Проблемы и преимущества: ИТ-безопасность, четырехдневная рабочая неделя

После успешного судебного разбирательства в Великобритании австралийская компания Oxfam Australia стала первой, кто опробовал четырехдневную неделю после достижения знакового торгового соглашения.

Компания согласилась на сделку с Австралийским профсоюзом работников сферы обслуживания, чтобы запустить шестимесячный пилотный проект без потери заработной платы, чтобы увидеть, как это повлияет на рабочую силу. Новозеландская некоммерческая организация 4 Day Week Global стоит за многими пилотными проектами и придерживается мнения, что при наличии возможности сотрудники сохранят такую ​​же или более высокую производительность и лучшее самочувствие, если им будет предоставлена ​​возможность работать 32 часа в сутки. рабочая неделя за ту же зарплату.

Пока еще слишком рано говорить о том, получит ли четырехдневная рабочая неделя серьезное значение, и даже сторонники признают, что она не подходит для всех отраслей. Но если мы увидим наш второй тектонический сдвиг в том, как мы работаем всего за последние пять лет, не повредит рассмотреть последствия четырехдневной рабочей недели для ИТ-безопасности задолго до ее принятия.

Доступ без контекста?

Многие компании, участвующие в пилотной программе в Великобритании, предпочли сдвинуть графики рабочих во время испытания, чтобы обеспечить по крайней мере пятидневное покрытие потребностей бизнеса. Другие работали по тому, что операторы исследования назвали «децентрализованными» часами, когда отделы и отдельные лица могли выбирать свой выходной день. Некоторые решили ввести 32-часовую рабочую неделю и оставить на усмотрение сотрудников, когда они смогут выполнять свои обязанности. Некоторые меняли свой рабочий день от недели к неделе.

Хотя это творит чудеса с гибкостью сотрудников, это может нанести ущерб группам безопасности, которые полагаются на предсказуемые модели поведения при принятии решений по безопасности. Контекст доступа играет ключевую роль в принятии решения о том, следует ли разрешить или запретить доступ к ресурсу.

Но возьмем, к примеру, сотрудника, который обычно активен в рабочей среде по понедельникам, но не по пятницам. Когда этот сотрудник воспользуется своей новообретенной гибкостью, чтобы сменить рабочий день, аналитики SOC больше не смогут пометить это как необычное, устраняя то, что раньше было удобным источником контекста. Для одного сотрудника это досадное слепое пятно. Для целых организаций это ответственность за безопасность.

Местоположение устройства — еще один важный элемент контекста, который может быть искажен из-за четырехдневной рабочей недели. Не так давно многие австралийцы столкнулись с блокировками за границей, когда во время их поездок были введены запреты на поездки. Мы могли бы наблюдать почти постоянное состояние запросов на доступ к ресурсам из мест отдыха за границей, поскольку сотрудники используют преимущества гибридной работы и еженедельных «длинных выходных» для путешествий.

Обнаружение компрометации безопасности в значительной степени зависит от установленного базового поведения. Отклонение от исходного уровня является поводом для дальнейшего исследования. Но как специалистам по безопасности установить базовый уровень, когда все ненормально?

Проблемы с управлением устройством

Еще одно непредвиденное последствие для ИТ-команд, чьи организации переходят на четырехдневную рабочую неделю, связано с управлением состоянием устройств. ИТ-команды будут сталкиваться с неудобными длительными промежутками между обновлениями и исправлениями, когда конечные точки будут отключены от сети в течение длительного времени. Они могут продолжать регулярно обновлять основную инфраструктуру, но для установки многих обновлений по-прежнему требуется, чтобы устройства находились в корпоративной сети. Когда обнаруживается следующая серьезная угроза нулевого дня, может пройти несколько дней, прежде чем все конечные точки получат необходимые обновления для их защиты.

Несомненно, ИТ-команды разработают новые графики исправлений и обновлений, чтобы приспособиться к новым рабочим графикам. Но это не будет мгновенным процессом и повлечет за собой кривую обучения. Предприятиям с четырехдневной рабочей неделей следует учитывать этот побочный эффект, прежде чем вводить изменения.

Готовность – это все

В конце концов, четырехдневная рабочая неделя может стать для наших детей чем-то само собой разумеющимся. Бизнес-лидеры могут рассматривать это как расширение пользы для здоровья от наличия фруктов в офисе или повышение производительности от раздачи свежесваренного кофе в столовой. Многие отмечают, что пятидневная рабочая неделя обычно приписывается Генри Форду, который сократил ее с шести, полагая, что меньшее количество часов работы сделает сотрудников более продуктивными. Организации, участвовавшие в британском исследовании, отметили более низкий уровень стресса, более высокую производительность и снижение текучести кадров.

Но трудно представить, что компании корпоративного уровня осуществят переход в ближайшее время. В большинстве компаний, участвовавших в испытании, работало менее 25 сотрудников, а в самой крупной — около 1000 человек. В настоящее время в Oxfam Australia участвует менее 200 сотрудников.

В то время как импульс растет, более крупные организации должны учитывать такие факторы, как расписание установки исправлений и контекст запроса доступа, прежде чем переключаться. Фактически, из-за такого значительного изменения может возникнуть множество непредвиденных препятствий, связанных с ИТ.

Но мы видели такие изменения раньше, и мы знаем, что те, кто мог безопасно подключать пользователей к приложениям независимо от сети, местоположения или типа устройства, были наиболее защищены от сбоев. Рабочие пространства завтрашнего дня требуют прочной технологической основы и соответствующих средств защиты. Вот где в игру вступает нулевое доверие.

Когда сетевая архитектура с нулевым доверием сопровождается детализированными политиками, которые повышают безопасность конечных точек и проверку личности, уменьшая открытую поверхность атаки, ИТ-отделы могут реализовать гораздо более устойчивый ответ на такие меняющиеся поведенческие изменения. В мире меняющихся базовых показателей лучший способ обезопасить наш опыт — это полное отсутствие доверия.

Будьте в курсе наших историй на LinkedIn, ТвиттерФейсбук и Инстаграм.