O que você faz sobre funcionários e laptops pessoais?

38

Hoje, um de nossos desenvolvedores teve seu laptop roubado de sua casa. Aparentemente, ele tinha uma verificação svn completa do código fonte da empresa, bem como uma cópia completa do banco de dados SQL.

Essa é uma das principais razões pelas quais sou pessoalmente contra permitir o trabalho da empresa em laptops pessoais.
No entanto, mesmo que este fosse um laptop de propriedade da empresa, ainda teríamos o mesmo problema, embora estivéssemos em uma posição um pouco mais forte para aplicar a criptografia (WDE) em todo o disco.

As perguntas são as seguintes:

  1. O que sua empresa faz com os dados da empresa em hardware que não é de propriedade da empresa?
  2. O WDE é uma solução sensata? Isso gera muita sobrecarga nas leituras / gravações?
  3. Além de alterar senhas para coisas que foram armazenadas / acessadas a partir daí, há mais alguma coisa que você pode sugerir?
Tom O'Connor
fonte
7
Foi roubado ou "roubado"? Tive um caso em que um laptop de funcionários desapareceu misteriosamente e, por acaso, foi a única coisa que foi "roubada" da casa deles. E, é claro, havia US $ 1000 em outros equipamentos e objetos de valor que foram deixados intocados. É claro que eles nunca chamaram a polícia para investigar. Você chamou a polícia para investigar?
bakoyaro
Não vejo a polícia investigando o roubo do laptop pessoal de alguém, a pedido de um funcionário da empresa. Sim, eu sei, você poderia argumentar que o código-fonte era propriedade da empresa, mas, com base na experiência, a polícia simplesmente encolheu os ombros e não fez nada a respeito.
Belmin Fernandez
3
@bakoyaro sim, a polícia foi informada. Apenas a carteira e o laptop dele foram cortados. Um pouco estranho.
Tom O'Connor
1
O que faço é me preocupar muito, pois não consigo convencer meu supervisor e colegas de trabalho de que eles devem estar preocupados.
Zoredache
8
@ Tom - você está preocupado agora? E se esses dados pessoais incluírem os detalhes da sua conta bancária? Sim. Isso sempre chama a atenção, não é? O fato é que, não importa em que setor você está ou em que país, os negócios nem sempre levam a segurança dos dados tão a sério quanto deveriam, e mesmo quando as intenções são boas, as coisas são feitas. muitas vezes pode atrapalhar a execução correta das coisas . A verdadeira sabedoria está em saber quando para dividir essa diferença e quando a cavar seus saltos no.
Rob Moir

Respostas:

30
  1. O problema é que permitir que as pessoas façam horas extras não remuneradas com seu próprio kit é muito barato, para que os gerentes não estejam tão dispostos a impedi-lo; mas é claro que ficará feliz em culpar a TI quando houver um vazamento ... Somente uma política fortemente aplicada evitará isso. Cabe à gerência onde eles querem encontrar o equilíbrio, mas é um problema muito pessoal.

  2. Testei o WDE (Truecrypt) em laptops com cargas de trabalho no nível de administrador e, na verdade, não é tão ruim quanto ao desempenho, o impacto de E / S é insignificante. Também tenho vários desenvolvedores mantendo ~ 20 GB de cópias de trabalho. Não é uma 'solução' em si; (Ele não impede que os dados sejam arrastados para fora de uma máquina não segura durante a inicialização, por exemplo), mas certamente fecham muitas portas.

  3. Que tal proibição geral de todos os dados mantidos externamente; seguido por algum investimento em serviços de área de trabalho remota, uma VPN decente e a largura de banda para suportá-la. Dessa forma, todo o código permanece dentro do escritório; os usuários obtêm uma sessão com acesso da rede local aos recursos; e as máquinas domésticas tornam-se terminais burros. Não é adequado para todos os ambientes (acesso intermitente ou alta permissão pode ser um fator de ruptura no seu caso), mas vale a pena considerar se o trabalho doméstico é importante para a empresa.

SmallClanger
fonte
3
+1 na 3ª sugestão. Faz mais sentido para mim.
Belmin Fernandez
1
# 3 é a direção em que estamos indo também. Por que compilar em um laptop quando você pode VPN e RDP em uma VM em execução no hardware do servidor? Você não está entrando e saindo de código pela VPN, pois tudo permanece na LAN do escritório.
agosto
2
Para pessoas com Ubuntu, elas podem usar a criptografia LUKS integrada que faz parte do instalador alternativo. Ele funciona muito bem e é fácil de configurar no momento da instalação.
Zoredache
7
A opção 3 (RDP / VNC) tende a sugar minha experiência. O problema é que qualquer latência tende a estragar seriamente com os recursos de preenchimento automático dos IDEs mais populares. A menos que seus usuários tenham uma conexão sólida com a Internet com latência muito baixa, eles certamente odiarão uma solução de Área de Trabalho Remota.
Zoredache
7
Alguém que está defendendo o número 3 realmente tentou? Passei provavelmente centenas ou milhares de horas trabalhando dessa maneira e odeio isso. Mesmo em uma LAN, não é divertido, e em uma VPN me lembra quando eu estava discando.
Gabe
13

Nossa empresa exige criptografia de disco inteiro em todos os laptops de propriedade da empresa. Claro, há uma sobrecarga, mas para a maioria dos nossos usuários isso não é um problema - eles estão executando navegadores da web e suítes de escritório. Meu MacBook é criptografado e realmente não afetou o suficiente as coisas que eu notei, mesmo ao executar VMs no VirtualBox. Para alguém que passa a maior parte do dia compilando grandes árvores de código, pode ser mais um problema.

Obviamente, você precisa de uma estrutura de políticas para esse tipo de coisa: você precisa exigir que todos os laptops pertencentes à empresa sejam criptografados e que os dados da empresa não possam ser armazenados em equipamentos que não sejam da empresa. Sua política também precisa ser aplicada para a equipe técnica e executiva, mesmo que eles se queixem; caso contrário, você simplesmente enfrentará o mesmo problema novamente.

larsks
fonte
5
Isso só é possível se os tempos de compilação forem rápidos o suficiente nos discos de criptografia. Os programadores farão o que for necessário para obter um sistema que seja compilado rapidamente. Com ou sem o seu acordo.
precisa
4
Sim, mas se eles são depois daqueles tempos de compilação, que normalmente aceitar uma estação de trabalho no escritório, não-portáteis, mas com força bruta incrível ^^
Oskar Duveborn
3
Verdade demais. Definitivamente, recomendo executar alguns benchmarks e publicá- los para seus desenvolvedores, se você planeja implementar isso. Se você mostrar uma sobrecarga <5% para o WDE em condições do mundo real, poderá obtê-las. Cenoura: ofereça SSDs aos desenvolvedores para adoçar o negócio. Stick: demiti-los se eles causarem uma violação, subvertendo o seu mecanismo. : D
SmallClanger
3
Pelo menos pelo que vi, a compilação geralmente é mais vinculada à CPU do que à ligação de E / S. Não estou dizendo que a criptografia não fará diferença, mas não parece que deva fazer muita diferença. Provavelmente varia de acordo com o projeto, é claro.
Zoredache
1
É verdade que a compilação é basicamente ligada à CPU, mas a vinculação geralmente exige muita E / S de disco (embora ainda seja pesada demais para a CPU). Não posso dizer que notei alguma diferença em um laptop i5 com um SSD G2 Intel e habilitando o bitlocker em todos os volumes. Funcionou tão bem que agora estou completamente vendido em BitLocker To Go no meu equipamento privado, bem ^^
Oskar Duveborn
9

Eu focaria menos no próprio equipamento e mais nos dados envolvidos. Isso ajudará a evitar os problemas que você está enfrentando agora. Você pode não ter o poder de impor políticas sobre equipamentos de propriedade pessoal. No entanto, é melhor você ter o poder de determinar como os dados de propriedade da empresa são tratados. Sendo uma universidade, temos problemas como esse que surgem o tempo todo. O corpo docente pode não ser financiado de tal maneira que seu departamento possa comprar um computador ou eles podem comprar um servidor de processamento de dados com uma concessão. Em geral, a solução para esses problemas é proteger os dados, e não o hardware.

Sua organização possui uma política de classificação de dados? se sim, o que isso diz? Como o repositório de código seria classificado? Quais requisitos seriam colocados nessa categoria? Se a resposta para qualquer uma dessas opções for "Não" ou "Não sei", recomendo conversar com seu escritório de Segurança da Informação ou com quem seja responsável em desenvolver políticas.

Com base no que você diz que foi lançado, se eu fosse o proprietário dos dados, provavelmente o classificaria como Alto, ou Código Vermelho, ou seja qual for o seu nível mais alto. Normalmente, isso exigiria criptografia em repouso, em trânsito e pode até listar algumas restrições sobre onde os dados podem ser armazenados.

Além disso, você pode estar pensando em implementar algumas práticas de programação segura. Algo que pode codificar um ciclo de vida de desenvolvimento e impedir expressamente os desenvolvedores de entrar em contato com um banco de dados de produção, exceto em circunstâncias estranhas e raras.

Scott Pack
fonte
6

1.) Trabalhando remotamente

Para os desenvolvedores, a área de trabalho remota é uma solução muito boa, a menos que 3D seja necessário. O desempenho geralmente é bom o suficiente.

A meu ver, a área de trabalho remota é ainda mais segura que a VPN, porque um notebook desbloqueado com a VPN ativa permite um pouco mais do que a vista de um servidor de terminal.

A VPN só deve ser dada a pessoas que possam provar que precisam de mais.

Mover dados confidenciais para fora de casa é proibido e deve ser evitado, se possível. Trabalhar como desenvolvedor sem acesso à Internet pode ser proibido porque a falta de acesso ao controle de origem, rastreamento de problemas, sistemas de documentação e comunicações torna a eficiência duvidosa.

2.) Uso de hardware que não é da empresa em uma rede

Uma empresa deve ter um padrão do necessário para o hardware conectado à LAN:

  • Antivírus
  • Firewall
  • estar no domínio, ser inventarizado
  • se for móvel, seja criptografado
  • os usuários não têm administrador local (difícil se desenvolvedor, mas factível)
  • etc.

O hardware externo deve seguir estas diretrizes ou não estar na rede. Você pode configurar o NAC para controlar isso.

3.) Pouco pode ser feito sobre o leite derramado, mas medidas podem ser tomadas para evitar reincidência.

Se as etapas acima forem seguidas e os notebooks forem pouco mais que thin clients móveis, não será necessário muito mais. Ei, você pode até comprar notebooks baratos (ou antigos).

Posipiet
fonte
3

Os computadores que não estão sob o controle da sua empresa não devem ser permitidos na rede. Sempre. É uma boa ideia usar algo como VMPS para colocar equipamentos não autorizados em uma VLAN em quarentena. Da mesma forma, os dados da empresa não têm negócios fora do equipamento da empresa.

Atualmente, a criptografia do disco rígido é bastante fácil, portanto, criptografe tudo o que sai das instalações. Eu já vi um manuseio excepcionalmente descuidado de laptops, o que seria um desastre sem a criptografia completa do disco. O impacto no desempenho não é tão ruim e o benefício supera em muito. Se você precisar de um desempenho impressionante, VPN / RAS no hardware apropriado.

Cakemox
fonte
3

Para ir em outra direção a partir de algumas das outras respostas aqui:

Embora seja importante proteger e proteger os dados, é importante a probabilidade de a pessoa que roubou o laptop:

  1. Sabia o que eles estavam roubando
  2. Sabia onde procurar os dados e o código-fonte
  3. Sabia o que fazer com os dados e o código-fonte

É bastante improvável. O cenário mais provável é que a pessoa que roubou o laptop seja um velho ladrão comum e não um espião corporativo que esteja disposto a roubar o código de código da sua empresa, a fim de criar um produto concorrente e colocá-lo no mercado antes de sua empresa, expulsando sua empresa. de negócios.

Dito isto, provavelmente caberia à sua empresa implementar algumas políticas e mecanismos para evitar isso no futuro, mas eu não deixaria esse incidente mantê-lo acordado à noite. Você perdeu os dados no laptop, mas presumivelmente era apenas uma cópia e o desenvolvimento continuará sem interrupção.

joeqwerty
fonte
Não há preocupação com a perda de dados em todo o sentido. Temos backups e cópias saindo de nossos ouvidos. Ainda assim, é um risco que nossos segredos de negócios estejam no repositório SVN.
Tom O'Connor
3

Os laptops de propriedade da empresa devem usar discos criptografados etc., é claro, mas você pergunta sobre computadores pessoais.

Não vejo isso como um problema técnico, mas sim comportamental. Há muito pouco que você pode fazer do ponto de vista tecnológico para tornar impossível alguém levar o código para casa e invadir o código - mesmo que você possa impedir que eles verifiquem toda a fonte de um projeto formalmente, eles ainda podem usar se você estiver determinado a fazê-lo e se um "trecho" de código de 10 linhas (ou qualquer dado) for o que contém seu molho secreto / informações valiosas e confidenciais do cliente / localização do Santo Graal, então você ' ainda está potencialmente tão desossado ao perder essas 10 linhas quanto você perderia 10 páginas.

Então, o que a empresa quer fazer? É perfeitamente possível dizer que as pessoas absolutamente não devem trabalhar nos negócios da empresa a partir de computadores que não são da empresa e torná-lo uma ofensa de demissão por "má conduta grave" para pessoas que violam essa regra. Essa é uma resposta apropriada para alguém que é vítima de um roubo? Isso iria contra a essência da sua cultura corporativa? A empresa gosta quando as pessoas trabalham em casa em seu próprio tempo e, portanto, estão preparadas para equilibrar o risco de perda de propriedade com os ganhos percebidos de produtividade? O código perdido foi usado para controlar armas nucleares, cofres de bancos ou equipamentos de salvação em hospitais e, como tal, uma violação de segurança não pode ser considerada sob nenhuma circunstância? Você tem uma obrigação legal ou regulamentar em relação à segurança do código "em risco"

Acho que essas são algumas das perguntas que você precisa considerar, mas ninguém aqui pode realmente responder a você.

Rob Moir
fonte
3

O que sua empresa faz com os dados da empresa em hardware que não é de propriedade da empresa?

Com certeza, você só deve ter dados da empresa armazenados nos dispositivos da empresa em nenhum outro lugar, a menos que tenham sido criptografados pelo seu departamento de TI

O WDE é uma solução sensata? Isso gera muita sobrecarga nas leituras / gravações?

Qualquer software de criptografia de disco terá alguma sobrecarga, mas vale a pena e todos os laptops e unidades USB externas devem ser criptografados.

Além de alterar senhas para coisas que foram armazenadas / acessadas a partir daí, há mais alguma coisa que você pode sugerir?

Você também pode obter um software de limpeza remota como o faria em um ambiente BES para amoras.

cpgascho
fonte
utilize Citação >e não blocos de código para cotações, consulte serverfault.com/editing-help
Jeff Atwood
1

Em uma situação em que há código-fonte envolvido, e especialmente onde a máquina usada não pode ser controlada pelo departamento de TI da empresa, eu só permitiria que a pessoa desenvolvesse uma sessão remota hospedada em uma máquina nas instalações da empresa, por meio de um VPN.

Alan B
fonte
Você deseja perder um pedido grande se o software estiver atrasado devido à falha na conexão VPN? No entanto, na maioria das vezes, a VPN funciona bem para o desenvolvedor de software.
precisa
Bem, acho que você tem que ponderar o risco disso contra o risco de o laptop dele andar com uma cópia da fonte dele. No mínimo, eles devem ter a fonte em um volume Truecrypt.
Alan B
0

Que tal um software de limpeza remota. Obviamente, isso só funcionaria se o ladrão fosse burro o suficiente para ligar o computador à Internet. Mas existem inúmeras histórias de pessoas que até encontraram seus laptops roubados dessa maneira, para que você possa ter sorte.

A limpeza programada também pode ser uma opção, se você não digitar sua senha em X horas, tudo será excluído e você precisará fazer o checkout novamente. Nunca ouvi falar disso antes, talvez porque seja realmente muito estúpido, pois requer mais trabalho do usuário quanto à criptografia. Talvez seja bom em combinação com criptografia para aqueles preocupados com o desempenho. É claro que você também tem o problema de inicialização, mas aqui não é necessária internet.

lalalamp
fonte
0

Meu pensamento sobre isso é que seu maior problema é que isso parece implicar que o laptop tenha acesso à rede da empresa. Suponho que agora você tenha impedido que este laptop entre na VPN na rede do escritório.

Permitir computadores fora da empresa na rede do escritório é uma péssima idéia. Se não é um laptop da empresa, como você pode aplicar um antivírus adequado nele. Permitir na rede significa que você não tem controle sobre os programas em execução nela - por exemplo, wireshark olhando pacotes de rede etc ...

Algumas das outras respostas sugerem que o desenvolvimento fora de horas deve ser feito dentro de uma sessão RDP e similares. Na verdade, isso significa que eles só podem funcionar onde há uma conexão com a Internet - nem sempre é possível em um trem etc. Mas também exige que o laptop tenha acesso ao servidor para a sessão RDP. Você precisou considerar como proteger o acesso RDP contra alguém que tenha acesso a um laptop roubado (e provavelmente algumas das senhas armazenadas no laptop)

Por fim, o resultado mais provável é que o laptop seja vendido para alguém que não tem interesse no conteúdo e o utilizará apenas para email e web. No entanto ... esse é um grande risco para uma empresa assumir.

Michael Shaw
fonte
Você não precisa de acesso à rede da empresa para obter nosso código fonte, tudo que você precisa é de uma senha SVN e do nosso URL do servidor svn repo.
Tom O'Connor
Você está assumindo que temos uma VPN. Agradável. Eu gostaria que tivéssemos.
Tom O'Connor
1
e você está preocupado em perder um laptop com o código-fonte quando tiver o código-fonte publicado na Internet.
Michael Shaw
-3

Um bloqueio de laptop teria evitado o problema nesse caso. (Ainda não ouvi falar de um bloqueio na área de trabalho, mas também ainda não ouvi falar de um ladrão que rouba uma área de trabalho.)

Da mesma maneira que você não deixa suas jóias por aí quando sai de casa, não deixe seu laptop sem segurança.

MCS
fonte
1
Ouvi falar de ladrões roubando computadores o tempo todo. Com $ job-1, alguém teve seu antigo Mac G4 cortado. Essas coisas pesam uma tonelada.
Tom O'Connor
Eu franziria a testa se minha empresa me ditasse para manter meu laptop pessoal na coleira dentro de minha própria casa. Bloqueios melhores podem ter impedido completamente o roubo, etc., etc. Os desktops são roubados e existem bloqueios e são usados ​​em muitas empresas. Em suma, não é uma resposta útil.
Martijn Heemels
As fechaduras no estilo "Kensington" costumam ser suficientes para impedir o ladrão casual. Um conjunto decente de alicate passaria por um muito rapidamente. Normalmente, eu os vi empregados em escritórios simplesmente para impedir que os limpadores roubassem laptops.
Richard Everett