Мобильная вычислительная техника и дистанционная работа

1. Дистанционная работа

1.1. Организации должны разрешать дистанционную работу только при уверенности в том, что применяются соответствующие соглашения о безопасности и меры и средства контроля и управления, которые, в свою очередь, согласуются с политикой безопасности организации.

1.2. Следует обеспечить необходимую защиту места дистанционной работы в отношении, например хищения оборудования и информации, несанкционированного раскрытия информации, несанкционированного удаленного доступа к внутренним системам организации или неправильного использования оборудования

1.3. Необходимо принимать во внимание следующее:

1.3.1. существующую физическую безопасность места дистанционной работы, включая физическую безопасность здания и окружающей среды

1.3.2. предлагаемые условия дистанционной работы

1.3.3. требования в отношении безопасности коммуникаций, учитывая потребность в удаленном доступе к внутренним системам организации, чувствительность информации, к которой будет осуществляться доступ и которая будет передаваться по каналам связи, а также чувствительность самих внутренних систем

1.3.4. угрозу несанкционированного доступа к информации или ресурсам со стороны других лиц, использующих место дистанционной работы, например членов семьи и друзей

1.3.5. использование домашних компьютерных сетей, а также требования или ограничения в отношении конфигурации услуг беспроводных сетей

1.3.6. политики и процедуры для предотвращения споров, касающихся прав на интеллектуальную собственность, разработанную на оборудовании, находящемся в частной собственности

1.3.7. доступ к оборудованию, находящемуся в частной собственности, который может быть запрещен законодательством

1.3.8. лицензионные соглашения в отношении программного обеспечения, которые таковы, что организация может стать ответственной за лицензирование клиентского программного обеспечения на рабочих станциях, находящихся в частной собственности сотрудников, подрядчиков или пользователей третьей стороны

1.3.9. требования в отношении антивирусной защиты и межсетевых экранов

1.4. Рекомендации и необходимые организационные меры включают, в частности:

1.4.1. обеспечение подходящим оборудованием и мебелью для дистанционной работы в тех случаях, когда запрещается использование оборудования, находящегося в частной собственности, если оно не находится под контролем организации

1.4.2. определение видов разрешенной работы, времени работы, классификацию информации, которая может поддерживаться внутренними системами и услугами, к которым разрешен доступ сотруднику в дистанционном режиме

1.4.3. обеспечение подходящим телекоммуникационным оборудованием, включая методы обеспечения безопасности удаленного доступа

1.4.4. физическую безопасность

1.4.5. правила и рекомендации в отношении доступа членов семьи и друзей к оборудованию и информации

1.4.6. обеспечение технической поддержки и обслуживания аппаратного и программного обеспечени

1.4.7. обеспечение страхования

1.4.8. процедуры в отношении резервного копирования данных и обеспечения непрерывности бизнеса

1.4.9. аудит и мониторинг безопасности

1.4.10. аннулирование полномочий, отмену прав доступа и возвращение оборудования в случае прекращения работы в дистанционном режиме

2. Мобильная вычислительная техника и связь

2.1. При использовании мобильных вычислительных средств и средств связи, например ноутбуков, карманных компьютеров, лэптопов, смарт-карт и мобильных телефонов, необходимо принимать специальные меры для обеспечения уверенности в том, что бизнес-информация не скомпрометирована

2.2. Политика использования мобильных вычислительных средств должна включать требования к физической защите, управлению доступом, использованию средств криптографии, резервирования и защиты от вирусов

2.3. Следует проявлять осторожность при использовании мобильных вычислительных средств в общедоступных местах, конференц-залах и других незащищенных местах вне организации

2.4. Важно при использовании мобильных вычислительных средств в общедоступных местах проявлять осторожность, во избежание риска вмешательства неавторизованных лиц

2.5. Необходимо регулярно делать резервные копии критической информации бизнеса

2.6. Соответствующую защиту необходимо обеспечить в отношении использования мобильных средств, подсоединенных к сетям

2.7. Мобильные вычислительные средства необходимо также физически защищать от краж, особенно когда их оставляют без присмотра/забывают, например в автомобилях или других видах транспорта, гостиничных номерах, конференц-центрах и местах встреч

2.8. Необходимо провести тренинг сотрудников, использующих мобильные вычислительные средства, с целью повышения осведомленности о дополнительных рисках, связанных с таким способом работы и мерах и средствах контроля и управления, которые должны быть выполнены