CIO vs Mobile

---

Мобильные устройства прочно заняли свое место в жизни современного общества. И если раньше мобильные телефоны использовались только для звонков и сообщений, то постепенно с развитием мобильных платформ и мобильных сервисов телефон становится основным источником получения информации. А развитие мобильного Интернета привело к тому, что телефон стал поистине многофункциональным устройством и основным инструментом в нашей жизни. Хотите посидеть в социальной сети – пожалуйста, хотите посмотреть кино или послушать радио – не проблема, появилось желание управлять своими банковскими картами с телефона – большинство банков предоставят вам такую возможность. Каждый из нас использует минимум пять сервисов ежедневно.

А что же происходит в корпоративной среде? Если сотрудники не могут получить доступ к сервисам, которые им необходимы, то они просто начинают использовать несанкционированные способы обхода, такие как неразрешенные приложения, публичные облачные сервисы, или просто отправлять контент на личный адрес электронной почты, чтобы работать с ним на своих смартфонах и планшетах. Противиться этому невозможно – необходимо подстраиваться!

В моей практике не единожды был случай, когда инициативные руководители начинали в повседневной работе использовать внешние (как правило, облачные) мобильные сервисы. При этом делали это не только сами, но и обязывали своих сотрудников. Пускать такие вещи на самотек категорически нельзя! Основной задачей CIO является контроль и управление всеми информационными потоками предприятия. Давайте будем честными с собой: если вы не возьмете контроль на себя, это сделают ваши сотрудники.

Как же необходимо реагировать на это явление? Пути всегда два: запретить или предложить корпоративный подход для решения данной задачи. Запрет на использование мобильных сервисов не всегда дает положительный результат. Как вы будете контролировать процесс? Где гарантии, что через месяц или год все не повторится?

Второй путь – предложить свое решение. В этом случае вы должны учитывать три ограничения. Ваше решение должно быть:

• не менее удобным, чем заменяемое;

• надлежащим образом интегрировано в ИТ-инфраструктуру предприятия;

• контролируемо и укладываться в политику безопасности предприятия.

В любом случае лучше работать на опережение. Определитесь с наиболее востребованными мобильными сервисами и начните работу по их внедрению. Не знаете, с чего начать? Начните с мобильной почты. Это всегда работает на ура. К наиболее часто используемым мобильным приложениям также можно отнести:

• корпоративное хранилище информации;

• интегрированную телефонную книгу предприятия;

• корпоративный портал;

• документооборот;

• CRM-систему;

• BI-приложения.

Современный человек все больше привыкает к новым мобильным устройствам и простым приложениям, и неудивительно, что он хочет самостоятельно выбирать технологии для успешного выполнения личных задач и совместной работы в команде. Вы оказываетесь перед выбором: научиться контролировать и выгодно использовать это явление либо игнорировать его, создавая тем самым риски. Если не хотите столкнуться с хаосом в управлении и рисками безопасности, не делайте выбор в пользу пассивного ожидания. Вам жизненно необходимо найти способ сбалансировать производительность труда и уровень удовлетворенности сотрудников с надлежащим уровнем ИБ.

Основным поводом для беспокойства в любых организациях является возможность потери или утечки конфиденциальной информации с пользовательских устройств. Перед CIO ставятся сложные задачи, которые заключаются в обеспечении безопасности корпоративной сети, данных и сервисов одновременно с предоставлением к ним мобильного доступа.

Прежде всего нужно установить правила пользования устройствами для сотрудников. Например, позволит ли ваша компания использовать все устройства либо же введет некоторые ограничения? Какие именно мобильные сервисы вы сможете предоставить сотрудникам? Будет ли тот или иной сервис доступен всем сотрудникам или же только ограниченному кругу? Для понимания этого понадобится провести некое обследование сервисов и данных, к которым вы планируете предоставить мобильный доступ. Первое, что необходимо сделать, – провести инвентаризацию. В данном случае это будет составление списка систем, сервисов и данных, то есть объектов, подлежащих защите. При этом необходимо не просто составить список, а указать ряд особенностей той или иной системы: кратко описать ее с точки зрения информационной безопасности, оценить влияние на всю ИТ-инфраструктуру. Далее необходимо описать риски получения несанкционированного доступа для каждого объекта. Третий шаг –определение минимального и максимального круга пользователей каждого сервиса. При этом необходимо учитывать перспективы развития организации.

Имея на руках результаты такого обследования, следует определиться со стратегией. На текущий момент существует четыре основных подхода к выстраиванию стратегии управления мобильными сервисами в организациях:

COBO (Corporate Owned, Business Only) – в рамках этой стратегии сотрудники снабжены устройством компании, которое они могут использовать только как рабочий инструмент. Наиболее жесткий подход. Чаще встречается в медицине.

COPE (Corporately Owned, Personally Enabled) – в рамках этой стратегии сотрудники снабжены устройством компании, которое они могут использовать не только как рабочий инструмент, но и как личное устройство для электронной почты и приложений.

CYOD (Choose Your Own Device) – предоставляет сотрудникам выбор из пула производителей, утвержденных работодателем. Мало того что эта стратегия поможет бизнесу лучше контролировать свою мобильную инфраструктуру, она также очень любима большинством сотрудников.

BYOD (Bring Your Own Device) – сотрудники организации вместо корпоративного устройства используют для работы собственное, будь то личный ноутбук, планшет или смартфон.

Следует учитывать, что та или иная стратегия может применяться не ко всем мобильным сервисам. Например, для корпоративной почты можно выбрать BYOD, а вот для мобильного доступа к ERP на производственной площадке вам может подойти только COBO. И ничего криминального в смешанном подходе нет – во главе выбора просто стоят безопасность и финансовая целесообразность подхода (не будете же вы покупать всем сотрудникам корпоративные защищенные мобильные устройства).

На текущий момент на рынке программного обеспечения предлагаются очень интересные решения по обеспечению безопасности корпоративных мобильных устройств. Не будем заниматься рекламой конкретных вендоров, тем более что тут точно есть выбор. Тем не менее необходимо знать, что существуют решения, позволяющие полностью контролировать практически любое устройство на Android. Так, вы можете удаленно контролировать не только состав приложений на нем, но и устанавливать/удалять их, изменять политики безопасности, управлять интерфейсами (включать или отключать камеру, Wi-Fi, Bluetooth), организовывать зашифрованную передачу данных с устройства, шифровать данные непосредственно на устройстве, отслеживать перемещения мобильного устройства, получать уведомления о смене SIM-карты, централизованно вести журнал звонков, SMS и многое другое. К сожалению, такого набора сервисов по обеспечению безопасности не найти для устройств под Windows и iOS, но давайте не будем кривить душой – пока доля Android-устройств на мировом рынке не падает ниже 75%, и тенденции к снижению нет.

Не стоит забывать и об организационной стороне обеспечения безопасности. Это самая большая и часто повторяемая ошибка среди ИТ-специалистов. Вы не только должны обеспечить безопасность устройства программно-аппаратными методами, но и разработать подробную инструкцию по его использованию для корпоративных целей. В ней в обязательном порядке должны быть описаны права, обязанности сотрудника и уровень его ответственности за компрометацию данных, а также действия при утере или хищении устройства. Ознакомить сотрудников с данным документом желательно под роспись.

При внедрении мобильных сервисов разумно начинать с небольшой контрольной группы пользователей. Необходимо четко разделять время опытной эксплуатации сервиса (например, внутри рабочей группы это могут быть только сотрудники ИТ-службы или фокусная группа сотрудников предприятия) и перевод системы в опытно-промышленную эксплуатацию (когда вы уже исправите все мелкие недочеты и готовы перевести сервис в более широкое использование). На этапе опытно-промышленной эксплуатации мобильного сервиса вы получите большинство замечаний и должны быть готовы оперативно реагировать на каждое обращение. Не стоит умышленно уменьшать период опытно-промышленной эксплуатации, наоборот, стоит запланировать дополнительные риски данного этапа. И только после того, как вы устраните все замечания и убедитесь в надежности и безопасности сервиса, можно переводить его в промышленную эксплуатацию и предоставлять доступ широкому кругу пользователей.

Не стоит стараться охватить всё – внедрять мобильные сервисы лучше постепенно, так как каждый из них требует вашего пристального внимания. Попытавшись сделать всё и сразу, вы рискуете получить обратный результат – непродуманные, неудобные сервисы будут отторгнуты сотрудниками. Помните, что перевнедрять любую систему или сервис значительно тяжелее (и не только морально), чем сделать сразу хорошо.

И главный принцип – вы сами должны быть счастливым пользователем мобильного сервиса. Если он неудобен вам – скорее всего, такое решение не будет нужно большинству сотрудников компании.