Praca zdalna przenosi dane firmowe na urządzenia i sieci, nad którymi organizacja nie ma pełnej kontroli. Bezpieczeństwo w tym modelu nie jest zatem kwestią jednego narzędzia, a zestawu rozstrzygnięć: czyj sprzęt, jaki dostęp, jakie uwierzytelnianie i co się dzieje po incydencie. Poniżej odpowiadamy na pytania, które zadają nam najczęściej.
Na skróty
Czego dowiesz się z artykułu:
- Czy pracownik może pracować na prywatnym laptopie i pod jakim warunkiem
- Co faktycznie zmienia VPN, a czego nie zabezpiecza
- Dlaczego drugi składnik uwierzytelnienia jest ważniejszy od wymuszania zmiany haseł
- Jak wygląda zgłoszenie incydentu, gdy nikogo nie ma w biurze
Dla kogo jest ten artykuł:
- Pracownicy firm wykonujący obowiązki zdalnie lub hybrydowo
- Kierownicy zespołów odpowiedzialni za sposób pracy podwładnych
- Osoby ustalające zasady bezpieczeństwa w organizacji bez własnego działu IT
Czas czytania: 6 minut
„Czy pracownik może pracować na prywatnym laptopie?”
Może, jeśli organizacja świadomie na to przystała i opisała warunki. Problemem nie jest własność sprzętu, a to, co na nim jeszcze działa i kto ma do niego dostęp. Wytyczne NIST dotyczące pracy zdalnej i urządzeń prywatnych (csrc.nist.gov) wprost zalecają przyjęcie, że urządzenie poza kontrolą organizacji może być już skompromitowane, i projektowanie dostępu tak, żeby ta możliwość nie oznaczała utraty danych.
W praktyce oznacza to trzy rzeczy: osobne konto użytkownika na urządzeniu, do którego nie logują się domownicy; brak przechowywania dokumentów firmowych lokalnie, jeśli nie jest włączone szyfrowanie dysku; oraz dostęp do zasobów przez przeglądarkę albo kontrolowanego klienta, a nie przez kopiowanie plików na pulpit.
Najczęstszy rzeczywisty incydent w tym obszarze nie jest atakiem. To udostępniony domownikom komputer, na którym pozostała zalogowana sesja do systemu firmowego.
Warto też rozstrzygnąć z góry pytanie, które pojawia się dopiero przy odejściu pracownika: jak organizacja odbiera dostęp do danych z urządzenia, którego nie jest właścicielem. Jeśli odpowiedzią jest prośba o samodzielne usunięcie plików, kontrola nad danymi była pozorna od początku. Mechanizmem, który tu faktycznie działa, jest brak lokalnych kopii i dostęp wyłącznie przez konto, które da się wyłączyć jednym ruchem.
„Czy VPN wystarczy?”
VPN rozstrzyga jedną rzecz: zabezpiecza transmisję między urządzeniem a siecią firmową i pozwala dotrzeć do zasobów wewnętrznych. Nie sprawdza, czy urządzenie jest zdrowe, nie powstrzymuje złośliwego oprogramowania i nie chroni przed sytuacją, w której ktoś poda swoje dane logowania na podrobionej stronie.
Co więcej, VPN zestawiony z zainfekowanego urządzenia działa dokładnie tak, jak ma działać: daje temu urządzeniu drogę do sieci firmowej. Dlatego traktowanie go jako jedynego zabezpieczenia pracy zdalnej jest błędem konstrukcyjnym, a nie niedopatrzeniem w konfiguracji.
Co do sieci domowej: ruch firmowy przez VPN jest zaszyfrowany niezależnie od stanu routera. Warto jednak zmienić domyślne hasło administratora routera i wyłączyć zdalne zarządzanie nim, bo urządzenie z fabrycznym hasłem jest celem samym w sobie. Temat publicznych hotspotów VPN zamyka tylko częściowo — pozostaje kwestia podglądania ekranu, co w pociągu bywa realniejszym ryzykiem niż przechwycenie transmisji.
„Jak często wymuszać zmianę haseł?”
Rzadziej, niż się zwykle przyjmuje. Wytyczne NIST dotyczące uwierzytelniania (csrc.nist.gov) odchodzą od okresowego wymuszania zmiany bez powodu, ponieważ prowadzi ono do haseł przewidywalnych — dopisywanych numerem miesiąca i powtarzanych w kolejnych systemach. Zmiana jest potrzebna wtedy, gdy istnieje przesłanka, że hasło wyciekło.
Dwie rzeczy dają w pracy zdalnej więcej niż kalendarz zmian. Pierwsza to drugi składnik uwierzytelnienia — klucz, aplikacja albo passkey; samo hasło, nawet długie, pozostaje jedną zgubioną informacją od utraty konta. Druga to menedżer haseł, dzięki któremu każde konto ma inne hasło, a pracownik nie musi żadnego pamiętać ani zapisywać w notatniku.
Menedżer haseł rozwiązuje przy okazji problem, o który firmy pytają osobno: współdzielone konta do narzędzi, których licencja nie przewiduje wielu użytkowników. Hasło krążące w komunikatorze zespołowym zostaje tam na zawsze i przestaje być rozliczalne — nie da się ustalić, kto z niego korzystał. Wspólny sejf z kontrolowanym dostępem nie usuwa ograniczenia licencyjnego, ale przywraca możliwość odebrania dostępu pojedynczej osobie.
„Co robić, gdy coś się stanie po godzinach?”
To pytanie wraca częściej niż techniczne i ma najprostszą odpowiedź: musi istnieć jedna, znana wszystkim droga zgłoszenia, działająca także wieczorem i w weekend. Numer telefonu albo adres, pod który zgłasza się podejrzane zdarzenie, zanim ustali się, czy to faktycznie incydent.
Zasada towarzysząca jest równie ważna: zgłoszenie nie może kosztować zgłaszającego. Jeśli pracownik, który kliknął w link z fałszywej faktury, spodziewa się rozmowy dyscyplinującej, zgłosi to najwcześniej nazajutrz albo wcale — a w tej klasie zdarzeń liczy się pierwsza godzina. Organizacje, które nagradzają zgłaszanie, dowiadują się o incydentach wtedy, gdy da się jeszcze unieważnić sesję i zmienić hasło.
Czytaj także
- Phishing i inżynieria społeczna — jak rozpoznać atak — najczęstsza droga wejścia przy pracy zdalnej, opisana od strony konkretnych sygnałów ostrzegawczych
- Bezpieczne hasła i menedżery haseł dla zespołu — podział odpowiedzialności przy wdrożeniu menedżera haseł w zespole
- Passkeys: uwierzytelnianie bez hasła — kierunek, w którym idzie drugi składnik uwierzytelnienia
Rozwijaj kompetencje
Temat łączy się ze szkoleniami Bezpieczeństwo IT — dla pracowników nietechnicznych oraz Bezpieczeństwo informacji. Pierwsze jest warsztatem świadomościowym dla całego zespołu, drugie porządkuje zasady na poziomie organizacji. Skontaktuj się z nami, żeby dopasować zakres.
Najczęściej zadawane pytania (FAQ)
Czy trzeba zakazać pracy z kawiarni i przestrzeni coworkingowych?
Zakaz bywa trudny do utrzymania i spycha praktykę w szarą strefę. Skuteczniejsze są dwie zasady: ekran ustawiony tak, żeby nie był widoczny dla osób postronnych, i blokada ekranu przy każdym odejściu od urządzenia, choćby na minutę.
Czy wolno przesyłać dokumenty firmowe na prywatną skrzynkę, żeby dokończyć pracę wieczorem?
Nie, i to jest jedna z niewielu odpowiedzi bez zastrzeżeń. Dokument na prywatnej skrzynce wychodzi spod kontroli organizacji — nie da się go unieważnić ani sprawdzić, komu został dalej przekazany. Jeśli praca wieczorem jest potrzebna, rozwiązaniem jest dostęp zdalny, nie kopia.
Jak często szkolić zespół ze świadomości bezpieczeństwa?
Jednorazowy warsztat zużywa się szybciej, niż się zakłada, ale coroczne powtarzanie tego samego materiału też niczego nie zmienia. Lepiej działa krótkie szkolenie wejściowe dla nowych osób oraz regularne, krótkie przypomnienia oparte na zdarzeniach, które faktycznie zdarzyły się w organizacji.
Czy prywatny telefon z firmową pocztą to problem?
Jest nim wtedy, gdy telefon nie ma blokady ekranu i szyfrowania, albo gdy nie da się zdalnie odebrać dostępu po utracie urządzenia. Te trzy warunki — blokada, szyfrowanie, możliwość odebrania dostępu — rozstrzygają o tym pytaniu bardziej niż to, kto telefon kupił.