Zdalny dostęp do komputerów w firmie - bezpieczne narzędzia dla zespołu sklepu

VPN dla firmy - po co, skoro pulpit zdalny działa bez niego

VPN dla firmy, czyli wirtualna sieć prywatna, tworzy szyfrowany tunel między urządzeniem pracownika a siecią w biurze. Po połączeniu komputer w domu zachowuje się tak, jakby stał w firmowej sieci, i może korzystać z pulpitu zdalnego, drukarek czy dysku sieciowego bez wystawiania ich do internetu.

Pulpit zdalny Windows da się udostępnić z zewnątrz także przez przekierowanie portu na routerze. Domyślnie to port 3389. Microsoft w swojej dokumentacji ostrzega jednak, że w ten sposób otwierasz komputer na internet, czego nie zaleca, a preferowanym rozwiązaniem jest VPN. Jeśli przekierowanie portu jest jedyną opcją, producent radzi co najmniej ograniczyć je do adresów IP, z których faktycznie się łączysz, i ustawić silne hasła. Otwarty pulpit zdalny jest stale skanowany przez automaty szukające słabych haseł, więc w małej firmie bez monitoringu to proszenie się o kłopoty.

Serwer VPN może działać na routerze firmowym, jeśli go obsługuje, na osobnym urządzeniu lub w usłudze chmurowej. Wybór zależy od sprzętu w biurze i liczby osób. Przy kilku pracownikach często wystarcza funkcja VPN w routerze klasy biznesowej, przy większym zespole lepiej sprawdza się rozwiązanie z centralnym zarządzaniem kontami.

Niezależnie od wybranego rozwiązania trzymaj się kilku zasad. Każdy pracownik powinien mieć własne konto VPN, a nie jedno wspólne dla całego zespołu, bo tylko wtedy da się odebrać dostęp jednej osobie bez zmiany haseł wszystkim pozostałym. Konto VPN warto zabezpieczyć weryfikacją dwuetapową, jeśli rozwiązanie ją obsługuje. Dostęp przez VPN powinien obejmować tylko te urządzenia, których pracownik potrzebuje, a nie całą sieć z kamerami, drukarkami i panelem routera. Router i serwer VPN wymagają też regularnych aktualizacji oprogramowania, bo luki w urządzeniach brzegowych sieci są częstym celem ataków.

[#chart:wit96b]

Jak skonfigurować pulpit zdalny Windows w firmie

Microsoft opisuje włączenie pulpitu zdalnego w ustawieniach systemu, w sekcji System i Pulpit zdalny. Do zmiany potrzebne są uprawnienia administratora. Dobra konfiguracja dla zespołu sklepu wygląda tak:

1. Włącz pulpit zdalny tylko na komputerach, z którymi ktoś faktycznie musi się łączyć, a nie na wszystkich stanowiskach.

2. Pozostaw włączone uwierzytelnianie na poziomie sieci (NLA). Microsoft zaleca je dla większości środowisk, bo użytkownik musi się uwierzytelnić, zanim powstanie sesja zdalna.

3. Dodaj do listy osób z dostępem tylko konkretne konta pracowników. Pamiętaj, że według dokumentacji członkowie grupy Administratorzy mają dostęp domyślnie.

4. Ustaw każdemu kontu silne, unikalne hasło i nie dziel kont między osoby.

5. Udostępniaj połączenie z zewnątrz tylko przez VPN, a nie przez przekierowanie portu 3389.

6. Ustaw komputerowi w biurze stały adres w sieci lokalnej, żeby połączenia nie przestały działać po restarcie routera.

[#uwaga] Microsoft w dokumentacji Quick Assist przypomina, że można pozwolić na połączenie tylko wtedy, gdy to Ty zainicjowałeś kontakt ze wsparciem. Oszuści podszywający się pod „dział IT” lub pomoc techniczną producenta często proszą o zainstalowanie programu do zdalnego dostępu i podanie kodu. Przekaż zespołowi prostą zasadę: kod podajemy tylko osobie, do której sami zadzwoniliśmy, i nigdy nie podajemy przy tym haseł.

Dostęp nienadzorowany - jak zabezpieczyć zdalny dostęp do komputera bez obecności użytkownika

Dostęp nienadzorowany jest wygodny, bo pozwala zalogować się do komputera w magazynie albo do serwera o każdej porze. Jednocześnie to najbardziej ryzykowny wariant, bo do przejęcia komputera wystarczy identyfikator urządzenia i hasło. Dlatego dokumentacja AnyDesk zaleca dodatkowe zabezpieczenia, a podobne mechanizmy mają też inne programy komercyjne:

• Weryfikacja dwuetapowa dla dostępu nienadzorowanego. W AnyDesk po haśle trzeba podać 6-cyfrowy kod z aplikacji uwierzytelniającej. Bez telefonu z kodem samo hasło nie wystarczy.

• Lista dozwolonych urządzeń (ACL). Ogranicza połączenia przychodzące do określonych identyfikatorów lub aliasów, np. tylko do komputera informatyka i właściciela.

• Osobne hasło dostępu nienadzorowanego. Nie może być takie samo jak hasło do systemu ani do żadnej innej usługi. Najlepiej przechowywać je w firmowym menedżerze haseł.

• Procedura po odejściu pracownika. AnyDesk zaleca m.in. zmianę haseł dostępu nienadzorowanego, które mogły być udostępnione, i zablokowanie identyfikatora byłego pracownika na liście ACL.

Hasła do narzędzi zdalnego dostępu najlepiej trzymać w jednym miejscu z kontrolą, kto je widzi. Jak to zorganizować, opisujemy w poradniku menedżer haseł dla zespołu sklepu - jak wybrać i wdrożyć w firmie. Weryfikację dwuetapową warto przy tym włączyć nie tylko w programie do zdalnego dostępu, ale też w kontach, do których pracownicy logują się na zdalnym komputerze - krok po kroku pokazujemy to w artykule weryfikacja dwuetapowa w firmie e-commerce - jak ją wdrożyć dla całego zespołu.

Najczęstsze błędy przy zdalnym dostępie w małej firmie

Większość problemów ze zdalnym dostępem w małych firmach nie wynika z wad samych narzędzi, ale z ich konfiguracji i nawyków zespołu. Poniżej zebraliśmy typowe sytuacje, które widzimy przy porządkowaniu IT w sklepach, razem z tym, jak je naprawić.

[#chart:wit96c]

Osobny temat to zainstalowane i zapomniane programy. W wielu firmach na komputerach zostają narzędzia zdalnego dostępu po dawnych informatykach, dostawcach oprogramowania czy jednorazowych naprawach. Microsoft przy Quick Assist wprost zaleca usunięcie lub wyłączenie narzędzia, jeśli firma korzysta z innego. Ta sama zasada dotyczy każdego programu: jeśli nikt go nie używa, odinstaluj go.

Warto też ujednolicić narzędzia. Gdy w firmie działają jednocześnie trzy różne programy do zdalnego dostępu, nikt nie wie, kto ma do czego dostęp, a pracownicy przyzwyczajają się do podawania kodów różnym osobom. Jedno narzędzie do pomocy zdalnej i jeden sposób pracy zdalnej, opisane w krótkiej instrukcji dla zespołu, to prostszy i bezpieczniejszy układ.

Zdalny dostęp a sprzęt pracownika

Bezpieczeństwo połączenia zależy też od urządzenia, z którego pracownik się łączy. Prywatny laptop bez aktualizacji, używany przez całą rodzinę, to słaby punkt nawet przy dobrze ustawionym VPN. Dla osób pracujących zdalnie na stałe warto przewidzieć firmowy sprzęt z aktualnym systemem i programem antywirusowym. Co powinien zawierać taki zestaw, opisujemy w artykule sprzęt dla zdalnego pracownika obsługi klienta - zestaw minimum dla sklepu.

[#checklista] Przegląd zdalnego dostępu raz na kwartał: lista komputerów z włączonym pulpitem zdalnym, lista osób z kontami VPN, programy do zdalnego dostępu zainstalowane na komputerach, aktywne hasła dostępu nienadzorowanego, włączona weryfikacja dwuetapowa, usunięte konta byłych pracowników i współpracowników.

Jak Vinson pomaga wdrożyć bezpieczny zdalny dostęp do komputerów

Vinson to agencja e-commerce z Bochni działająca od 2021 r., certyfikowany partner Base i autoryzowany partner Shoper, oceniana na 4,9/5 ze 171 opinii przez klientów z ponad 500 firm. W ramach wsparcia informatycznego dla firm i sklepów sprawdzamy, jak dziś łączycie się z komputerami firmy, dobieramy narzędzie do pomocy zdalnej i sposób pracy zdalnej, konfigurujemy VPN i pulpit zdalny, włączamy weryfikację dwuetapową oraz usuwamy zbędne programy i stare dostępy. Zespołowi przekazujemy proste zasady, które chronią przed oszustami podszywającymi się pod pomoc techniczną.

Najczęściej zadawane pytania

Jaki program do zdalnego dostępu do komputera wybrać do firmy?

Do jednorazowej pomocy wystarczy narzędzie z kodem i zgodą użytkownika, np. Quick Assist w Windows lub Chrome Remote Desktop. Do stałej pracy na komputerze w biurze lepiej sprawdza się pulpit zdalny Windows połączony z VPN. Programy komercyjne z dostępem nienadzorowanym wybieraj wtedy, gdy obsługujesz wiele urządzeń i potrzebujesz centralnego zarządzania.

Czy pulpit zdalny Windows jest bezpieczny?

Pulpit zdalny jest bezpieczny, jeśli używasz uwierzytelniania na poziomie sieci (NLA), silnych haseł i łączysz się przez VPN. Microsoft ostrzega, że udostępnienie go w internecie przez przekierowanie portu na routerze nie jest zalecane. Pamiętaj też, że wydania Windows Home nie mogą przyjmować połączeń pulpitu zdalnego.

Czy mała firma potrzebuje VPN?

VPN dla firmy jest potrzebny, gdy pracownicy spoza biura mają korzystać z zasobów firmowej sieci: komputerów, dysku sieciowego czy drukarek. Dzięki niemu nie trzeba wystawiać tych urządzeń do internetu. Jeśli zespół korzysta wyłącznie z usług w chmurze, VPN może nie być konieczny.

Jak bezpiecznie dać informatykowi zdalny dostęp do komputera?

Najprościej przez narzędzie z jednorazowym kodem, w którym sam zatwierdzasz udostępnienie ekranu i przejęcie sterowania, a po zakończeniu pomocy połączenie wygasa. Kod podawaj tylko osobie, z którą sam nawiązałeś kontakt. Przy stałym dostępie nienadzorowanym wymagaj weryfikacji dwuetapowej i listy dozwolonych urządzeń.

Co zrobić ze zdalnym dostępem po odejściu pracownika?

Usuń konto pracownika z listy osób z dostępem do pulpitu zdalnego i z VPN, zmień hasła dostępu nienadzorowanego, które mógł znać, i zablokuj jego urządzenia w programach do zdalnego dostępu. Sprawdź też, czy na jego prywatnym sprzęcie nie zostały zapisane połączenia z komputerami firmy.

Chcesz, żeby Twój zespół mógł pracować zdalnie bez otwierania firmy na ataki? Skontaktuj się z nami w sprawie wsparcia IT, a skonfigurujemy bezpieczny zdalny dostęp do komputerów w Twoim sklepie.