Кобеляцька територіальна громада

Ще десять років тому кібербезпека будувалася навколо простої метафори – фортеці. Був периметр, був рів, і достатньо було надійно захистити ворота офісної мережі, щоб почуватися в безпеці. Масовий перехід на віддалену й гібридну роботу, поширення особистих гаджетів для робочих завдань (BYOD – Bring Your Own Device) і стрімкий розвиток хмарних сервісів цю фортецю зруйнували. Сьогодні робоче місце це не адреса, а стан: ноутбук удома, телефон у кав’ярні, планшет у потязі. Периметра більше немає.

Натомість з’явилася нова, більш вразлива лінія фронту – кінцеві пристрої. За даними досліджень, близько 90% успішних кібератак і понад 70% витоків інформації сьогодні починаються саме з компрометації ноутбука, смартфона чи планшета конкретного співробітника. Держспецзв’язку пояснює, чому неконтрольований гаджет – це не зручність, а вразливість, що таке «керовані пристрої» (Managed Devices), і чи справді йдеться про стеження за працівником, як часто побоюються.

Домашній ноутбук очима хакера

Уявіть звичну ситуацію: співробітник відкриває робочу пошту з ноутбука, яким увечері користуються діти для ігор, а хтось із родини – для перегляду фільмів із сумнівних сайтів. Для зловмисника це не побутова деталь, а ідеальна точка входу.

Особисті комп’ютери, на відміну від корпоративних, рідко мають професійні засоби захисту. Неліцензійна програма, підозрілий файл чи клік по фішинговому посиланню – і на пристрій потрапляє інфостілер: шкідлива програма, яка непомітно викрадає паролі, збережені в браузері, та активні сесійні файли (cookies). За наявними оцінками, майже половина подібних витоків у світі припадає саме на некеровані домашні пристрої.

Найнебезпечніше в цьому сценарії те, що зловмиснику навіть не потрібно нікого «зламувати» у звичному розумінні. Отримавши викрадену сесію, він просто заходить у корпоративну систему як легітимний користувач – під логіном і з дійсними файлами автентифікації реального співробітника. Захисні системи не бачать атаки, бо технічно її немає: є лише вхід, що має цілком буденний вигляд.

Ланцюжок на цьому не обривається. Понад 90% атак програм-вимагачів (ransomware) починаються саме з такого початкового проникнення через незахищений кінцевий пристрій. Закріпившись на домашньому комп’ютері, зловмисники поступово просуваються корпоративною мережею, доки не блокують ключові сервери та не виставляють вимогу викупу.

Керований пристрій – це не стеження, а розмежування

Термін «керований пристрій» (Managed Device) часто спричиняє у працівників настороженість: чи означає це, що ІТ-служба зможе бачити особисте листування або історію браузера? На практиці – ні, і саме тому міжнародні стандарти кібербезпеки, зокрема рекомендації NIST SP 800-124, чітко розмежовують робочий і приватний простір.

Керований пристрій – це той, чиї параметри безпеки централізовано контролює ІТ-служба організації через сучасні системи управління кінцевими точками (UEM – Unified Endpoint Management). Існує кілька моделей такого контролю, і кожна передбачає свій ступінь втручання:

• COBO (Corporate-Owned, Business Only) – повністю робочий пристрій без приватного використання з максимальним рівнем контролю.
• COPE (Corporate-Owned, Personally Enabled) – корпоративний ноутбук чи телефон, де робоче середовище повністю ізольоване від особистих застосунків і фотографій.
• BYOD із захищеним контейнером – на особистий пристрій встановлюється зашифрований «робочий контейнер». Організація контролює і захищає лише те, що всередині цього контейнера, – корпоративну пошту й застосунки, не маючи доступу до особистих повідомлень, фотографій чи історії відвідувань.

Інакше кажучи, керований пристрій захищає компанію, не перетворюючи ІТ-відділ на спостерігача за приватним життям працівника.

Як це зупиняє атаки на практиці

В основі керованих пристроїв лежить принцип нульової довіри (Zero Trust): система за замовчуванням не довіряє нікому, навіть якщо введено правильний логін і пароль.

Коли користувач намагається відкрити робочий документ чи внутрішню базу даних, захисний шлюз перевіряє не лише облікові дані, а й «здоров’я» самого пристрою – чи встановлені останні оновлення безпеки, чи активний антивірусний моніторинг (EDR), чи наявний цифровий сертифікат організації. Спроба входу зі стороннього, неперевіреного комп’ютера блокується, незалежно від того, наскільки правильним був пароль.

До цього додається кілька рівнів практичного захисту. На керованих пристроях обов’язково активується повне шифрування диска – BitLocker у Windows або FileVault у macOS, тож навіть фізична крадіжка ноутбука не дає зловмиснику доступу до файлів без ключа шифрування. У разі втрати пристрою або звільнення співробітника адміністратор може дистанційно стерти дані: повністю – якщо пристрій корпоративний, лише робочий контейнер – якщо пристрій особистий, не зачіпаючи приватну інформацію власника. Додатково діє політика дозволеного програмного забезпечення, яка унеможливлює випадковий запуск невідомих програм і прихованих скриптів.

Що варто зробити вже зараз

Безпека кінцевих точок – це не одноразове налаштування, а узгоджена дисципліна на рівні організації і кожного окремого фахівця.

Керівникам і ІТ-підрозділам варто:

• Об’єднати контроль в єдину систему – використовувати платформи UEM у поєднанні з рішеннями для виявлення загроз (EDR), щоб бачити стан безпеки всіх робочих пристроїв у реальному часі.
• Виключити BYOD для критичного персоналу. Системні адміністратори, розробники, керівники й бухгалтери повинні працювати виключно на керованих корпоративних ноутбуках із жорсткими політиками безпеки; доступ із домашніх некерованих комп’ютерів для цих ролей варто заборонити повністю.
• Налаштувати автоматичне встановлення критичних оновлень безпеки – в ідеалі протягом не більш як 72 годин після виходу патча.

Кожному працівнику варто взяти за звичку:

• Не змішувати робоче й особисте – не завантажувати фільми з торентів, не встановлювати ігри, не відвідувати ненадійні сайти з робочого пристрою.
• Не передавати робочу техніку іншим, зокрема дітям чи знайомим, адже робочий ноутбук призначений виключно для вас.
• Не відкладати встановлення оновлень, коли система просить перезавантаження для безпекового патча.
• Негайно повідомляти ІТ-підрозділ чи службу безпеки в разі втрати телефона чи ноутбука з робочими акаунтами – швидке блокування сесій вирішує, чи встигнуть зловмисники ним скористатися.

Стійкість усієї організації складається з безпеки кожного окремого пристрою. У світі, де периметра вже не існує, саме контроль над кінцевими точками стає тим фундаментом, на якому тримається конфіденційність даних і стабільна робота під час постійного тиску кіберзагроз.

 Джерело: https://cip.gov.ua/