遠(yuǎn)程訪問(wèn)策略是一份書(shū)面文件，其中包含從辦公室外部連接到組織網(wǎng)絡(luò)的指南。它是在遠(yuǎn)程工作持續(xù)流行的情況下幫助保護(hù)公司數(shù)據(jù)和網(wǎng)絡(luò)的一種方法，對(duì)于用戶在地理位置分散的大型組織從不安全的位置（例如他們的家庭網(wǎng)絡(luò)）登錄時(shí)特別有用。IT 管理層和員工共同負(fù)責(zé)確保政策合規(guī)性。

什么是遠(yuǎn)程訪問(wèn)策略？

在過(guò)去十年中，快速的技術(shù)進(jìn)步促進(jìn)了遠(yuǎn)程工作的增加。例如，銷售人員現(xiàn)在可以在接到客戶電話時(shí)使用平板電腦和其他移動(dòng)設(shè)備遠(yuǎn)程連接到他們的辦公室網(wǎng)絡(luò)，并提供可能對(duì)完成交易很重要的數(shù)據(jù)。最近的事件進(jìn)一步增加了遠(yuǎn)程工作者的數(shù)量，估計(jì)占美國(guó)勞動(dòng)力的 42%。

遠(yuǎn)程工作帶來(lái)了一些挑戰(zhàn)，包括潛在的計(jì)算機(jī)和網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。確實(shí)需要有關(guān)遠(yuǎn)程訪問(wèn)的指導(dǎo)方針以及其他政策。遠(yuǎn)程訪問(wèn)策略作為遠(yuǎn)程用戶連接到網(wǎng)絡(luò)的指南。它擴(kuò)展了管理辦公室網(wǎng)絡(luò)和計(jì)算機(jī)使用的策略，例如密碼策略。它有助于確保只有那些需要它的用戶才能獲得網(wǎng)絡(luò)訪問(wèn)權(quán)限，只要他們的設(shè)備也符合準(zhǔn)則。如果實(shí)施得當(dāng)，它有助于保護(hù)網(wǎng)絡(luò)免受潛在的安全威脅。

遠(yuǎn)程訪問(wèn)策略應(yīng)該涵蓋所有方面——從可以從辦公室外部獲得網(wǎng)絡(luò)訪問(wèn)權(quán)限的用戶類型，到連接到網(wǎng)絡(luò)時(shí)可以使用的設(shè)備類型。一旦寫(xiě)好，員工必須簽署一份遠(yuǎn)程訪問(wèn)政策接受表。政策中引用的其他文件也應(yīng)附在其中。必須嚴(yán)格執(zhí)行，并且可以通過(guò)結(jié)合自動(dòng)和手動(dòng)技術(shù)來(lái)強(qiáng)制執(zhí)行。

為什么遠(yuǎn)程訪問(wèn)策略很重要？

雖然研究表明組織可以從遠(yuǎn)程工作中獲益匪淺，但這一趨勢(shì)也確實(shí)給 IT 部門(mén)帶來(lái)了一些嚴(yán)重的安全挑戰(zhàn)。一些用戶，尤其是那些不懂技術(shù)的用戶，可能認(rèn)為從辦公室外安全連接到內(nèi)部網(wǎng)絡(luò)的需求是理所當(dāng)然的，從而使網(wǎng)絡(luò)面臨潛在有害行為的風(fēng)險(xiǎn)。如果沒(méi)有適當(dāng)?shù)倪h(yuǎn)程訪問(wèn)策略，這種危險(xiǎn)行為可能會(huì)繼續(xù)存在，直到發(fā)生違規(guī)行為后組織才會(huì)發(fā)現(xiàn)。

通過(guò)全面的遠(yuǎn)程訪問(wèn)策略，員工會(huì)意識(shí)到使用最佳實(shí)踐保護(hù)網(wǎng)絡(luò)的必要性。再加上有效的執(zhí)法，幾乎可以消除員工不安全行為帶來(lái)的威脅。授權(quán)用戶必須遵守遠(yuǎn)程訪問(wèn)政策，犯錯(cuò)的員工將面臨制裁。

您應(yīng)該在遠(yuǎn)程訪問(wèn)策略中解決什么問(wèn)題？

為了有效，遠(yuǎn)程訪問(wèn)策略應(yīng)涵蓋與遠(yuǎn)程工作者網(wǎng)絡(luò)訪問(wèn)相關(guān)的所有內(nèi)容。組織必須確定哪些用戶應(yīng)該被授予訪問(wèn)權(quán)限，因?yàn)椴⒉皇敲總€(gè)人都可以從擁有特權(quán)中受益。例如，為有權(quán)訪問(wèn)敏感數(shù)據(jù)的用戶或面向客戶的零售人員提供遠(yuǎn)程訪問(wèn)權(quán)限可能不是一個(gè)好主意。這同樣適用于不滿足組織遠(yuǎn)程訪問(wèn)最低要求的設(shè)備，例如，沒(méi)有安裝操作系統(tǒng)的最新更新。在應(yīng)用更新之前，不應(yīng)允許這些機(jī)器登錄到網(wǎng)絡(luò)。

遠(yuǎn)程訪問(wèn)策略還應(yīng)規(guī)定誰(shuí)可以將遠(yuǎn)程訪問(wèn)分配給用戶，以及什么是遠(yuǎn)程訪問(wèn)連接的可接受使用。建議將分配用戶的任務(wù)留給直接經(jīng)理。可接受的使用準(zhǔn)則可確保用戶將他們的瑣碎任務(wù)遠(yuǎn)離網(wǎng)絡(luò)。

就其本身而言，IT 部門(mén)應(yīng)實(shí)施數(shù)據(jù)訪問(wèn)的集中管理，以確保只有授權(quán)用戶才能訪問(wèn)網(wǎng)絡(luò)。還建議采用全面的審計(jì)機(jī)制來(lái)確保政策的一致性。如果在審計(jì)期間檢測(cè)到異常，IT 部門(mén)應(yīng)建議采取補(bǔ)救措施以防止將來(lái)再次發(fā)生。

制定遠(yuǎn)程訪問(wèn)策略時(shí)的其他注意事項(xiàng)包括但不限于以下內(nèi)容：

• 標(biāo)準(zhǔn)化的硬件和軟件，包括防火墻和防病毒/反惡意軟件程序。
• 數(shù)據(jù)和網(wǎng)絡(luò)加密標(biāo)準(zhǔn)。
• 信息安全和保密。
• 電子郵件的使用。
• 物理和虛擬設(shè)備安全。
• 網(wǎng)絡(luò)連接，例如 VPN 訪問(wèn)。
• 訪問(wèn)和身份驗(yàn)證機(jī)制，包括密碼規(guī)則。
• 可接受的使用。
• 可信來(lái)源與非可信來(lái)源以及第三方供應(yīng)商訪問(wèn)。
• 合規(guī)、治理和執(zhí)法。
• 訪問(wèn)和設(shè)備所有權(quán)指南。

如何更新遠(yuǎn)程訪問(wèn)策略？

與許多其他 IT 政策一樣，遠(yuǎn)程訪問(wèn)政策是一份動(dòng)態(tài)文件；它可以在需要時(shí)不斷更新。當(dāng)您的業(yè)務(wù)狀況發(fā)生變化并且政策不再滿足您的要求時(shí)，可能是時(shí)候更新政策了。

為確保您在更新遠(yuǎn)程訪問(wèn)策略時(shí)不會(huì)遺漏任何內(nèi)容，請(qǐng)?jiān)诰幹撇呗砸罅斜頃r(shí)考慮您的組織、法律、合同和監(jiān)管義務(wù)。之后，確定執(zhí)行政策所需的程序和技術(shù)控制措施，確保加強(qiáng)或取代現(xiàn)有的無(wú)效控制措施。

請(qǐng)注意，每個(gè)組織的遠(yuǎn)程訪問(wèn)條件可能不同。始終確保您的遠(yuǎn)程訪問(wèn)策略不是另一個(gè)組織模板的精確副本；相反，您應(yīng)該根據(jù)您的要求對(duì)其進(jìn)行自定義。否則，它可能對(duì)您的組織沒(méi)有那么有用。