Главная мысль
Сначала определите данные и сценарии удалённой работы, затем проверьте пробелы в EDR, ZTNA, DLP, MFA и облачном обмене файлами.
EDR: обнаружение и реагирование на устройстве
Агент на поддерживаемом устройстве может продолжать локальную защиту и накапливать записи до восстановления связи. Передача телеметрии в облако и удалённая изоляция требуют доступности устройства; на потерянном или отключённом устройстве изоляция может быть недоступна до восстановления связи. Проверьте поддержку ОС, адресатов оповещений, полномочия на изоляцию и хранение материалов расследования. Отработайте отдельные сценарии для устройств со связью и без неё.
ZTNA: доступ только к нужным приложениям
Вместо широкого сетевого доступа предоставляйте конкретные приложения с учётом пользователя и состояния устройства. Определите, какая политика остановит доступ при смене роли или несоответствии устройства требованиям. Для администраторов и критичных приложений предусмотрите дополнительную проверку и отдельные разрешения. ZTNA задаёт границу доступа к приложению, а MFA проверяет личность при входе. Отдельно испытайте разрешения внутри приложения и прекращение доступа после отзыва сессии.
DLP: каналы передачи данных
Правила DLP могут отслеживать классифицированные данные в почте, загрузках браузера, синхронизации, печати и на USB-носителях. Заранее определите, что блокируется, вызывает оповещение или требует согласования руководителя. Проверьте примеры содержимого и исключения на пилотной группе, чтобы не останавливать рабочий процесс. Попросите показать поддержку каналов, браузеров, приложений и типов файлов на синтетических образцах.
MFA и управление идентификацией
Централизуйте права доступа пользователей, групп, устройств и приложений. Требуйте MFA прежде всего для администраторов, регистрации новых устройств и приложений с чувствительными данными. Назначьте ответственных за аварийные аккаунты и проверку способов восстановления; проверьте работу MFA в приложениях и у провайдера идентификации. Выбирайте устойчивую к фишингу MFA, если она поддерживается; это свойство есть не у всех методов.
Зашифрованные копии и обмен файлами
Для резервных копий оцените охват, шифрование, срок хранения, защиту от удаления и испытание восстановления. В сервисе обмена настройте срок ссылки, домены получателей, скачивание и журналы доступа. Для чувствительных данных изучите модель ключей поставщика и доступ администраторов к ним. Восстановите пробную копию с действующими ключами и проверьте чтение файлов; отдельно испытайте ограничения обмена и скачивания.
Дополнительные категории защиты
Защищённый веб-шлюз проверяет трафик, а DNS-фильтрация — запросы доменов; эти средства могут блокировать известные фишинговые и вредоносные домены. Для полного URL и содержимого может потребоваться веб-контроль более высокого уровня. CASB применяет правила к SaaS и облачным приложениям; MDR добавляет анализ и дежурное реагирование поверх автоматизированных средств. Менеджер паролей помогает управлять уникальными учётными данными. Оценивайте возможности по используемым приложениям и фактическим обязанностям реагирования.
Повседневная работа и выбор поставщика
Не ограничивайте MFA почтой: охватите облачное хранилище и панели администратора. Централизованно устанавливайте исправления ОС и приложений, ограничивайте права по ролям, регулярно проводите обучение распознаванию фишинга и пересматривайте разрешения сторонних приложений. В публичной сети Wi-Fi используйте согласованное безопасное подключение для каждого приложения и проверьте полное шифрование диска. ZTNA может охватывать лишь выбранные частные приложения и не направляет автоматически весь трафик устройства через туннель. Попросите поставщика показать удалённое управление, масштабирование, обновление сведений об угрозах, поддержку и реагирование на инциденты.
Выбирайте рабочий процесс, а не категорию
Оценивайте EDR, ZTNA, DLP, MFA, CASB, веб-фильтрацию и резервное копирование не по отдельным спискам, а в сквозном сценарии: обнаруживается подозрительный вход, отзывается сессия, устройство изолируется, обмен файлами останавливается, данные восстанавливаются. Сравните интеграции, удалённое управление, масштабирование, владельцев оповещений, обновление сведений об угрозах, поддержку и условия реагирования по результатам испытаний. Используйте синтетические данные, фиксируйте ограничения без связи и сверяйте обязанности реагирования с договором.
Выберите образец и ответственного
Выберите синтетические данные, приложение и устройство; назначьте владельца процесса и ответственного за реагирование, опишите разрешённый поток.
Проверьте реакцию на подозрительный вход
В согласованном испытании вызовите оповещение о входе; ответственный отзовёт тестовую сессию и проверит прекращение доступа к приложению.
Проверьте изоляцию устройства и ограничения обмена
Проверьте разрешённую изоляцию доступного устройства и ограничение обмена; отдельно зафиксируйте действия, недоступные без связи.
Подтвердите восстановление
Восстановите файлы и доступ, проверьте рабочий процесс; запишите пробелы, ответственных за исправления и решение о приёмке.