你如何处理员工和个人笔记本电脑?

今天,我们的一个开发人员把他的笔记本电脑从他家偷走了。 显然,他有一个公司的源代码完整svn结帐,以及SQL数据库的完整副本。

这是我个人反对允许公司在个人笔记本电脑上工作的一个重要原因。
然而,即使这是一家公司拥有的笔记本电脑,我们仍然会遇到同样的问题,尽pipe我们在整个磁盘上强化encryption(WDE)的能力稍强。

问题是这些:

  1. 贵公司在非公司拥有的硬件上所做的公司数据是什么?
  2. WDE是一个明智的解决scheme吗? 它是否会在读取/写入时产生很多开销?
  3. 除了更改从那里存储/访问的东西的密码之外,还有什么可以build议的吗?

  1. 问题是允许人们自己做无偿加class的套件是非常便宜的,所以经理们并不那么愿意阻止它; 但当泄漏时,当然会很乐意责怪IT ……只有强制执行政策才能防止这种情况发生。 pipe理层希望取得平衡,但这是一个非常人性化的问题。

  2. 我已经在带有pipe理员级别的工作负载的笔记本电脑上testing了WDE(Truecrypt),而且性能方面还不错,I / O命中率可以忽略不计。 我也有几个开发者在这个版本上保留了大约20GB的工作副本。 这本身不是一个“解决scheme”。 (例如,它不会阻止数据在启动时从不安全的机器中汲取),但它确实closures了很多门。

  3. 如何全面禁止所有的外部数据; 其次是在远程桌面服务方面的一些投资,一个体面的VPN和支持它的带宽。 这样所有的代码都留在办公室里面。 用户通过本地networking访问资源获得会话; 而家用机器就变成了哑巴terminal。 它不适合所有的环境(间歇性的访问或高的能力可能是在你的情况下破产),但值得考虑的是,如果在家工作是重要的公司。

我们公司要求所有公司拥有的笔记本电脑使用全盘encryption。 当然,这是一个开销,但对于我们大多数用户来说,这不是一个问题 – 他们正在运行Web浏览器和办公套件。 我的MacBook是encryption的,即使在VirtualBox下运行虚拟机,它也没有真正影响到我已经注意到的事情。 对于花费大量时间编写大量代码树的人来说,这可能是一个更大的问题。

您显然需要这样一个策略框架:您需要要求所有公司拥有的笔记本电脑都已encryption,并且您需要要求公司数据不能存储在非公司拥有的设备上。 即使他们抱怨,也需要​​针对技术人员和pipe理人员执行您的策略,否则您将再次遇到同样的问题。

我会更less关注设备本身,更多关注所涉及的数据。 这将有助于避免您现在遇到的问题。 您可能没有权力就个人拥有的设备强制执行政策。 但是,您最好有权限处理公司拥有的数据。 作为一所大学,我们一直都有这样的问题出现。 教师的资助可能不会使他们的部门能够购买电脑,或者他们可以通过拨款购买数据处理服务器。 一般来说,解决这些问题的办法是保护数据,而不是硬件。

您的组织是否有数据分类政策? 如果是这样,它说什么? 代码库如何分类? 对这个类别有什么要求? 如果其中任何一个的答案是“否”或“我不知道”,那么我build议与您的信息安全办公室或任何组织中的任何人负责制定政策。

根据你所说的是什么被释放,我是数据拥有者,我可能会把它分类为高,或红色代码,或者你的最高级别。 通常情况下,这需要在传输过程中进行encryption,甚至可能会在允许数据放置的位置列出一些限制。

除此之外,您可能正在考虑实施一些安全的编程实践。 有些东西可能会规定一个开发生命周期,并明确地禁止开发人员接触到生产数据库,除非在奇怪的和罕见的情况下。

1.)远程工作

对于开发人员来说,远程桌面是非常好的解决scheme,除非需要3D。 performance通常是足够好的。

在我看来,远程桌面甚至比VPN更安全,因为具有VPN活动的未locking的笔记本允许远远超过terminal服务器的视野。

VPN只应该给那些可以certificate他们需要更多的人。

将敏感数据移出房屋是不可行的,应尽可能避免。 作为一个没有互联网接入的开发者工作可以被禁止,因为缺乏对源代码控制,问题跟踪,文档系统和通信的访问,使得效率最好。

2.)在networking中使用非公司硬件

一个公司应该有一个连接到局域网的硬件所需要的标准:

  • 杀毒软件
  • 火墙
  • 在领域,被清查
  • 如果移动,则encryption
  • 用户没有本地pipe理员(如果开发者困难,但是可行)
  • 等等

外国硬件应该遵循这些准则或不在networking中。 你可以设置NAC来控制它。

3.)关于溢出的牛奶可以做些什么,但可以采取措施避免再次发生。

如果采取上述步骤,笔记本电脑只不过是移动瘦客户机,则不需要太多。 嘿,你甚至可以买便宜的笔记本(或使用旧的)。

networking上不允许使用不受公司控制的计算机。 永远。 使用诸如VMPS之类的东西将stream氓设备放置在隔离的VLAN中是个好主意。 同样,公司数据在公司设备之外没有业务。

现在硬盘encryption相当简单,所以encryption任何离开的地方。 我已经看到了一些非常不小心的处理笔记本电脑,这将是一个没有全盘encryption的灾难。 performance不俗,效益远远超过它。 如果你需要炽热的性能,VPN / RAS进入相应的硬件。

从这里的其他答案去另一个方向:

虽然保护和保护数据是重要的,偷走笔记本电脑的人的概率:

  1. 知道他们在偷什么
  2. 知道在哪里查找数据和源代码
  3. 知道如何处理数据和源代码

相当不可能。 最可能的情况是,偷走笔记本电脑的人是一个普通的老贼,而不是一个企图间谍窃取你的公司代码,以build立一个竞争的产品,并在你的公司之前上市,从而推动你的公司的业务。

话虽如此,你们公司可能会有一些政策和机制来防止这种情况发生,但是我不会让这个事情在晚上让你们感到不安。 你已经丢失了笔记本电脑上的数据,但大概只是一个副本,开发将继续不间断地进行。

公司拥有的笔记本电脑,当然应该使用encryption磁盘等,但你问个人电脑。

我不认为这是一个技术问题,而是一个行为问题。 从技术的angular度来看,你很难做到让人们无法把代码带回家并篡改它 – 即使你可以阻止他们正式地检查项目的所有源代码,他们仍然可以如果他们决定这样做,并且如果代码(或任何数据)的10行“片段”恰好是包含您的秘密酱汁/贵重和保密的客户信息/圣杯的位置的那一点,仍然可能像失去10页一样失去10条线。

那么企业想做什么? 完全可以这样说,人们绝对不能从非公司的电脑上做公司业务,把这种违规行为定为“严重失职”的解雇罪行。 对于入室盗窃的受害者来说,这是一个适当的回应吗? 它会违背你的企业文化吗? 当人们在家工作时,公司是否喜欢它,因此准备好平衡财产损失的风险和生产率的增长? 失去的代码是否用于控制医院的核武器或银行金库或救生设备,因此在任何情况下都不能支持安全漏洞? 由于这种损失,您是否有法定或监pipe义务来处理“风险”代码的安全性?

这些是我认为你需要考虑的一些问题,但是这里没有人可以为你回答。

贵公司在非公司拥有的硬件上所做的公司数据是什么?

当然,除非您的IT部门已经encryption,否则只能在公司设备上存储公司数据

WDE是一个明智的解决scheme吗? 它是否会在读取/写入时产生很多开销?

任何磁盘encryption软件将有一些开销,但它是值得的,所有的笔记本电脑和外部USB驱动器应encryption。

除了更改从那里存储/访问的东西的密码外,还有什么可以build议的吗?

您还可以获得远程擦除软件,就像在黑莓的BES环境中一样。

在涉及源代码的情况下,特别是在公司IT部门无法控制所使用的机器的情况下,我只能允许该人员在公司场所的机器上进行远程会话,通过VPN。

如何远程擦拭软件。 这当然只有当小偷愚蠢到可以让电脑上网时才会起作用。 但是有很多人甚至以这种方式发现了被盗的笔记本电脑,所以你可能是幸运的。

定时擦除也可能是一个选项,如果您在X小时内没有input密码,则所有内容都将被删除,您必须重新签出。 之前没有听说过这个,也许是因为它实际上很愚蠢,因为它需要用户进行更多的encryption工作。 对于那些担心表演的人来说,也许会和encryption结合起来。 当然你也有这个问题,但是这里不需要互联网。

我的想法是,你最大的问题是,这似乎意味着笔记本电脑可以访问公司networking。 我假设你现在已经防止这台笔记本电脑VPN'ing到办公室networking。

允许非公司电脑进入办公networking是一个非常糟糕的主意。 如果它不是一个公司的笔记本电脑,你怎么能执行足够的反病毒。 在networking上允许它意味着你无法控制正在运行的程序 – 例如wireshark看networking包等。

其他一些答案build议,在RDP会话等内部进行开发。 实际上,这意味着他们只能在有互联网连接的地方工作,而不是在火车上总是有可能的。但是这也要求笔记本电脑能够访问RDP会话的服务器。 您需要考虑如何保护RDP访问权限,以防止有人访问被盗的笔记本电脑(可能是笔记本电脑上存储的一些密码)

最后,最有可能的结果是,笔记本电脑被卖给对内容不感兴趣的人,并将其用于电子邮件和networking。 但是,这对公司来说是相当大的风险。

在这种情况下,笔记本电脑锁可以防止这个问题。 (我还没有听到一个桌面锁,但是,我还没有听说一个窃贼窃取桌面。)

就像你离开房子时不要把你的珠宝留在周围一样,你也不应该让你的笔记本电脑不安全。