Знайте, какое аппаратное и программное обеспечение вы используете

Чтобы успешно защищать сеть своей организации, сначала необходимо получить обзор устройств и программного обеспечения в этой сети. Поэтому инвентаризация – это первый и очень важный шаг в создании защищенной системы. Если нет информации о том, какие устройства или программное обеспечение должно быть в сети, тогда невозможно обнаружить неизвестные или неавторизованные устройства и программное обеспечение. Именно такие устройства или программное обеспечение могут быть использованы злоумышленниками для получения доступа к офисной сети. Если неизвестно, какое программное обеспечение используется, то невозможно провести его обновление. Существует также риск того, что может быть установлено программное обеспечение, которое может заразить систему вредоносным программным обеспечением (например, нелегальным программным обеспечением для загрузки музыки / фильмов). Для каждого устройства в офисной сети необходимо знать следующую информацию:

название устройства;
IP-адрес;
назначение устройства или причина его нахождения в сети (чей-то компьютер, сервер, сетевое устройство и т. д.);
список программного обеспечения, установленного на вашем устройстве.

Читайте подробнее о рекомендациях по безопасности:

Во-первых, нужно определить, какие устройства находятся в сети. Даже если это небольшая сеть с несколькими устройствами, эта информация должна быть задокументирована. Если это не будет сделано, то устройства могут остаться незащищенными. Злоумышленники ищут незащищенные устройства для атаки на корпоративную сеть. Обзор устройств в сети также необходим, когда происходит смена IT специалистов, потому что им нужна информация о сети и устройствах в ней.

Если ваша корпоративная сеть больше, чем несколько компьютеров, рекомендуется использовать программное обеспечение, которое автоматически выполняет инвентаризацию. Ручная инвентаризация может привести к ошибкам, и, если в наличии больше оборудования, это займет много времени. Регистр аппаратного обеспечения должен также включать любые устройства, которые в данный момент отсутствуют в сети, но могут подключиться к ней или, в случае кражи которых, могут быть потеряны данные.

После того, как вы получите обзор устройств в сети, необходимо определить, какое программное обеспечение в них используется. Это делается для того, чтобы убедиться, что программное обеспечение обновлено и на устройствах установлено нужное программное обеспечение. Для инвентаризации программного обеспечения также целесообразно использовать программы, которые способны автоматически собирать данные. Автоматическая инвентаризация программного обеспечения помогает, среди прочего, определять, когда на устройство было добавлено новое программное обеспечение. Собранные данные о программном обеспечении должны быть связаны с регистром аппаратного обеспечения, чтобы все устройства и связанное с ними программное обеспечение можно было отслеживать в одном месте.

Чтобы лучше управлять своим оборудованием и программным обеспечением, следует рассмотреть возможность использования централизованного решения. Оно позволяет централизованно управлять вашими устройствами и определять, какое программное обеспечение должно быть на них установлено, устраняя при этом необходимость установки дополнительного программного обеспечения для инвентаризации. Централизованное управление позволяет как проводить инвентаризацию, так и составлять требования к безопасности оборудования. Некоторые программы централизованного управления могут удалять данные с устройств через Интернет, что полезно, если сотрудник потерял устройство или его украли.

В наши дни сотрудники все чаще хотят использовать для работы личные персональные устройства. Наиболее распространенными являются смарт устройства (телефоны и планшеты), также все чаще используются персональные компьютеры. Кроме того, часто на работу приносят собственные USB-накопители и внешние жесткие диски, которые позволяют быстро и легко передавать данные из внутренней сети на внешние носители. Если сотрудникам разрешено использовать персональное оборудование, то для этого должны быть установлены правила, поскольку сотрудники работают с данными компании на личных устройствах. По возможности, правила должны разрабатываться в сотрудничестве с IT персоналом.

При разработке правил использования личных устройств следует:

определить, какие требования безопасности предъявляются к персональным устройствам. Например, обязательно надо требовать, чтобы устройства были защищены паролем, и на них было бы установлено антивирусное программное обеспечение. Если на устройстве хранятся конфиденциальные данные, то оно должно быть зашифровано;
составить список устройств и операционных систем, которые нельзя использовать в организации, таких как устройства с уязвимостями или устройства, которые больше не поддерживаются производителем программного обеспечения (например, компьютеры под управлением Windows XP должны быть запрещены). Кроме того, должно быть запрещено использование персональных сетевых устройств (персональные роутеры, свитчи, Wi-Fi устройства и т. д.), которые могут создавать помехи в корпоративной сети;
по возможности вести список оборудования, которое работники хотят использовать. Он должен включать имя сотрудника, название устройства, список программного обеспечения и т. д.
при необходимости установить правило, запрещающее хранение связанной с работой информации на личных устройствах.

Работники должны ознакомиться с правилами и нормами и дать своё согласие, подписав соответствующий документ (в противном случае им будет запрещено пользоваться личным устройством на работе).