诸子笔会2022 | 6月盘点，打卡积分及月奖公布

安在 · 发表于 2022-7-4 17:28:48

自2022年5月起，“诸子笔会第二季”正式拉开帷幕。经过对首届活动复盘，我们在坚持大原则、大框架、主体规则基础上，优化赛制特别是奖项设置和评奖方式。14位专家作者组成首批“笔友”，自拟每月主题，在诸子云知识星球做主题相关每日打卡，完成每月一篇原创。除了共同赢取10万元高额奖金，我们更要聚焦甲方关注，发掘最佳实践，弘扬分享精神，实现名利双收。本期发文，即诸子笔会2022.06月回顾及盘点。

安在征文活动6月主题：远程办公与安全

在累计21天的征文星球打卡中，14位笔会专家共计打卡183次。目前，部分企业的远程办公方式是虚拟专用网络VPN，但随着企业数字化进程的加快和疫情所带来的影响，远程办公所面对的安全威胁越来越多，采取哪些措施能够提升远程办公的安全性是此次专家们所讨论的重点。

11位专家各抒己见，对远程办公安全进行了细致的讨论。在此摘选个中优秀观点，向各位分享。

远程办公所面对的问题和挑战

▶远程办公的概念在当下已经不能满足场景的需求，因为即使在公司内网，办公仍有可能访问云端的SAAS服务，例如saleforce的CRM系统，信息系统的边界已经不局限于内网之内。即使在公司内网，部署在IDC的2C的业务系统也未必在物理上归属于办公网所在环境，这些场景和传统意义上的远程办公也有明显的区别。

▶这一场安全运动似乎执行得很完美，但总有漏网之鱼，而且数量可观。IM怎么办？移动办公微应用怎么办？手机切换VPN不高效如何处理？操作审计怎么实现？毕竟VPN不是银弹，不能完美适应更弹性可持续的网络机制。我们迫切需要实现分布式的安全访问代理和企业身份访问管理来改善远程办公的网络机制。

▶VPN在远程办公大规模使用时存在很多问题，如网络带宽不足、个人设备安全机制欠缺、苹果系列设备终端管控软件缺失、远程桌面不支持音频传输、内网IP地址不固定、网络不稳定导致卡顿等问题，这些问题的解决过程必然与安全工作产生很多冲突和碰撞。常见的安全风险有以下这些：

（一）打破传统网络边界

互联网方式接入企业内网，传统的网络边界就变得模糊复杂，随时随地的接入需求，多种多样的接入方式，身份难辨的接入设备，对企业网络安全体系的建设带来巨大的考验。

（二）接入终端设备管控难度高

Gartner研究报告指出，2019年企业办公中自带设备与企业配发设备已成主流，自带设备占比逐步上升。接入设备多样化，使得企业设备的管控难度和安全风险大增，企业应用的兼容性和稳定性也难以保障。

（三）公有云协同办公软件数据泄露风险高

虽然公有云协同办公软件使用非常便捷，但数据泄露风险很高，尤其因为软件是免费的，对企业的数据保护职责缺乏明确约束。

▶与公司中的办公网络相比，个人家庭网络往往更容易成为攻击者的攻击目标。如果员工在家进行远程办公，公司应确保员工在访问公司电子邮件、文件和其他系统时必须拥有并使用VPN。

▶人是远程办公的主体，安全意识和行为习惯成为了远程办公最大的风险。首先，不同企业用工形式具有多样性，会区分为内部员工、外包人员、合作伙伴等多种类型，不同的人员居家后使用的办公设备千差万别，需要访问的资源权限也具备差异化。接入人员和设备的多样性增加，会出现各种访问接入人员的身份认证和权限管理混乱，接入办公终端设备的安全性参差不齐，办公应用程序存在安全漏洞无法避免。

如何应对这些风险？

▶在远程办公的场景下，需要在强化疫情防控的同时，更加重视员工网络安全意识的提升。通过开展实战演习的方式降低被非法钓鱼的概率，规避利用防疫为借口散播恶意程序达到攻击目的的风险。传达和宣贯各种安全常识和制度时，可以建立网格化管理机制，将企业围绕部门、组、员工等几个维度分别设置不同层级的网格员，快速有效地完成工作传达和成果反馈，同时，信息流动的过程中还需要关注企业敏感信息和个人信息保护。

▶公司宣布使用OKTA的零信任解决方案，笔记本需要先通过VPN连接公司内网，过程中需要使用OKTA进行多因素认证，连接成功会进行安全扫描，扫描完成后会将本地的互联网屏蔽，只允许使用VPN进行上网。此时的笔记本已经获得内部IP地址，可以直接进行各种操作，不需要访问远程桌面终端，极大地提高了效率；同时终端安全依靠终端保护设备进行保护。

▶防火墙是系统与 Internet 等其他网络之间的保护屏障，它也是入侵防御的第一道防线。它将为企业提供入侵保护、恶意软件拦截和应用程序控制，它还能够提供安全的远程访问，以便员工可以安全地访问文件。因此，员工在远程办公过程中，不可以擅自关闭防火墙，因为这会给远程办公带来一定的安全风险。同时，还可以在远程办公的设备中安装第三方的防火墙产品，以此来提高安全防护性。

▶远程接入通常采用SSL VPN的方式，我们应选择一家成熟的厂商接入其产品进行部署。关于用户认证，通常使用静态密码结合短信验证码双因子方式进行认证。接入时应选择绑定设备的方式，VPN软件会采集本地设备信息，每个账户仅允许绑定一台设备。另外应定期对VPN的连接情况进行事后审计，及时发现连接异常情况。

▶不可遗忘的网络与终端的安全准入，持续建立可信任的办公环境。企业有很多理由将办公应用线上化，不仅仅是为了远程办公，便捷高效是更为重要的原因。但允许哪一类型的终端设备访问应用，却是信息安全团队非常棘手的问题。

对远程办公的思考

▶我们要知道，远程办公将要持续面对的是非常场景化的问题，关系业务连续，也关系安全自身，需要信息安全团队持续思考、持续解决。不可否认，在未来，任何地方都可以成为工作场所，而不仅仅是办公室。我们对工作场所的需求是不断变化的，需要的不仅仅是办公桌、会议室和设施。但经过整整两年的新冠疫情，在第三个年头里，很多科技巨头开始后悔支持永久居家办公，已经开展混合办公模式的苹果公司多次公开表示员工最终会回到办公室，Google正在鼓励员工返回线下办公，马斯克要求特斯拉员工每周到办公室40小时。毕竟，企业内在数字化效率需要更复杂的分工协作和社会沟通，企业的生产制造无法脱离繁重的生产设备和交付体系，单一的社会模式永远不能代表多元化的创新活动。而对于安全从业者而言，应当观察办公趋势的变化，并时刻准备好线上化的安全能力。

▶任何一个企业的网络要想得到更好的运用，网络都要开放，尤其对于居家办公的需求，不开放意味着无法为员工提供更好的办公服务。然而一旦敞开网络大门，在网络资源优势得以充分发挥、网络技术得到发展、应用日渐广泛、服务质量和效率大大提高的同时，网络安全问题会逐步凸显。远程接入是现代化网络办公或网上信息交流很好的方式，其安全问题绝对不能忽视。

▶疫情加速了远程办公的普及，很多企业已步入远程办公常态化，但同时还面临着很多挑战：如何构建一个完善的常态化远程办公环境和体系？不是采购一套安全设备能解决的，还要根据每个企业自身的实际情况，制定全方位的远程办公工作方案。

▶笔者公司的远程办公是未雨绸缪的，并不是应对突发情况的临时举措。同时，公司信奉的原则是寻找最好的供应商，信任供应商的能力，因为如果这些优秀的供应商都不能做好安全，那我们也很难做出比这些供应商更好的产品。

▶远程办公将会给我们带来越来越多新型的网络安全威胁，应对这些安全威胁，应当构建一个安全的远程办公环境，这需要企业和员工的共同努力。通过实践的方式提高员工对于安全威胁的防护意识，意味着需要定期轮换容易受到攻击的访问凭证，并使用基于角色信息的访问控制来限制与员工密钥相关的权限，从而更大程度上提高远程办公的安全性。

更多内容及打卡详情，参见诸子云知识星球。

本月共发出11篇以“远程办公与安全”为主题的专家文章，在此附上链接，供诸位参考。