какие действия не следует выполнять при работе с корпоративным мобильным устройством

Корпоративная мобильная связь: что изменилось с июня 2021 года

Как организациям приобретать сим-карты с 1 июня 2021 года

С 1 июня 2021 года вступили в силу новые правила предоставления организациям и ИП услуг корпоративной мобильной связи (Федеральный закон от 30.12.2020 № 533-ФЗ).

В числе прочих изменений – новый порядок приобретения бизнесом через интернет корпоративных сим-карт, которые предполагается использовать в разного рода оборудовании (например, в онлайн-кассах) или в мобильных устройствах сотрудников компаний.

По новым правилам организация или ИП могут заключить договор об оказании услуг связи и приобрести корпоративные сим-карты через интернет одним из указанных ниже способов (п. 1 ст. 44 Федерального закона от 07.07.2003 № 126-ФЗ «О связи»):

Раскрытие информации о корпоративных сим-картах с 1 июня 2021 года

С 1 июня 2021 года обязательным условием предоставления и получения услуг корпоративной мобильной связи является раскрытие компаниями информации о себе и своих сотрудниках, которые пользуются такой связью.

Данная информация подлежит раскрытию в единой системе идентификации и аутентификации абонентов (ЕСИА), через которую будут контролировать и мониторить все организации и ИП, заключившие договоры с операторами мобильной связи и интернета.

В целях информационной безопасности и борьбы с телефонным мошенничеством компании теперь обязаны размещать в ЕСИА, которая интегрирована с единым порталом «Госуслуги», следующую информацию (п. 1.1 ст. 44 Федерального закона от 07.07.2003 № 126-ФЗ):

Сведения подаются по каждому оператору связи, с которым заключен договор. Все эти сведения абоненты вносят в ЕСИА сразу же после заключения договора с оператором связи, но до начала получения соответствующих услуг. В свою очередь оператор связи обязан проверять наличие таких сведений в системе мониторинга посредством направления запроса в ЕСИА до начала оказания услуг связи.

Если при проверке оператор связи обнаружит, что вышеуказанные сведения в ЕСИА отсутствуют или являются недостоверными, оператор обязан уведомить об этом абонента, предоставив ему срок для внесения/исправления в ЕСИА соответствующих сведений.

Если абонент в оговоренный с оператором срок не раскроет достоверную информацию о пользователях корпоративных сим-карт, оператор должен будет расторгнуть договор с абонентом и перестать обслуживать ранее выделенный компании абонентский номер (ст. 1 Федерального закона от 30.12.2020 № 533-ФЗ).

Раскрытие сведений о корпоративных сим-картах, используемых в оборудовании

Если корпоративная сим-карта используется организацией/ИП в применяемом оборудовании (онлайн-кассах, модемах, платежных терминалах и т.д.), то в единую систему идентификации и аутентификации должны вноситься следующие сведения (п. 2 постановления Правительства РФ от 31.05.2021 № 844):

Порядок раскрытия сведений о корпоративных сим-картах

Сведения о корпоративных сим-картах вносятся в единую систему идентификации и аутентификации через Единый портал государственных и муниципальных услуг. Внесение сведений осуществляется уполномоченным лицом абонента через учетную запись на портале «Госуслуги».

Уполномоченное компанией-абонентом физлицо вправе через портал «Госуслуги» вносить в ЕСИА и исключать из нее (п. 7 ст. 45 Федерального закона от 07.07.2003 № 126-ФЗ «О связи»):

Раскрыть данные о корпоративной сим-карте необходимо еще до момента ее использования в целях получения услуг связи. А именно – не позднее 3 рабочих дней до планируемой даты начала оказания услуг связи, если иной срок не определен договором с оператором мобильной связи/интернета (п. 3 постановления Правительства РФ от 31.05.2021 № 844).

Если раскрытые сведения претерпели какие-либо изменения (например, сменился адрес использования онлайн-кассы или поменялось Ф.И.О. предпринимателя), такие изменения компания должна отразить в единой системе идентификации в течение 3 рабочих дней со дня изменения сведений.

Если корпоративные сим-карты приобретались до 1 июня 2021 года и к указанному моменту уже использовались, то раскрыть информацию о таких сим-картах компании должны не позднее 30 ноября текущего года.

В противном случае операторы связи должны будут уже 1 декабря 2021 года заблокировать корпоративные сим-карты, по которым не была раскрыта информация в ЕСИА (ст. 2 Федерального закона от 30.12.2020 № 533-ФЗ).

Источник

Безопасность при работе с мобильными устройствами на предприятии

Использование мобильных устройств на предприятии способно придать бизнесу новый импульс за счет повышения динамики ведения дел – мобилизации персонала в прямом смысле этого слова, ускорения процесса разрешения вопросов и согласований при принятии решений. С другой стороны это способно привести к печальным последствиям при неправильном подходе в работе с устройствами.

Безопасность всегда являлась ключевым фактором при построении инфраструктуры на предприятии. Однако чем сложнее инфраструктура, чем больше сервисов предоставляется пользователям, тем сложнее реализация средств защиты. И, зачастую, каждый новый шаг в расширении бизнеса и предоставлении пользователям новых средств работы становиться для системных администраторов очередной головной болью.

Так, использование мобильных устройств на предприятии способно придать бизнесу новый импульс за счет повышения динамики ведения дел – мобилизации персонала в прямом смысле этого слова, ускорения процесса разрешения вопросов и согласований при принятии решений. С другой стороны это способно привести к печальным последствиям при неправильном подходе в работе с устройствами.

Главное, что необходимо понимать – мобильные устройства все больше походят на обычные стационарные рабочие станции, и информация, которая храниться на смартфонах, телефонах и КПК зачастую идентична информации на настольных ПК – почтовая переписка, документы Word и Excel, PDF и т.д.

Итак, от чего информацию, хранимую на мобильных устройствах, нужно защищать?

Потенциальные угрозы

При описании основных угроз при работе с мобильными устройствами необходимо выделить два состояния устройства, которые являются ключевыми – устройство как источник информации и устройство в роли ее потребителя.
К угрозам, в которых устройство может выступать в роли источника можно отнести следующие:

А к угрозам устройства – потребителя информации следующие:

При этом необходимо дифференцировать не только состояние устройства, но и потенциальную длительность возможной угрозы во времени. И в соответствии с каждым состоянием и длительностью можно говорить о разных степенях угрозы.
Теперь о каждой из угроз более подробно:

Кроме описанных выше вариантов, возможны и другие, но в большинстве случаев это будут более сложные комбинации из уже перечисленных.

Арсенал защитника

Определившись с потенциальными угрозами, перехожу к возможным вариантам предотвращения подобных ситуаций. Для этого нужно рассмотреть, какие методы имеются в арсенале системных администраторов для противодействия. Их (эти методы) можно разделить на две категории – технические и административные.
К техническим относятся:

К административным можно отнести:

Перечисленные методы при различной комбинации помогают воспрепятствовать утечке информации и являются рекомендуемыми для внедрения на предприятии. Если соотнести их с перечисленными ранее угрозами, то для каждой из них можно предложить следующие комбинации:

Понятно, что внедрение части из описанных средств защиты может привести к дополнительным затратам – создание собственного центра сертификатов, шлюзов для работы с VPN-подключениями, приобретение дополнительного ПО (например, антивирусов, либо комплексных систем по управлению мобильными устройствами), проведение обучения. Но в такой ситуации необходимо решить – что дороже принять меры безопасности сейчас, или разбираться с утечкой информации потом…

С чего начать?

Итак, вы решили, что необходимо создать максимально безопасную среду для информации при работе с мобильными устройствами. С чего можно начать?

Я бы рекомендовал бы следующие шаги:

Это далеко не полный список, но для начала вполне хватит.

При написании этой статьи я не ставил себе цель рассказать обо всех возможных опасностях, подстерегающих пользователей мобильных устройств, равно как и администраторов, управляющих этим хозяйством. Основная моя цель – рассказать о том, какие угрозы ждут тех, кто решился сделать свой бизнес более мобильным и о том, как можно минимизировать потенциальные потери, связанные с утечкой информации. Статья также не является рекламой какого-либо программного продукта, а содержит мой личный опыт и наблюдения, вынесенные из общения с другими системными администраторами.
Если у вас есть какие-либо вопросы – пишите, а я постараюсь на них ответить.

Источник

Как контролировать смартфоны сотрудников

Уход на удаленную работу стер корпоративные границы. Сотрудникам приходилось использовать личные устройства для работы, и теперь они принесли эти привычки назад в офисы. Запреты на использование сотрудниками мобильных телефонов и раньше вызывали споры. А сейчас у компаний еще меньше аргументов для решительных мер. Хотя проблемы остались те же: каждая третья компания страдает от утечки данных из-за мобильных устройств.

Мобильный телефон – лучший инструмент, если нужно украсть информацию. Гаджет быстро передает данные, делает качественные фотографии и видео, имеет емкие карты памяти. Идеальных способов защиты нет. Многие методы неэффективны и часто незаконны. Но главное, контроль за использованием личных устройств всегда затрагивает приватное пространство сотрудника. Поэтому перед руководством компаний встает вопрос: как контролировать так, чтобы и цели достичь, и коллектив против себя не настроить. Вот основные варианты снижения риска утечки данных через мобильные устройства.

1. Ограничение на использование мобильных устройств на работе. Этот радикальный способ может быть очень эффективным, но только в случае по-настоящему строгого контроля. Мы то и дело слышим, что компании запрещают использовать мобильные гаджеты на работе. За скобками остается то, насколько хорошо у них получается реализовывать запрет. Один из заводов после публикации сотрудником видео пожара на YouTube запретил проносить смартфоны на территорию. Уже через пару месяцев работники рассказывали, что охрана на проходной не обращает внимания на нарушения.

К тому же в эпоху интернета вещей любой бытовой предмет становится гаджетом: очки, кольца, часы. Все они могут использоваться для приема и передачи информации. И уж если компания идет на строгий запрет, нужно готовиться к вечной гонке за технологиями.

Источник

Политика информационной безопасности

Информация является ценным и жизненно важным ресурсом. Настоящая политика информационной безопасности предусматривает принятие необходимых мер в целях защиты активов от случайного или преднамеренного изменения, раскрытия или уничтожения, а также в целях соблюдения конфиденциальности, целостности и доступности информации, обеспечения процесса автоматизированной обработки данных.

Ответственность за соблюдение информационной безопасности несет каждый сотрудник, при этом первоочередной задачей является обеспечение безопасности всех активов. Это значит, что информация должна быть защищена не менее надежно, чем любой другой основной актив. Главные цели не могут быть достигнуты без своевременного и полного обеспечения сотрудников информацией, необходимой им для выполнения своих служебных обязанностей.

В настоящей Политике под термином «сотрудник» понимаются все сотрудники.

1.1. Цель и назначение настоящей Политики

Целями настоящей Политики являются:

Руководители подразделений должны обеспечить регулярный контроль за соблюдением положений настоящей Политики. Кроме того, организована периодическая проверка соблюдения информационной безопасности с последующим представлением отчета по результатам указанной проверки Руководству.

1.2. Область применения настоящей Политики

Требования настоящей Политики распространяются на всю информацию и ресурсы обработки информации. Соблюдение настоящей Политики обязательно для всех сотрудников.

Организации принадлежит на праве собственности (в том числе на праве интеллектуальной собственности) вся деловая информация и вычислительные ресурсы, приобретенные (полученные) и введенные в эксплуатацию в целях осуществления ею деятельности в соответствии с действующим законодательством. Указанное право собственности распространяется на голосовую и факсимильную связь, осуществляемую с использованием оборудования организации, лицензионное и разработанное программное обеспечение, содержание ящиков электронной почты, бумажные и электронные документы всех функциональных подразделений и персонала организации.

2. Требования и рекомендации

2.1. Ответственность за информационные активы

В отношении всех собственных информационных активов организации, активов, находящихся под контролем организации, а также активов, используемых для получения доступа к инфраструктуре организации, определена ответственность соответствующего сотрудника Компании.

2.2. Контроль доступа к информационным системам

2.2.1. Общие положения

Все работы в пределах офисов организации выполняются в соответствии с официальными должностными обязанностями только на компьютерах, разрешенных к использованию в организации.

Внос в здания и помещения организации личных портативных компьютеров и внешних носителей информации (диски, дискеты, флэш-карты и т.п.), а также вынос их за пределы организации производится только при согласовании

Все данные (конфиденциальные или строго конфиденциальные), составляющие коммерческую тайну организации и хранящиеся на жестких дисках портативных компьютеров, зашифрованы. Все портативные компьютеры организации оснащены программным обеспечением по шифрованию жесткого диска.

Руководители подразделений периодически пересматривают права доступа своих сотрудников и других пользователей к соответствующим информационным ресурсам.

В целях обеспечения санкционированного доступа к информационному ресурсу, любой вход в систему осуществляется с использованием уникального имени пользователя и пароля.

Пользователи руководствоваются рекомендациями по защите своего пароля на этапе его выбора и последующего использования. Запрещается сообщать свой пароль другим лицам или предоставлять свою учетную запись другим, в том числе членам своей семьи и близким, если работа выполняется дома.

В процессе своей работы сотрудники обязаны постоянно использовать режим «Экранной заставки» с парольной защитой. Рекомендуется устанавливать максимальное время «простоя» компьютера до появления экранной заставки не дольше 15 минут.

2.2.2. Доступ третьих лиц к системам Компании

Каждый сотрудник обязан немедленно уведомить руководителя обо всех случаях предоставления доступа третьим лицам к ресурсам корпоративной сети.

Доступ третьих лиц к информационным системам Компании должен быть обусловлен производственной необходимостью. В связи с этим, порядок доступа к информационным ресурсам Компании должен быть четко определен, контролируем и защищен.

2.2.3. Удаленный доступ

Пользователи получают право удаленного доступа к информационным ресурсам организации с учетом их взаимоотношений с организации.

Сотрудникам, использующим в работе портативные компьютеры организации, может быть предоставлен удаленный доступ к сетевым ресурсам организации в соответствии с правами в корпоративной информационной системе.

Сотрудникам, работающим за пределами организации с использованием компьютера, не принадлежащего организации, запрещено копирование данных на компьютер, с которого осуществляется удаленный доступ.

Сотрудники и третьи лица, имеющие право удаленного доступа к информационным ресурсам организации, должны соблюдать требование, исключающее одновременное подключение их компьютера к сети организации и к каким-либо другим сетям, не принадлежащим Компании.

Все компьютеры, подключаемые посредством удаленного доступа к информационной сети организации, должны иметь программное обеспечение антивирусной защиты, имеющее последние обновления.

2.2.4. Доступ к сети Интернет

Доступ к сети Интернет обеспечивается только в производственных целях и не может использоваться для незаконной деятельности.

2.3. Защита оборудования

Сотрудники должны постоянно помнить о необходимости обеспечения физической безопасности оборудования, на котором хранятся информация организации.

2.3.1. Аппаратное обеспечение

Все компьютерное оборудование (серверы, стационарные и портативные компьютеры), периферийное оборудование (например, принтеры и сканеры), аксессуары (манипуляторы типа «мышь», шаровые манипуляторы, дисководы для СD-дисков), коммуникационное оборудование (например, факс-модемы, сетевые адаптеры и концентраторы), для целей настоящей Политики вместе именуются «компьютерное оборудование». Компьютерное оборудование, предоставленное организации, является ее собственностью и предназначено для использования исключительно в производственных целях.

Пользователи портативных компьютеров, содержащих информацию, составляющую коммерческую тайну организации, обязаны обеспечить их хранение в физически защищенных помещениях, запираемых ящиках рабочего стола, шкафах, или обеспечить их защиту с помощью аналогичного по степени эффективности защитного устройства, в случаях, когда данный компьютер не используется.

Каждый сотрудник, получивший в пользование портативный компьютер, обязан принять надлежащие меры по обеспечению его сохранности, как в офисе, так и по месту проживания. В ситуациях, когда возрастает степень риска кражи портативных компьютеров, например, в гостиницах, аэропортах, в офисах деловых партнеров и т.д., пользователи обязаны ни при каких обстоятельств не оставлять их без присмотра.

Во время поездки в автомобиле портативный компьютер должен находиться в багажнике. На ночь его следует перенести из автомобиля в гостиничный номер.

Все компьютеры должны защищаться паролем при загрузке системы, активации по горячей клавиши и после выхода из режима «Экранной заставки». Для установки режимов защиты пользователь должен обратиться в службу технической поддержки. Данные не должны быть скомпрометированы в случае халатности или небрежности приведшей к потере оборудования. Перед утилизацией все компоненты оборудования, в состав которых входят носители данных (включая жесткие диски), необходимо проверять, чтобы убедиться в отсутствии на них конфиденциальных данных и лицензионных продуктов. Должна выполняться процедура форматирования носителей информации, исключающая возможность восстановления данных.

При записи какой-либо информации на носитель для передачи его контрагентам или партнерам по бизнесу необходимо убедиться в том, что носитель чист, то есть не содержит никаких иных данных. Простое переформатирование носителя не дает гарантии полного удаления записанной на нем информации.

Карманные персональные компьютеры, а также мобильные телефоны, имеющие функцию электронной почты и прочие переносные устройства не относятся к числу устройств, имеющих надежные механизмы защиты данных. В подобном устройстве не рекомендуется хранить конфиденциальную информацию.

Порты передачи данных, в том числе FD и CD дисководы в стационарных компьютерах сотрудников Компании блокируются, за исключением тех случаев, когда сотрудником получено разрешение.

2.3.2. Программное обеспечение

Все программное обеспечение, установленное на предоставленном организации компьютерном оборудовании, является собственностью организациии должно использоваться исключительно в производственных целях.

Сотрудникам запрещается устанавливать на предоставленном в пользование компьютерном оборудовании нестандартное, нелицензионное программное обеспечение или программное обеспечение, не имеющее отношения к их производственной деятельности. Если в ходе выполнения технического обслуживания будет обнаружено не разрешенное к установке программное обеспечение, оно будет удалено, а сообщение о нарушении будет направлено непосредственному руководителю сотрудника.

На всех портативных компьютерах должны быть установлены программы, необходимые для обеспечения защиты информации:

Все компьютеры, подключенные к корпоративной сети, должны быть оснащены системой антивирусной защиты, утвержденной руководителем.

Сотрудники Компании не должны:

Компания предпочитает приобретать программное обеспечение, а не разрабатывать собственные программы, поэтому пользователям, желающим внедрить новые возможности бизнес-процессов, необходимо обсудить свое предложение со своим менеджером по бизнес информации, который проинформирует их о порядке приобретения и/или разработки программного обеспечения.

2.4. Рекомендуемые правила пользования электронной почтой

Электронные сообщения (удаленные или не удаленные) могут быть доступны или получены государственными органами или конкурентами по бизнесу для их использования в качестве доказательств в процессе судебного разбирательства или при ведении бизнеса. Поэтому содержание электронных сообщений должно строго соответствовать корпоративным стандартам в области деловой этики.

Использование электронной почты в личных целях допускается в случаях, когда получение/отправка сообщения не мешает работе других пользователей и не препятствует бизнес деятельности.

Сотрудникам запрещается направлять партнерам конфиденциальную информацию Организации по электронной почте без использования систем шифрования. Строго конфиденциальная информация Организации, ни при каких обстоятельствах, не подлежит пересылке третьим лицам по электронной почте.

Сотрудникам Организации запрещается использовать публичные почтовые ящики электронной почты для осуществления какого-либо из видов корпоративной деятельности.

Использование сотрудниками Организации публичных почтовых ящиков электронной почты осуществляется только при согласовании с Департаментом защиты информации при условии применения механизмов шифрования.

Сотрудники Организации для обмена документами с бизнес партнерами должны использовать только свой официальный адрес электронной почты.

Сообщения, пересылаемые по электронной почте, представляют собой постоянно используемый инструмент для электронных коммуникаций, имеющих тот же статус, что и письма и факсимильные сообщения. Электронные сообщения подлежат такому же утверждению и хранению, что и прочие средства письменных коммуникаций.

В целях предотвращения ошибок при отправке сообщений пользователи перед отправкой должны внимательно проверить правильность написания имен и адресов получателей. В случае получения сообщения лицом, вниманию которого это сообщение не предназначается, такое сообщение необходимо переправить непосредственному получателю. Если полученная таким образом информация носит конфиденциальный характер, об этом следует незамедлительно проинформировать специалистов Департамента защиты информации.

Отправитель электронного сообщения, документа или лицо, которое его переадресовывает, должен указать свое имя и фамилию, служебный адрес и тему сообщения.

Ниже перечислены недопустимые действия и случаи использования электронной почты:

Ко всем исходящим сообщениям, направляемым внешним пользователям, пользователь может добавлять уведомление о конфиденциальности.

Вложения, отправляемые вместе с сообщениями, следует использовать с должной осторожностью. Во вложениях всегда должна указываться дата их подготовки, и они должны оформляться в соответствии с установленными в Организации процедурами документооборота.

Пересылка значительных объемов данных в одном сообщении может отрицательно повлиять на общий уровень доступности сетевой инфраструктуры Организации для других пользователей. Объем вложений не должен превышать 2 Мбайт.

2.5. Сообщение об инцидентах информационной безопасности, реагирование и отчетность

Все пользователи должны быть осведомлены о своей обязанности сообщать об известных или подозреваемых ими нарушениях информационной безопасности, а также должны быть проинформированы о том, что ни при каких обстоятельствах они не должны пытаться использовать ставшие им известными слабые стороны системы безопасности.

В случае кражи переносного компьютера следует незамедлительно сообщить об инциденте директору Департамента защиты информации.

Пользователи должны знать способы информирования об известных или предполагаемых случаях нарушения информационной безопасности с использованием телефонной связи, электронной почты и других методов. Необходимо обеспечить контроль и учет сообщений об инцидентах и принятие соответствующих мер.

Если имеется подозрение или выявлено наличие вирусов или иных разрушительных компьютерных кодов, то сразу после их обнаружения сотрудник обязан:

2.6. Помещения с техническими средствами информационной безопасности

Конфиденциальные встречи (заседания) должны проходить только в защищенных техническими средствами информационной безопасности помещениях.

Перечень помещений с техническими средствами информационной безопасности утверждается Руководством Организации.

Участникам заседаний запрещается входить в помещения с записывающей аудио/видео аппаратурой, фотоаппаратами, радиотелефонами и мобильными телефонами без предварительного согласования.

Аудио/видео запись, фотографирование во время конфиденциальных заседаний может вести только сотрудник Организации, который отвечает за подготовку заседания, после получения письменного разрешения руководителя группы организации встречи.

Доступ участников конфиденциального заседания в помещение для его проведения осуществляется на основании утвержденного перечня, контроль за которым ведет лицо, отвечающее за организацию встречи.

2.7. Управление сетью

Уполномоченные сотрудники контролируют содержание всех потоков данных проходящих через сеть Организации.

Сотрудникам Организации запрещается:

2.7.1. Защита и сохранность данных

Ответственность за сохранность данных на стационарных и портативных персональных компьютерах лежит на пользователях. Специалисты Департамента информационных технологий обязаны оказывать пользователям содействие в проведении резервного копирования данных на соответствующие носители.

Необходимо регулярно делать резервные копии всех основных служебных данных и программного обеспечения.

Только специалисты на основании заявок руководителей подразделений могут создавать и удалять совместно используемые сетевые ресурсы и папки общего пользования, а также управлять полномочиями доступа к ним.

Сотрудники имеют право создавать, модифицировать и удалять файлы и директории в совместно используемых сетевых ресурсах только на тех участках, которые выделены лично для них, для их рабочих групп или к которым они имеют санкционированный доступ.

Все заявки на проведение технического обслуживания компьютеров должны направляться в Департамент информационных технологий.

2.8. Разработка систем и управление внесением изменений

Все операционные процедуры и процедуры внесения изменений в информационные системы и сервисы должны быть документированы, согласованны с руководителями.

Если вы нашли ошибку: выделите текст и нажмите Ctrl+Enter

Источник