Shark
Корпоративный и личный VPN: не одно и то же
Первое, что стоит понять: у «VPN для работы» два принципиально разных значения.
- Корпоративный VPN. Его выдаёт и настраивает работодатель. Он нужен, чтобы попасть во внутренние системы компании: почту, файлы, базы, административные панели. Правила и сервер определяет служба безопасности. Вы не выбираете и не настраиваете его по своему усмотрению, вы подключаетесь по инструкции.
- Личный VPN. Его выбирает и оплачивает сам человек. Он шифрует соединение между устройством и сервисом, защищая от перехвата в открытых сетях и от слежки на уровне провайдера. Доступа во внутренние системы компании он не даёт.
Эти инструменты не заменяют друг друга. Если работодатель требует корпоративный VPN, личный нельзя включать поверх него без согласования: два туннеля обычно конфликтуют, а политика компании может запрещать такое сочетание. Если корпоративного VPN нет, личный сервис закрывает только часть рисков, и не заменяет остальные меры из чек-листа ниже.
Чек-лист: устройство
- Обновления системы и приложений включены автоматически. Большинство взломов используют уже известные уязвимости, для которых давно есть исправления.
- Включено шифрование диска. На Windows это BitLocker, на Mac — FileVault, на телефонах оно включено по умолчанию при установленном коде. Потерянный ноутбук без шифрования означает потерянные данные.
- Экран блокируется сам через минуту-две бездействия, вход по паролю или биометрии.
- Установлен только нужный набор программ. Каждое лишнее расширение браузера и каждое «ускорительное» приложение — потенциальная лазейка.
- Рабочее и личное разделено. Лучше отдельный профиль браузера или отдельная учётная запись для работы. Тогда личные расширения не видят рабочих страниц.
Чек-лист: аккаунты
- Менеджер паролей и уникальный пароль для каждого сервиса. Повторяющиеся пароли — самая частая причина захвата рабочих аккаунтов после утечки на другом сайте.
- Двухфакторная защита везде, где она есть. Лучше приложение-аутентификатор или аппаратный ключ, чем SMS.
- Резервные коды хранятся отдельно от устройства, на котором вы входите.
- Проверка фишинга. Перед вводом пароля смотрите на адрес в строке браузера. Письма с требованием срочно войти и подтвердить данные проверяйте по другому каналу.
Чек-лист: сеть
Публичный Wi-Fi в кафе, аэропорту или гостинице устроен просто: к одной точке подключены десятки незнакомых устройств. Что с этим делать:
- Предпочитайте мобильную сеть или собственную точку доступа на телефоне, если работаете с чувствительными данными.
- Не входите в рабочие системы по сетям без пароля. Если выбора нет, используйте корпоративный VPN или личный, если он разрешён политикой компании.
- Проверяйте название сети у персонала: поддельные точки с похожими названиями — известный приём.
- Отключите автоматическое подключение к открытым сетям.
- После работы забывайте сеть в настройках устройства.
Достаточно помнить, что современные сайты защищены HTTPS, но служебные запросы и метаданные остаются видны.
Если вы всё же выбираете личный VPN для работы
Тогда он должен пройти ту же проверку, что любой сервис, которому вы доверяете трафик. Узнайте, кто разработчик, что написано в политике конфиденциальности, ведутся ли журналы, какие права просит приложение. Почему «бесплатно» здесь особенно опасно, объяснено в статье «Бесплатные VPN: какие риски и на что смотреть». После настройки обязательно проверьте утечки DNS и WebRTC, иначе защита существует только на словах. Основы защищённого соединения собраны на странице «Что такое VPN», а при сбоях в подключении поможет страница «Не работает VPN».
Чего VPN не заменяет
Даже идеальный туннель не защитит от слабых паролей, от установки вредоносной программы, от ответа на фишинговое письмо и от доступа посторонних к разблокированному ноутбуку. Он закрывает один слой, сеть, и не отменяет остальные. Поэтому ставьте VPN в конец списка улучшений, а в начало аккаунты и обновления: они дают больше защиты за меньшие усилия.
Что делать руководителю небольшой команды
Если вы отвечаете за пять-десять человек и отдельного специалиста по безопасности нет, не пытайтесь внедрить всё сразу. Начните с трёх вещей, которые дают основную часть защиты:
- Единые правила в одном документе на одну страницу. Что можно устанавливать, где хранить файлы, как сообщать о потере устройства. Короткий документ читают, длинный нет.
- Общий менеджер паролей и обязательная двухфакторная защита для почты, облака и рабочих мессенджеров. Это самые частые точки входа.
- Порядок увольнения и ухода сотрудника. Список сервисов, где нужно закрыть доступ, должен существовать заранее, иначе о забытых аккаунтах вспоминают после инцидента.
Затем уже решайте, нужен ли корпоративный VPN: он оправдан, когда у вас есть внутренние системы, которые нельзя выставлять в интернет. Если вся работа идёт в облачных сервисах, важнее аккаунты и устройства, чем туннель. И в любом случае раз в квартал проводите короткую проверку: кто имеет доступ, что обновлено, какие устройства потеряны.
Частые вопросы
Нужен ли личный VPN, если у компании есть корпоративный?
Обычно нет. Корпоративный VPN решает задачу доступа к внутренним системам, а правила компании могут запрещать посторонние туннели. Уточните политику у службы безопасности.
Безопасен ли публичный Wi-Fi для работы с почтой?
Почта по HTTPS защищена от прямого чтения, но риск остаётся: поддельные точки, подмена страниц, метаданные. Для рабочих систем лучше мобильная сеть или собственная точка доступа.
Что важнее: VPN или двухфакторная защита?
Для защиты аккаунтов двухфакторная защита даёт больше. VPN защищает канал, а она — вход. Лучше иметь и то и другое.
Можно ли работать через личный VPN с рабочего ноутбука?
Если политика компании разрешает. Многие работодатели ограничивают сторонние программы на рабочих устройствах. Спросите заранее и не меняйте настройки самостоятельно.
Как понять, что рабочее соединение защищено?
Проверьте значок замка в браузере, включённый корпоративный VPN, отсутствие утечек и актуальные обновления системы. Одной галочки недостаточно, смотрите на всё вместе.