Zagrożenia związane z pracą zdalną w modelu pracy w chmurze

Proces rozpoczęcia pracy zdalnej przez pracownika rozpoczyna się przeważnie od zalogowania do określonej usługi chmurowej. Do tego celu wykorzystuje on poświadczenia otrzymane od pracodawcy. W przeważającej większości przypadków jest to login do tego systemu nadany przez pracodawcę oraz hasło. W tym momencie pojawia się pierwsze zagrożenie. Pracownik, wprowadzając swój login i hasło do systemu, do którego się loguje, robi to w środowisku nienadzorowanym bądź zarządzanym przez pracodawcę.

Zabezpieczeniem przed udostępnieniem informacji przetwarzanych przez pracodawcę w wyniku ujawnienia poświadczeń pracownika do logowania się do systemów informatycznych może być wyposażenie go w tzw. drugi (2FA – ang. Two Factor Authentication; dwuskładnikowe uwierzytelnianie) lub kolejny składnik/czynnik uwierzytelniający (MFA – ang. Multi Factor Authentication; wieloskładnikowe uwierzytelnianie).

Pracownik, logując się do danego systemu chmurowego, łączy się z zasobami informatycznymi (najczęściej serwery z aplikacjami/systemami), które znajdują się w lokalizacjach dostarczanych przez dostawcę usługi. Oczywiście to pracodawca zarządza tą usługą i ją nadzoruje, ustala zasady dostępu do tej usługi chmurowej, wskazuje osoby uprawnione, mające dostęp do danej usługi chmurowej, ale, co do zasady, całość infrastruktury i oprogramowania jest dostarczana przez dostawcę usług chmurowych.

Na terenie zakładu pracy to pracodawca ma pełną kontrolę nad siecią teleinformatyczną służącą do przetwarzania i przesyłania informacji pomiędzy pracownikami, komputerami, serwerami. W przypadku usług chmurowych bezpieczeństwo opiera się zazwyczaj na tym, jakie usługi skonfigurował i dostarczył dostawca usług chmurowych. Jednym z najczęściej wybieranych sposobów zabezpieczeń jest korzystanie z usług chmurowych poprzez aplikacje webowe (czyli takie, które działają w przeglądarkach stron internetowych), korzystające z bezpiecznych i zaszyfrowanych połączeń z wykorzystaniem protokołu SSL
SSL (ang. Secure Socket Layer) – protokół zapewniający poufność i integralność transmisji danych, a także uwierzytelnienie serwera, a niekiedy również klienta (użytkownika strony internetowej lub aplikacji webowej). . Aby jeszcze bardziej podnieść bezpieczeństwo takiego połączenia, można zastosować tzw. VPN (Virtual Private Network), czyli bezpieczne, prywatne, szyfrowane połączenia pomiędzy komputerem użytkownika (pracownika pracującego zdalnie) z serwerem dostarczanym przez dostawców usług chmury.

Prędkość połączenia internetowego jest liczona w megabitach (Mb) lub gigabitach (Gb). Jeżeli chodzi o jakość, ważne są następujące parametry:

1) symetryczność łącza – czy tę samą prędkość będzie otrzymywał pracownik od dostawcy usług internetowych w zakresie ściągania i ładowania danych;

2) typ połączenia – czy jest to połączenie światłowodowe, tzw. przewód miedziany (koncentryczny), czy połączenie internetowe będzie realizowane radiowo – LTE.

Wymagania pracodawcy dotyczące jakości połączenia internetowego, typu połączenia czy jego prędkości mogą być różne dla różnych stanowisk pracy.

Standardy dotyczące połączeń internetowych dla pracowników powinny być ustalane przez służby informatyczne pracodawcy na podstawie potrzeb danego stanowiska pracy. Brak połączenia, zrywanie połączenia, utrata połączenia mogą mieć wpływ na bezpieczeństwo informacji, w tym danych osobowych przetwarzanych przez pracownika w trakcie pracy zdalnej. Niższe parametry łącza internetowego pracownika pracującego zdalnie nie będą miały zazwyczaj wpływu na bezpieczeństwo, jednak mogą wpływać na wydajność i efektywność pracy takiego pracownika. Dlatego warto dobrze przeanalizować, jakiego typu i jakiej jakości połączenia internetowe mają pracownicy, którzy mają się udać na pracę zdalną.

Pracownik pracujący w zakładzie pracy, który zorientował się, że najprawdopodobniej wystąpiło jakieś zagrożenie lub wystąpiła jakakolwiek inna sytuacja w trakcie obsługi komputera, może zawsze podejść i zwrócić się o pomoc lub weryfikację pracowników komórek informatycznych. W przypadku pracownika pracującego zdalnie (niezależnie od tego, czy jest to rozwiązanie chmurowe czy nie) pracownik w jakiś sposób musi się skontaktować ze wsparciem informatycznym pracodawcy. Jeżeli komunikacja w takich wypadkach odbywa się za pomocą komputera, pracownik może mieć utrudniony dostęp do pomocy w sytuacjach incydentów bezpieczeństwa. Dlatego jako zabezpieczenie warto rozważyć alternatywny kanał komunikacyjny, np. numer telefonu, pod który pracownik może zawsze zadzwonić z prośbą o pomoc.

Usługi chmurowe charakteryzują się tym, że są skoncentrowane w dużych centrach przetwarzania danych. Mają one wiele zabezpieczeń w postaci dodatkowych łączy telekomunikacyjnych, dodatkowych źródeł zasilania, kopie bezpieczeństwa więcej niż w jednym miejscu, wyspecjalizowane załogi wsparcia technicznego, służby ratownictwa i wiele innych elementów chroniących całą infrastrukturę i zapewniających ciągłość działania operatora usługi chmurowych. Jednakże w przypadku globalnych problemów – czy to z siecią telekomunikacyjną, czy z konkretnymi usługami – usługi chmurowe mogą się wiązać z przerwami w dostępie do infrastruktury lub systemów. Nie są to częste przypadki, jednak brak dostępu do usługi chmurowej oznacza zazwyczaj konieczność przerwania pracy zdalnej pracownika i brak możliwości kontaktu z pracodawcą (jeśli nie został ustanowiony alternatywny kanał komunikacyjny). Podobne problemy mogą wystąpić przy rozwiązaniu niechmurowym, czyli on-premise. Pracownik pracujący zdalnie nie wie, czy problem jest związany z jego komputerem, czy problemem jest usługa dostawcy chmury, czy jeszcze jakiś inny przypadek.

Tabela. Dobre i złe praktyki korzystania z rozwiązań chmurowych w pracy zdalnej