Bezpieczeństwo danych firmowych zaczyna się nie tylko od serwera, programu antywirusowego czy regulaminu haseł. Równie ważne jest to, na jakim sprzęcie pracują użytkownicy, jak jest on skonfigurowany, gdzie się znajduje i w jaki sposób jest przekazywany kolejnym osobom. Laptop, komputer stacjonarny, monitor, stacja dokująca oraz urządzenia dodatkowe tworzą całe stanowisko pracy, które powinno być traktowane jako element systemu ochrony informacji. Zaniedbania na tym poziomie mogą prowadzić do utraty danych w wyniku kradzieży, awarii, błędu użytkownika albo nieuprawnionego dostępu. Dlatego przy wyposażaniu biura warto połączyć wymagania dotyczące wydajności i ergonomii z zasadami cyberbezpieczeństwa.
Dobór sprzętu powinien uwzględniać charakter danych
Nie każde stanowisko pracy przetwarza informacje o takim samym znaczeniu. Innych zabezpieczeń wymaga komputer osoby zajmującej się dokumentacją kadrową, innych stanowisko księgowe, a jeszcze innych urządzenie używane wyłącznie do obsługi poczty lub aplikacji biurowych. Przed zakupem sprzętu należy określić, jakie dane będą na nim przechowywane, czy komputer będzie pracował poza biurem oraz czy użytkownik potrzebuje uprawnień do instalowania programów.
W przypadku laptopów szczególne znaczenie ma mobilność. Urządzenie może zostać pozostawione w samochodzie, zabrane do domu albo zgubione podczas podróży. Komputer stacjonarny jest zwykle mniej narażony na zagubienie, ale nadal może zostać skradziony lub udostępniony osobie nieuprawnionej. Monitor nie przechowuje zazwyczaj danych samodzielnie, jednak jego ustawienie może powodować ryzyko podejrzenia informacji przez osoby postronne. Warto więc analizować nie tylko parametry techniczne, lecz także sposób użytkowania całego stanowiska.
Szyfrowanie dysku chroni dane po utracie urządzenia
Szyfrowanie dysku jest jednym z najważniejszych zabezpieczeń laptopa i komputera, na którym zapisuje się firmowe dokumenty. Dzięki niemu zawartość nośnika pozostaje nieczytelna dla osoby, która wyjmie dysk z urządzenia lub uruchomi go w innym komputerze. Samo hasło do systemu operacyjnego nie zawsze wystarcza, ponieważ w wielu sytuacjach można próbować uzyskać dostęp do danych poza standardowym ekranem logowania.
W systemach Windows można korzystać między innymi z funkcji BitLocker, o ile dana edycja systemu i konfiguracja sprzętowa ją obsługują. W innych środowiskach dostępne są analogiczne mechanizmy szyfrowania. Przed włączeniem ochrony trzeba bezpiecznie przechować klucz odzyskiwania. Jego utrata może uniemożliwić dostęp do danych, dlatego nie powinien być zapisany wyłącznie na szyfrowanym komputerze. Szyfrowanie nie zastępuje kopii zapasowych, ale znacząco ogranicza skutki kradzieży lub zagubienia sprzętu.
Aktualizacje systemu i programów zamykają znane luki
Sprzęt może być technicznie sprawny, a mimo to stanowić zagrożenie, jeśli działa na nim nieaktualny system lub stare wersje aplikacji. Aktualizacje poprawiają błędy, usuwają wykryte luki i zwiększają zgodność z nowszymi mechanizmami bezpieczeństwa. Dotyczy to systemu operacyjnego, przeglądarki internetowej, pakietu biurowego, programu pocztowego, narzędzi do zdalnej pracy oraz sterowników, zwłaszcza tych związanych z siecią i bezpieczeństwem urządzenia.
W firmie warto ustalić prostą procedurę aktualizacji. Komputery powinny otrzymywać poprawki automatycznie, a pracownicy nie powinni stale odkładać restartu wymaganego przez system. Jeżeli urządzenie nie może już korzystać ze wspieranej wersji systemu, należy zaplanować jego modernizację albo wymianę. Przy zakupie sprzętu poleasingowego istotne jest sprawdzenie, czy komputer spełnia wymagania aktualnego systemu i czy producent nadal udostępnia dla niego potrzebne sterowniki oraz aktualizacje oprogramowania układowego.
Ograniczenie uprawnień zmniejsza skutki błędów użytkownika
Codzienna praca na koncie administratora zwiększa ryzyko, że przypadkowo uruchomiony złośliwy plik zmieni ustawienia systemu, zainstaluje niepożądany program albo uzyska szerszy dostęp do zasobów. Standardowe konto użytkownika zazwyczaj wystarcza do obsługi poczty, dokumentów i aplikacji biznesowych. Uprawnienia administratora powinny być przyznawane tylko osobom, które rzeczywiście ich potrzebują, i wykorzystywane podczas określonych czynności serwisowych.
Warto również rozdzielić konta prywatne i służbowe oraz unikać wspólnych loginów używanych przez wiele osób. Indywidualne konta ułatwiają ustalenie, kto korzystał z konkretnego urządzenia i kto dokonał określonej zmiany. Jeżeli pracownik odchodzi z firmy lub zmienia zakres obowiązków, jego dostęp powinien zostać niezwłocznie ograniczony albo wyłączony. Takie zasady są proste do wdrożenia i ograniczają zarówno ryzyko techniczne, jak i problemy z rozliczaniem incydentów.
Bezpieczne logowanie wymaga silnych haseł i dodatkowej weryfikacji
Hasło do komputera, poczty i aplikacji firmowej nie powinno być takie samo. Powinno być odpowiednio długie, trudne do odgadnięcia i nieoparte na nazwie firmy, imieniu pracownika ani popularnym wzorze. Pomocny może być menedżer haseł, który pozwala przechowywać unikalne dane logowania bez zapisywania ich na kartkach lub w niechronionych plikach.
Jeżeli używana usługa obsługuje uwierzytelnianie wieloskładnikowe, warto je włączyć. Drugi składnik może mieć postać aplikacji uwierzytelniającej, klucza bezpieczeństwa lub innego mechanizmu zależnego od konkretnej usługi. Dzięki temu przejęcie samego hasła nie musi oznaczać natychmiastowego dostępu do konta. Należy też zabezpieczyć ekran blokadą po krótkim czasie bezczynności oraz nauczyć pracowników, aby nie pozostawiali odblokowanego komputera w pokoju, recepcji czy miejscu dostępnym dla klientów.
Konfiguracja sieci i urządzeń dodatkowych ma znaczenie
Stanowisko pracy jest częścią sieci firmowej, dlatego bezpieczeństwo komputera zależy również od sposobu połączenia z internetem. W biurze należy korzystać z zabezpieczonej sieci bezprzewodowej, aktualnego routera oraz silnego hasła do panelu administracyjnego. W miarę możliwości warto oddzielić sieć przeznaczoną dla pracowników od sieci dla gości i urządzeń, które nie muszą mieć dostępu do zasobów firmowych.
Trzeba zwrócić uwagę na urządzenia podłączane do komputera, takie jak pamięci USB, zewnętrzne dyski, drukarki i stacje dokujące. Nieznany nośnik może zawierać złośliwe pliki, a pozostawiony bez nadzoru pendrive może stać się źródłem wycieku. Wrażliwe dokumenty należy udostępniać przez kontrolowane rozwiązania, z określeniem uprawnień i czasu dostępu. Jeżeli firma używa drukarek wielofunkcyjnych z pamięcią wewnętrzną, trzeba sprawdzić, czy urządzenia są odpowiednio zabezpieczone i czy dokumenty nie pozostają w kolejce wydruku.
Fizyczne zabezpieczenie stanowiska ogranicza dostęp osób postronnych
Ochrona danych nie kończy się na ustawieniach systemu. Komputer powinien znajdować się w miejscu, w którym nie można go łatwo zabrać ani podłączyć do niego nieautoryzowanych urządzeń. W przypadku komputerów stacjonarnych można rozważyć zabezpieczenie obudowy linką lub zamontowanie jej w sposób utrudniający wyniesienie. Laptopy używane w przestrzeniach wspólnych należy przechowywać w zamykanej szafie albo zabierać ze sobą po zakończeniu pracy.
Znaczenie ma także ustawienie monitora. Ekran nie powinien być skierowany w stronę okna, korytarza, poczekalni ani miejsca, z którego osoby nieuprawnione mogą odczytać dane. W wybranych sytuacjach pomocny jest filtr prywatyzujący ograniczający widoczność obrazu z boku. Dokumenty papierowe, notatki z hasłami i wydruki zawierające dane osobowe powinny być przechowywane oraz niszczone zgodnie z wewnętrznymi zasadami firmy. Nawet najlepiej skonfigurowany komputer nie ochroni informacji wyświetlanych lub pozostawionych bez nadzoru.
Kopie zapasowe są niezbędne po awarii lub ataku
Szyfrowanie i program antywirusowy nie zabezpieczą firmy przed każdym scenariuszem. Awaria dysku, usunięcie pliku, błąd synchronizacji, uszkodzenie sprzętu albo atak ransomware mogą spowodować utratę dostępu do dokumentów. Dlatego ważne dane powinny być objęte regularnym systemem kopii zapasowych. Kopia powinna być wykonywana automatycznie, a nie tylko wtedy, gdy pracownik przypomni sobie o jej utworzeniu.
Warto przechowywać kopie w sposób odseparowany od podstawowego komputera. Jeżeli każdy nośnik jest stale podłączony i dostępny z tego samego konta, atakujący może próbować zaszyfrować także kopie. Należy ustalić, które dane są kopiowane, jak długo przechowuje się wcześniejsze wersje oraz kto może odtworzyć pliki. Sama informacja, że kopia istnieje, nie wystarcza. Od czasu do czasu trzeba sprawdzić, czy można z niej rzeczywiście odtworzyć dokumenty i uruchomić potrzebne środowisko pracy.
Sprzęt poleasingowy wymaga kontroli przed przekazaniem do użytkownika
Sprzęt poleasingowy może być dobrym rozwiązaniem dla firmy, pod warunkiem że przed sprzedażą został prawidłowo przygotowany. Najważniejsze jest bezpieczne usunięcie danych poprzedniego użytkownika. Zwykłe skasowanie plików lub szybkie sformatowanie dysku nie zawsze daje wystarczającą pewność. Nośnik powinien zostać wyczyszczony zgodnie z jego rodzajem i przeznaczeniem, a system zainstalowany od nowa z legalnego źródła.
Przed wdrożeniem warto sprawdzić stan dysku, pamięci operacyjnej, baterii, układu chłodzenia, portów i zasilacza. Należy również zaktualizować oprogramowanie układowe, ustawić hasła i włączyć szyfrowanie, jeżeli urządzenie będzie przechowywało dane firmowe. Sklep sprzedający zweryfikowany sprzęt poleasingowy klientom końcowym powinien jasno informować o stanie technicznym urządzenia, zakresie przygotowania oraz warunkach gwarancji. Dzięki temu firma może dobrać wyposażenie świadomie, bez rezygnowania z wymagań dotyczących bezpieczeństwa.
Procedura wycofania i przekazania urządzenia
Bezpieczeństwo trzeba uwzględnić także wtedy, gdy komputer przestaje być używany. Przed sprzedażą, oddaniem do serwisu, przekazaniem innemu pracownikowi lub utylizacją należy wylogować konta, usunąć profile użytkowników, odłączyć urządzenie od systemów firmowych i bezpiecznie wyczyścić nośnik. W przypadku komputerów objętych zarządzaniem centralnym trzeba usunąć je z odpowiednich usług, aby po zmianie właściciela nie pozostały aktywne mechanizmy zdalnego dostępu.
Firmy powinny prowadzić prostą ewidencję sprzętu: numer seryjny, użytkownik, lokalizacja, data zakupu, wykonane naprawy oraz sposób wycofania urządzenia. Taka dokumentacja ułatwia reagowanie na zagubienie laptopa, planowanie wymiany i potwierdzenie, że dane zostały usunięte. Jest również pomocna przy kontrolowaniu licencji oraz przypisanych kont. W przypadku nośników, których nie można bezpiecznie wyczyścić programowo albo które są uszkodzone, należy zastosować odpowiednią metodę fizycznego zniszczenia lub przekazać je wyspecjalizowanej firmie.
Bezpieczne stanowisko pracy powstaje z połączenia właściwego sprzętu, poprawnej konfiguracji i codziennych nawyków użytkownika. Szyfrowanie dysku, aktualizacje, ograniczone uprawnienia, silne logowanie, kopie zapasowe oraz fizyczna ochrona urządzeń wzajemnie się uzupełniają. Przy zakupie laptopów, komputerów PC i monitorów poleasingowych warto oceniać nie tylko cenę i parametry, lecz także pochodzenie sprzętu, sposób przygotowania oraz możliwość dalszego bezpiecznego użytkowania. Takie podejście pozwala ograniczyć ryzyko utraty informacji i stworzyć stanowisko, które wspiera firmę zarówno pod względem wydajności, jak i ochrony danych.