Термин "мобильность" сегодня трактуется все более и более широко. Мир по существу становится все более мобильным, а мобильные технологии проникают все глубже в нашу жизнь и оказывают на нее колоссальное влияние. Часто они облегчают ее, но в то же время добавляют и некоторые сложности. Существует мнение, что проблем от них даже больше, чем пользы. Однако на фактическую ситуацию подобные взгляды никакого влияния не оказывают. 

Все больше людей время от времени или постоянно трудятся удаленно, используют личные мобильные устройства для рабочих целей, а рабочие - для личных. И вот здесь затаилась опасность, заставляющая всерьез задуматься об обеспечении информационной безопасности при работе на мобильных устройствах. Если речь идет о персональных данных конкретного индивидуума, подразумевается, что он отвечает за себя и свои ошибки самостоятельно, но когда те же промахи он совершает в качестве сотрудника компании, оценивать риски и защищаться от возможных последствий должна компания. Мы пообщались с участниками рынка и вместе попытались найти ответы на самые волнующие вопросы в области безопасности мобильных устройств.

Повестка дня

Чтобы разобраться в проблеме, для начала необходимо понять, какие вопросы мобильной безопасности наиболее актуальны сегодня. 

Алексей ПАРФЕНТЬЕВ, ведущий аналитик "СёрчИнформ"

Как считает ведущий аналитик "СёрчИнформ" Алексей Парфентьев, большинство угроз мобильной безопасности можно разделить на человеческие и технологические. Среди технологических угроз он отмечает распространение вирусов, атаки на данные, атаки на отказ, перехват данных и т. д. Что касается человеческих угроз, то это, конечно же, фишинг (угрозы извне), инсайдеры (угрозы изнутри), утраты личных устройств. По мнению г-на Парфентьева, "основные угрозы в сегменте мобильной безопасности связаны с тем, что телефон превращается по сути в кошелек, так как приложения, требующие привязки кредитной карты для оплаты, мобильный банкинг и прочие удобства делают владельца мобильного устройства крайне ценным для злоумышленников".

Александр ЗУБАРЕВ, директор по информационной безопасности компании Huawei в России

Интересные вопросы поднимает директор по информационной безопасности компании Huawei в России Александр Зубарев:

• как обеспечить доказательную связь устройства с конкретным человеком - его владельцем?

• как контролировать безопасность настроек мобильных устройств и защиту персональных контактов и сервисов?

• как обеспечить юридическую значимость при работе с мобильными устройствами?

Он справедливо отмечает, что все эти вопросы очень важны, поскольку мобильное устройство все чаще является основным способом получения информационных сервисов, по сути дела, электронным представителем человека. "В этом случае необходимо подтверждение, что именно он пользуется своим устройством и именно от него исходят запросы, формируемые гаджетом в направлении банковских систем, госуслуг и корпоративных сервисов", - добавляет г-н Зубарев.

Григорий Васильев, ведущий менеджер про развитию продуктов ГК InfoWatch

По мнению ведущего менеджера по развитию продуктов ГК InfoWatch Григория Васильева, основной проблемой сегодня является то, что "представленные на российском рынке устройства для массового потребителя являются неконтролируемыми черными ящиками зарубежного производства, в том числе из-за высокой вероятности дистанционного подключения к устройству, перехвата информации и передачи ее третьим лицам, а также невозможности очистить все данные со смартфона удаленно". Г-н Васильев приводит достаточно интересный пример с мобильной клавиатурой A.I.type для ОС iOS и Android, которая собирала персональные данные 31 млн пользователей, в том числе техническую информацию об устройстве, а также пароли пользователя, ссылки на его социальные страницы, фотографии из различных профилей, контакты. Причем в дальнейшем вся собранная информация хранилась в открытом доступе. Как справедливо полагает г-н Васильев, это сильно ограничивает сферу применения мобильных устройств в корпоративной среде. Более того, для многих госструктур, в том числе силовых ведомств, использование незащищенных смартфонов невозможно в принципе.

Сегрей ГРИБАНОВ, менеджер по развитию бизнеса клиентских систем Fujitsu

Менеджер по развитию бизнеса клиентских систем Fujitsu Сергей Грибанов отмечает, что сегодня, как и прежде, разработчики трудятся в трех основных направлениях, связанных с обеспечением безопасности данных, - это безопасный доступ к данным, их безопасное хранение и передача. То есть можно сказать, что на повестке дня те же вопросы, что и несколько лет назад.

Человеческий фактор

Очевидно, что, пока некую работу выполняет живой человек, риск того, что что-то пойдет не так из-за его оплошности, очень велик. Люди постоянно придумывают новые способы минимизации подобных рисков, однако свести их даже до условно-приемлемого уровня, не превратив работу человека в ад из бесконечных инструкций и бюрократии, довольно сложно. Стоит заметить, что особенно остро эта проблема стоит в крупных корпорациях со сложной внутренней структурой.

Как утверждает Алексей Парфентьев ("СёрчИнформ"), в крупных и средних компаниях человеческие ошибки при работе с мобильными устройствами довольно редко приводят к реальным потерям, как финансовым, так и репутационным. Он заметил, что их компании довольно редко приходится сталкиваться с заказчиками, которые позволяют свободно подключать личные устройства к корпоративной IT-инфраструктуре. Безусловно, почти везде сотрудникам разрешено пользоваться личными гаджетами (смартфонами, планшетами и т. д.), однако их доступ к внутренней сети, серверам компании и даже рабочим ПК обычно ограничен.

"В таком случае утеря личного устройства не несет прямой угрозы конфиденциальной информации. Однако остается риск использования сохраненных корпоративных аккаунтов в самом телефоне. Но наш опыт говорит о том, что сотрудники оперативно оповещают службу безопасности об утере устройства, после чего доступ быстро блокируется. Да и само устройство обычно защищено паролем или отпечатком. Даже в самом худшем случае злоумышленник получает доступ только к части почтовой переписки или возможность просмотра некоторых разделов корпоративных порталов. Для доступа к более критичной информации почти всегда используется двойная авторизация", - отмечает Алексей Парфентьев.

До этого мы говорили исключительно о случайных инцидентах, которые могут таить угрозу компании. Однако ситуация меняется кардинальным образом, если сотрудник умышленно намеревается вынести информацию на личном устройстве. Как утверждает наш собеседник, кражи данных с помощью мобильных устройств в основном не рассматриваются как отдельный вид инцидента. И Парфентьев поясняет почему: "Если сотрудник пытается вынести данные, он это делает с помощью личной почты, облачных сервисов, мессенджеров, устройств хранения и прочего, то есть через каналы передачи данных. Мобильный девайс сам по себе - не канал передачи данных. На него информация попадает ровно теми же путями, которые я перечислил. То есть, например, через синхронизацию корпоративного ПК и личного мобильника с Dropbox. Заказчики контролируют прежде всего каналы передачи информации - именно такой подход закрывает большую часть рисков. Конечно, это не исключает самую очевидную угрозу - фотоснимок на мобильное устройство. Сейчас разработчики ищут способы закрыть эту дыру в безопасности, но стопроцентно работающих и эффективных технологий пока нет".

С тем, что человеческий фактор - одна из основных причин возникновения проблем в области ИБ, соглашается и Александр Зубарев (Huawei). "Но без трудового ресурса работа компании невозможна. Поэтому всегда важен баланс возможностей, которые предоставлены сотрудникам, и рисков, которые с этими возможностями связаны. Часто возникает желание пользоваться одним и тем же набором мобильных устройств в обоих случаях, и тогда возникают существенные риски. При этом оптимальный подход требует скорее контроля, чем запрета, поскольку работать при жестких запретах неудобно, и пользователь становится нарушителем поневоле. Примером тому могут служить многие госструктуры, где выход в Интернет жестко ограничен, поэтому широко используются ресурсы личных мобильных устройств - облака, соцсети и т. д.", - говорит он.

Согласно исследованиям аналитического центра InfoWatch, доля известных (зафиксированных) утечек информации через мобильные устройства составляет около 1% от общего числа подобных случаев. Как отмечает Григорий Васильев (InfoWatch), чаще других отмечаются случаи нелегитимного использования мобильного устройства в пределах защищенного периметра. В качестве яркой иллюстрации этого он приводит инцидент, который произошел во время военных учений в Южной Корее, когда в социальной сети была опубликована фотография сотрудника на рабочем месте на фоне секретных документов. "Ошибки при пересылке рабочей почты с мобильного устройства, потеря смартфона с конфиденциальными данными - такие случаи реже оказываются в центре внимания СМИ, и это при том, что число подобных инцидентов растет. Кроме того, увеличивается доля умышленных нарушений требований безопасности с помощью мобильных устройств", - добавляет Григорий Васильев.

BYOD или не BYOD?

С концепцией BYOD (Bring Your Own Device, использование персональных устройств в рабочих целях) сегодня знакомы все без исключения. Отношение к ней довольно разнится, однако большинство все же симпатизирует такому подходу. Альтернатива BYOD -корпоративные мобильные устройства, уровень защиты и контроля со стороны компании над которыми может быть значительно выше, чем в варианте с личными устройствами. Это гораздо более дорогой подход, но его минусы не ограничиваются только стоимостью внедрения. Возможно, для крупных корпораций он вполне обоснован и даже в некоторых случаях необходим. Но для компаний поменьше скорее избыточен.

Анатолий РОМАШЕВ, начальник отдела безопасности прикладных систем компании "Информзащита"

Как считает начальник отдела безопасности прикладных систем компании "Информзащита" Анатолий Ромашев, корпоративные мобильные устройства - это оптимальный вариант с точки зрения обеспечения безопасности корпоративных данных. В то же время очевидно, что при этом всерьез встает вопрос удобства пользователей. "Перспектива использования еще одного гаджета исключительно для работы может быть негативно воспринята среди персонала (причем обоснованно). Кроме того, это дополнительные расходы на закупку, поддержку и обновление оборудования, которые ложатся на компанию. Поэтому, как правило, заказчики останавливаются на концепции BYOD - это проще, быстрее и дешевле. Функционал современных MDM-решений позволяет найти золотую середину между защитой конфиденциальной информации компании и удобством работы пользователей", - продолжает г-н Ромашев.

Алексей Парфентьев ("СёрчИнформ") уверен, что никакого доступа к корпоративным данным с личных устройств быть попросту не должно. Именно к этому призывают представители "СёрчИнформ" своих заказчиков. Дело в том, что на личные устройства нельзя устанавливать контролирующее ПО без согласия пользователя, так как это незаконно. Личные данные, переписку и частные звонки сотрудников с их персональных устройств мониторить нельзя. "Если сотрудникам разрешено пользоваться корпоративными мобильниками или планшетами для доступа к критичной информации - на переносные девайсы распространяется та же политика безопасности, что и для офисных ПК. Мобильные устройства ничем принципиальным не отличаются от всем уже привычных "командировочных" ноутбуков, где ровно тот же уровень мобильности, доступа и корпоративных политик безопасности", - уточняет г-н Парфентьев.

Александр Зубарев (Huawei) также уверен в том, что BYOD постепенно выигрывает у корпоративных устройств. Происходит это в основном благодаря удобству использования и снижению затрат (нет нужды приобретать отдельные девайсы). В то же время он призывает не забывать  об ограничениях данного подхода. "Необходимо понимать, что не во всех сценариях BYOD применим: в некоторых компаниях существуют так называемые красные зоны, содержащие строго конфиденциальную информацию, с повышенным контролем за данными и операционной деятельностью внутри этой зоны, - здесь BYOD исключается по умолчанию", - предупреждает г-н Зубарев.

Подытоживая разные взгляды на BYOD и корпоративные гаджеты с повышенным уровнем защищенности, Григорий Васильев (InfoWatch) замечает, что право на жизнь имеют оба варианта. Более того, нередки случаи, когда организация может прибегать к этим подходам одновременно. "Все зависит от уровня конфиденциальности информации, которая находится или может оказаться на устройствах", - заключает он.

Балансируем на грани

Предположим, что сомнений относительно важности и пригодности BYOD у нас не осталось, мы начали внедрять этот подход в своей организации и сталкиваться с первыми практическими сложностями. В процессе перехода на BYOD все еще существует опасность увлечься ограничениями возможностей личных устройств, обусловленная политиками безопасности компании. Попробуем понять, возможно ли этого избежать и соотнести частные интересы пользователя и интересы компании при работе с мобильными устройствами.

В частности, Алексей Парфеньев ("СёрчИнформ") считает, что на данный момент такой баланс невозможен. По его мнению, контроль бывает либо полный, либо бессмысленный. Свою позицию он проиллюстрировал ярким примером: "Нет резона ставить высокий забор, закрывая глаза на неприколоченную доску, которой все регулярно пользуются. Та же ситуация и с личными устройствами: их полноценный контроль просто невозможен прежде всего из-за юридических причин. Приведу пример. Есть корпоративный портал с критичными для бизнеса данными. Доступ к порталу есть с личных устройств. Возможность экспорта данных на портале отсутствует - это первый шаг. Далее дополнительно на личные мобильные устройства внедряется решение, запрещающее делать скриншоты или использовать буфер обмена, когда приложение или сайт с корпоративным порталом активны - на этом возможности контроля сейчас заканчиваются. При этом у пользователя остается возможность просто перепечатать данные и отправить их через мессенджер или в крайнем случае позвонить и продиктовать. Эти каналы личные, поэтому их контролировать запрещено законодательством. Вот почему я считаю, что эффективная защита корпоративной инфраструктуры и личные устройства - пока вещи из разных миров".

Несмотря на это, Анатолий Ромашев ("Информзащита") убежден, что в большинстве случае "современные MDM-решения позволяют очень гибко настраивать политики информационной безопасности, ограничивая использование возможностей устройства только во время работы с корпоративными данными и тем самым позволяя достичь взаимного согласия с сотрудниками".

Александр Зубарев (Huawei) уверен, что эта проблема актуальна не только для BYOD-сценариев, но и в принципе при обеспечении безопасности в любой области. Он справедливо заметил, что "стопроцентная безопасная система - это неработающая система, поэтому на первый план выходит управление рисками как методология при обеспечении информационной безопасности".

В то же время Григорий Васильев (InfoWatch) говорит, что сочетание требований безопасности с частными интересами сотрудника - это путь разумных компромиссов. Кроме того, он уверен: "Полностью избежать столкновения интересов можно предоставлением сотрудникам выбора: выполнением всех требований, касающихся информационной безопасности, на личном устройстве или использованием для работы корпоративного смартфона".

Сегодня и завтра

Мобильные технологии - одна из наиболее перспективных областей, которая будет активно развиваться в ближайшие годы. Соответственно, и количество новых угроз будет расти вместе с рынком. В компании "СёрчИнформ", которая специализируется на корпоративной безопасности, исходят из позиции, что доступ к чувствительным данным или ключевым сервисам должен быть регламентирован. Это позволит быть готовым ко многим угрозам будущего уже сегодня.

Алексей Парфентьев убежден, что если не выполнено данное требование, то ни о какой безопасности не может быть речи: ни о мобильной, ни о десктопной. По его мнению, текущая реальность такова, что "если работодатель дает доступ к секретным корпоративным файлам извне или открывает доступ личным устройствам к веб-порталу корпоративной почты - это всегда потенциальная угроза". И основная проблема в том, что такие инциденты обычно фиксируются исключительно постфактум, что усложняет ситуацию.

С одной стороны, к проблемам, которые могут возникнуть в будущем, все готовятся по-разному, а с другой - отличия в основном в деталях, так как концепции развития у компаний часто пересекаются. Для создания решений в области информационной безопасности в Huawei создан отдельный центр разработок. Как утверждает Александр Зубарев, у компании есть четкое понимание движущих ИКТ-индустрию направлений. Среди основных он называет "Интернет вещей" (IoT), облачные сервисы, большие данные (Big Data) и цифровую трансформацию бизнеса (Digital Transformation). Соответственно, чтобы быть готовым к угрозам, которые могут возникнуть в будущем, нужно изучать все перечисленные направления как по отдельности, так и вместе. То же самое касается и пересечений с ИБ на мобильных устройствах.

Специалисты InfoWatch считают, что при разработке ИБ-средств в области мобильных технологий нужно обязательно учитывать различные модели работы с ними в корпоративной среде. Определенный потенциал в компании видят в использовании комплексных решений на базе продуктов ведущих вендоров. В частности, у InfoWatch уже есть подобное решение для организаций, которые позволяют своим сотрудникам использовать в работе личные устройства. Для заказчиков с более жесткими требованиями к мобильной безопасности разрабатываются соответствующие продукты.

В свою очередь, специалисты Fujitsu убеждены: для того чтобы быть готовым к вызовам будущего, компаниям, работающим в сфере мобильной безопасности, необходимо заниматься не только собственными разработками, но и активно взаимодействовать с партнерами и другими участниками рынка, оставаться открытыми к диалогу.