Мемтехқызметтің қашықтықтан жұмыс істеу кезінде жұмыс орнын ұйымдастыру жөніндегі ұсынымдары

Құрметті қазақстандықтар, беліглі болғандай, Нұр-Сұлтан және Алматы қалаларында 30 наурыздан бастап 5 сәуірге дейін көптеген кәсіпорындар мен ұйымдардың қызметі уақытша тоқтатылады. Ұйымдардың басым бөлігі қашықтықтан жұмыс істеу тәртібіне әлдеқашан ауысқан, кейбірі қашықтықтан жұмыс істеу орындарын құруды енді бастауда, алайда осыған байланысты ақпараттық қауіпсіздік тәуекелдері мен зиянкестер тарапынан ұйымдардың ақпараттық инфрақұрылымдарына шабуыл жасау қатерлері туындайды.

«Мемлекеттік техникалық қызмет» РМК   қашықтықтан жұмыс істеу орындарын ұйымдастыру кезінде ақпараттық қауіпсіздікті қамтамасыз ету үшін компаниялардың басшылары мен ақпараттық қауіпсіздік жөніндегі техникалық мамандарына ұсынымдар тізбесін дайындады:

1.Қашықтықтан қолжетімділікті ұйымдастыру үшін қазақстан мемлекеттік стандарттарына сәйкес көпфакторлы аутентификация пайдаланылатын (логин+пароль+SMS-авторизация\МІНДЕТТІ  сыртқы тасығышта сақталатын ЭЦҚ көмегімен шифрлау) алгоритмде іске асырылған, шифрланған VPN-арнасын пайдалану ұсынылады. Желіге қолжеткізу үшін пайдаланушының атын енгізгеннен кейін қызметкердің мобильдік телефонына келетін біржолғы парольдер  (OTP) немесе SMS-кодтар. Бір пароль жеткіліксіз болады, себебі  оны зиянды бағдарламалық қамтылымның көмегімен байқау немесе ұрлау ықтималдығы орын алады. 

2.Жұмыс станцияларында міндетті түрде операциялық жүйенің соңғы жаңартулары және өзекті вирусқа қарсы қорғау құралдары орнатылу керек. Сонымен қатар компанияның ақпараттық ресурстарына қосу үшін пайдаланылатын үй ДК қоса алғанда, кез келген жеке жабдық қашықтықтан қол жеткізудің корпоративтік стандарттарына сәйкес болуы тиіс. Мұнда дұрыс конфигурацияланған және соңғы жаңартуларды қамтитын вирусқа қарсы бағдарламаны да ескеру қажет.

3.VPN-сервис ұйымдастырылатын сервер жағында White IP-List жазу керек.

4.Пайдаланушылардың іс-әрекеттерін міндетті логтау мен оларға аутықулар тұрғысынан мониторинг жүргізу қажет, сондай-ақ пайдаланушылардың VPN арқылы корпоративтік желіге қосылуын мониторингтеуді ұмытпаған жөн. 

5.Фаерволды рұқсат берілген пайдаланушылардың қосылуы мүмкін болатындай етіп баптау, Интернеттің пайдаланылмайтын порттарын жабу, жұмыс істеуге қажетті порттарды ғана қалдыру керек. 

6.Ішкі ресурстарға қолжетімділікті тек қана VPN арқылы беру (RDP/SSH немесе желі ішінде деректер алмасу қорғалмаған қосымшаларды сыртқа шығармау).

7.Құпия деректер компанияға тиесілі емес компьютерде сақталмау керек.  Бұл үшін қорғалған виртуалды кеңістікті қамтамасыз ететін шешімді пайдалануға кеңес беруге болады.

8.Корпоративтік жұмыс станциясын пайдалану кезінде қатардағы пайдаланушының операциялық  жүйенің конфигурациясын өзгерту, жаңа бағдарламалық қамтылымды немесе жабдықты орнату мүмкіндігі болмауы тиіс. Мәселен, процессорды, жадыны, сымсыз картаны алмастыру немесе қосу, не қашықтықтан қол жеткізуді қамтамасыз ететін компьютерге сыртқы дереккөздерінен бағдарламалық қамтылымды жүктеп алу мүмкіндігіне тыйым салыну керек.

9.Қашықтықтан қол жеткізуге арналған дербес құралдар мен қашықтықтан қосылуды бейтаныс адамдардың, соның ішінде отбасы мүшелерінің пайдаланбауы маңызды. Ол үшін белгілі уақыт аралығынан кейін міндетті аутентификацияны немесе сессия белсенді болмаса, мәжбүрлі аутентификацияны белгілеу қажет. 

10.Компания қызметкерлерімен қашықтықтан қол жеткізуді пайдалану қауіпсіздігін сақтау бойынша нұсқау жүргізу, сондай-ақ компанияның корпоративтік ақпараттық ресурстарымен және қызметтік ақпаратымен жұмыс істеу кезіндегі жауаптылық туралы әрбір қызметкердің назарына жеткізу керек. Жұмыскер өзінің авторизация кілттері мен авторизациялау деректерін (логин,  пароль және т.б.) үшінші тұлғаларға бермеуге тиіс. 

11.Компания желісін немесе VPN-сервисінің жұмысында пайдаланылмайтын ашық порттарды осалдықтар тұрғысынан мерзімді сканерлеуді жүргізу.

12.VPN-қосылуды оған қосылған кезде жұмыскердің жұмыс станциясында Интернетке қолжетімділік компанияның корпоративтік саясаттарына сәйкес жүзеге асырылатын түрде баптау қажет.

Қашықтықтан жұмыс істеу кезінде бір ғана  жұмыс станциясының қауіпсіздігі емес, барлық ұйымның ақпараттық инфрақұрылымы ақпараттық қауіпсіздік саясаттарының сақталмауына/сақталуына байланысты болатынын естеріңізде сақтаңыз.

 

28.03.2020

дата материала: 
28.03.2020