IT-поддержка · удалённый доступ

Удалённая работа: VPN и доступы

Сотрудник работает из дома, из командировки и с телефона, а внутренние системы при этом не торчат в интернет. Доступ по ролям, вход с подтверждением и понятный порядок, если устройство потерялось.

Удалённый доступ в большинстве компаний появился быстро и как получилось. Кому-то пробросили порт на сервер терминалов, кому-то раздали одну учётную запись на отдел, кому-то поставили программу удалённого управления, которая держит компьютер открытым круглосуточно. Работает. И примерно в таком же виде видно из интернета всем остальным.

Дальше начинается перебор паролей. Открытый наружу вход в учётную систему находят автоматические сканеры за сутки, и дальше это вопрос стойкости пароля и терпения. Второй путь короче: сотрудник подключается из дома с домашнего компьютера, на котором стоит что угодно, и приносит проблему внутрь по своему же соединению.

И третий сюжет, о котором вспоминают в момент события: ноутбук с рабочей почтой и выгрузками остался в такси. Вопрос не в стоимости ноутбука.

Правильный удалённый доступ незаметен для сотрудника и скучен для того, кто сканирует ваш адрес снаружи. Если верно только второе - людям неудобно, и они начнут обходить.

Из чего складывается доступ

Шлюз VPN: единственная точка входа снаружи, всё остальное закрыто и из интернета не видно.
Личные учётные записи и профили - никаких общих логинов на отдел.
Права по ролям: бухгалтеру открыта учётная система, менеджеру - CRM, подрядчику - только его участок.
Двухфакторный вход: пароль плюс подтверждение с телефона или ключа.
Работа с телефонов: почта и рабочие сервисы отделены от личных данных на том же устройстве.
Журнал подключений: кто, откуда и когда заходил. Нужен и для разбора инцидента, и просто для порядка.
Отзыв доступа одним действием: у уволившегося и у потерянного устройства.

Что делать при потере устройства

Сотрудник сообщает сразуНе через день и не после того, как поискал. Об этом договариваются заранее, иначе люди тянут из-за страха, что накажут.
Отзываем доступПрофиль VPN и активные сессии закрываются, пароли меняются. С этого момента устройство перестаёт быть ключом.
Блокируем и стираемЕсли устройство под управлением, отправляется команда на блокировку и удаление рабочих данных. Диск при этом уже зашифрован, поэтому вытащить содержимое напрямую нельзя.
Возвращаем человека в работуНовый ноутбук настраивается по тому же профилю, файлы возвращаются из копий. Работа не встаёт на неделю.

Честно о неудобствах

Двухфакторный вход раздражает первые две недели. Дальше привыкают, но переход надо готовить: заранее предупредить, помочь подключить телефоны, оставить запасной способ входа. Если включить его молча и разом, служба поддержки утонет в звонках, а половина людей найдёт обходной путь.

VPN не заменяет ни антивирус, ни резервные копии. Он решает одну задачу: закрывает внутренние системы от интернета и пускает внутрь только тех, кого вы знаете. Если ноутбук сотрудника заражён, VPN честно проведёт заразу внутрь - поэтому рядом должны стоять права, обновления и разделение сетей.

Домашний интернет мы не чиним. Скорость и стабильность канала у сотрудника - его зона, и подключение будет ровно таким, каким его позволяет провайдер.

Внутренние системы закрыты от интернета, снаружи виден только шлюз.
Каждый входит под собой, с подтверждением и по правам своей роли.
Подключения записываются: понятно, кто и откуда заходил.
Потеря ноутбука отрабатывается по готовому порядку, а не в панике.

Три уровня удалённого доступа

Отличаются тем, докуда доходит контроль: до канала, до прав сотрудника или до самого устройства, с которого он работает.

VPN для команды

Когда людям надо просто попасть внутрь из дома, и без дырок наружу.

от 25 000 ₽

Разово. До 20 пользователей, срок - три-пять рабочих дней.

Шлюз VPN и закрытие прямых доступов снаружи
Личные профили подключения
Настройка на ноутбуках и телефонах
Инструкция для сотрудников
Отзыв профиля при увольнении

Подойдёт небольшой команде с одним офисом. Не разграничивает права внутри сети.

Чаще всего берут

Доступ по ролям

Для компании, где не всем нужно видеть всё.

от 70 000 ₽

Разово. Полторы-две недели, считаем по числу систем и ролей.

Всё из варианта "VPN для команды"
Разграничение доступа по ролям и отделам
Двухфакторный и единый вход в рабочие сервисы
Журнал подключений и оповещения о странном входе
Отдельный ограниченный доступ для подрядчиков
Регламент выдачи и отзыва доступа

Основной вариант для компании от тридцати человек. Избыточен, если внутри одна система и все работают в ней одинаково.

Устройства под контролем

Когда данные ездят в ноутбуках и телефонах по стране.

от 150 000 ₽

Разово. Считаем по числу устройств, срок - от трёх недель.

Всё из варианта "Доступ по ролям"
Шифрование дисков на ноутбуках
Управление устройствами: обновления и политики
Разделение рабочего и личного на телефонах
Удалённая блокировка и стирание рабочих данных
Порядок действий при утере устройства

Для компаний с командировками, филиалами и чувствительными данными. Не нужен, если все ноутбуки не покидают офис.

Частые вопросы

Сотрудники жалуются, что подключение медленное. Это лечится?

Обычно да. Чаще всего дело в том, что через шлюз гонят весь трафик человека, включая видео и обновления. Настраиваем так, чтобы внутрь шло только рабочее, а остальное - напрямую. Если упирается в домашний канал сотрудника, это видно по замерам, и тогда чинить нечего.

Можно работать с телефона?

Да, почта, календарь и рабочие сервисы настраиваются на личном телефоне так, чтобы рабочее было отделено от личного. При увольнении или потере стираются только рабочие данные, фотографии и переписка человека не трогаются.

У нас программа удалённого управления компьютерами. Её убирать?

Обычно да, по крайней мере в том виде, когда она держит машину открытой круглосуточно и вход в неё известен половине бывших сотрудников. Такие программы - частая точка входа. Заменяем их доступом через шлюз с личными учётными записями и подтверждением входа.

Что будет, если сотрудник уволился в конфликте?

Доступ закрывается одним действием: профиль отзывается, активные сессии рвутся, пароли к общим сервисам меняются. Это работает, только если доступы заведены на конкретных людей. Общий логин на отдел придётся менять всем сразу, и как раз в этом его главный минус.

Из того же направления. Полный список с ценами - в каталоге услуг.