Два разных риска
Кража и потеря — разные сценарии, и защита от них строится по-разному.
Кража предполагает злоумышленника, который хочет получить доступ к данным или продать устройство. Здесь важны шифрование, пароли прошивки и возможность удалённой блокировки.
Потеря чаще происходит в поездке: ноутбук забыли в такси, в зале ожидания, в переговорной. Здесь важнее скорость обнаружения, возможность удалённо заблокировать устройство и наличие резервной копии данных.
Общая часть — учёт: без серийного номера и моделиDevice невозможно ни заявить об утрате, ни заблокировать.
Шаг 1. Зашифровать диск
Шифрование — базовая мера. Без него злоумышленник может извлечь накопитель и прочитать данные.
Что делать:
- включить BitLocker на системном диске;
- сохранить ключ восстановления в защищённом месте — не на самом ноутбуке;
- настроить автоматическое резервное копирование ключа в систему управления;
- проверить, что шифрование включено на всех машинах парка, а не только на новых.
Отдельный момент — ключи восстановления. Если они хранятся только в почте сотрудника, при утрате устройства доступ к данным может потерять и сама компания. Ключи должны быть в системе управления устройствами.
Шаг 2. Защитить прошивку
Пароль администратора BIOS/UEFI мешает злоумышленнику изменить порядок загрузки и загрузиться с внешнего носителя.
Что настроить централизованно:
- пароль администратора прошивки;
- запрет загрузки с внешних носителей;
- включение безопасной загрузки (Secure Boot);
- защиту от сброса настроек.
У HP для этого используется решение HP Sure Admin, у Dell — собственные средства управления прошивкой. В парке важно, чтобы пароли были не «одинаковые для всех» и не хранились в голове у одного специалиста.
Шаг 3. Настроить блокировку и удалённое управление
Современные системы управления устройствами позволяют:
- заблокировать устройство удалённо;
- выполнить очистку данных;
- увидеть последнее известное местоположение (при наличии соответствующей функции и согласия сотрудника);
- отозвать доступ к корпоративным ресурсам.
Проверьте, что эти функции действительно работают: проведите тест на одной машине. Устройство, которое не зарегистрировано в системе управления, удалённо заблокировать нельзя.
Шаг 4. Вести учёт
Что должно быть в учёте по каждой машине:
- модель и серийный номер (у Dell — Service Tag, у HP — серийный и продуктовый номер);
- ответственный сотрудник;
- дата выдачи и подписанный акт;
- статус шифрования;
- наличие пароля прошивки;
- дата последней сверки.
Без этих данных заявление об утрате превращается в переписку: служба безопасности не может подтвердить, что устройство принадлежит компании, а поддержка — заблокировать его.
Шаг 5. Правила перевозки
Простые правила, которые снижают риски:
- ноутбук перевозится в чехле или кейсе, а не в рюкзаке вместе с ключами;
- в поездке устройство не оставляют в багаже;
- в кафе и на конференциях ноутбук не оставляют без присмотра;
- в переговорной проверяют стол перед уходом;
- наклейка с логотипом компании не обязательна: она сообщает о ценности устройства.
Шаг 6. Порядок действий при инциденте
Заранее зафиксированный регламент экономит часы.
При краже или потере:
- Сотрудник сообщает в ИТ и службу безопасности в течение согласованного срока (обычно — немедленно).
- ИТ блокирует устройство в системе управления и отзывает доступы.
- Фиксируются серийный номер, модель, время и обстоятельства.
- Служба безопасности решает вопрос с полицией и страховкой.
- Проверяется, были ли на устройстве данные ограниченного доступа.
- При необходимости уведомляются заинтересованные стороны.
Что должно быть готово заранее:
- список контактов для инцидента;
- шаблон заявления;
- порядок отзыва доступов;
- резервная копия данных сотрудника.
Шаг 7. Снизить ущерб от потери данных
Устройство можно заменить, данные — не всегда. Поэтому:
- корпоративные файлы хранятся в облаке или на сервере, а не только локально;
- ноутбук синхронизируется автоматически;
- критичные данные не хранятся в папках вне резервного копирования;
- сотрудник знает, где находится его рабочий диск.
Что важно для гибридного парка
Когда ноутбук постоянно перемещается между офисом и домом, риск утраты растёт. Дополнительные меры:
- правило «ноутбук не остаётся в машине на ночь»;
- запрет передавать устройство коллегам без записи в учёте;
- регулярная сверка: устройство на месте у ответственного сотрудника;
- для поездок — отдельный компактный ноутбук с минимальным набором локальных данных.
Частые ошибки
- Шифрование включено не на всех машинах. Проверьте парк целиком, а не только новые устройства.
- Ключи восстановления в почте. При утрате устройства почта тоже может быть недоступна.
- Устройство не в системе управления. Удалённая блокировка невозможна.
- Учёт ведётся «по памяти». Без серийного номера заявление об утрате не принимают.
- Нет регламента. В момент инцидента никто не знает, кому звонить.
Итог
Защита от кражи и потери — это набор простых мер: шифрование, пароль прошивки, регистрация в системе управления, актуальный учёт и заранее написанный регламент. Каждая из них по отдельности не спасает, но вместе они превращают инцидент из катастрофы в рабочую процедуру.
Как проверить готовность парка
Проведите выборочную проверку: возьмите 10 машин и убедитесь, что шифрование включено, ключи доступны в системе управления, устройство зарегистрировано, а серийный номер в учёте совпадает с фактическим.
Если хотя бы по одной машине есть пробел, проблема системная: скорее всего, регламент не применяется ко всей технике. Это стоит исправить до следующего инцидента.
FAQ
Достаточно ли пароля Windows? Нет. Пароль можно обойти, извлекая накопитель; нужен шифрование диска и пароль прошивки.
Где хранить ключи восстановления BitLocker? В системе управления устройствами или в защищённом хранилище, но не на самом ноутбуке и не только в почте.
Можно ли отследить украденный ноутбук? Только при наличии соответствующей функции и согласия сотрудника; надёжнее рассчитывать на блокировку и шифрование.
Что делать в первую очередь при потере? Сообщить в ИТ и службу безопасности, затем заблокировать устройство и отозвать доступы.
Нужен ли замок Kensington? Для стационарных рабочих мест в открытых зонах — полезен; для мобильных сотрудников не практичен.
Как проверить, что защита работает? Проведите тест: попробуйте загрузиться с внешнего носителя и проверьте, запрашивается ли пароль прошивки.