Құрметті қазақстандықтар, белгілі болғандай, Нұр-Сұлтан және Алматы қалаларында 30наурыздан бастап 5 сәуірге дейін көптеген кәсіпорындар мен ұйымдардың қызметіуақытша тоқтатылады. Ұйымдардың басым бөлігі қашықтықтан жұмыс істеу тәртібінеәлдеқашан ауысқан, кейбірі қашықтықтан жұмыс істеу орындарын құруды ендібастауда. Алайда осыған байланысты ақпараттық қауіпсіздік тәуекелдері мензиянкестер тарапынан ұйымдардың ақпараттық инфрақұрылымдарына шабуыл жасауқатерлері туындайды.
«Мемлекеттік техникалық қызмет» РМК қашықтықтан жұмыс істеу орындарын ұйымдастыру кезінде ақпараттық қауіпсіздікті қамтамасыз ету үшін компаниялардың басшылары мен ақпараттық қауіпсіздік жөніндегі техникалық мамандарына ұсынымдар тізбесін дайындады:
1. Қашықтықтан қолжетімділікті ұйымдастыру үшін Қазақстан мемлекеттік стандарттарына сәйкес көпфакторлы аутентификация пайдаланылатын (логин+пароль+SMS-авторизация\МІНДЕТТІ сыртқы тасығышта сақталатын ЭЦҚ көмегімен шифрлау) алгоритмде іске асырылған, шифрланған VPN-арнасын пайдалану ұсынылады. Желіге қолжеткізу үшін пайдаланушының атын енгізгеннен кейін қызметкердің мобильдік телефонына келетін біржолғы парольдер (OTP) немесе SMS-кодтар. Бір пароль жеткіліксіз болады. Себебі оны зиянды бағдарламалық қамтылымның көмегімен байқау немесе ұрлау ықтималдығы орын алады.
2. Жұмыс стансаларында міндетті түрде операциялық жүйенің соңғы жаңартулары және өзекті вирусқа қарсы қорғау құралдары орнатылу керек. Сонымен қатар компанияның ақпараттық ресурстарына қосу үшін пайдаланылатын үй ДК қоса алғанда кез келген жеке жабдық қашықтықтан қол жеткізудің корпоративтік стандарттарына сәйкес болуы тиіс. Мұнда дұрыс конфигурацияланған және соңғы жаңартуларды қамтитын вирусқа қарсы бағдарламаны да ескеру қажет.
3. VPN-сервис ұйымдастырылатын сервер жағында White IP-List жазу керек.
4. Пайдаланушылардың іс-әрекеттерін міндетті логтау мен оларға ауытқулар тұрғысынан мониторинг жүргізу қажет, сондай-ақ пайдаланушылардың VPN арқылы корпоративтік желіге қосылуын мониторингтеуді ұмытпаған жөн.
5. Фаерволды рұқсат берілген пайдаланушылардың қосылуы мүмкін болатындай етіп баптау, Интернеттің пайдаланылмайтын порттарын жабу, жұмыс істеуге қажетті порттарды ғана қалдыру керек.
6. Ішкі ресурстарға қолжетімділікті тек қана VPN арқылы беру (RDP/SSH немесе желі ішінде деректер алмасу қорғалмаған қосымшаларды сыртқа шығармау).
7. Құпия деректер компанияға тиесілі емес компьютерде сақталмау керек. Бұл үшін қорғалған виртуалды кеңістікті қамтамасыз ететін шешімді пайдалануға кеңес беруге болады.
8. Корпоративтік жұмыс стансасын пайдалану кезінде қатардағы пайдаланушының операциялық жүйенің конфигурациясын өзгерту, жаңа бағдарламалық қамтылымды немесе жабдықты орнату мүмкіндігі болмауы тиіс. Мәселен, процессорды, жадыны, сымсыз картаны алмастыру немесе қосу, не қашықтықтан қол жеткізуді қамтамасыз ететін компьютерге сыртқы дереккөздерінен бағдарламалық қамтылымды жүктеп алу мүмкіндігіне тыйым салыну керек.
9. Қашықтықтан қол жеткізуге арналған дербес құралдар мен қашықтықтан қосылуды бейтаныс адамдардың, соның ішінде отбасы мүшелерінің пайдаланбауы маңызды. Бұл үшін белгілі уақыт аралығынан кейін міндетті аутентификацияны немесе сессия белсенді болмаса мәжбүрлі аутентификацияны белгілеу қажет.
10. Компания қызметкерлерімен қашықтықтан қол жеткізуді пайдалану қауіпсіздігін сақтау бойынша нұсқау жүргізу, сондай-ақ компанияның корпоративтік ақпараттық ресурстарымен және қызметтік ақпаратымен жұмыс істеу кезіндегі жауаптылық туралы әрбір қызметкердің назарына жеткізу керек. Жұмыскер өзінің авторизация кілттері мен авторизациялау деректерін (логин, пароль, тағы басқалар) үшінші тұлғаларға бермеуге тиіс.
11. Компания желісін немесе VPN-сервисінің жұмысында пайдаланылмайтын ашық порттарды осалдықтар тұрғысынан мерзімді сканерлеуді жүргізу.
12. VPN-қосылуды оған қосылған кезде жұмыскердің жұмыс стансасында Интернетке қолжетімділік компанияның корпоративтік саясаттарына сәйкес жүзеге асырылатын түрде баптау қажет.
Қашықтықтан жұмыс істеу кезінде бір ғана жұмыс стансасының қауіпсіздігі емес, барлық ұйымның ақпараттық инфрақұрылымы ақпараттық қауіпсіздік саясаттарының сақталмауына/сақталуына байланысты болатынын естеріңізде сақтаңыз.
«Мемлекеттік техникалық қызмет» РМК
Баспасөз қызметі.
Телефондары: 8-717-255-99-97 (351);
мобильді: +7-702-176-36-66
E-mail: info@kz-cert.kz, press@sts.kz
