам может повезти.
Возможна также очистка по времени, если вы не ввели пароль в течение X часов, все будет удалено, и вам придется снова оформить заказ. Я не слышал об этом раньше, может быть, потому что это на самом деле довольно глупо, поскольку требует от пользователя больше работы, чем шифрование. Может быть, было бы хорошо в сочетании с шифрованием для тех, кто беспокоится о производительности. Конечно, здесь тоже есть проблема с питанием, но здесь интернет не требуется.
Я подумал, что ваша самая большая проблема в том, что это, кажется, означает, что у ноутбука был доступ к сети компании. Я предполагаю, что вы предотвратили подключение этого ноутбука через VPN к офисной сети.
Разрешить подключение сторонних компьютеров к офисной сети - действительно плохая идея. Если это не корпоративный ноутбук, как вы можете установить на нем адекватный антивирус? Разрешение его работы в сети означает, что у вас нет контроля над программами, которые работают в нем, например, wirehark смотрит на сетевые пакеты и т. д.
Некоторые из других ответов предполагают, что разработка в нерабочее время должна выполняться внутри сеанса RDP и т.п. Фактически это означает, что они могут работать только там, где у них есть подключение к Интернету - не всегда возможно в поезде и т. Д., Но для этого также требуется, чтобы ноутбук имел доступ к серверу для сеанса RDP. Вам необходимо подумать о том, как защитить RDP-доступ от кого-то, у кого есть доступ к украденному ноутбуку (и, возможно, к некоторым паролям, хранящимся на ноутбуке).
Наконец, наиболее вероятным результатом является то, что ноутбук будет продан кому-то, кто не заинтересован в содержимом и будет просто использовать его для электронной почты и Интернета. Однако .... это довольно большой риск для компании.
В этом случае блокировка ноутбука могла бы предотвратить проблему. (Я еще не слышал о блокировке рабочего стола, но, опять же, я еще не слышал о том, чтобы грабитель украл рабочий стол.)
Точно так же, как вы не бросаете свои украшения, когда выходите из дома, не стоит оставлять свой ноутбук незащищенным.