Переходите в дистанційний режим? Вітаю у клюбі. Чесно кажучи, Бережа зовсім нещодавно (десь 2 роки тому) почала використовувати офісне приміщення, до того часу ми працювали хто звідки. І ось третій тиждень як повернулися до “домашнього” формату.
Не буду нависати з порадами, як реорганізувати процеси, бо наша модель консалтингової фірми то штука екзотична і не на всі бізнеси налазить. Натомість, поділюся порадами, які безпечні інструменти варто використовувати. Все з власного досвіду, тому не претендую на істину в останній інстанції та буду радий додатковим порадам в коментах.
Всі наведені нижче варіанти пройшли п’ятирічну еволюцію. В ретроспективі виглядає, що критерії природного відбору були такі:
- відносна безпека дизайну;
- непогана репутація;
- широка доступність на різних платформах.
Отже, по черзі.
1. VoIP та віртуальні мітинги
Це найважливіше і тут треба усвідомлювати: Телеграми, Скайпи та інші Вайбери – це не засоби для захищеного спілкування. З іншого боку, Рікошети та Ретрошари – протилежна крайність, в якій подекуди немає навіть базової функціональності. Тому:
- Конфіденційні перемовини всередині команди: Wire
- Синк-коли, стендапи та решта напів-секретних тем: Google Meet
- Вебінари та інші “відкриті” дзвінки: Zoom
2. Чати та месенджери
Тут важливо для себе вирішити, що у вас в пріоритеті: безпека, чи зручність. Якщо у вас є змога поставити безпеку вище (в мене вона є) то жодні Слаки чи Тімзи для роботи у вас не використовуватимуться. Отже:
- Робочі питання: для груп Keybase
- Приватне спілкування між собою та з зовнішнім світом: Signal
- Операційний смітник для логів, нотифікацій, ботів, алертів тощо: Slack
3. Файли та шари
Якщо роль email у вашому житті можна якось обмежити, то з файлами поки що це не працює. Доводиться працювати в MS Office, як не крути. Але принаймні ви можете шифрувати їх end-to-end та зберігати в захищеному криптографією стані.
- Boxcryptor згори чого завгодно (Dropbox, Google Drive, OneDrive)
- Whisply Links (built-in) для передачі файлів назовні. А краще той самий Signal.
4. VPN
Специфіка роботи пентестерів та спеціалістів з Application Security вимагає того, щоб клієнт завжди знав “звідки нас чекати”. Інакше, декілька разів на день доведеться відповідати на питання “це не ви?” Ні, не ми. Ось ми: список IP вихідних точок, на яких розташовані наші джамп-хости та сервери VPN.
- Do it Yourself: Algo, OpenVPN AS.
- ProtonVPN як сервіс, коли перший пункт недоступний
- Jump Hosting: DigitalOcean (по-багатому), Amazon LightSail (трохи скромніше).
Звісно, що деколи доводиться використовувати інструменти, які не просто не є захищеними, а навпаки. Зв’язок з зовнішнім світом буває важливіший за рівень захисту, тому Google Meet та Zoom важко викреслити з життя. Проте не варто забувати, що у програмах, які не створювалися для зберігання та передачі даних у захищений спосіб, не варто зберігати та передавати дані, які потребують захисту. Тут хочеться підкреслити, що електронна пошта не є і ніколи не була засобом конфіденційного спілкування, так само як і мобільний та дротовий телефонний зв’язок.
Використання захищених каналів може створити на початку певні незручності колезі старшого віку або необізнаному клієнту чи партнеру. Але згодом вони будуть вам вдячні за слушну пораду та почнуть змінювати й інші свої звички в бік приватності та безпеки.
P.S. Звісно ж, скрізь бекапи та 2FA. Але це вже зовсім інша історія.
Бережіться.