O que você faz sobre funcionários e laptops pessoais?

Hoje, um de nossos desenvolvedores teve seu laptop roubado de sua casa. Aparentemente, ele tinha uma verificação svn completa do código fonte da empresa, bem como uma cópia completa do banco de dados SQL.

Essa é uma das principais razões pelas quais sou pessoalmente contra permitir o trabalho da empresa em laptops pessoais.
No entanto, mesmo que este fosse um laptop de propriedade da empresa, ainda teríamos o mesmo problema, embora estivéssemos em uma posição um pouco mais forte para aplicar a criptografia (WDE) em todo o disco.

As perguntas são as seguintes:

1. O que sua empresa faz com os dados da empresa em hardware que não é de propriedade da empresa?
2. O WDE é uma solução sensata? Isso gera muita sobrecarga nas leituras / gravações?
3. Além de alterar senhas para coisas que foram armazenadas / acessadas a partir daí, há mais alguma coisa que você pode sugerir?

1. O problema é que permitir que as pessoas façam horas extras não remuneradas com seu próprio kit é muito barato, para que os gerentes não estejam tão dispostos a impedi-lo; mas é claro que ficará feliz em culpar a TI quando houver um vazamento ... Somente uma política fortemente aplicada evitará isso. Cabe à gerência onde eles querem encontrar o equilíbrio, mas é um problema muito pessoal.

2. Testei o WDE (Truecrypt) em laptops com cargas de trabalho no nível de administrador e, na verdade, não é tão ruim quanto ao desempenho, o impacto de E / S é insignificante. Também tenho vários desenvolvedores mantendo ~ 20 GB de cópias de trabalho. Não é uma 'solução' em si; (Ele não impede que os dados sejam arrastados para fora de uma máquina não segura durante a inicialização, por exemplo), mas certamente fecham muitas portas.

3. Que tal proibição geral de todos os dados mantidos externamente; seguido por algum investimento em serviços de área de trabalho remota, uma VPN decente e a largura de banda para suportá-la. Dessa forma, todo o código permanece dentro do escritório; os usuários obtêm uma sessão com acesso da rede local aos recursos; e as máquinas domésticas tornam-se terminais burros. Não é adequado para todos os ambientes (acesso intermitente ou alta permissão pode ser um fator de ruptura no seu caso), mas vale a pena considerar se o trabalho doméstico é importante para a empresa.

Nossa empresa exige criptografia de disco inteiro em todos os laptops de propriedade da empresa. Claro, há uma sobrecarga, mas para a maioria dos nossos usuários isso não é um problema - eles estão executando navegadores da web e suítes de escritório. Meu MacBook é criptografado e realmente não afetou o suficiente as coisas que eu notei, mesmo ao executar VMs no VirtualBox. Para alguém que passa a maior parte do dia compilando grandes árvores de código, pode ser mais um problema.

Obviamente, você precisa de uma estrutura de políticas para esse tipo de coisa: você precisa exigir que todos os laptops pertencentes à empresa sejam criptografados e que os dados da empresa não possam ser armazenados em equipamentos que não sejam da empresa. Sua política também precisa ser aplicada para a equipe técnica e executiva, mesmo que eles se queixem; caso contrário, você simplesmente enfrentará o mesmo problema novamente.

Eu focaria menos no próprio equipamento e mais nos dados envolvidos. Isso ajudará a evitar os problemas que você está enfrentando agora. Você pode não ter o poder de impor políticas sobre equipamentos de propriedade pessoal. No entanto, é melhor você ter o poder de determinar como os dados de propriedade da empresa são tratados. Sendo uma universidade, temos problemas como esse que surgem o tempo todo. O corpo docente pode não ser financiado de tal maneira que seu departamento possa comprar um computador ou eles podem comprar um servidor de processamento de dados com uma concessão. Em geral, a solução para esses problemas é proteger os dados, e não o hardware.

Sua organização possui uma política de classificação de dados? se sim, o que isso diz? Como o repositório de código seria classificado? Quais requisitos seriam colocados nessa categoria? Se a resposta para qualquer uma dessas opções for "Não" ou "Não sei", recomendo conversar com seu escritório de Segurança da Informação ou com quem seja responsável em desenvolver políticas.

Com base no que você diz que foi lançado, se eu fosse o proprietário dos dados, provavelmente o classificaria como Alto, ou Código Vermelho, ou seja qual for o seu nível mais alto. Normalmente, isso exigiria criptografia em repouso, em trânsito e pode até listar algumas restrições sobre onde os dados podem ser armazenados.

Além disso, você pode estar pensando em implementar algumas práticas de programação segura. Algo que pode codificar um ciclo de vida de desenvolvimento e impedir expressamente os desenvolvedores de entrar em contato com um banco de dados de produção, exceto em circunstâncias estranhas e raras.

1.) Trabalhando remotamente

Para os desenvolvedores, a área de trabalho remota é uma solução muito boa, a menos que 3D seja necessário. O desempenho geralmente é bom o suficiente.

A meu ver, a área de trabalho remota é ainda mais segura que a VPN, porque um notebook desbloqueado com a VPN ativa permite um pouco mais do que a vista de um servidor de terminal.

A VPN só deve ser dada a pessoas que possam provar que precisam de mais.

Mover dados confidenciais para fora de casa é proibido e deve ser evitado, se possível. Trabalhar como desenvolvedor sem acesso à Internet pode ser proibido porque a falta de acesso ao controle de origem, rastreamento de problemas, sistemas de documentação e comunicações torna a eficiência duvidosa.

2.) Uso de hardware que não é da empresa em uma rede

Uma empresa deve ter um padrão do necessário para o hardware conectado à LAN:

• Antivírus
• Firewall
• estar no domínio, ser inventarizado
• se for móvel, seja criptografado
• os usuários não têm administrador local (difícil se desenvolvedor, mas factível)
• etc.

O hardware externo deve seguir estas diretrizes ou não estar na rede. Você pode configurar o NAC para controlar isso.

3.) Pouco pode ser feito sobre o leite derramado, mas medidas podem ser tomadas para evitar reincidência.

Se as etapas acima forem seguidas e os notebooks forem pouco mais que thin clients móveis, não será necessário muito mais. Ei, você pode até comprar notebooks baratos (ou antigos).

Os computadores que não estão sob o controle da sua empresa não devem ser permitidos na rede. Sempre. É uma boa ideia usar algo como VMPS para colocar equipamentos não autorizados em uma VLAN em quarentena. Da mesma forma, os dados da empresa não têm negócios fora do equipamento da empresa.

Atualmente, a criptografia do disco rígido é bastante fácil, portanto, criptografe tudo o que sai das instalações. Eu já vi um manuseio excepcionalmente descuidado de laptops, o que seria um desastre sem a criptografia completa do disco. O impacto no desempenho não é tão ruim e o benefício supera em muito. Se você precisar de um desempenho impressionante, VPN / RAS no hardware apropriado.

Para ir em outra direção a partir de algumas das outras respostas aqui:

Embora seja importante proteger e proteger os dados, é importante a probabilidade de a pessoa que roubou o laptop:

1. Sabia o que eles estavam roubando
2. Sabia onde procurar os dados e o código-fonte
3. Sabia o que fazer com os dados e o código-fonte

É bastante improvável. O cenário mais provável é que a pessoa que roubou o laptop seja um velho ladrão comum e não um espião corporativo que esteja disposto a roubar o código de código da sua empresa, a fim de criar um produto concorrente e colocá-lo no mercado antes de sua empresa, expulsando sua empresa. de negócios.

Dito isto, provavelmente caberia à sua empresa implementar algumas políticas e mecanismos para evitar isso no futuro, mas eu não deixaria esse incidente mantê-lo acordado à noite. Você perdeu os dados no laptop, mas presumivelmente era apenas uma cópia e o desenvolvimento continuará sem interrupção.

Os laptops de propriedade da empresa devem usar discos criptografados etc., é claro, mas você pergunta sobre computadores pessoais.

Não vejo isso como um problema técnico, mas sim comportamental. Há muito pouco que você pode fazer do ponto de vista tecnológico para tornar impossível alguém levar o código para casa e invadir o código - mesmo que você possa impedir que eles verifiquem toda a fonte de um projeto formalmente, eles ainda podem usar se você estiver determinado a fazê-lo e se um "trecho" de código de 10 linhas (ou qualquer dado) for o que contém seu molho secreto / informações valiosas e confidenciais do cliente / localização do Santo Graal, então você ' ainda está potencialmente tão desossado ao perder essas 10 linhas quanto você perderia 10 páginas.

Então, o que a empresa quer fazer? É perfeitamente possível dizer que as pessoas absolutamente não devem trabalhar nos negócios da empresa a partir de computadores que não são da empresa e torná-lo uma ofensa de demissão por "má conduta grave" para pessoas que violam essa regra. Essa é uma resposta apropriada para alguém que é vítima de um roubo? Isso iria contra a essência da sua cultura corporativa? A empresa gosta quando as pessoas trabalham em casa em seu próprio tempo e, portanto, estão preparadas para equilibrar o risco de perda de propriedade com os ganhos percebidos de produtividade? O código perdido foi usado para controlar armas nucleares, cofres de bancos ou equipamentos de salvação em hospitais e, como tal, uma violação de segurança não pode ser considerada sob nenhuma circunstância? Você tem uma obrigação legal ou regulamentar em relação à segurança do código "em risco"

Acho que essas são algumas das perguntas que você precisa considerar, mas ninguém aqui pode realmente responder a você.

O que sua empresa faz com os dados da empresa em hardware que não é de propriedade da empresa?

Com certeza, você só deve ter dados da empresa armazenados nos dispositivos da empresa em nenhum outro lugar, a menos que tenham sido criptografados pelo seu departamento de TI

O WDE é uma solução sensata? Isso gera muita sobrecarga nas leituras / gravações?

Qualquer software de criptografia de disco terá alguma sobrecarga, mas vale a pena e todos os laptops e unidades USB externas devem ser criptografados.

Além de alterar senhas para coisas que foram armazenadas / acessadas a partir daí, há mais alguma coisa que você pode sugerir?

Você também pode obter um software de limpeza remota como o faria em um ambiente BES para amoras.

Em uma situação em que há código-fonte envolvido, e especialmente onde a máquina usada não pode ser controlada pelo departamento de TI da empresa, eu só permitiria que a pessoa desenvolvesse uma sessão remota hospedada em uma máquina nas instalações da empresa, por meio de um VPN.

Que tal um software de limpeza remota. Obviamente, isso só funcionaria se o ladrão fosse burro o suficiente para ligar o computador à Internet. Mas existem inúmeras histórias de pessoas que até encontraram seus laptops roubados dessa maneira, para que você possa ter sorte.

A limpeza programada também pode ser uma opção, se você não digitar sua senha em X horas, tudo será excluído e você precisará fazer o checkout novamente. Nunca ouvi falar disso antes, talvez porque seja realmente muito estúpido, pois requer mais trabalho do usuário quanto à criptografia. Talvez seja bom em combinação com criptografia para aqueles preocupados com o desempenho. É claro que você também tem o problema de inicialização, mas aqui não é necessária internet.

Meu pensamento sobre isso é que seu maior problema é que isso parece implicar que o laptop tenha acesso à rede da empresa. Suponho que agora você tenha impedido que este laptop entre na VPN na rede do escritório.

Permitir computadores fora da empresa na rede do escritório é uma péssima idéia. Se não é um laptop da empresa, como você pode aplicar um antivírus adequado nele. Permitir na rede significa que você não tem controle sobre os programas em execução nela - por exemplo, wireshark olhando pacotes de rede etc ...

Algumas das outras respostas sugerem que o desenvolvimento fora de horas deve ser feito dentro de uma sessão RDP e similares. Na verdade, isso significa que eles só podem funcionar onde há uma conexão com a Internet - nem sempre é possível em um trem etc. Mas também exige que o laptop tenha acesso ao servidor para a sessão RDP. Você precisou considerar como proteger o acesso RDP contra alguém que tenha acesso a um laptop roubado (e provavelmente algumas das senhas armazenadas no laptop)

Por fim, o resultado mais provável é que o laptop seja vendido para alguém que não tem interesse no conteúdo e o utilizará apenas para email e web. No entanto ... esse é um grande risco para uma empresa assumir.

Um bloqueio de laptop teria evitado o problema nesse caso. (Ainda não ouvi falar de um bloqueio na área de trabalho, mas também ainda não ouvi falar de um ladrão que rouba uma área de trabalho.)

Da mesma maneira que você não deixa suas jóias por aí quando sai de casa, não deixe seu laptop sem segurança.