Вопрос: Что вы делаете с персоналом и персональными ноутбуками?


Сегодня у одного из наших разработчиков был украден его ноутбук из его дома. По-видимому, у него была полная проверка svn исходного кода компании, а также полная копия базы данных SQL.

Это одна из веских причин, почему я лично не позволяю компании работать на персональных ноутбуках.
Однако, даже если бы это был ноутбук, принадлежащий компании, у нас бы все равно была такая же проблема, хотя мы были бы в более сильной позиции для обеспечения шифрования (WDE) на всем диске.

Вопросы таковы:

  1. Что делает ваша компания в отношении данных компании о не принадлежащем ей оборудовании?
  2. Является ли WDE разумным решением? Оказывает ли это много накладных расходов на чтение / запись?
  3. Помимо изменения паролей для вещей, которые были сохранены / доступны оттуда, есть ли что-нибудь еще, что вы можете предложить?

38
2017-11-25 15:16


Источник


Был ли он украден или он был «украден»? У меня был случай, когда рабочий ноутбук таинственным образом исчез, и, по странной случайности, это было единственное, что было «украдено» у их дома. И, конечно же, было еще 1000 долларов другого оборудования и ценностей, которые остались нетронутыми. Они, конечно, никогда не называли полицию для расследования. Вы звонили в полицию для расследования? - bakoyaro
Я не вижу, чтобы полиция расследовала кражу чьего-то личного ноутбука по просьбе официального представителя компании. Да, я знаю, вы могли бы утверждать, что исходный код был собственностью компании, но, основываясь на опыте, полицейские просто пожимали плечами и ничего не делали. - Belmin Fernandez
@bakoyaro да, полиция была проинформирована. Только его кошелек и ноутбук порезались. Бит нечетный. - Tom O'Connor
Я очень беспокоюсь о том, что я не могу убедить своего руководителя и сотрудников, что они должны волноваться. - Zoredache
@Том - ты беспокоишься сейчас? Что делать, если эти личные данные включают данные вашего банковского счета? Да. Это всегда привлекает внимание, да? Дело в том, что неважно, в какой отрасли вы находитесь или в какой стране вы находитесь, бизнес не всегда воспринимает безопасность данных так серьезно, как должен, и даже когда намерения хороши, получить материал могут слишком часто мешать все наладится, Реальная мудрость заключается в том, чтобы знать, когда расколоть эту разницу и когда копать свои пятки. - Rob Moir


Ответы:


  1. Проблема в том, что предоставление людям неоплачиваемого сверхурочного времени в собственном наборе очень дешево, поэтому менеджеры не желают его останавливать; но, конечно же, будет рад винить ИТ, когда есть утечка ... Только усиленная политика предотвратит это. Дело в том, что менеджмент должен стремиться к балансу, но это проблема людей.

  2. Я тестировал WDE (Truecrypt) на ноутбуках с рабочими нагрузками на уровне администратора, и на самом деле это не так уж плохо, по производительности, уровень ввода-вывода пренебрежимо мал. У меня есть несколько разработчиков, которые тоже хранят рабочие копии на 20 Гбайт. Это не «решение» само по себе; (Это не остановит данные, которые будут удалены с незащищенной машины, пока она загружается, например), но она, безусловно, закрывает много дверей.

  3. Как насчет запрета на одевание всех внешних данных; а затем некоторые инвестиции в службы удаленного рабочего стола, достойный VPN и пропускную способность для его поддержки. Таким образом, весь код остается внутри офиса; пользователи получают сеанс с доступом к ресурсам локальной сети; и домашние машины просто становятся немыми терминалами. Это не подходит для всех сред (прерывистый доступ или высокая вероятность того, что в вашем случае это может быть нарушитель транзакций), но стоит подумать, важно ли домашнее работа для компании.


30
2017-11-25 15:45



+1 по третьему предложению. Для меня самый лучший смысл. - Belmin Fernandez
# 3 - это направление, в котором мы тоже находимся. Зачем компилировать ноутбук, если вы можете подключиться к VPN и RDP для виртуальной машины, работающей на серверном оборудовании? Вы не проверяете ввод и выключение кода через VPN, либо все это остается в локальной сети офиса. - August
Для людей с Ubuntu они могут использовать встроенное шифрование LUKS, которое является частью alt-installer. Он отлично работает и тривиально настраивается во время установки. - Zoredache
Вариант 3 (RDP / VNC) имеет тенденцию сосать мой опыт. Проблема заключается в том, что любая латентность имеет тенденцию серьезно зависеть от функций автозаполнения большинства популярных IDE. Если у ваших пользователей нет надежного интернет-соединения с очень низкой задержкой, они почти наверняка ненавидят решение для удаленного рабочего стола. - Zoredache
Кто-нибудь, кто выступает за # 3, действительно попробовал это? Я потратил, вероятно, сотни или тысячи часов на то, чтобы работать, и я ненавижу это. Даже по локальной сети это не весело, и через VPN это напоминает мне, когда я был на dialup. - Gabe


Наша компания требует шифрования всего диска на всех принадлежащих компании ноутбуках. Конечно, есть накладные расходы, но для большинства наших пользователей это не проблема - они работают с веб-браузерами и офисными пакетами. Мой MacBook зашифрован, и он на самом деле не повлиял на все, что я заметил, даже при запуске виртуальных машин под VirtualBox. Для тех, кто тратит большую часть своего времени на сбор больших деревьев кода, это может быть проблемой.

Очевидно, вам нужна политическая основа для такого рода вещей: вам нужно потребовать, чтобы все принадлежащие компании ноутбуки, зашифрованы, и вам необходимо потребовать, чтобы данные компании не могли храниться на принадлежащем компании объекте. Ваша политика должна также применяться для технического и исполнительного персонала, даже если они жалуются, иначе вы снова столкнетесь с той же проблемой.


13
2017-11-25 15:25



Это возможно только в том случае, если время компиляции достаточно быстро выполняется на шифрованных дисках. Программисты будут делать без разницы для получения системы, которая быстро компилируется. С вашим соглашением или без такового. - Ian Ringrose
Да, но если они после этого времени компиляции, они обычно принимают настольную рабочую станцию ​​в офисе, не переносную, но с удивительной сырой мощностью ^^ - Oskar Duveborn
Слишком верно. Я бы определенно рекомендовал использовать некоторые тесты и издательский их разработчикам, если вы планируете реализовать это. Если вы показываете <5% накладные расходы для WDE в реальных условиях, вы можете получить их на борту. Морковка: предлагайте твердотельные диски для разработчиков, чтобы подсластить сделку. Stick: мешок их, если они вызывают нарушение, подрывая ваш механизм. : D - SmallClanger
По крайней мере, из того, что я видел, компиляция обычно связана с ЦП больше, чем с привязкой ввода / вывода. Я не говорю, что говорить, что шифрование не изменит ситуацию, но похоже, что это не должно иметь большого значения. Конечно, это зависит от проекта. - Zoredache
Истина для компиляции в основном связана с cpu, но связывание обычно также требует большого количества операций ввода-вывода на диске (хотя и слишком тяжелое). Я не могу сказать, что я даже заметил какую-либо разницу на ноутбуке i5 с SSD-накопителем G2 и включением битблока на всех томах. Он работал так хорошо, что теперь я полностью продаюсь на битлокаторе. Иду на свое частное снаряжение. ^^ - Oskar Duveborn


Я бы больше сосредоточился на самом оборудовании и больше на данных. Это поможет избежать проблем, с которыми вы столкнулись сейчас. Возможно, у вас нет рычагов для мандатной политики в отношении личного имущества. Тем не менее, вам лучше иметь рычаг, чтобы определять, как обрабатываются данные, принадлежащие компании. Будучи университетом, у нас есть такие проблемы, как это возникало все время. Факультет не может финансироваться таким образом, чтобы их отдел мог купить компьютер или мог купить сервер обработки данных на грант. В общем, решение этих проблем заключается в защите данных, а не аппаратных средств.

Существует ли в вашей организации политика классификации данных? Если да, то что он говорит? Как будет классифицироваться репозиторий кода? Какие требования будут относиться к этой категории? Если ответ на любой из них - «Нет» или «Я не знаю», тогда я бы порекомендовал поговорить с вашим офисом информационной безопасности, или кто бы в вашей организации не отвечал за разработку политик.

Основываясь на том, что вы сказали, был ли я владельцем данных, я бы, скорее всего, классифицировал его как High, или Code Red, или независимо от вашего самого высокого уровня. Обычно это требует шифрования в состоянии покоя, транзита и даже может содержать некоторые ограничения на то, где данные могут быть размещены.

Помимо этого, вы можете взглянуть на реализацию некоторых правил безопасного программирования. Что-то, что может кодифицировать жизненный цикл разработки и явно запретить разработчикам вступать в контакт с производственной базой данных, кроме как в странных и редких обстоятельствах.


9
2017-11-25 15:47





1.) Работает дистанционно

Для разработчиков удаленный рабочий стол - очень хорошее решение, если не требуется 3D. Производительность обычно достаточно хороша.

На мой взгляд, удаленный рабочий стол даже безопаснее, чем VPN, потому что разблокированный ноутбук с активным подключением VPN позволяет получить немного больше, чем просмотр терминального сервера.

VPN следует предоставлять только тем, кто может доказать, что им нужно больше.

Перемещение конфиденциальных данных из дома - это нехорошо, и его следует предотвратить, если это возможно. Работа в качестве разработчика без доступа в Интернет может быть запрещена, поскольку отсутствие доступа к источнику контроля, отслеживанию проблем, системам документации и коммуникациям делает эффективность в лучшем случае.

2.) Использование некомпактного оборудования в сети

Компания должна иметь стандарт того, что требуется от оборудования, подключенного к локальной сети:

  • антивирус
  • Брандмауэр
  • быть в домене, быть изобретателем
  • если мобильный, быть зашифрованным
  • у пользователей нет локального администратора (сложно, если разработчик, но выполнимый)
  • и т.п.

Иностранные аппаратные средства должны либо следовать этим рекомендациям, либо не быть в сети. Вы можете настроить NAC для управления этим.

3.) Мало что можно сделать о пролитом молоке, но можно предпринять шаги, чтобы избежать повторной повторяемости.

Если вышеуказанные шаги приняты, а ноутбуки - это не что иное, как мобильные тонкие клиенты, требуется не так много. Эй, вы даже можете купить дешевые ноутбуки (или использовать старые).


7
2017-11-25 16:40





Компьютеры, не находящиеся под контролем вашей компании, не должны допускаться в сети. Когда-либо. Это хорошая идея использовать что-то вроде VMPS для размещения оборудования-изгоев в изолированной VLAN. Аналогичным образом, данные компании не имеют бизнеса за пределами оборудования компании.

В наши дни шифрование жесткого диска довольно легко, поэтому шифруйте все, что покидает помещение. Я видел очень неосторожное обращение с ноутбуками, что было бы катастрофой без полного шифрования диска. Удар производительности не так уж плох, и преимущество намного перевешивает его. Если вам нужна потрясающая производительность, VPN / RAS в соответствующее оборудование.


3
2017-11-25 15:49





Чтобы пойти в другом направлении от некоторых других ответов здесь:

Хотя защита и защита данных важны, вероятность того, что человек, который украл ноутбук,

  1. Знал, что они крадут
  2. Знал, где искать данные и исходный код
  3. Знал, что делать с данными и исходным кодом

Это маловероятно. Наиболее вероятным сценарием является то, что человек, который украл ноутбук, является обычным старым вором, а не корпоративным шпионом, стремящимся украсть код вашей компании, чтобы создать конкурирующий продукт и выйти на рынок перед вашей компанией, тем самым вытеснив свою компанию бизнеса.

Это, как говорится, вероятно, должно быть в вашей компании, чтобы положить некоторые политики и mechansims на месте, чтобы предотвратить это в будущем, но я бы не позволил этому инциденту держать вас в ночное время. Вы потеряли данные на ноутбуке, но, предположительно, это была только копия, и разработка продолжится без перерывов.


3
2017-11-25 16:24



Нет никакого беспокойства по поводу потери данных во всем смысле. У нас есть резервные копии и копии, выходящие из наших ушей. Тем не менее, это немного опасно, что наши бизнес-секреты находятся в репо SVN. - Tom O'Connor


Корпоративные ноутбуки, конечно, должны использовать зашифрованные диски и т. Д., Но вы спрашиваете о персональных компьютерах.

Я не рассматриваю это как техническую проблему, а скорее поведенческую. Существует очень малое, что вы можете сделать с точки зрения технологии, чтобы сделать невозможным, чтобы кто-то взял код дома и взломал его - даже если вы можете помешать им полностью проверить источник на проект на официальной основе, они все равно могут если они определены, и если один 10-строчный «фрагмент» кода (или любых данных) оказывается бит, который содержит ваш секретный соус / ценную и конфиденциальную информацию о клиенте / место святого Грааля, re по-прежнему потенциально так же, как и кость, потеряв эти 10 строк, как вы бы потеряли 10 страниц.

Так что бизнес хочет делать? Совершенно можно сказать, что люди абсолютно не должны работать в бизнесе компании с компьютеров, не принадлежащих компании, и сделать это «грубым нарушением правил поведения» для людей, нарушающих это правило. Это ответ на кого-то, кто стал жертвой кражи со взломом? Будет ли это идти против зерна вашей корпоративной культуры? Соответствует ли компания, когда люди работают из дома в свое время и поэтому готовы балансировать риск потери собственности от предполагаемого повышения производительности? Является ли утерянный код использованным для контроля ядерного оружия или банковских сейфов или спасательного оборудования в больницах, и как таковое нарушение безопасности не может быть ни при каких обстоятельствах? У вас есть юридическое или нормативное обязательство в отношении безопасности кода «под угрозой» из-за этой потери?

Вот некоторые из вопросов, которые, я думаю, вам нужно учитывать, но никто не может ответить на них.


3
2017-11-25 16:42





Что делает ваша компания в отношении данных компании о не принадлежащем ей оборудовании?

Наверняка вы должны иметь только данные компании, хранящиеся на фирменных устройствах, где бы они ни были, если они не были зашифрованы вашим ИТ-отделом

Является ли WDE разумным решением? Оказывает ли это много накладных расходов на чтение / запись?

Любое программное обеспечение для шифрования диска будет иметь некоторые накладные расходы, но это того стоит, и все ноутбуки и внешние USB-накопители должны быть зашифрованы.

Помимо изменения паролей для вещей, которые были сохранены / доступны оттуда, есть ли что-нибудь еще, что вы можете предложить?

Вы также можете получить программное обеспечение удаленной очистки, как в бытовой среде BES для ежевики.


3
2017-11-25 15:24



используйте цитату > а не кодовые блоки для кавычек, см. serverfault.com/editing-help - Jeff Atwood


В ситуации, когда есть исходный код, и особенно когда используемая машина не может контролироваться ИТ-отделом компании, я бы только позволил человеку развиваться на удаленном сеансе, размещенном на машине в помещениях компании, через VPN.


1
2017-11-25 15:51



Вы готовы потерять большой заказ, если программное обеспечение опоздало из-за сбоя VPN-соединения? Однако большая часть времени VPN действительно хорошо работает для разработчиков программного обеспечения. - Ian Ringrose
Ну, я думаю, вы должны взвесить риск этого от риска того, что его ноутбук будет ходить с проверенной копией источника на нем. По крайней мере, они должны иметь источник в томе Truecrypt. - Alan B


Как насчет удаленной очистки программного обеспечения. Это, конечно же, будет работать только в том случае, если вор будет достаточно глупым, чтобы включить компьютер в Интернет. Но есть много историй о людях, которые даже нашли свои украденные ноутбуки таким образом, чтобы вам повезло.

Возможно, выбор времени также может быть вариантом, если вы не ввели свой пароль за X часов, все было удалено, и вам нужно снова проверить. Havn't слышал об этом раньше, может быть, потому, что это на самом деле довольно глупо, поскольку для этого требуется больше работы от этого шифрования. Возможно, было бы хорошо в сочетании с шифрованием для тех, кто беспокоился о производительности. Конечно, здесь есть проблема с питанием, но здесь интернет не требуется.


0
2017-11-25 22:14