Jak utrzymać ciągłość biznesową w epoce pracy zdalnej

Obserwowany w ostatnim czasie ogromny wzrost liczby pracowników zdalnych obnażył problemy, z jakimi zmagają się przedsiębiorstwa. 80% dużych firm z całego świata jest źle przygotowanych do utrzymania ciągłości biznesu w przypadku pandemii. Z tego powodu uwaga większości pracodawców jest kierowana na wdrożenie optymalnego rozwiązania, które pozwoli kontynuować działanie firmy. Oprócz stosowania sieci VPN, przedsiębiorstwa mogą korzystać z aplikacji internetowych, które w znacznym stopniu ułatwiają pracę zdalną.

Rola aplikacji internetowych

Aplikacje internetowe udostępniane są w modelu chmury publicznej (Software as a Service, SaaS). Oprogramowanie znajduje się na serwerach w podłączonych do internetu centrach danych, a zadaniem ich operatorów jest zapewnienie użytkownikom wrażenia, jakby korzystali aplikacji zainstalowanych bezpośrednio na fizycznym urządzeniu. Konieczne jest więc zagwarantowanie bardzo szybkiej transmisji danych, ale także zabezpieczenie ich przed utratą czy kradzieżą.

Dostęp do interfejsu takich aplikacji odbywa się za pomocą przeglądarki internetowej – najczęściej z komputera, ale też z urządzenia mobilnego (telefonu, tabletu) czy telewizora. W ten sposób można skorzystać z narzędzi do edycji tekstu, serwisów aukcyjnych czy sprawdzić na stronie firmy kurierskiej, gdzie w danym momencie znajduje się oczekiwana przesyłka. Wiele tego typu aplikacji opracowywanych jest też na wyłączny użytek danego przedsiębiorstwa. Zapewniana w ten sposób elastyczność dostępu do informacji, ułatwia przejście na model pracy zdalnej i utrzymanie ciągłości prowadzonego biznesu.

Jak pomagają aplikacje internetowe

Strategia i taktyka definiująca, w jaki sposób w przedsiębiorstwie będzie zapewniana ciągłość biznesowa i przywracanie działania firmy po katastrofie lub awarii, powinna być opisana w dokumencie polityki bezpieczeństwa (ang. Business Continuity and Disaster Recovery, BCDR). Aplikacje internetowe mogą znacząco ułatwić proces tworzenia takiej polityki postępowania w nagłych i niespodziewanych sytuacjach. Oto kilka przykładów:

Gdy pracownicy nie mogą pojawić się osobiście w biurze, powinni mieć możliwość korzystania z urządzenia podłączonego do internetu, z którego transmisja danych zabezpieczona jest protokołem SSL. Minimalizuje to ryzyko wycieku poufnych firmowych informacji, związanych np. z zarządzaniem zapasami, raportowaniem wydatków, czy obsługą wewnętrznych systemów firmowych.
Może zdarzyć się, że firmowe urządzenie pracownika przestanie działać, a dostarczenie przez pracodawcę nowego sprzętu jest utrudnione z powodu ograniczeń logistycznych. W takich sytuacjach użytkownik może skorzystać z prywatnego urządzenia, zgodnie z trendem BYOD (Bring Your Own Device), z którego uzyska bezpieczny dostęp do aplikacji internetowych.
W przypadku radykalnych zmian w łańcuchu dostaw dzięki aplikacjom internetowym można rozpocząć współpracę z nowymi dostawcami, aby sprawnie zarządzać zapasami i wysyłką.

Potencjalne zagrożenia

– Aplikacje internetowe wymagają specjalnego podejścia. Strategie i rozwiązania stosowane do ich ochrony często różnią się od tych zabezpieczających innego rodzaju zasoby. Przykładowo, sieć VPN jasno określa co znajduje się wewnątrz niej, a co poza nią. Aplikacje webowe należy zaś chronić głównie przed zagrożeniami płynącymi z zewnątrz. Ważne jest też, aby udzielając dostępu do nich stosować wieloetapowe uwierzytelnianie użytkowników – wskazuje Jolanta Malak, dyrektor Fortinet w Polsce.

Eksperci Fortinet zaznaczają również, że aplikacje te są narażone na wiele różnych zagrożeń, między innymi celowe zdalne zablokowanie dostępu do nich (DDoS), złośliwe boty, ataki typu zero-day, wykorzystujące interfejs API i inne. Lista najpopularniejszych w danym roku zagrożeń publikowana jest w dokumencie OWASP Top Ten przez niezależną organizację Open Web Application Security Project.

Oczywiście nie wszystkie firmy mogą być gotowe na przeniesienie większości operacji biznesowych do internetu. Jednak w przypadku tych obszarów, w których jest to możliwe, aplikacje internetowe zapewnią wiele korzyści, w tym zwiększoną odporność na nieprzewidziane okoliczności. Co najważniejsze, umożliwią użytkownikom bezpieczny dostęp do systemów, które pomogą utrzymać ciągłość biznesu.

Pojęcia z artykułu

SSL — Secure Sockets Layer. Historyczny protokół szyfrowania połączeń, wycofany ze względu na luki. Nazwa została w mowie potocznej — dzisiejsze „certyfikaty SSL" to w rzeczywistości certyfikaty TLS.

Dlaczego to ważne: Nazwa jest wszędzie: w ofertach hostingu, w panelach, w rozmowach z klientem. Warto wiedzieć, że kupując „SSL" dostaje się TLS.

Kiedy się stosuje: Przy zamawianiu certyfikatu, rozmowie z dostawcą hostingu, czytaniu wyników audytu bezpieczeństwa.

Czym grozi pominięcie: Rzeczywiste protokoły SSL są dziś odrzucane przez przeglądarki — połączenie po SSL 3.0 nie zestawi się w ogóle.

API — Application Programming Interface / interfejs programowania aplikacji. Zdefiniowany sposób, w jaki aplikacje wymieniają dane i wywołują swoje funkcje. Opisuje endpointy, format żądań, odpowiedzi, błędy, autoryzację i limity użycia.

Dlaczego to ważne: To umowa między systemami: dopóki API się nie zmienia, integracje działają bez poprawek. Dzięki API portal, CRM i newsletter mogą korzystać z tych samych danych bez ręcznego przenoszenia.

Kiedy się stosuje: Przy każdej integracji dwóch systemów: publikacji treści na portal, synchronizacji kontaktów, pobieraniu raportów.

Czym grozi pominięcie: Bez API dane przenosi się eksportami i kopiowaniem — pojawiają się rozjazdy wersji, opóźnienia i błędy ludzkie przy każdej aktualizacji.

DDoS — Distributed Denial of Service. Zalanie serwisu ruchem z wielu maszyn naraz, żeby przestał odpowiadać zwykłym użytkownikom. Nie kradnie danych — odcina dostęp.

Dlaczego to ważne: Godzina niedostępności w dniu premiery kampanii kosztuje więcej niż roczna ochrona. Przy serwisach informacyjnych to także utrata pozycji w wyszukiwarce.

Kiedy się stosuje: Przy planowaniu infrastruktury pod kampanię, wydarzenie na żywo, publikację głośnego materiału.

Czym grozi pominięcie: Bez warstwy ochronnej (CDN z filtrowaniem, limity żądań) wystarczy jeden zdeterminowany atakujący, żeby serwis zniknął z sieci na kilka godzin.

Podsumowanie

Aplikacje internetowe udostępniane w modelu chmury publicznej pozwalają pracownikom zachować dostęp do firmowych systemów z dowolnego urządzenia, co w sytuacji kryzysowej umożliwia utrzymanie ciągłości działania przedsiębiorstwa. Kluczowe znaczenie ma przy tym dokument polityki BCDR definiujący strategię postępowania na wypadek awarii.

Eksperci zwracają uwagę, że aplikacje webowe — w przeciwieństwie do sieci VPN — wymagają ochrony przed zagrożeniami z zewnątrz i stosowania wieloetapowego uwierzytelniania. Jak wskazuje Jolanta Malak z Fortinet, do najpoważniejszych ryzyk należą ataki DDoS, złośliwe boty czy zagrożenia typu zero-day.

Jak utrzymać ciągłość biznesową w epoce pracy zdalnej?