Блог компании нии сокб

Как выполнить требования ГОСТ Р 57580 по обеспечению безопасного удаленного доступа с мобильных устройств, не запрещая их использования

Об обязательности требований ГОСТР57580 для финансовых организаций, порядке их внедрения иметодах оценки соответствия написано множество статей, дано много рекомендаций, сделано немало комментариев. Согласно требованиям ЦБ, до 01.01.2021 необходимо не только обеспечить соответствие требованиям стандарта, но ипредоставить регулятору отчет обэтом соответствии. На российском рынке существует немало квалифицированных аудиторских компаний, оказывающих услуги финансовым организациям, но доказательство соответствия порой превращается вполемику встиле: Не читал, но осуждаю!.

Мы хотим поделиться практическим опытом реализации одного из восьми процессов, именованным вГОСТе как Процесс8. Защита информации при осуществлении удаленного логического доступа сиспользованием мобильных (переносных) устройств.

Базовый состав мер по защите информации от раскрытия имодификации при осуществлении удаленного доступа

ЗУД.1. Определение правил удаленного доступа и перечня ресурсов доступа, к которым предоставляется удаленный доступ

Правила несложные: удаленный доступ должен предоставляться по запросу при наличии служебной необходимости; ни одному работнику не должен предоставляться удаленный доступ ко всем ресурсам, только доступ кограниченному числу ресурсов, необходимых для работы. Реализация этой организационной меры подтверждается нормативными документами, определяющими порядок предоставления удаленного доступа политика удаленного доступа, ссылающаяся на общую политику ИБ, шаблоны заявок на предоставление доступа ит.д.

ЗУД.2. Аутентификация мобильных (переносных) устройств удаленного доступа

Мобильные устройства не проходят аутентификацию сами по себе. За них это делают мобильные приложения, спомощью которых осуществляется удаленный доступ. Пользователь мобильного приложения должен проходить аутентификацию при удаленном доступе путем ввода пароля от учетной записи, предъявления пользовательского сертификата ит.п.

ЗУД.3. Предоставление удаленного доступа только с использованием мобильных (переносных) устройств доступа, находящихся под контролем системы централизованного управления и мониторинга (системы Mobile Device Management, MDM)

На мобильных устройствах должны применяться политики безопасности по крайней мере вобъеме меры ЗУД.10, атакже должен осуществляться мониторинг этих устройств на предмет выявления признаков программного взлома (root, jailbreak), чтобы скомпрометированные устройства не могли получить доступ вкорпоративную сеть. Для этого нужно использовать системы централизованного управления мобильностью. Внастоящее время их принято называть EMM-системами (от англ. Enterprise Mobility Management управление корпоративной мобильностью), но во времена разработки ГОСТ чаще использовался термин MDM (Mobile Device Management управление мобильными устройствами). Вчасти реализации мер ГОСТР57580 это одно ито же, поэтому далее используется термин MDM.

Реализация меры заключается втом, что на все мобильные устройства, скоторых осуществляется удаленный доступ, должен быть установлен MDM-клиент. Также необходимо регулярно проверять, какие устройства удаленно подключаются ккорпоративным ресурсам, чтобы не допустить ситуации, когда личный смартфон сотрудника без контроля иуправления со стороны MDM получает доступ вкорпоративную сеть. Например, такое может произойти, если пользователь сам поставил себе VPN-клиент сдоменной авторизацией или настроил доступ сличного устройства без MDM квнутренней электронной почте по MS ActiveSync, который остался доступен из интернета вопреки реализации меры ЗУД.6.

Мера обязательна для первых двух уровней защиты, для третьего ее реализация необязательна, хотя мы рекомендуем использовать MDM всегда. Системы управления мобильными устройствами не только компенсируют риски ИБ, но исокращают затраты IT на техническую поддержку мобильных устройств ворганизации.

ЗУД.4. Реализация защиты информации от раскрытия и модификации, применение двухсторонней взаимной аутентификации участников информационного обмена при ее передаче при осуществлении удаленного логического доступа

Меру можно рассматривать как усиление или конкретизацию меры ЗУД.2. Аутентификация мобильных приложений иинформационных ресурсов, ккоторым они получают удаленный доступ, должны быть взаимной. Например, сервер проводит аутентификацию клиента по логину ипаролю или по сертификату, амобильное приложение (клиент) проверяет сертификат сервера. Поскольку вбольшинстве случаев для информационного обмена используется протокол HTTPS, реализация этой меры не составляет большого труда.

Базовый состав мер по защите внутренних вычислительных сетей при осуществлении удаленного доступа

ЗУД.5 Идентификация, двухфакторная аутентификация и авторизация субъектов доступа после установления защищенного сетевого взаимодействия, выполнения аутентификации, предусмотренной мерами ЗУД.2 и ЗУД.4

В дополнение креализации мер ЗУД.2 иЗУД.4 нужно осуществлять авторизацию учетных записей работников (проверять наличие уних полномочий для удаленного доступа). Обычно эта мера реализуется спомощью назначения учетным записям ролей и/или включения их вгруппы безопасности, взависимости от которых учетным записям разрешается обращение ктем или иным информационным ресурсам.

Кроме того, финансовой организации следует использовать двухфакторную аутентификацию. Здесь умобильных устройств есть своя особенность. Если на мобильном устройстве настроена биометрия для доступа кмобильному устройству, аутентификацию нельзя считать двухфакторной, потому что пользователь всегда предъявляет только один фактор или биометрию, или пароль, но не то идругое вместе.

Еще одно расхожее заблуждение при смешении факторов иэтапов: если пользователь сначала вводит пароль доступа кустройству, апотом вводит пароль доступа кприложению это двухэтапная, но не двухфакторная аутентификация, потому что фактор используется тот же (пароль).

На практике можно считать двухфакторной аутентификацией процесс, когда пароль для доступа кмобильному устройству дополняется биометрией при доступе кприложению. Подойдут также одноразовые пароли, токены ит.д. Влюбом случае второй фактор придется реализовывать вприложениях, спомощью которых осуществляется удаленный доступ. Ограничиться настройками мобильных ОС не получится, потому что встроенная аутентификация однофакторная.

ЗУД.6 Запрет прямого сетевого взаимодействия мобильных (переносных) устройств доступа и внутренних сетей финансовой организации на уровне выше второго (канальный) по семиуровневой стандартной модели взаимодействия открытых систем.

Для удаленного доступа кресурсам финансовой организации необходимо всегда использовать VPN, втом числе при использовании Wi-Fi-сетей финансовой организации. Мера обязательна для первых двух уровней защиты. Для третьего уровня защиты реализация меры необязательна.

Практическая рекомендация по реализации организовывать доступ кMDM напрямую через интернет без использования VPN. Всистеме MDM не содержатся конфиденциальные данные финансовой организации иканал управления, как правило, шифруется встроенными средствами. Дополнительная защита канала управления спомощью VPN не только излишняя, но иприводит ктому, что мобильные устройства остаются без управления изащиты, если VPN-шлюз недоступен или пользователь выключил VPN на устройстве.

ЗУД.7 Реализация доступа к ресурсам интернета только через информационную инфраструктуру финансовой организации после установления защищенного сетевого взаимодействия, выполнения аутентификации, предусмотренной мерами ЗУД.2 и ЗУД.4

Для минимизации угрозы фишинга иограничения доступа кскомпрометированным веб-ресурсам мобильные устройства должны обращаться кинтернету так же, как ирабочие станции внутри периметра финансовой организации через системы URL-фильтрации, потоковые антивирусы идругие средства защиты трафика. Мобильные VPN-клиенты могут быть настроены так, чтобы весь исходящий трафик мобильного устройства направлялся вкорпоративную сеть. Но пользователь может выключить VPN внастройках мобильного устройства, даже если такой возможности не предоставляет интерфейс VPN-приложения. Запретить это можно только на устройствах Android при помощи MDM-политик. Для устройств iOS остается только контролировать подключения на VPN-шлюзе. Если устройство не подключено кVPN-шлюзу, но подключено кMDM, то это значит, что пользователь выключил VPN.

Мера обязательна креализации для первого ивторого уровней защиты информации. Для третьего уровня защиты мера необязательна.

ЗУД.8 Контентный анализ информации, передаваемой мобильными (переносными) устройствами в интернет с использованием информационной инфраструктуры финансовой организации

В дополнение кмере ЗУД.7 уточняется, что для защиты трафика мобильных устройств должны применяться средства контентного анализа. Как иЗУД.7, мера обязательна только для первых двух уровней защиты информации.

ЗУД.9 Реализация и контроль информационного взаимодействия внутренних вычислительных сетей финансовой организации и мобильных (переносных) устройств в соответствии с установленными правилами и протоколами сетевого взаимодействия

В значительной степени это техническая реализация меры ЗУД.1. Пользователи должны получать доступ только кразрешенным ресурсам. Ограничение информационного взаимодействия должно быть реализовано спомощью настройки правил межсетевого экранирования. Правила должны быть настроены по принципу белого списка запрещать все, кроме явно разрешенного. Причем серверные компоненты информационных ресурсов должны быть доступны не целиком, атолько по тем протоколам ипортам, которые нужны для информационного обмена сприложениями на мобильных устройствах.

Базовый состав мер по защите информации от раскрытия имодификации при ее обработке ихранении на мобильных (переносных) устройствах

ЗУД.10 Применение системы централизованного управления и мониторинга (MDM-системы)

Меру необходимо реализовывать для первого ивторого уровней защиты информации. На третьем уровне защиты ее реализация является рекомендуемой, но необязательной. Мера предъявляет всовокупности 12 требований ксистемам MDM.

Шифрование ивозможность дистанционного удаления информации, полученной врезультате взаимодействия синформационными ресурсами финансовой организации

Современные мобильные устройства содержат встроенные средства шифрования. Все устройства сОС Android7 ивыше по умолчанию шифруют свои данные. Для устройств сОС Android6 иниже можно включить шифрование спомощью MDM, но доля таких устройств невелика. На устройствах сiOS шифрование включается автоматически, когда пользователь устанавливает пароль для доступа кустройству, поэтому достаточно спомощью MDM запретить доступ кустройству без пароля.

Дистанционное удаление данных смобильных устройств является базовой функцией любой MDM-системы. Ее используют, если пользователи сообщают опотере или краже мобильных устройств. Функцию дистанционной очистки устройств также используют при подготовке устройства, когда оно передается от одного пользователя другому, например при увольнении. Издесь есть важный нюанс.

Для защиты устройств от кражи Apple иGoogle предлагают пользователям настроить функцию Find My Device, которая после сброса устройства кзаводским настройкам не даст использовать его повторно, если пользователь не введет пароль от своей учетной записи. Первым эту функцию реализовал Apple, что сократило число краж iPhone иiPad внесколько раз.

Представьте, что сотрудник не выключил функцию Find My Device ирешил уволиться. Перед увольнением сотрудника администраторы удаленно сбросили устройство кзаводским настройкам иотдали его на склад, пока оно не понадобится новому сотруднику. Через месяц поступает заявка на подготовку этого устройства, его включают, но не могут настроить, потому что пароль от учетной записи уволенного сотрудника неизвестен, аего самого уже ислед простыл. Остается только списывать устройство как сломанное.

Есть три способа не столкнуться сэтой проблемой:

1. запрещать сотрудникам использовать функцию Find My Device;

2. требовать обязательного отключения функции Find My Device на устройстве до увольнения сотрудника;

3. использовать корпоративные аналоги функции Find My Device всоставе MDM-систем.

Аутентификация пользователей на устройстве доступа

С помощью MDM нужно настроить требование кналичию пароля на мобильных устройствах, чтобы устройство, например, оставленное сотрудником на столе, не смог использовать никто другой. Разнообразие политик безопасности всовременных мобильных операционных системах позволяет потребовать теоретически сколь угодно сложный пароль: например, 27-символьный пароль, вкотором должны содержаться буквы верхнего инижнего регистров, цифры испецсимволы.

Практическая рекомендация: достаточно настроить запрет использования простых паролей, содержащих повторяющиеся символы (1111, 2222) или восходящие/убывающие последовательности символов (1234, 9876), атакже ограничить число ошибок ввода пароля, чтобы сотрудники могли использовать удобные цифровые пароли длиной в46символов ипри этом вероятность подбора пароля оставалась низкой.

На мобильных устройствах превышение числа ошибок ввода пароля приводит ксбросу устройств кзаводским настройкам, ане кблокировке учетной записи, как это реализовано на рабочих станциях сWindows или macOS. Обычно после пятой ошибки мобильная операционная система начинает увеличивать интервалы между вводами пароля, чтобы пользователь наконец убедился втом, что забыл пароль, исмог обратиться кадминистратору MDM, чтобы тот сбросил ему пароль удаленно. Мы рекомендуем устанавливать возможность совершить 810ошибок при вводе пароля.

Блокировка устройства по истечении определенного промежутка времени неактивности пользователя, требующая выполнения повторной аутентификации пользователя на устройстве доступа

Пользователь может настроить мобильное устройство так, что пароль доступа кнему нужно будет вводить только после перезагрузки. Сточки зрения безопасности это не очень сильно отличается от отсутствия пароля. Чтобы исключить это, нужно спомощью MDM настроить максимальное время неактивности пользователя до блокировки сеанса. Рекомендуется устанавливать от одной до трех минут.

Управление обновлениями системного ПО

Обновления мобильных ОС содержат обновления безопасности, поэтому важно устанавливать их своевременно. Техническая возможность устанавливать обновления мобильных ОС есть только на устройствах сAndroid10 ивыше ина Android-устройствах производства Samsung спомощью сервиса Samsung E-FOTA One. На других устройствах технической возможности своевременно установить обновление ОС нет.

В то же время часто возникает необходимость решить обратную задачу запретить или хотя бы отложить обновление мобильной ОС. Запрет или отсрочка обновления необходимы, например, чтобы разработчики смогли адаптировать мобильные приложения для новой версии ОС. Минорные обновления внутри одной мажорной версии ОС, например сAndroid8.1 на Android8.2, обычно не требуют доработки приложений, но при мажорном обновлении ciOS13 на iOS14, например, они могут понадобиться. Запретить обновление ОС можно только на Android-устройствах Samsung, на других устройствах его можно только отложить.

Управление параметрами настроек безопасности системного ПО устройств доступа

Современные мобильные ОС содержат сотни политик безопасности, которые можно разделить на несколько основных групп.

Управление доступом кинтерфейсам записи ипередачи данных, включая камеру, микрофон, Wi-Fi, мобильный интернет, Bluetooth, режим мобильной точки доступа, когда мобильное устройство предоставляет доступ кмобильному интернету по Wi-Fi, Bluetooth или USB ит.д. Политики этой группы могут применяться во время проведения совещаний или для исключения утечки файлов смобильного устройства сиспользованием Bluetooth.

Ограничение встроенных функций ОС. Самая большая группа по числу возможных политик. Из них наиболее востребованными являются: запрещение загрузки Android-устройства вбезопасном режиме, вкотором непрерывная работа средств защиты информации может быть нарушена пользователем, атакже запрещение использования внешних накопителей (SD-карт), которые могут быть применены для несанкционированного копирования данных финансовой организации. На iOS рекомендуется запрещать пользователям устанавливать конфигурационные профили, спомощью которых они могут изменить действующий набор политик безопасности.

Иногда требуется запретить пользователям сбрасывать устройства кзаводским настройкам, чтобы их умышленные или случайные действия не могли нарушить непрерывность бизнес-процессов финансовой организации. При этом уадминистратора MDM сохраняется возможность выполнить сброс дистанционно вцелях обеспечения информационной безопасности.

Ограничение сервисов телефонии, включая полный или частичный запрет голосовых вызовов или прием/передачу коротких сообщений. Может применяться во время совещаний, переговоров, чтобы пользователи мобильных устройств, например, не отвлекались на входящие сообщения ивызовы.

Управление составом иобновлениями прикладного ПО

Использование MDM-системы позволяет упростить распространение приложений на мобильные устройства финансовой организации, обеспечивая их централизованную установку, обновление иконфигурацию. Кроме того, финансовой организации может потребоваться запретить отдельные приложения, мешающие пользователям или отвлекающие их от работы, игры, социальные сети ит.д. Вотдельных случаях мобильные устройства спомощью систем MDM превращают втак называемые цифровые киоски, на которых доступно только одно или несколько разрешенных мобильных приложений.

С точки зрения информационной безопасности необходимо запретить установку мобильных приложений из непроверенных источников, атакже при необходимости впринципе запретить пользователям устанавливать мобильные приложения, распространяя их только из доверенного MDM-хранилища. Более подробно эти запреты рассмотрены ниже, вописании реализации меры ЗУД.11.

Невозможность использования мобильного (переносного) устройства врежиме USB-накопителя, атакже врежиме отладки

Запрет доступа кфайлам мобильного устройства по USB защищает от утечки данные финансовой организации. Вто же время, если эти данные зашифрованы, то их выгрузка смобильного устройства взашифрованном виде не приведет ккомпрометации.

Режим отладки позволяет устанавливать на мобильные устройства приложения вобход системы MDM ипубличных каталогов Google Play иApp Store. Этой возможностью вполне реально воспользоваться, например, когда мобильное устройство сдается перед переговорами. Режим отладки нужен только разработчикам приложений, рядовым пользователям он не требуется, поэтому его следует запретить.

Для iOS режима отладки нет, но при наличии ноутбука под macOS сустановленным XCode изнании пароля доступа кустройству возможна несанкционированная установка на него приложения по USB. Для защиты от этого нужно перевести iOS-устройство врежим supervised иустановить спомощью MDM запрет подключения мобильного устройства ко всем рабочим станциям, кроме той, которую использовал администратор для перевода устройства вsupervised-режим. Этот же запрет ограничит доступ кфайлам iOS-устройства по USB.

Управление ключевой информацией, используемой для организации защищенного сетевого взаимодействия

MDM-системы позволяют автоматизировать выпуск иобеспечить централизованную доставку на мобильные устройства цифровых сертификатов. Сертификаты выписываются на удостоверяющем центре финансовой организации имогут применяться для аутентификации доступа мобильных устройств кWi-Fi-сетям или внутренней электронной почте. Кроме того, эти сертификаты могут применяться для аутентификации доступа кVPN-сети, если используемое VPN-решение использует такой способ аутентификации. Ключевое ограничение этой технологии заключается втом, что она оказывается несовместимой сотечественной криптографией. Удостоверяющие центры, реализующие алгоритмы ГОСТ-шифрования, не содержат прикладных интерфейсов (API), для того чтобы внешняя MDM-система могла выпустить на них сертификат. Если VPN-решение использует симметричную криптографию без цифровых сертификатов, то управление ключевой информацией обычно полностью сосредоточено внутри решения VPN. Вэтом случае MDM-система тоже не может помочь дополнительно автоматизировать или упростить этот процесс.

Возможность определения местонахождения мобильного устройства

MDM-системы позволяют не только управлять смартфонами ипланшетами, устанавливая на них политики безопасности имобильные приложения, но иосуществлять мониторинг корпоративных мобильных активов. Одной из самых востребованных функций мониторинга является определение местонахождения мобильных устройств. Его используют для решения нескольких задач:

• поиск утерянных устройств. Вэтом случае, как правило, их дистанционно блокируют, после чего производят поиск по последним полученным от устройства координатам;

• применение политик безопасности взависимости от местоположения устройства, например запрет использования камеры вофисах финансовой организации;

• контроль выполнения трудовых обязанностей полевого персонала, например фиксация фактов отклонения движения инкассаторов от регламентного маршрута или непосещения подконтрольных отделений супервайзерами;

• выявление фактов утечки инсайда. Данные оместоположении мобильных устройств всовокупности синформацией окоммуникациях абонентов позволяют выявлять нежелательные социальные связи ипредотвращать утечку инсайда.

Регистрация смены SIM-карты

Необходимо фиксировать факты извлечения исмены SIM-карты мобильного устройства. Делается это для защиты данных при потере или краже устройства. Если устройство украдут, то первое, что сним сделают, это извлекут SIM-карту, чтобы устройство нельзя было отследить. Поэтому дополнительно рекомендуется настроить автоматическую блокировку устройства при извлечении SIM-карты спомощью MDM.

Запрет переноса информации воблачные хранилища данных, расположенные вобщедоступных сетях (например, iCIoud)

С помощью доступа коблачным резервным хранилищам пользователи могут случайно или преднамеренно допустить утечку конфиденциальных данных финансовой организации. Защититься от этого можно несколькими способами.

1. Запретить доступ кiCloud, DropBox, Яндекс Диск, Google Drive идругим аналогичным сервисам. Спомощью встроенных политик безопасности мобильных ОС можно запретить только доступ кiCloud для iOS ирезервное копирование на серверы Google для Android. Доступ костальным сервисам можно ограничить только спомощью запрета наличия на мобильных устройствах соответствующих мобильных приложений.

2. Хранить данные на мобильном устройстве взашифрованном виде. Вэтом случае неважно, как икуда смобильного устройства будут выгружены данные. Если они зашифрованы, то утечки не будет. Достаточно обеспечить неизвлекаемость ключа шифрования смобильного устройства.

Обеспечение возможности централизованного управления имониторинга при смене SIM-карты

Требование скорее относится кинформационной инфраструктуре финансовой организации. Смена SIM-карты может повлиять на возможность централизованного управления лишь водном случае если доступ ксерверу системы MDM возможен только сопределенных SIM-карт. Такое возможно, если финансовая организация приобрела усотового оператора специальный тариф, врамках которого трафик скорпоративных SIM-карт маршрутизируется вкорпоративную сеть. Чтобы не терять возможность управления при замене такой SIM-карты на другую, нужно обеспечить доступность сервера системы MDM из интернета. Это позволит осуществлять непрерывное управление мобильными устройствами вне зависимости от работоспособности идоступности VPN-шлюза иустановленной вмобильном устройстве SIM-карты.

ЗУД.11 Обеспечение защиты мобильных (переносных) устройств от воздействий вредоносного кода

На рабочих станциях вирусы обычно содержатся вфайлах, которые при открытии эксплуатируют одну из уязвимостей операционной системы или установленных вней приложений. На мобильных устройствах запустить отдельный файл нельзя, можно запустить только приложение. Поэтому большинство вирусов представляют собой модифицированные версии привычных приложений, которые при установке вобход официальных каталогов Google Play иApp Store, например, могут несанкционированно собирать данные финансовой организации.

Рекомендуем несколько проверенных способов защиты от этого.

1. Запретить пользователям устанавливать приложения на мобильные устройства иустанавливать все приложения централизованно спомощью MDM, предварительно проверяя дистрибутивы приложений спомощью антивируса.

2. Запретить пользователям устанавливать приложения из непроверенных источников. Тогда на мобильных устройствах будут только проверенные приложения, установленные спомощью MDM или из официальных каталогов Google Play иApp Store.

3. Установить на мобильные устройства антивирус ввиде отдельного приложения или всоставе приложения MDM. Вэтом случае все файлы иприложения на мобильном устройстве будут проверяться на наличие вредоносного кода. Это позволить проверять на наличие вирусов приложения, устанавливаемые пользователями из Google Play.

Для iOS антивирусов не бывает. Ни одно приложение на iOS не может получить доступ кфайлам других приложений, поэтому разработать антивирус для iOS невозможно. Врезультате на iOS можно использовать только первые два способа реализации меры ЗУД.11.

ЗУД.12 Стирание информации конфиденциального характера с мобильных (переносных) устройств средствами, обеспечивающими полную перезапись данных, при осуществлении вывода мобильных (переносных) устройств из эксплуатации, а также при необходимости их передачи в сторонние организации, между работниками и (или) структурными подразделениями финансовой организации

Если сотрудник увольняется или корпоративное мобильное устройство сдается времонт, настоятельно рекомендуем стереть на мобильном устройстве информацию, чтобы защитить свои корпоративные данные. Когда мобильное устройство сбрасывают кзаводским настройкам, на нем стирается ключ шифрования данных, и,даже если злоумышленнику удастся снять полный образ памяти устройства, он ничего не сможет сним сделать. Стирание только ключа шифрования данных позволяет сделать сброс кзаводским настройкам максимально быстрым. Оперативно перезаписать несколько сотен гигабайт данных нельзя, поэтому перезапись данных на современных мобильных устройствах не используется.

Надеемся, что статья окажется полезной не только для компаний, которые проходят аудит на соответствие ГОСТР57580, но идля всех компаний, которые активно используют мобильные устройства всвоих бизнес-процессах.

Сертификат справка очень важная, но слегка бумажная.
Что она даёт, кому и зачем она нужна пытаемся разобраться под катом.

Что даёт сертификация?

Для начала давайте определимся о какой именно сертификации далее пойдет речь. Физический смысл сертификации чего бы то ни было это процесс проверки/подтверждения/оценки соответствия зафиксированным где-либо требованиям. В зависимости от сферы применения, сертификация бывает обязательной или добровольной. Соответственно, за нее отвечают различные государственные и негосударственные структуры. Например, регистрационное удостоверение (клон сертификата) после прохождения экспертизы, на столь близкие нам маски выдаёт Роспотребнадзор.

В области сертификации средств защиты информации в России два основных регулятора ФСТЭК и ФСБ. ФСБ занимается, в основном, сертификацией криптографических средств, а остальные средства защиты информации (не)нужно (обсудим дальше) сертифицировать во ФСТЭК.

Для сертификации типовых средств защиты, таких как межсетевые экраны или антивирусы, ФСТЭКом разработаны наборы специализированных требований. Остальные средства проходят сертификацию на соответствие техническим условиям или заданиям по безопасности, а набор функций безопасности определяется разработчиком продукта. Это чем-то напоминает советскую тушёнку по ГОСТ и по ТУ, но в ряде случаев ГОСТов попросту нет.

Путь к сертификату тернистый и длительный. Идти/ползти по нему или лечь в правильном направлении каждый решает сам. Не всем удаётся добраться до финиша, но счастливчикам заветный сертификат даёт пропуск на не самый большой, но конкурентный рынок сертифицированных средств защиты информации.

Придётся разобраться в продукте и в технологии его разработки

Итак, сертификация - процесс суровый. Испытательные лаборатории вынимают душу разработчиков не хуже Шан Цунга.

Придётся не только найти у себя функции безопасности, но и показать, как именно они работают и какие исходные тексты соответствуют этим функциям. Тем, кто хочет приблизить себя к защите государевой тайны ещё придётся пройти занимательные квесты с фаззингом и другими весёлыми инструментами от инженера Джона Крамера. Холодный пот и бессонные ночи вам обеспечены, но зато свой код будете помнить от main () до ..лЯ!.

Кроме анализа кода вам предстоит сдать анализы от процесса разработки, описать свой gitflow, процесс CI, исправление багов, доставку исправлений клиентам и т.д.

Разработка средств безопасности должна быть безопасной и не должна быть опасной. О как!

У этих чуднх забав польза все-же есть. Продукты, слепленные из gовнокода, скорее всего не получат сертификат. Agileв худшем его понимании, типа фигачим прямо на продакшене не подходит для сертификации, как и продукты, которые были собраны очумелыми ручками с горящим взором из кучи пластиковых бутылок.

Что общего между сертификаторами и Лангольерами

Эти милые создания неустанно пожирают время и пространство. После принятия решения о начале сертификации считайте, что вы и члены вашей команды уже стали на год старше, потому что редко, кому удаётся пройти сертификацию быстрее.

Обычно это происходит так. Сначала вы обучаете своему продукту тружеников из испытательной лаборатории, которая будет доказывать регулятору, что вы не верблюд. В том смысле, что ваш продукт не верблюд и в нём есть необходимые для получения сертификата функции безопасности, которые вы безопасно разрабатываете.

Далее вы вместе с испытательной лабораторией пишете заявку на сертификацию и технические условия (задание по безопасности), где определяете какие именно функции безопасности должны искать и находить в вашем продукте. Как только заявка акцептована, начинается самое утомительное.

Сначала вам надо доказать и детально описать соответствие заявленных функций испытательной лаборатории, а потом вместе с испытательной лабораторией предстоит выдержать сто тысяч ПОЧЕМУ от ОРГАНА по сертификации. На каждом шагу может быть Nили даже Kитераций. Короче, будет Nепросто, а иногда Капец, как долго.

НаучИтесь натягивать сову на глобус

Руководящие документы (РД) это вам не гайдлайны и обучающие видео от Google. Читать РД могут не только лишь все, а только лишь те, кто умеет переводить с казенного на русский без словаря. Большинство испытательных лабораторий успешно справляются с этой задачей. Но, увы, остаются и те, кто цитирует РД как ПисАние. Поэтому при выборе лаборатории ищите ту, у представителей которой при слове руководящий документ глаза не загораются в религиозном экстазе. Иначе есть шанс попасть в филиал Святой Инквизиции, целью которой является ярко и с огоньком обращать неверных в верных.

Причём тут сова и глобус? - спросите вы. А при том, что с учётом даты выпуска части действующих РД (начало конца XXвека), в которых определены основные термины и определения, успех сертификации иногда зависит от правильной трактовки требований и умения обосновать свою позицию.

Испытательная лаборатория должна быть вашим партнёром, а не истязателем. В общем, тщательно выбирайте партнёров. Иначе на глобус натянут вас.

Кому нужны сертифицированные продукты?

Итак, заветная индульгенция получена. Мы можем предлагать свой продукт жаждущим госорганам и бизнесу с государственным участием. Зачем им сертифицированные продукты?

Всё просто. Несертифицированные средства использовать или запрещено, или не рекомендуется. Государственные информационные системы (ГИС) нельзя ввести в действие без аттестации на соответствие требованиям безопасности. А аттестацию в свою очередь можно провести, только если требования безопасности реализуются за счет сертифицированных средств защиты.

Чем не игла в яйце?

Похожая ситуация наблюдается на объектах критической информационной инфраструктуры (КИИ), где должны использоваться только отечественные продукты и сертифицированные средства защиты информации. В общем, рынок есть. Небольшой. Конкурентный. Неповоротливый

Короче, не ходите сюда, самим мало

Стоит ещё упомянуть защиту персональных данных. Требования к ней практически точь-в-точь совпадают с защитой ГИС, но ИСПДн (информационные системы персональных данных), в отличие от ГИС, не нужно аттестовывать, а загодя покупать сертифицированные продукты никто не спешит. Ведь они даже теоретически должны стоить дороже на год, который вы пожертвовали сертификации.

Кому нужна сертифицированная система защиты и управления мобильными устройствами?

Теперь немного о личном. На просторах нашей необъятной, где так вольно дышит человек, практически закончилась электрификация и мы семимильными шагами движемся в сторону цифровизации, о которой не слышал только Word. Чтобы перестигнуть (ещё одно неизвестное для Wordслово) результаты всех, кто нас не любят, но очень хотят, во всех министерствах и ведомствах оцифровываются практически все области экономики.

Возьмите название любой рабочей профессии, приставьте к нему слово цифровой и можно оформлять заявку на конкурс инновационных проектов!

Рассмотрим, например, гипотетический проект Цифровой фрезеровщик.

Наш прожект будет состоять в том, чтобы снабдить цифрового бедолагу смартфоном, который будет собирать информацию со всего носимого им smart-барахла и передавать её на сервер ГИС.

А сервер ГИС за это будет возвращать на смартфон рекомендации о том, как заточить фрезу, когда можно сходить по нужде и др., чтобы получить 13-ю зарплату.

Итак, нам нужно сдать цифровой прожект. Для этого его нужно аттестовать. И тут у нас есть только два пути:

1. Реализовать функции безопасности в своём ПО и сертифицировать его. На это нужен год и специально выделенные люди, которые будут жертвовать свои человеко-часы на алтаре процесса сертификации. Иногда так делают, но чаще идут по второму пути.

2. Купить сертифицированные средства защиты, которые выполнят требования, необходимые для аттестации.

Для успешной аттестации ГИС на практике хватает следующего комплекта сертифицированных средств защиты для мобильных устройств:

1. VPNс ГОСТ шифрованием. Подойдёт любой с сертификатом ФСБ России.

2. MDM/ EMM/ UEMс сертификатом ФСТЭК России.

3. Антивирус с сертификатом ФСТЭК России.

А сейчас рекламная пауза!

Единственным сертифицированным MDM/ EMM/ UEMрешением для Androidи iOSявляется наша платформа SafePhone. Конечно, цифровому фрезировщику iPadне светит. Но если начальник из профильного ведомства, угодивший на принудительную удалёнку, захочет получить доступ с iPadк рабочим файлам без их пересылки на личный почтовый ящик Google, ему придётся аттестовать ГИС удалённого доступа и тут мы ему поможем.

И ещё одно. Чтобы оптимизировать затраты своих заказчиков, мы недавно встроили в свою платформу антивирусные библиотеки Лаборатории Касперского. Теперь, чтобы удовлетворить регулятора, нужно покупать на одно решение меньше. Встречайте SafePhone MTD Edition.

В управлении яблочными устройствами есть своя начинка специфика. Например, невозможно разработать приложение, которое управляло бы устройством. Функции управления доступны только самой iOS. Нельзя запретить пользователю отключаться от управления. После supervise нельзя восстановить данные из резервной копии. И так далее.

Под катом расскажем, как устроено управление iOS и каких корпоративных сервисов Apple не хватает в России.

Как устроено управление iOS?

Когда в компании используется больше десятка мобильных устройств, у админов пропадает желание настраивать их вручную ставить приложения, настраивать Wi-Fi, почту, VPN и т.д. В этом случае помогают системы управления мобильностью, одну из которых мы производим уже десять лет. Поэтому далее будем делиться своим практическим, порой горьким опытом управления корпоративными устройствами.

Основная специфика iOS устройств это их владельцы. Как правило, это люди занятые, требовательные, во всем разбирающиеся, но не всегда технически подготовленные. Одним словом, топ-менеджеры. Осложняют ли эти особенности процесс управления iOS устройствами?

Если не считать мелочей, типа устройство более одного раза в чужие руки не отдам, виноваты все, кроме меня, поощрение это отсутствие наказания, то не осложняют.

Еще одна особенность iOS устройств это предлагаемые Apple механизмы управления IOS-устройствами:

1. На устройство нужно установить конфигурационный профиль, в котором определяются параметры подключения к серверу управления. Профиль можно установить с использованием браузера, почты, мобильного приложения или MacBook.

2. При установке профиля устройство регистрируется на сервере управления. При этом устройство сообщает серверу токен, по которому сервер может обратиться к устройству через APNS (Apple Push Notification Service).

3. Когда серверу управления нужно доставить на устройство команду, он уведомляет об этом устройство с помощью APNS.

4. Получив уведомление, устройство обращается к серверу за командой, выполняет её и сообщает серверу результат.

Сервер управления должен реализовать протокол управления Apple и отправлять уведомления о командах управления через APNS. Без уведомлений и APNS эта схема не работает. iOS устройство за командами само не придёт. Не барское это дело. Компании, как правило, не в восторге от необходимости предоставлять корпоративным серверам доступ к внешним интернет-ресурсам. Но в случае с управлением iOS устройствами альтернативы нет. При этом нужно открыть HTTPS и DNS порты всей подсети 17.0.0.0/8.

Несмотря на то, что управлять iOS устройствами с помощью приложения нельзя, у нас и других разработчиков систем управления мобильностью все же имеются мобильные клиенты для iOS.

С помощью нашего клиентского приложения пользователь сможет зарегистрироваться в SafePhone и установить корпоративные приложения с сервера своей компании без App Store.
Например, клиент самописного ЭДО или персонализированная BI отчётность для руководителей.

Клиент SafePhone также контролирует наличие признаков программного взлома (jailbreak). При взломе в iOS песочницы различных приложений больше не защищают их приватные данные.
В системе после jailbreak могут появиться приложения, которые имеют полный доступ к файлам на устройстве. Поэтому важно автоматически удалять корпоративные приложения и их данные с iOS устройств, если обнаружен jailbreak.

Ещё клиент управления можно использовать для сбора информации о местоположении устройств. В SafePhone можно настроить график рабочего времени для отдельных подразделений и сотрудников. Опрос координат устройств будет вестись строго по этому графику.

Какие есть ограничения?

Изменить технологию управления iOS устройствами нельзя, поэтому необходимо учитывать следующие ограничения.

Пользователь может в любой момент отключить iOS устройство от управления, и сервер управления может об этом не узнать. Apple требует, чтобы пользователь мог самостоятельно удалить конфигурационный профиль, в котором указаны параметры подключения iOS к серверу управления. При удалении профиля устройство однократно отправляет серверу сообщение об отключении. Если в этот момент устройство не имеет доступа в интернет, сообщение до сервера управления так и не дойдет.

С точки зрения компании отключение iOS устройства от управления обычно не является большой проблемой, потому что при этом с устройства удаляются все корпоративные приложения и настройки. Всё, что компания не хочет потерять или разгласить, будет удалено вместе с возможностью управления.

Следующий блок ограничений связан с supervised режимом работы iOS. Это специальный режим, в котором доступно большее число команд и политик управления. При этом по мере выхода новых версий iOS существующие команды и политики начинают требовать supervised режима.
Поэтому мы рекомендуем переводить все корпоративные iOS устройства в этот режим.
Но есть нюанс.

Чтобы перевести iOS устройство в supervised режим, нужно подключить его кабелем к MacBook и перепрошить с помощью приложения Apple Configurator 2. Если перепрошивка выполняется до передачи устройства пользователю, далее проблем не будет. Но если компания приняла решение переводить корпоративные устройства в supervised режим после того, как выдала их пользователям, проблем не оберешься.

В supervised режиме нельзя восстановить данные из резервной копии, которая была сделана до включения этого режима. В этом ключевая проблема. Начиная с перевода устройства в supervised режим, история его резервных копий начинается заново. Если в резервной копии были данные, которые нужны пользователю для работы, он потеряет к ним доступ. Поэтому важно переводить iOS устройства в supervised режим как можно раньше. И в первую очередь устройства топов...

Чего не хватает в России?

Ключевой корпоративный сервис Apple Business Manager до сих пор недоступен в России. Надеемся, что следом за предустановленными российскими приложениями на iOS устройствах придёт и его черед.

С помощью Apple Business Manager можно управлять устройствами буквально с первого включения. Если компания и её устройства зарегистрированы в Business Manager, то настройки подключения устройств к корпоративному серверу управления сообщаются устройствам сразу при их активации. Эти устройства активируются сразу в supervised режиме и можно сделать так, что пользователь не сможет удалить настройки управления, т.е. устройства всегда будут находиться под управлением.

Второй важной функцией Apple Business является возможность покупки приложений для бизнеса. Сейчас российские компании не могут централизованно купить приложения в App Store.
Если пользователям для работы нужны платные приложения, обычно их покупают сами пользователи, а потом транжира-работодатель возвращает денежку с грустью в глазах.
С появлением Apple Business Manager российские компании смогут цивилизованно покупать софт для iOS, а потом с помощью систем управления распространять на корпоративные устройства купленные лицензии.

Часть российских компаний уже пользуются Apple Business Manager, но для этого они используют свои зарубежные представительства. Зарубежное представительство может зарегистрироваться в Apple Business Manager и добавить в него все корпоративные iOS устройства, включая российские. Создавать европейский филиал ради доступа к Business Manager, наверное, перебор.
Но если он уже создан, подключайте свои устройства через него.

Остались вопросы?

Если у вас остались вопросы по использованию iOS устройств в вашей компании, напишите нам на sales@niisokb.ru или оставьте комментарий к статье.

Мы будем вам признательны и обязательно ответим.

Работодатели уже привыкли к тому, что можно не возмещать затраты со.

Но и эта медаль двухсторонняя. Сотрудники требуют гарантий, что работодатель не читает их переписку или не смотрит их фотографии. Работодатели в свою очередь против того, чтобы сотрудники делились корпоративными документами в социальных сетях или передавали их в СМИ.

В этой статье мы расскажем о том, какие существуют технологии контейнеризации и можно ли с их помощью эффективно разделить корпоративные и личные данные на мобильных устройствах.

Зачем нужен контейнер работодателям и их сотрудникам?

Работодатели и сотрудники хотят, чтобы контейнер защищал ИХ секреты. Только секреты каждой из сторон находятся по разные стороны контейнера секреты работодателя находятся внутри контейнера, а секреты сотрудника снаружи.

Поэтому работодатели хотят, чтобы сотрудники не могли вынести данные из контейнера, а сотрудники желают, чтобы работодатель не имел доступа к данным вне контейнера.

Сотрудники готовы мириться с ограничениями типа запрета установки приложений из непроверенных источников, но даже потенциальная возможность доступа к их личным данным не стоит для них возможности удалённой работы со своего смартфона или планшета.

Есть ещё одно желание, в котором сходятся работодатели и сотрудники. И те, и другие хотят, чтобы в контейнер можно было поместить любое приложение без дополнительных доработок. Если приложения нужно дорабатывать, это дорого для работодателя и чаще всего неудобно для сотрудника.

Особенность контейнеров для iOS

В своей прошлой статье мы убеждали читателя, что iOS это закрытая экосистема, которую нужно принимать такой, какая она есть. Контейнеры на iOS ещё одно тому подтверждение.

С точки зрения контейнеризации в iOS есть встроенный механизм разделения корпоративного и личного. Apple называет корпоративное управляемым (managed), а личное неуправляемым (unmanaged).

Управляемыми в iOS могут быть приложения, учётные записи и URL в Safari. С помощью встроенных политик можно запретить передачу данных между управляемым и неуправляемым, но только случайную. Это значит, что сотрудник не может передать вложение из корпоративной почты в личную почту или в WhatsApp, но может скопировать текст вложения и вставить его куда угодно!

Apple считает, что защититься от преднамеренной утечки данных невозможно, поэтому решил позаботиться о своих сознательных пользователях и не дать им случайно допустить утечку

Если компания решает, что встроенных механизмов безопасности iOS для нее недостаточно, ей приходится реализовывать дополнительные механизмы защиты в корпоративных приложениях. Например, блокируя в них возможность доступа к буферу обмена. Сделать это проще всего с помощью SDK разработчиков систем управления мобильностью, например, SafePhone.

Разнообразие Android - контейнеров

Android исторически предоставляет больше возможностей для контейнеризации.

Первой компанией, которая сделала возможным создание контейнеров на Android, стала компания Samsung. В 2012 году на смартфоне Samsung Galaxy S3 впервые стали доступны функции корпоративной платформы безопасности Samsung Knox. В частности, Knox контейнеры. Большинство современных устройств Samsung также их поддерживают. Многие функции платформы Samsung Knox бесплатны, но функции Knox контейнеров были платной опцией. Позже Google анонсировал свою бесплатную корпоративную платформу Android for Enterprise c меньшим набором функций.

С годами число функций управления контейнерами, которые были эксклюзивно доступны на устройствах Samsung, сокращалось, потому что они появлялись у Google. В результате, начиная с
1 июля 2021 года, Samsung принял решение о бесплатном предоставлении возможностей Knox-контейнеризации. В составе платформы Samsung Knox ещё остаются платные опции, которых нет у Google. Например, корпоративных сервис обновления прошивок мобильных устройств E-FOTA One, о котором мы рассказывали в одной из прошлых статей.

Но конкретно Knox контейнеры отныне бесплатны.

Контейнер в Android или, как его называет Google, рабочий профиль выглядит для пользователя как отдельная папка или отдельный рабочий стол, где размещаются корпоративные приложения. Приложения в контейнере работают так, как будто за пределами контейнера ничего не существует. В контейнере есть свой буфер обмена, своя виртуальная память для хранения файлов и т.д.

Без явного разрешения администратора пользователь не сможет ничего вынести за пределы контейнера.

Вроде то, что нужно? Да, но не обошлось без важных особенностей.

В составе Samsung Knox есть клиентские библиотеки для Android, с помощью которых можно разработать клиент управления, который сам создаст контейнер, применит в нём необходимые политики безопасности и наполнит его приложениями.

Работает эта схема так:

1. На мобильное устройство устанавливается клиент управления.

2. Пользователь регистрирует устройство на сервере управления.

3. Клиент управления создаёт и настраивает контейнер для работы. После чего периодически спрашивает у сервера управления, не изменились ли эти настройки.

4. Можно доставить обновления настроек быстрее с помощью push-уведомлений от Google, но их использование необязательно.

Преимущество этой схемы в том, что её можно построить в локальной инфраструктуре заказчика (on-premise). Для крупного бизнеса в России это важно.

У платформы Android for Enterprise от Google тоже есть клиентские библиотеки и с их помощью можно управлять устройствами без контейнеров устанавливать приложения, настраивать ограничения и т.д. Даже можно создать контейнер, поместить в него встроенный Gmail или Google Chrome и запретить сотруднику копировать из контейнера файлы. Всё это будет работать on-premise.

Но клиентские библиотеки Google не помогут, если нужно разместить в контейнере приложение собственной разработки или какое-то приложение из Google Play. В этом случае необходимо использовать Android Management API, который работает по несложной схеме:

1. На мобильное устройство устанавливается клиент управления от Google Android Device Policy.

2. Администратор создаёт настройки контейнера какие приложения в него установить, какие политики ограничений применить и т.д.

3. Сервер передаёт настройки контейнера в Google с помощью Android Management API. Дальше Google обеспечивает их применение на устройстве самостоятельно. При этом все команды и все дистрибутивы корпоративных приложений нужно передать в Google.

   Источник: https://developers.google.com/android/management/introduction

Похожим образом устроено управление iOS, но в случае с iOS корпоративный сервер управления передаёт в Apple только уведомления о наличии команды. Далее устройство забирает команды и дистрибутивы приложений с корпоративного сервера, а не с сервера Apple.
Возможно, Google хотел создать более удобную технологию управления, чем у Apple, но не все компании готовы мириться с тем, что Google знает, какие настройки безопасности и какие команды управления они сообщают своим мобильным устройствам. Ведь это создаёт риск того, что команды могут быть изменены или вовсе не доставлены.

Корпоративный Android в личном пользовании

Многие компании, которые покупают сотрудникам мобильные устройства для работы, разрешают также использовать их в личных целях. В этом случае тоже нужны контейнеры, чтобы разделить корпоративные и личные данные. Если вы планируете реализовать такой сценарий, учтите, что, начиная с Android 11, у этого сценария есть принципиальные ограничения.

Начиная с Android 11, нельзя одновременно управлять и контейнером, и тем, что находится вне его. Это сделано, чтобы исключить доступ работодателей к личным данным сотрудников.
Цена приватности оказалась достаточно высокой. Теперь на корпоративных устройствах с контейнером нельзя определять геолокацию, устанавливать приложения вне контейнера и проверять устройство на наличие вирусов.

В качестве альтернативы Samsung предложил оригинальную технологию Knox Separated Apps. Технология позволяет создать на корпоративных устройствах контейнер для личных приложений. Работодатель управляет всем устройством и не получает доступа к данным сотрудника в личном контейнере. А приложения в личном контейнере не получают доступа к корпоративным данным, поэтому с их помощью нельзя реализовать утечку информации.

Knox Separated Apps, как и Knox контейнеры, с 1 июля 2021 года также станет бесплатной.

Советы для топ-менеджеров

Контейнер на рабочем устройстве не нужен. Любой смартфон, который компания выдала сотруднику, воспринимается как рабочий. Сотрудник никогда не поверит, что его работодатель не имеет доступа к его личным данным, даже если это пообещал Google. Поэтому рабочие устройства проще и дешевле превращать в контейнеры целиком, устанавливая приложения только из корпоративного хранилища, запрещая лишнюю сетевую активность и сервисы, которые позволяют поделиться корпоративными данными с конкурентами или СМИ.

Такой подход проверен, стандартизован и используется годами на большинстве рабочих ноутбуков в крупных компаниях.

Личные устройства это не всегда дешево и удобно. С одной стороны, может показаться, что использование личных устройств позволяет сэкономить на покупке гаджетов сотрудникам, но на практике оказывается, что содержать зоопарк смартфонов разных производителей дороже, чем питомник, где устройств много, но они однотипны.

На каждом новом устройстве корпоративный софт не работает совершенно особенным образом. Каждая мажорная версия Android c 4 по 12 серьёзно отличаются. У каждого производителя своя сборка Android. У каждой сборки Android, особенно китайской, свои тараканы неуправляемые менеджеры памяти и батареи, которые так и норовят поскорее закрыть приложение или не дать ему вовремя получить данные от сервера, дополнительные разрешения, которые пользователь должен вручную дать приложению и которые он может в любой момент отобрать и т.п.

Если планировать мобилизацию компании на 3-5 лет вперёд, дешевле выбрать несколько моделей устройств, и дальше проверять и разрабатывать корпоративный софт (клиент документооборота, приложения с BI-отчётностью, мессенджеры и т.п.) на этих конкретных моделях. Всё-таки корпоративный софт пишут не тысячи разработчиков Facebook по всему миру. Поэтому чем меньше вариативность устройств, тем меньше ошибок, тем меньше число уязвимостей и ниже вероятность их успешной эксплуатации. Короче, всем удобнее и безопаснее.

Если у вас возникли вопросы или сомнения после прочтения статьи, напишите о них в комментариях.

Многочисленные теории управления бизнесом предлагают собственникам массу способов для эффективного менеджмента, но все они так или иначе сходятся в одном: управлять можно или проектами, или персоналом. Причем держать под контролем обе сферы получается только на начальном этапе развития бизнеса. Выбор варианта управления бизнесом зависит в первую очередь от качеств самого владельца.

Управление проектами

Этот вариант возможен в случае, если у владельца бизнеса хватает компетенций и времени для понимания сути самих проектов. Проектный менеджмент как современная научная дисциплина появился еще в 50-х годах прошлого века, и в его основе лежали методики структуризации работ и сетевого планирования, где содержалась информация о ролевом распределении в проекте, подходах к управлению его жизненным циклом, целях и критериях оценки успешности.

Затем появились процедуры управления проектами и отдельная методология самих проектов, которую мы сейчас попробуем разобрать, кратко описав наиболее популярные техники. В жизни они работают не так, как на бумаге. Чтобы их внедрение было эффективным, нужно не свято верить в ритуалы, превращая проектный менеджмент в карго-культ хочу, как у них, поэтому буду делать так же, а комбинировать лучшее и искать собственный путь.

Agile. Это так называемый гибкий подход к организации работы и система установок, ориентированных на командную работу, тесное межличностное взаимодействие и строгое разделение личной ответственности. Agile способен сократить количество нерациональных и неэффективных действий и помочь команде выполнять работу быстрее. Этот подход хорош в условиях высокой неопределенности и для творческой командной работы. Правда, узкоспециализированные специалисты для такого метода не совсем подходят здесь нужен многофункциональный состав, который сможет работать с разными частями проекта комплексно.

SCRUM. Еще один представитель семейства гибких подходов, который применяется в случаях, когда необходимы скорость и гибкость при реализации проектов. Отличительной чертой SCRUM является постоянное взаимодействие с заказчиком проекта, необходимое для того, чтобы у клиента была возможность оценивать промежуточные результаты, а команда могла вносить изменения в сам процесс. Множество современных подходов к бизнес-менеджменту основаны на принципах этого метода.

Канбан. Данный подход отлично иллюстрируется на примере облачных систем управления проектами вроде Trello или Битрикса, где реализована система карточек. Каждая карточка содержит информацию об отдельном проекте и наборе исполнителей. После завершения каждого из процессов работа передается по цепочке к следующему ответственному сотруднику. Так достигается полная прозрачность и четкая структуризация производства, где у каждого есть своя зона ответственности.

Kaizen. Этот метод основан на постоянном совершенствовании и оптимизации работы процессов производства, вспомогательных структур и каждого отдельного сотрудника. Для достижения результата применяются инструменты стандартизации, которые помогают устранить потери в процессах, причем для этого не требуется внушительных затрат, так как работа основана на взаимодействии с имеющимися ресурсами. Реорганизация состава исполнителей проекта как один из примеров кайдзен-подхода.

6 сигм. Эта концепция представляет собой четкую схему реализации проектов и непрерывного улучшения каждого из процессов. Для его применения необходимо определить цели, проанализировать их и на основе полученных количественных данных принять решения по оптимизации производства. Методология 6 сигм хорошо показывает себя на дистанции при реализации трудоемких процессов, где есть множество сложных операций. Он позволяет постоянно учиться на ошибках и повышать эффективность работ.

Управление сотрудниками

Этот подход предполагает качественный кадровый менеджмент и целесообразен, если для понимания сути проектов компетенций или времени не хватает. Например, если знания владельца потеряли свою актуальность или же проектов слишком много, чтобы их все эффективно контролировать. Среди наемных сотрудников бытует мнение, что хороший начальник это тот, который не мешает хорошим людям работать. Отчасти она верна, но вот без грамотного начальника даже самый хороший сотрудник рискует превратиться в свой полный антипод.

Структура кадрового менеджмента выглядит примерно так:

• организационное планирование. Оно предполагает распределение ролей в проекте и четкое регламентирование зон ответственности и отчетности;

• подбор персонала для работы над проектом;

• развитие команды прокачка индивидуальных и командных навыков, направленная на улучшение качества работы.

Какие проблемы присущи кадровому менеджменту

В управлении персоналом, как и в работе любой структуры, встречаются сложности. Вот основные из них:

само управление командой проекта (ее формирование, развитие и возможные проблемы с расформированием); разрешение производственных конфликтов;
коммуникативные проблемы между участниками проекта и представителями других отделов;
необходимость проверки уровня компетентности сотрудников;
формирование лояльности со стороны персонала.

Остановимся подробнее на двух последних пунктах, ведь все-таки принцип доверяй, но проверяй является одним из наиболее важных в контексте обеспечения эффективности работы не только отдельно взятой команды, но и всей компании.

Как оценить лояльность и компетентность сотрудников

Лояльное отношение сотрудников к компании проявляется в эмоциональной привязанности к организации, приверженности ее ценностям и осознании целей и задач компании как своих собственных.

Оценить уровень лояльности персонала можно стандартными способами:

• проведя опрос или анкетирование;

• проведя интервью с представителями отделов, где замечены наиболее острые проблемы с лояльностью;

• контролем служебной переписки с помощью различных DLP (Data Loss Prevention) систем.

Еще более эффективными способами являются:

• интервью с уволенными сотрудниками;

• мониторинг отзывов о работе в компании в Рунете;

• контрольные закупки с предложением закулисных переговоров с сотрудниками компании;

• использование нестандартных средств контроля лояльности персонала.

Что касается компетентности, то оценить уровень соответствия сотрудника занимаемой должности можно при помощи периодической аттестации. Для этого в компании должны быть разработаны требования, относительно которых и будет производиться оценка следующих показателей:

• производительность труда;

• качество работы;

• соответствие личностных характеристик профилю компании;

• наличие дополнительных навыков и умений;

• стремление к личностному росту и профессиональному развитию.

Но стоит понимать, что компетентность не гарантирует лояльное отношение сотрудника в компании. А это достаточно большая проблема, ведь пусть и грамотный, но не горящий идеями предприятия человек в любой момент может уйти. Его уход может как повлечь за собой репутационные потери, так и спровоцировать проблемы в контексте информационной безопасности.

К примеру, недовольный условиями менеджер из отдела продаж при переходе в другую компанию может прихватить с собой базу клиентов и всеми силами переманивать их к конкурентам. Или же сотрудник, ранее занятый в работе над уникальным проектом, может при приеме на новое место работы похвастаться идеями и наработками, посчитав свой уровень причастности достаточным, чтобы считать этот проект своим.

Чтобы не допустить утечки информации, стоит обратиться к услугам безопасного центра обработки данных (ЦОД), доступ к которому может осуществляться только с авторизованных офисных устройств и который позволит управлять уровнями доступа к данным компании администратору.

Узнать подробнее о ЦОД

ЦОД SafeDC предоставляет как раз такие уникальные услуги из области информационной безопасности. Дата-центр SafeDC максимально защищен, что подтверждено аттестатом соответствия 1 классу и 1 уровню защищенности информационных систем, обрабатывающих государственные информационные ресурсы и персональные данные граждан.

ЦОД SafeDC также занимается арендой вычислительной инфраструктуры в зависимости от потребностей клиентов, а также размещает собственное оборудование на высокотехнологичной и высокозащищенной площадке, где созданы все необходимые условия для обеспечения надежности и отказоустойчивости ИТ-инфраструктуры.

Узнать подробнее об услугах