Безопасность компании при работе с удалёнными сотрудниками

Пандемия нормализовала удалённую работу, и казахстанские компании — в том числе финансовые — перевели значительную часть сотрудников на дистанционный режим. Вместе с гибкостью пришли новые угрозы: домашняя сеть сотрудника, личный ноутбук и размытые границы между рабочим и личным пространством создают бреши в корпоративной безопасности. А поверх технических рисков накладываются угрозы человеческого фактора — от случайных утечек до преднамеренного мошенничества.

Инсайдерские угрозы при удалённой работе

Инсайдерская угроза — риск, исходящий от людей с легитимным доступом к корпоративным системам: сотрудников, подрядчиков, бывших работников. При удалённом формате этот риск возрастает по нескольким причинам:

• Отсутствие физического наблюдения снижает сдерживающий эффект
• Мониторинг активности на личных устройствах юридически ограничен
• Размытые рабочие часы затрудняют обнаружение аномальной активности
• Утечка данных через личные устройства сложнее поддаётся расследованию

Непреднамеренные утечки

Большинство инсайдерских инцидентов происходит не из злого умысла, а из-за небрежности:

• Сотрудник сохраняет рабочие документы на личный Dropbox «для удобства»
• Рабочая переписка ведётся через личный мессенджер, не одобренный компанией
• Конфиденциальные документы распечатываются на домашнем принтере
• Экран рабочего ноутбука виден членам семьи во время видеозвонка

Преднамеренные утечки

Мотивированный инсайдер при удалённом доступе может нанести серьёзный ущерб: скачать базы клиентов, продать доступы к корпоративным системам или передать конфиденциальные данные конкурентам.

По данным Ponemon Institute, средняя стоимость инсайдерского инцидента в 2023 году составила 15,4 миллиона долларов США. При этом 55% инцидентов вызваны халатностью, 26% — преднамеренными действиями, 19% — компрометацией учётных данных.

VPN: политика и риски

Корпоративный VPN (виртуальная частная сеть) является стандартным инструментом защиты удалённого доступа, однако его наличие само по себе не решает всех проблем.

Распространённые ошибки в VPN-политике:

• Split tunneling без контроля — режим, при котором только часть трафика идёт через VPN, позволяет данным утекать через незащищённый канал
• Использование личных VPN-сервисов — сотрудник подключается через платный VPN-сервис вместо корпоративного, создавая непрозрачный туннель
• Слабые учётные данные — VPN с логином и паролем без MFA легко скомпрометировать
• Устаревшие протоколы — PPTP и L2TP без IPSec уязвимы

Рекомендации: обязательный MFA для VPN, современные протоколы (WireGuard, OpenVPN, IKEv2), ограничение split tunneling, логирование всех VPN-сессий.

Риски BYOD (Bring Your Own Device)

BYOD — политика использования личных устройств в рабочих целях. Распространена среди малого и среднего бизнеса из-за экономии на оборудовании, но несёт существенные риски:

Риск	Почему опасен	Меры снижения
Заражение личным вредоносным ПО	Корпоративные данные на заражённом устройстве	MDM, изоляция рабочего профиля
Нет контроля над шифрованием	Данные на диске не защищены	Требование шифрования, проверка
Утечка при увольнении	Данные остаются на личном устройстве	Политика удалённого стирания, MDM
Смешение личных и рабочих данных	Сложно доказать утечку, нарушение приватности	Контейнеризация (рабочий профиль)

Угрозы через домашние сети

Домашний Wi-Fi сотрудника — один из наиболее уязвимых элементов цепочки безопасности:

• Слабый или заводской пароль на роутере
• Необновлённая прошивка с известными уязвимостями
• Устаревшие протоколы шифрования (WEP, WPA вместо WPA3)
• Другие устройства в сети (IoT, умная техника) как векторы атаки
• Соседи или незнакомцы в сети при использовании общедоступного Wi-Fi

Минимальные требования к домашней сети для удалённого сотрудника: WPA2/WPA3 шифрование, уникальный сложный пароль, актуальная прошивка роутера, отключение удалённого доступа к панели роутера.

Схема найма фиктивных удалённых сотрудников

Международный феномен, достигший Казахстана — схема найма мошенников (в западных СМИ её связывают с северокорейскими IT-группировками, но схема имеет множество локальных вариантов): злоумышленники устраиваются на удалённую работу под вымышленными личностями, используя поддельные документы и реальные профили в LinkedIn.

Цели мошенников при таком трудоустройстве:

• Получить доступ к корпоративным системам и базам данных
• Установить вредоносное ПО или создать скрытые бэкдоры
• Передать конкурентам или преступным группировкам конфиденциальные данные
• Получать зарплату за фиктивную работу

Признаки потенциально мошеннического кандидата

• Отказ от видеособеседования или постоянные технические проблемы с камерой
• Несоответствие внешности на разных интервью (могут использоваться дипфейки)
• Просьба получать зарплату на чужой счёт или криптовалютой
• Слишком идеальное резюме без возможности верификации
• Нежелание проходить офлайн-верификацию документов

Верификация личности при удалённом онбординге

Надёжные меры верификации для удалённых сотрудников:

1. Видеоверификация документов — онлайн-сессия, где сотрудник показывает удостоверение личности и совершает контрольные движения (liveness check)
2. Верификация через eGov.kz — проверка ИИН через официальные порталы
3. Физическая верификация — для ключевых должностей: личная встреча с HR или нотариально заверенные копии документов
4. Проверка биографических данных — обращение к предыдущим работодателям по независимо найденным контактам
5. Background check — через специализированные казахстанские агентства

Требования АРРФР к информационной безопасности при удалённой работе

АРРФР в постановлениях об управлении операционными рисками обязывает финансовые организации:

• Документировать политику удалённого доступа и BYOD
• Обеспечивать шифрование данных на всех устройствах с доступом к финансовым системам
• Вести журналы доступа с возможностью аудита
• Проводить периодические проверки прав доступа удалённых пользователей
• Уведомлять АРРФР об инцидентах, связанных с несанкционированным доступом к финансовым данным

Для финансовых организаций также действуют требования по AML (противодействию отмыванию денег): удалённые сотрудники, имеющие доступ к клиентским данным, должны проходить расширенную проверку при найме.

Смотрите также: Корпоративный BEC-фрод — удалённая работа значительно повышает риски компрометации деловой переписки.

Корпоративная политика: минимальный стандарт

Базовые элементы политики безопасности для удалённых сотрудников:

1. Обязательный VPN для любого доступа к корпоративным ресурсам
2. MFA для всех корпоративных систем без исключений
3. Запрет хранения рабочих данных на личных облачных сервисах
4. Обязательное шифрование диска на рабочем устройстве
5. Регулярное (ежеквартальное) обучение по кибербезопасности
6. Чёткая процедура сообщения об инцидентах с гарантией защиты «добросовестного информатора»
7. Политика минимальных привилегий — каждый сотрудник имеет доступ только к тому, что необходимо для его работы

Удалённая работа — не временный тренд, а постоянная реальность. Компании, которые инвестируют в системную безопасность сейчас, избегают многократно более дорогостоящих последствий инцидентов в будущем. Начните с документирования политики, обучения сотрудников и внедрения MFA — это три шага, которые дают наибольший результат при минимальных затратах.