Os laptops devem ser guardados à noite?

Question

Temos uma política de que todos os que deixam seu laptop no escritório devem colocá-lo em um armário ou armário quando sairem para o dia. Para tornar isso mais fácil, todos os usuários de laptop também são fornecidos com estações de encaixe. A política foi introduzida há muitos anos, depois que o escritório foi invadido à noite.

Faz sentido continuar aplicando essa política, ou é teatro de segurança?

Detalhes sobre o nosso ambiente:

• 40% da equipe usa a área de trabalho remota (nenhum dado do cliente é armazenado localmente)
• 60% da equipe usa aplicativos espessos para acessar os dados do cliente no servidor de arquivos
• Os dados do cliente são ocasionalmente copiados para laptops para uso no campo
• O Outlook é instalado localmente em todos os laptops e conectado a um servidor Exchange

Pensamentos adicionais:

• Somos segurados contra roubo, mas a franquia é próxima do custo de um laptop.
• Violação de privacidade provavelmente mais cara que perda de ativos físicos
• A sala do servidor é considerada suficientemente segura (sem janelas!)
• A criptografia total de disco está sendo considerada para todos os laptops

Answer 1

Você terá que avaliar isso por si mesmo, mas, em geral, respondo Sim a essa pergunta. O nível de medidas de segurança que você implementa é, em grande parte, quanto ao risco que você está disposto a assumir. Você tem o risco financeiro de perder ativos, como você mencionou, e também o risco de perder dados. Se você não está disposto a aceitar esse risco, então sim, eles devem ser trancados.

Em relação aos seus pontos específicos:

• "nenhum dado do cliente armazenado localmente" - Você tem controle ABSOLUTE disso e pode garantir isso 100%?
• "Os dados do cliente são ocasionalmente copiados para laptops para uso no campo" - parece que isso contradiz o primeiro ponto
• "a franquia está próxima do custo de um laptop" - e quanto ao custo de muitos laptops? Quanto seus prêmios sobem toda vez que você tem um incidente e quanto você vai economizar com o tempo, bloqueando-os?
• A violação de privacidade é quase sempre mais cara do que o custo de um ativo físico. Sua reputação está além do ouro.
• "A sala do servidor é considerada suficientemente segura" - e quanto ao roubo dentro da empresa? Uma alta porcentagem de comportamento malicioso vem de dentro.
• "Criptografia total de disco" - como você tem dados de clientes em dispositivos móveis, isso deve ser obrigatório e nem mesmo no campo da consideração

Answer 2

Parece uma política sensata para mim.

Eu não consideraria revisitar a política até que você tenha a criptografia de disco completo em todos os laptops. Proteger os ativos dos clientes vale um pequeno inconveniente. Seja qual for a sua política, os usuários podem dividi-la colocando os documentos em locais que não deveriam.

Depois disso, você tem um cenário de roubo simples para se preocupar. Coisas para pensar sobre isso:

• Quão confiável é a equipe de limpeza do escritório? Alta rotatividade para esses trabalhos aumenta suas chances de roubo.
• Quem tem acesso a áreas seguras? (Às vezes os funcionários roubam, mas as pessoas de limpeza têm uma chave de acesso total)
• As áreas seguras têm uma boa porta?
• Você / senhorio tem câmeras nas portas de seus escritórios e entradas do prédio?
• Existe um alarme de perímetro?

Se você protegeu os dados do cliente e respondeu às outras perguntas de forma satisfatória, você pode simplificar a política "bloquear seu laptop".

Bloquear as coisas em um armário pode parecer bobo, pois elas são fáceis de se abrir, mas manter os objetos de valor fora de vista e torná-los difíceis de obter tem um efeito dissuasor em alguns cenários do tipo break-in.