Журнал "Information Security/ Информационная безопасность" #2, 2019

обеспечения всех устройств необходи- мыми ресурсами. Часто указывается также способность самоуничтожения всего программного обеспечения и дан- ных с мобильного устройства в случае злонамеренного неавторизованного уда- ления с него MDM-приложения. Однако до того момента, пока на BYOD-устрой- ствах не появятся действительно много- пользовательские операционные среды с поддержкой низкоуровневых интер- фейсов для доступа СЗИ независимых производителей, реальные возможности MDM-решений по контролю исходящих потоков данных на мобильных устрой- ствах остаются принципиальной пробле- мой. Сильными сторонами MDM-систем являются такие функции, как надежная парольная защита устройства, шифро- вание встроенной памяти и карт хранения данных либо "контейнеризация" данных приложений, управляемое уничтожение данных с устройства в случае потери или кражи. Однако же на практике по крайней мере функцию удаленного уни- чтожения данных можно реализовать только при условии, что устройство появится в Сети и будет обнаружено управляющей частью MDM-системы. Мимоходом напомню и о задаче резерв- ного копирования данных, принадлежа- щих компании. Если новые документы и данные создаются на BYOD-устройстве, организация вынуждена полагаться на сознательность сотрудника, надеясь, что он самостоятельно позаботится о созда- нии резервных копий. Уже сама практика хранения данных на BYOD-устройствах порождает риск утечки данных, независимо от наличия на устрой- стве агента MDM-системы. Данные ограни- ченного доступа могут быть попросту отправлены непосредственно с мобиль- ного устройства по сетевым каналам (почта, социальные сети, мессенджеры) или на подключаемые внешние устройства печати и хранения данных (большинство смартфонов отлично дружит с дополни- тельными картами памяти). Означает ли все вышесказанное, что MDM-решения не нужны или бесполез- ны? Конечно, нет. Более того, в некото- рых случаях будет предпочтительнее использовать именно MDM-системы для защиты данных на мобильных устрой- ствах, например в сценариях, когда сотруднику "в поле" потребуется иметь доступ к корпоративным данным вслед- ствие низкой пропускной способности канала или полного отсутствия сетевого подключения, а значит должна быть воз- можность защищенно хранить корпора- тивные данные локально на персональ- ных мобильных устройствах. Безопасно передаем данные с личного устройства? В качестве решения этой проблемы предлагается использовать DLP-агенты, которые, как правило, перенаправляют все почтовые коммуникации через VPN- туннель в офисную сеть организации, где для контроля контента почты исполь- зуется DLP-шлюз. Другой вариант, при- менимый в ограниченном сегменте кри- тически важных ИС, – дорогостоящие "защищенные телефоны", которые, по сути, есть специализированные про- граммно-аппаратные MDM-решения на базе урезанной версии Android. Здесь надо четко понимать, что надеж- ное функционирование DLP-агентов также не гарантировано: отключив не защищенный на уровне ОС DLP-агент, пользователь отключит и контроль пере- даваемых данных. Кроме того, сетецент- ричные DLP-решения, стоящие за кор- поративными шлюзами и VPN-туннелями, во многих продуктах ограничены функ- цией мониторинга почтовых коммуника- ций, а для протоколов MAPI и Lotus и вовсе неприменимы: проприетарное шифрование в этих протоколах принци- пиально исключает возможность анализа содержимого почтовых сообщений после их отправки. В случае MAPI и Lotus ана- лиз контента возможен только до момен- та отправки, что требует использования агентской DLP-архитектуры и перехвата сообщений посредством внедрения собственного кода в адресное простран- ство процессов почтового клиента. Смотрим, но ничего не трогаем? А можно ли сделать так, чтобы поль- зователь на личном устройстве не хранил и не мог хранить корпоративные данные, но имел бы возможность пользоваться почтой и другими корпоративными при- ложениями? Да еще и чтобы не мог перекидывать защищаемые данные из корпоративных ИС и почты на карту памяти или в другие приложения через буфер обмена? Можно. Такой подход реализуется посредством предоставления удаленного доступа к корпоративным серверам в целом и слу- жебной почте в частности через терми- нальные сессии. Стерильная рабочая среда, предоставленная через терми- нальный доступ, должна содержать ограниченный набор приложений и биз- нес-инструментарий, необходимый и достаточный для выполнения сотрудни- ками их служебных задач. Почтовый клиент для работы с корпоративной поч- той публикуется как виртуализованное приложение: например, в среде Citrix XenApp пользователь может работать с почтовым клиентом с любого устройства, включая мобильные. Для этого на личном устройстве самим пользователем или ИТ-подразделением организации уста- навливается терминальный клиент (например, Citrix Receiver) или же вместо него может использоваться любой Web- браузер, поддерживающий HTML5. На стороне пользователя в организа- ционном плане модель доступа к почто- вому клиенту через терминальную сес- сию реализуется достаточно просто: Citrix • 39 КОНТРОЛЬ ДОСТУПА www.itsec.ru Реклама