Cosa fai riguardo al personale e ai laptop personali?

Oggi, uno dei nostri sviluppatori ha avuto il suo laptop rubato da casa sua. Apparentemente, aveva un controllo svn completo del codice sorgente dell'azienda, nonché una copia completa del database SQL.

Questo è uno dei motivi principali per cui sono personalmente contrario a consentire il lavoro dell'azienda sui laptop personali.
Tuttavia, anche se questo fosse stato un laptop di proprietà dell'azienda, avremmo comunque lo stesso problema, anche se saremmo in una posizione leggermente più forte per imporre la crittografia (WDE) su tutto il disco.

Le domande sono queste:

1. Cosa fa la tua azienda in merito ai dati dell'azienda sull'hardware non di proprietà?
2. WDE è una soluzione sensata? Produce molte spese generali in lettura / scrittura?
3. Oltre a cambiare le password per le cose che sono state memorizzate / accessibili da lì, c'è qualcos'altro che puoi suggerire?

1. Il problema è che consentire alle persone di fare straordinari non retribuiti con il proprio kit è molto economico, quindi i manager non sono così disposti a fermarlo; ma ovviamente saremo felici di incolpare l'IT quando c'è una perdita ... Solo una politica fortemente applicata lo impedirà. Dipende dalla direzione in cui vogliono raggiungere l'equilibrio, ma è un vero problema per le persone.

2. Ho testato WDE (Truecrypt) su laptop con carichi di lavoro a livello di amministratore e non è poi così male, dal punto di vista delle prestazioni, l'hit I / O è trascurabile. Ho diversi sviluppatori che ne conservano anche circa 20 GB. Non è una "soluzione" in sé; (Non impedirà che i dati vengano sottratti da una macchina non protetta durante l'avvio, ad esempio), ma certamente chiude molte porte.

3. Che ne dici del divieto generale di tutti i dati detenuti esternamente; seguito da alcuni investimenti in servizi desktop remoti, una VPN decente e la larghezza di banda per supportarlo. In questo modo tutto il codice rimane all'interno dell'ufficio; gli utenti ottengono una sessione con accesso alla rete locale alle risorse; e le macchine domestiche diventano terminali stupidi. Non si adatta a tutti gli ambienti (accesso intermittente o alta letency potrebbe essere un problema nel tuo caso), ma vale la pena considerare se il lavoro a domicilio è importante per l'azienda.

La nostra azienda richiede la crittografia dell'intero disco su tutti i laptop di proprietà dell'azienda. Certo, c'è un sovraccarico, ma per la maggior parte dei nostri utenti questo non è un problema: utilizzano browser Web e suite per ufficio. Il mio MacBook è crittografato e non ha influito abbastanza sulle cose che ho notato, anche quando eseguo VM in VirtualBox. Per qualcuno che passa gran parte della giornata a compilare grandi alberi di codice potrebbe essere più un problema.

Ovviamente è necessario un quadro politico per questo genere di cose: è necessario richiedere che tutti i laptop di proprietà dell'azienda siano crittografati e che i dati dell'azienda non possano essere archiviati su apparecchiature non di proprietà dell'azienda. La tua politica deve essere applicata anche per il personale tecnico ed esecutivo, anche se si lamentano, altrimenti incontrerai di nuovo lo stesso problema.

Mi concentrerei meno sull'apparecchiatura stessa e più sui dati coinvolti. Ciò consentirà di evitare i problemi che si verificano in questo momento. Potresti non avere la leva per imporre una politica sulle apparecchiature di proprietà personale. Tuttavia, è meglio avere la leva per imporre il modo in cui vengono gestiti i dati di proprietà dell'azienda. Essendo un'università, abbiamo problemi come questo che sorgono continuamente. La facoltà non può essere finanziata in modo tale che il suo dipartimento sia in grado di acquistare un computer, oppure potrebbe acquistare un server di elaborazione dati con una sovvenzione. In generale, la soluzione a questi problemi è proteggere i dati e non l'hardware.

La tua organizzazione ha una politica di classificazione dei dati? In tal caso, cosa dice? Come sarebbe classificato il repository di codice? Quali requisiti verrebbero posti su quella categoria? Se la risposta a una di queste domande è "No" o "Non lo so", allora consiglierei di parlare con il tuo ufficio per la sicurezza delle informazioni o chiunque nella tua organizzazione sia responsabile dello sviluppo delle politiche.

In base a ciò che dici è stato rilasciato, se fossi il proprietario dei dati, probabilmente lo classificherei come alto, o codice rosso, o qualunque sia il tuo livello più alto. In genere ciò richiederebbe la crittografia a riposo, in transito e potrebbe anche elencare alcune restrizioni su dove è possibile ospitare i dati.

Oltre a ciò, potresti pensare di implementare alcune pratiche di programmazione sicure. Qualcosa che potrebbe codificare un ciclo di vita dello sviluppo e impedire espressamente agli sviluppatori di entrare in contatto con un database di produzione, tranne in circostanze strane e rare.

1.) Lavorare da remoto

Per gli sviluppatori, il desktop remoto è un'ottima soluzione a meno che non sia necessario il 3D. Le prestazioni di solito sono abbastanza buone.

A mio avviso, il desktop remoto è ancora più sicuro della VPN, perché un notebook sbloccato con VPN attiva consente un po 'più di una vista su un terminal server.

La VPN dovrebbe essere data solo alle persone che possono dimostrare di aver bisogno di più.

Spostare i dati sensibili fuori casa non è necessario e, se possibile, dovrebbe essere evitato. Lavorare come sviluppatore senza accesso a Internet può essere vietato perché la mancanza di accesso al controllo del codice sorgente, al rilevamento dei problemi, ai sistemi di documentazione e alle comunicazioni rende l'efficienza se non ottimale.

2.) Utilizzo di hardware non aziendale in una rete

Una società dovrebbe avere uno standard di ciò che è richiesto dall'hardware collegato alla LAN:

• Antivirus
• Firewall
• essere nel dominio, essere inventarizzato
• se mobile, essere crittografato
• gli utenti non hanno un amministratore locale (difficile se sviluppatore, ma fattibile)
• eccetera.

L'hardware esterno dovrebbe seguire queste linee guida o non essere in rete. È possibile impostare NAC per controllarlo.

3.) Poco si può fare per quanto riguarda il latte versato, ma è possibile prendere provvedimenti per evitare il ripetersi.

Se vengono eseguiti i passaggi precedenti e i notebook sono poco più che thin client mobili, non è necessario molto di più. Ehi, puoi persino acquistare notebook economici (o usare quelli vecchi).

I computer che non sono sotto il controllo della tua azienda non dovrebbero essere ammessi sulla rete. Mai. È consigliabile utilizzare qualcosa di simile a VMPS per inserire apparecchiature non autorizzate in una VLAN in quarantena. Allo stesso modo, i dati dell'azienda non hanno affari al di fuori delle apparecchiature aziendali.

La crittografia del disco rigido è piuttosto semplice in questi giorni, quindi crittografa tutto ciò che esce dai locali. Ho visto una gestione eccezionalmente disattenta dei laptop che sarebbe un disastro senza la crittografia completa del disco. Il colpo di performance non è poi così male, e il vantaggio lo supera di gran lunga. Se hai bisogno di prestazioni straordinarie, VPN / RAS nell'hardware appropriato.

Per andare in un'altra direzione da alcune delle altre risposte qui:

Pur proteggendo e proteggendo i dati è importante, la probabilità che la persona che ha rubato il laptop:

1. Sapevo cosa stavano rubando
2. Sapevo dove cercare i dati e il codice sorgente
3. Sapevo cosa fare con i dati e il codice sorgente

È abbastanza improbabile. Lo scenario più probabile è che la persona che ha rubato il laptop sia un vecchio ladro normale e non una spia aziendale intenzionata a rubare il codice di vendita della tua azienda al fine di costruire un prodotto concorrente e portarlo sul mercato prima della tua azienda, scacciando così la tua azienda di affari.

Detto questo, probabilmente sarebbe opportuno che la tua azienda mettesse in atto alcune politiche e meccanismi per impedirlo in futuro, ma non avrei lasciato che questo incidente ti tenesse sveglio la notte. Hai perso i dati sul laptop, ma presumibilmente era solo una copia e lo sviluppo continuerà senza interruzioni.

Computer portatili di proprietà dell'azienda, ovviamente dovrebbero utilizzare dischi crittografati, ecc., Ma si chiede informazioni sui personal computer.

Non lo vedo come un problema tecnico ma piuttosto comportamentale. C'è molto poco che puoi fare da un punto di vista tecnologico per rendere impossibile a qualcuno portare a casa il codice e hackerarlo - anche se puoi impedire loro di estrarre tutta la fonte di un progetto su base formale che possono ancora prendere snippet home se sono determinati a farlo e se uno "snippet" di 10 righe di codice (o qualsiasi dato) sembra essere il bit che contiene la tua salsa segreta / informazioni preziose e riservate sui clienti / posizione del Santo Graal, allora ' sei ancora potenzialmente disossato perdendo quelle 10 linee come faresti perdendo 10 pagine.

Quindi cosa vuole fare l'azienda? È perfettamente possibile affermare che le persone non devono assolutamente lavorare sugli affari aziendali da computer non aziendali e renderlo un reato di licenziamento "grave cattiva condotta" per le persone che infrangono tale regola. È una risposta adeguata a qualcuno che è vittima di un furto con scasso? Andrebbe contro il grano della tua cultura aziendale? All'azienda piace quando le persone lavorano da casa nel loro tempo libero ed è quindi pronta a bilanciare il rischio di perdita di proprietà con i guadagni percepiti nella produttività? Il codice che è stato perso è usato per controllare armi nucleari o caveau di una banca o attrezzature salvavita negli ospedali e come tale una violazione della sicurezza non può essere considerata in nessun caso? Hai un obbligo legale o regolamentare in merito alla sicurezza del codice "a rischio"

Queste sono alcune delle domande che penso dovresti prendere in considerazione, ma nessuno qui può effettivamente rispondere a te per te.

Cosa fa la tua azienda in merito ai dati dell'azienda sull'hardware non di proprietà?

Sicuramente dovresti avere solo i dati dell'azienda archiviati sui dispositivi aziendali in nessun altro posto a meno che non siano stati crittografati dal tuo dipartimento IT

WDE è una soluzione sensata? Produce molte spese generali in lettura / scrittura?

Qualsiasi software di crittografia del disco avrà un certo sovraccarico, ma ne vale la pena e tutti i laptop e le unità USB esterne dovrebbero essere crittografati.

Oltre a cambiare le password per le cose che sono state memorizzate / accessibili da lì, c'è qualcos'altro che puoi suggerire?

Puoi anche ottenere un software di cancellazione remota come in un ambiente BES per le more.

In una situazione in cui è coinvolto il codice sorgente e in particolare dove la macchina utilizzata non può essere controllata dal dipartimento IT dell'azienda, permetterei sempre e solo alla persona di svilupparsi in una sessione remota ospitata su una macchina nei locali dell'azienda, attraverso un VPN.

Che ne dici di software di pulizia remota. Questo ovviamente funzionerebbe solo se il ladro è abbastanza stupido da accendere il computer su Internet. Ma ci sono tonnellate di storie di persone che hanno persino trovato i loro laptop rubati in questo modo, quindi potresti essere fortunato.

Anche la pulizia a tempo potrebbe essere un'opzione, se non hai inserito la password in X ore tutto viene eliminato e devi effettuare nuovamente il checkout. Non ne ho mai sentito parlare prima, forse perché in realtà è abbastanza stupido in quanto richiede più lavoro da parte dell'utente che la crittografia. Forse sarebbe buono in combinazione con la crittografia per chi è preoccupato per le prestazioni. Ovviamente anche qui hai il problema dell'accensione, ma qui non è richiesta alcuna connessione a Internet.

Ho pensato a questo che il tuo problema più grande è che questo sembra implicare che il laptop avesse accesso alla rete aziendale. Suppongo che ora tu abbia impedito a questo laptop di entrare nella rete dell'ufficio.

Concedere computer non aziendali alla rete dell'ufficio è una pessima idea. Se non è un laptop aziendale, come è possibile imporre un adeguato antivirus su di esso. Consentirlo sulla rete significa che non si ha alcun controllo sui programmi che sono in esecuzione su di esso, ad esempio WireShark guardando i pacchetti di rete, ecc.

Alcune delle altre risposte suggeriscono che lo sviluppo fuori orario dovrebbe avvenire all'interno di una sessione del PSR e simili. In realtà questo significa che possono funzionare solo dove hanno una connessione Internet - non sempre possibile su un treno ecc. Ma richiede anche che il laptop abbia accesso al server per la sessione RDP. Devi considerare come proteggere l'accesso RDP contro qualcuno che ha accesso a un laptop rubato (e probabilmente alcune delle password memorizzate sul laptop)

Infine, il risultato più probabile è che il laptop sia venduto a qualcuno che non ha interesse per i contenuti e lo utilizzerà solo per e-mail e web. Tuttavia ... questo è un grosso rischio per un'azienda.

Un blocco del laptop avrebbe impedito il problema in questo caso. (Devo ancora sentire parlare di un blocco del desktop, ma ancora una volta, devo ancora sentire parlare di un ladro che ruba un desktop.)

Allo stesso modo in cui non lasci i gioielli in giro quando esci di casa, non dovresti lasciare il tuo computer portatile non sicuro.