Гео-қоршау шартты қол жеткізу (немесе рұқсат етілмеген штаттан тыс қашықтан жұмыс істеу жалауы) арқылы шетелде құлыпталған корпоративтік ноутбук¶

Халықаралық әуежай залында, шетелдік қонақүйде, круиздік кеме салонында немесе штаттан тыс жалға алу кезінде компания шығарған ноутбукты ашу немесе смартфонда корпоративтік электрондық поштаны жаңарту - тек қызыл қызыл түске бірден соғылады Microsoft Entra ID (бұрынғы Azure AD) қатесі 53003 («Кіру шартты рұқсат саясаттарымен бұғатталды»), Okta FastPass Geo-Fence бас тарту немесе толық бір реттік кіру (SSO) және MDM құрылғысын құлыптау - қашықтағы қызметкер немесе цифрлық көшпенді бастан кешіруі мүмкін ең стрессті төтенше жағдайлардың бірі. Жұмыс тапсырмаларыңыз 100 пайыз бұлтқа негізделген болса да, заманауи кәсіпорынның сәйкестендіру және қол жеткізуді басқару (IAM) платформалары нақты уақыттағы Geo-IP орнын, Wi-Fi BSSID геолокациясын, GPS телеметриясын және «Мүмкін емес саяхат» жылдамдығын автоматты түрде бақылайды. Бекітілмеген елден немесе рұқсат етілмеген салық юрисдикциясынан белсенді IT Travel Ерекшелігісіз қосылу тіркелгі деректерін ұрлаудан, ITAR/EAR экспорттық бақылауды бұзудан, HIPAA/GDPR деректерінің егемендігін бұзудан және корпоративтік салық төлеуге қабілеттіліктен қорғану үшін автоматты түрде есептік жазбаны уақытша тоқтатуды дереу іске қосады. Азаматтық дағдарыс, медициналық төтенше жағдай немесе төлқұжатыңыздың жоғалуы кезінде құрылғыңыздың құлыпталуымен қатар шетелде қалып қалсаңыз, жергілікті елшілікке хабарласыңыз және біздің анықтамалықпен кеңесіңіз. шұғыл нөмірлер. Қатысты саяхат және қашықтағы жұмыс оқиғалары туралы нұсқаулықтарымызды қараңыз саяхат кезінде ұрланған немесе сынған жұмыс ноутбугы және MDM құлпын қалпына келтіру, Қашықтағы VPN өшіру қосқышының сәтсіздігі немесе CrowdStrike карантині, және қонақүйден қашықтан жұмыс істеу.

Ең маңыздысы, гео-қоршаудан кейінгі алғашқы 15 минутта жасаған әрекетіңіз оқиғаның қауіпсіздікті қасақана айналып өту үшін ресми HR және заңды тоқтату тергеуіне ұласып, жол жүру туралы хабарландыруды кінәсіз қадағалау (немесе тұтынушы VPN қатесі) ретінде шешілгенін анықтайды. Ешқашан басқарылатын жұмыс ноутбукіне GPS орналасқан жеріңізді алдауға немесе рұқсат етілмеген тұрғын прокси бағдарламалық құралын орнатуға әрекеттенбеңіз. Оның орнына, автоматтандырылған бұзу дабылдарын тоқтату, позицияңызды сақтау және АТ қауіпсіздік операциялары орталығы (SOC) және менеджеріңізбен рұқсат етілген Уақытша саяхат ерекшелік немесе Сәйкестік карантинін үйлестіру үшін осы құрылымдық техникалық және сәйкестік протоколын орындаңыз.

Мұны қазір жасаңыз¶

1. Жүйеге қайта-қайта кіру әрекетін ТОҚТАҢЫЗ және корпоративтік ноутбукке тұтынушы VPN, резиденттік прокси немесе GPS спуферін ОРНАТУҒА БОЛМАЙДЫ. Бұғатталған шетелдік IP мекенжайынан 5-10 рет-ретімен кіру әрекеті - кенеттен 3 минуттан кейін өз еліңіздегі тұрғын прокси IP мекенжайынан кіру арқылы - ең жоғары дәрежелі «Oktream+Travel+Protection ID» сыналады. Анонимді IP" Тәуекел деңгейі жоғары пайдаланушының құлыптауы**, қарапайым орналасу блогын Қауіпсіздік Операциялар Орталығының (SOC) міндетті бұзушылықты тергеуіне дейін кеңейтеді.
2. Сіз үйде болған кезде телефоныңыздағы немесе үй маршрутизаторындағы жеке VPN, Apple iCloud Private Relay немесе Starlink/Шетелдік роуминг SIM картасы байқаусызда "Жалған шетелдік туды" тудырғанын тексеріңіз. Егер сіз физикалық түрде рұқсат етілген еліңізде немесе штатыңызда болсаңыз, тұтынушы VPN қызметін (мысалы, NordVPN, ExpressVPN немесе ProtonVPNS үй жолындағы халықаралық маршрутизатор арқылы) қосыңыз. деректерді Сингапурдағы, Польшадағы немесе Гонконгтағы шлюз арқылы жіберу немесе шетелдік Geo-IP блогы тағайындалған спутниктік интернет терминалына қосылу жұмыс берушінің геоқоршауын жалған бұзады. Дереу ажыратып, елден ешқашан шықпағаныңызды дәлелдеу үшін физикалық айналаңыздың немесе қызметтік бағдарламаның/ISP IP-нің уақыт белгісі бар смартфон суретін түсіріңіз.
3. Егер сіз физикалық түрде эмбаргоға ұшыраған немесе жан-жақты санкцияланған юрисдикцияда болсаңыз (мысалы, Куба, Иран, Солтүстік Корея, Сирия немесе Украинаның/Ресейдің АҚШ-тың OFAC/BIS ережелері бойынша қамтылған аймақтары), корпоративтік ноутбукты ӨШІРІҢІЗ және корпоративтік SIM/MDM профилін дереу жойыңыз. Техникалық серверге қосылуға немесе шифрдан шығаруға ** әрекет жасамаңыз**. аумақ. АҚШ EAR (Экспортты басқару ережелері) және ITAR (Халықаралық қару-жарақ айналымы ережелері) бойынша санкцияланған елде бақыланатын криптографиялық бағдарламалық құрал немесе техникалық сызбалары бар ноутбукты жүктеп салу жұмыс берушіге қатаң федералдық жазалар алатын рұқсат етілмеген «экспорттау» болып табылады; ноутбукты толығымен өшірулі күйде ұстау (S5 Shutdown BitLocker шифрланған) 15 CFR § 740.9 Сауда құралдарын шақыру үшін өте маңызды (TMP) / BAG шифрлау қауіпсіз айлақ ережелері.
4. Егер сіз жеке демалыста шетелге саяхаттап, ноутбугыңызды "шұғыл Slack хабарламасын немесе электрондық поштаны тексеру үшін бар болғаны 5 минутқа" алдын ала рұқсатсыз ашсаңыз, дауыстық телефон немесе SMS арқылы белсенді түрде менеджеріңізге және IT қызмет көрсету орталығына қоңырау шалыңыз. Дереу түсіндіріңіз: "Мен [елде] жеке демалыстамын, телефонымды/ноутбугымды аштым. жұмыс құрылғысын өшірді және шетелде болғанда компания жүйелеріне кірмейді - SecOps компаниясына менің тіркелгі деректерім бұзылды деп ойламауы үшін бұл мен екенімді хабарлаңыз.»
5. Нақты қате экранын сақтаңыз (Correlation ID, Timestamp in UTC, Device Identifier, және Error Code 53003 / 50053) жеке телефоныңызбен суретке түсіру арқылы. АТ әкімшісіне дәл қажет Correlation ID және Timestamp Microsoft Entra немесе Okta аудит журналында бұғатталған кіру оқиғасын табу және «Тәуекелділігі жоғары пайдаланушы» жалауын өшіру.
6. Мақұлданбаған «Stealth Hardware VPN маршрутизаторын» Wi-Fi қосылған корпоративтік ноутбукке ешқашан қоспаңыз. Аппараттық маршрутизатор Ethernet пакеттерін үй IP мекенжайы арқылы туннельдесе де, Microsoft Intune, Jamf Pro, CrowdStrike Falcon немесе Zscaler жұмыс істейтін корпоративтік ноутбук жақын маңдағы MSSID мекенжайын сканерлейді **SSsW **-B мекенжайы маңайында. қонақүй бөлмесін әр 60 секунд сайын көрсетеді және оларды Google/Apple/Skyhook жаһандық Wi-Fi позициялау дерекқорларына қарсы сілтеме жасайды - Ethernet VPN IP-ге қарамастан миллисекундтарда дәл ғимарат пен көше мекенжайын анықтайды.

Шешім ағашы: корпоративтік геоқоршау немесе орын сәйкестігін құлыптау¶

Нақты физикалық орналасқан жеріңізге және жұмысқа орналасу жағдайыңызға сәйкес келетін филиалды қадағалаңыз.

flowchart TD
    A["Корпоративтік есептік жазба немесе ноутбук гео-қоршау арқылы құлыпталған / мүмкін емес саяхат"] --> B{"Сіз қазір физикалық тұрғыдан қай жердесіз?"}
    B -->|"Үйде немесе менің уәкілетті елімде/мемлекетімде (ЖАЛҒАН ПОЗИТИВ)"| C{"Неліктен IP мекенжайыңыз шетелдік немесе штаттан тыс болып көрінді?"}
    C -->|"Apple iCloud Private Relay, маршрутизатордағы тұтынушы VPN немесе Starlink/Cellular CGNAT"| D["ЖАЛҒАН ДАЯҚТЫ ЖЕҢІЗУ: VPN/Жеке релені өшіру -> IP мекенжайын whatismyip арқылы тексеру -> Тәуекел жалауын жою үшін корреляция идентификаторы және үй орналасқан жердің фото дәлелі бар IT SOC қызметіне қоңырау шалыңыз."]
    C -->|"Менің корпоративтік есептік жазбамды шетелдік шабуылдаушы шынымен фишинг жасады"| E["БЕЛСЕНДІ КОМПРОМИС: Корпоративтік SOC-қа дереу қоңырау шалыңыз -> Құпия сөзді айналдырыңыз және барлық белсенді OAuth/SSO таңбалауыштарын жойыңыз -> FIDO2/MFA қайта тіркеу"]
    B -->|"OFAC/EAR санкциясы бар немесе эмбаргоға ұшыраған елде"| F["ЭКСПОРТТЫ БАСҚАРУ Төтенше ЖАҒДАЙЫ: Ноутбукті дереу өшіріңіз (Тыныш күйде BitLocker шифрланған) -> ЖҮКТЕМЕ немесе Wi-Fi желісіне қосылмаңыз -> Елден тыс жерге дейін жеке бақылауда ұстаңыз."]
    B -->|"Шетелде жеке демалыста/отбасылық төтенше жағдай (санкцияланбаған ел)"| G{"Сізге шынымен жұмыс істеу керек пе, әлде электрондық поштаны қысқаша тексердіңіз бе?"}
    G -->|"Жаңа ғана демалыста электрондық пошта/Slack тексерілді"| H["ДЕМАЛЫСТЫ БӘСІЛДІРУ: Қоңырау менеджері және АТ анықтамалық қызметі -> SOC дабылын жабатындықтан сіз екеніңізді растаңыз -> Сапардың қалған бөлігінде жұмыс ноутбукін өшіріңіз."]
    G -->|"Шетелде рейстің тоқтатылуына немесе отбасылық дағдарысқа байланысты жұмыс істеу керек"| I["Төтенше жағдайдағы ЕРЕКШЕЛІКТІ СҰРАУ: Уақытша АТ шартты қатынасын сұрау - Орынға қатысты ерекшелік + HR қысқа мерзімді халықаралық жұмыстан бас тарту"]
    B -->|"Алдын ала HR/IT мақұлдауынсыз АҚШ-тың басқа штатынан немесе елінен қашықтан жұмыс істеу"| J["СӘЙКЕСТІК ЖӘНЕ HR ЭСКАЛЯЦИЯСЫ: Барлық айналып өту әрекеттерін тоқтатыңыз -> Төмендегі мемлекет/ел салығы және деректер ережелерін қарап шығыңыз -> Саяхат уақытын және қайтару күнін өзі хабарлаңыз немесе ресми көшіру сұрауын жіберіңіз."]

1-бөлім: Корпоративтік ноутбуктер сіздің физикалық орналасқан жеріңізді қалай анықтайды (5 телеметриялық қабат)¶

Көптеген қашықтағы жұмысшылар корпоративтік АТ тек интернет қосылымының жалпыға қолжетімді IPv4/IPv6 мекенжайын тексереді деп қателеседі. Шындығында, Microsoft Intune, Jamf, Workspace ONE, CrowdStrike және Zscaler басқаратын Windows 11 немесе macOS операциялық ноутбугі бір уақытта бес геолокация қабатын корреляциялайды:

2-бөлім: нақты Microsoft Entra ID, Okta немесе Zscaler құлыптау экранын декодтау¶

Ноутбугіңіз немесе телефоныңыз корпоративтік логиніңізді блоктаған кезде, нақты қай саясат істен шыққанын түсіну үшін қате терезесінің төменгі жағындағы техникалық төменгі деректемеге қараңыз:

1. Microsoft Entra ID қатесі 53003 (Access has been blocked by Conditional Access policies):
2. Бұл нені білдіреді: Ұйымыңыз Microsoft Entra бағдарламасында Аталған орындардың геоқоршау саясатын теңшеген (мысалы: «Тек сенімді елден кіруге рұқсат ету = Америка Құрама Штаттары / Ұлыбритания / Канада»). Ағымдағы IP мекенжайы немесе GPS координаттары рұқсат етілген елдер тізімінен тыс шешілгендіктен, Entra алдыңғы есікте таңбалауышты шығарудан бас тартты.
3. Жақсы жаңалық: Қате 53003 өздігімен ** емес** сіздің құпия сөзіңіз шифрланғанын немесе тіркелгіңіз жойылғанын білдірмейді; бұл жай ғана Шартты қол жеткізу шлюзі сол белгілі бір географиялық орыннан қосылу кезінде сеанс таңбалауышын беруден бас тартатынын білдіреді.
4. Microsoft Entra ID қатесі 50053 (Account is locked because you tried to sign in too many times OR Sign-in was blocked because it came from a suspicious location / Impossible Travel):
5. Бұл нені білдіреді: Microsoft Entra ID Protection жүйеге кіру қаупі деңгейін белгіледі High (көбінесе Мүмкін емес Саяхат жылдамдығы, IP мекенжайын жақында ботнет пайдаланған шетелдік Wi-Fi қонақүйінен кіру немесе телефонның СІМ және ноутбук IP сәйкес келмеуі салдарынан) және пайдаланушы профиліне автоматты түрде Тәуекелге негізделген есептік жазбаны құлыптау орнатады.
6. Ол қалай тазартылады: Көп факторлы аутентификация арқылы Өзіне-өзі қызмет көрсету құпия сөзін қалпына келтіру (SSPR) арқылы (егер сіздің компанияңыз ағымдағы еліңізден пайдаланушының өзін-өзі түзетуіне рұқсат берсе) НЕМЕСЕ АТ әкімшісі арқылы Entra Identity Protection тақтасындағы "Пайдаланушының қауіпсіздігін растау/Пайдаланушы қаупін өшіру" түймесін басыңыз.
7. Окта Access Denied - Sign-on Policy Evaluation Failed (Network Zone / FastPass Geo-Fence):
8. Бұл нені білдіреді: Окта сіздің Динамикалық желі аймағыңызды (елдің ISO коды, ASN прокси түрі немесе ThreatInsight ұпайы) бағалады және DENY СІМ итермеңіздің алдында немесе одан кейін ереже.

3-бөлім: Жалған оң құлыптаулар (сіз өз еліңізде/мемлекетте болсаңыз, бірақ IT сізді шетелде деп есептегенде)¶

Корпоративтік геоқоршаулардың шамамен 30 пайызы өздерінің рұқсат етілген үй үстелінде отырған немесе бекітілген ел ішінде ел ішінде саяхаттап жүрген қызметкерлерге қатысты. Міне, отандық ноутбукты шет елде жалған етіп көрсететін төрт кінәлі және оларды 5 минут ішінде қалай дәлелдеп, түзетуге болады:

+-----------------------------------------------------------------------+
|  4 CAUSES OF "FALSE FOREIGN IP" FLAGS WHILE WORKING AT HOME           |
|                                                                       |
|  1. Apple iCloud Private Relay / Safari IP Hiding (macOS / iOS)       |
|     Routes Safari & Mail traffic through Cloudflare egress nodes      |
|     that occasionally geolocate to neighboring states or countries.   |
|                                                                       |
|  2. Starlink Satellite Internet or 5G Home Internet (CGNAT)           |
|     Satellite/cellular Ground Stations (POPs) often assign an IP      |
|     block registered 800 km away in another state or border country.  |
|                                                                       |
|  3. International Travel eSIM Used Domestic (Airalo, Holafly, etc.)   |
|     Many global data eSIMs route ALL cellular data through a home     |
|     core network in Singapore, Poland, UK, or Hong Kong via GTP.      |
|                                                                       |
|  4. Newly Reallocated IPv4 Block (MaxMind GeoIP Database Lag)         |
|     Your local ISP bought a used IPv4 `/24` subnet formerly owned     |
|     by an overseas provider, and MaxMind/Microsoft hasn't updated.    |
+-----------------------------------------------------------------------+

Қадамдық жалған-оң ажыратымдылық¶

1. Жалпы IP және ASN мекенжайын дәл қазір сынап көріңіз: Телефонда немесе ноутбук браузерінде ашыңыз ipinfo.io немесе whatismyipaddress.com. Қосылымыңыз үшін көрсетілген Ел, Аймақ/Мемлекет және ASN / ISP атауы қараңыз.
2. Ереже бұзушы релені немесе eSIM картасын өшіріңіз:
3. macOS/iPhone жүйесінде: Параметрлер -> [Аты-жөніңіз] -> iCloud -> Жеке реле -> Өшірулі (және корпоративтік SSID үшін Wi-Fi -> [Желіңіз] -> IP мекенжайын бақылауды шектеу -> Өшіру тармағына өтіңіз).
4. Саяхат eSIM картасын пайдаланатын смартфонның кіру нүктесінде: Ешқашан үшінші тараптың ғаламдық саяхат eSIM картасын пайдаланбаңыз (Airalo, Keepgo, Dent, Fonus) корпоративтік СІМ немесе оның APN трафикті шетелдік оператор өзегі арқылы бағыттайтын болса (мысалы, АҚШ-та сатып алынған eSIM картасы) Plus Poland немесе Singtel Singapore өйткені оның жоғарғы демеушісі жұмыс берушінің Okta/Entra серверіне поляк немесе сингапурлық IP мекенжайын көрсетеді). Отандық оператор SIM картасына қайта ауысыңыз.
5. Starlink немесе 5G Fixed Wireless желісінде: Егер Starlink Ground Station (POP) басқа штатта болса (мысалы, Starlink POP Сиэтлге, Чикагоға немесе Канадаға геоорналасу кезінде Монтана немесе Мэн штатында тұрсаңыз), АТ тобына Starlink ASN (AS14593 - SpaceX Starlink) шығу ipinfo.io олар сіздің ішкі спутниктік қосылымыңызды ақ тізімге енгізе алады.
6. IT анықтамалық қызметіне «жалған-оң растау пакетін» жіберіңіз:
7. IT анықтама қызметіне қоңырау шалыңыз, Correlation ID қате экранынан және оларға электрондық поштаны жіберіңіз: (a) скриншот ipinfo.io жергілікті ISP атауын көрсету (Comcast, AT&T, Starlink) және (b) сіздің үй үстеліңізде екеніңізді көрсететін тірі смартфон фотосуреті немесе бейне қоңырау. SOC жалған-оң тәуекел жалауын 2 минут ішінде жоя алады.

4-бөлім: Алдын ала рұқсатсыз шынымен елден немесе штаттан тыс сапарға шыққан болсаңыз не істеу керек¶

Егер сіз шынымен рұқсат етілген жұмыс еліңізден тыс болсаңыз (немесе АҚШ-тың басқа штатында ұзақ уақыт жұмыс істеп тұрсаңыз) және корпоративтік ноутбук сізді жаңа ғана құлыптаса, орналасқан жеріңізге мән беретін үш бөлек корпоративтік бөлімді түсініңіз - және неге адалдық жалғыз қауіпсіз жол екенін түсініңіз:

1. Ақпараттық қауіпсіздік (SecOps / CISO): SecOps дәл қазір бір ғана шұғыл сұраққа мән береді: «Қызметшіміздің ноутбугін шетелдік киберқылмыскер ұрлады ма, әлде оның құпия сөзін шын мәнінде Мексикадағы/Испаниядағы жағажайда отырған біздің қызметкер ме?» Бейне қоңырауда немесе ноутбугта дауысты растаған бойда сіздің ноутбугыңызға телефон соғып, *yo трибуналға қоңырау шалыңыз. Сіздің қолыңызда физикалық тұрғыдан қауіпсіз, SecOps-тың жедел бұзу дабылы Қызылдан Жасылға дейін төмендейді.
2. Заңдық және экспорт/деректерге сәйкестік: Физикалық орналасқан жеріңіз мемлекеттік келісім-шарттарды, деректер резиденттігі туралы заңдарды (HIPAA, GDPR, FedRAMP) немесе экспорттық бақылауларды (ITAR/EAR) бұзатын-бұзатын-бұзатын-бұзатын-бұзатын-бұзатын-бұзатын-бұзатын-бұзатын-бұзатын-бұзатын-бұзатын-бұзатын-бұзбағанын заңға байланысты.
3. Кадрлар және жалақы салықтарының сәйкестігі («Салық Nexus» және «Тұрақты мекеме»):
4. Неліктен HR штаттан тыс және халықаралық қашықтан жұмыс істеуге көңіл бөледі: Егер W-2 қызметкері АҚШ-тың басқа штатында сол штаттың заңнамалық шегінен артық жұмыс істесе (қатаң штаттарда 1 күннен бастап резидент емес штаттарда 14-тен 30 күнге дейін дейін ауытқиды) немесе шетелдік елде заңды түрде жұмыс істейтін турист болуы мүмкін. сол штатта/елде кәсіпкерлік субъектісі ретінде тіркелуге, жергілікті мемлекеттік табыс салығын ұстауға, жергілікті жұмыссыздықты/жұмысшылардың өтемақысын сақтандыруды төлеуге және шетелдік жұмыс күшін тоқтату туралы жергілікті заңдарға бағынуға.

Шетелде геоқоршаумен ұсталғанда дағдарысты деэскалациялаудың 4 қадамдық хаттамасы¶

1. Егер сіз шынымен шетелде болсаңыз, өтірік айтпаңыз немесе «менің аккаунтым бұзылған болуы керек» деп мәлімдемеңіз:
2. Егер сіз шын мәнінде Лондонда отырсаңыз, IT-ға ешқашан "Мен Нью-Йоркте үйдемін, Лондондағы біреу менің құпиясөзімді бұзған болуы керек" деп айтпаңыз. Сіздің корпоративтік ноутбук пен смартфонның MFA қолданбасы Лондон Wi-Fi BSSID-терін, уақыт белдеуін және құрылғының сериялық нөмірін жүктеп салып қойған (DeviceID) физикалық жабдықтың Лондонда екенін дәлелдейтін кіру журналында. SecOps-ке өтірік айту саясаттың шамалы бұзылуын дереу тоқтатылатын тұтастықты бұзуға айналдырады.
3. А сценарийі - Сіз қысқа мерзімді демалыстасыз / Шетелде отбасылық төтенше жағдай (1 to 14 Days):
4. Тікелей менеджерге және IT қызмет көрсету үстеліне дереу қоңырау шалыңыз.
5. Егер сіз бекітілген PTO/Демалыста болсаңыз: Ноутбугыңызды немесе жұмыс электрондық поштаңызды демалыс кезінде жобаны тексеру үшін әдеттен тыс ашқаныңызды анық көрсетіңіз, IT геоқоршауы елден тыс кіруге тыйым салатынын білмейсіз. Демалысыңыздың қалған бөлігінде ноутбукты өшірулі ұстауды ұсыныңыз. Компаниялардың 99 пайызында жол жүру билетінсіз демалыста электрондық поштаны тексеру зиянсыз әкімшілік бақылау ретінде қарастырылады - АТ қауіпсіздік билетін жабады және келесі сапарға екі апта қалғанда Саяхат туралы хабарландыру формасын жіберуді еске салады.
6. Егер күтпеген рейстің тоқтатылуы, медициналық төтенше жағдай немесе отбасылық дағдарыс сізді жұмыс күнінде шетелде қалдырса: Төтенше жағдайды менеджеріңізге және HR/IT қызметіне түсіндіріп, (1) қайту рейсіне дейін шұғыл PTO/ ақысыз демалыс алу керек пе немесе (2) Уақытша Шартты Саяхатқа рұқсат алу мүмкіндігін алу керектігін сұраңыз (3 to 10 business days) қатып қалған кезде қашықтан жұмыс істеу. (Егер сіздің рөліңіз заңды түрде шекараны кесіп өтуге болмайтын қатаң HIPAA/FedRAMP/ITAR деректерін өңдемесе, көптеген компаниялар ашық түрде сұралған кезде қысқа мерзімді төтенше жағдайға жол бермейді).
7. В сценарийі - Сіз қауіптілігі жоғары немесе санкцияланған елге бардыңыз:
8. Егер сіз компанияңыздың 1-деңгейдегі тыйым салынған/экспортқа шектелген тізімі (мысалы, Қытай, Ресей, Иран, Куба, Солтүстік Корея, Беларусь немесе Венесуэла сияқты) елге барған болсаңыз, онда көптеген батыс кәсіпорындары бастапқы корпоративтік ноутбуктерді әкелуге тыйым салады және оның орнына зарарсыздандырылған "Заем беруші / Оттық ноутбуктерді" талап етеді):
9. Корпоративтік ноутбукты толығымен ӨШІРУЛІ күйде ұстаңыз (BitLocker encrypted at rest). Оны жергілікті Wi-Fi немесе қонақүй Ethernet желісіне қоспаңыз. Ноутбуктің жеке багажыңызда өшірілгені туралы хабарлау үшін жеке телефон арқылы IT қауіпсіздік тобына хабарласыңыз және үйге оралған кезде олардан Сапардан кейінгі сот сараптамасы/бейнелеу хаттамасын сұраңыз.

Аймақтық жедел жәрдем нөмірлері және агенттік хаттамалары¶

Егер ұрланған төлқұжат, медициналық дағдарыс, табиғи апат немесе азаматтық толқулар сияқты шетелде бір мезгілде саяхаттауға байланысты төтенше жағдайға тап болған кезде геоқоршау құлыптауы орын алса, осы ресми мемлекеттік және консулдық арналарды пайдаланыңыз:

• Америка Құрама Штаттары мен Канада: Төтенше жағдайда шетелдегі АҚШ азаматтары АҚШ-қа жете алады. Шетелдегі азаматтарға мемлекеттік қызмет көрсету департаменті тәулік бойы жұмыс істейтін сенім телефоны мекенжайы бойынша +1-202-501-4444 (шетелден) немесе 1-888-407-4747 (АҚШ/Канададан) және STEP (step.state.gov). Шетелдегі Канада азаматтары Global Affairs Canada 24/7 Төтенше жағдайларды бақылау және әрекет ету орталығына хабарласа алады +1-613-996-8885 немесе sos@international.gc.ca. Шетелдегі шифрланған ноутбуктерге қатысты АҚШ экспортын бақылау ережелерін сақтау үшін Индустрия және қауіпсіздік бюросынан (BIS) 15 CFR § 740.9 (TMP Сауда құралдары) және § 740.14 (BAG Багаж) ережелері және OFAC (Шетелдік активтерді бақылау кеңсесі) санкциялары бойынша нұсқаулық.
• Біріккен Корольдік: Шетелдегі шұғыл консулдық көмекті қажет ететін британдық азаматтар Шетел, Достастық және Даму Бюросының (FCDO) 24/7 сенім телефонына** телефон арқылы хабарласа алады.+44 20 7008 5000**. Ұлыбританияда төтенше жағдайлар үшін 999 (немесе 112) нөмірін теріңіз және Шетелде құрылғыларды пайдалану бойынша NCSC (Ұлттық киберқауіпсіздік орталығы) нұсқауларын қараңыз.
• Еуропалық Одақ: Төтенше қызметтер үшін барлық ЕО-ға мүше мемлекеттерде 112 нөмірін теріңіз. ЕО Шартының 20(2)© бабына сәйкес, ЕО-ға кірмейтін елдегі кез келген ЕО азаматының өз елінде елшілігі жоқ кез келген ЕО азаматы кез келген басқа ЕО мүше мемлекеттің елшілігінен оның азаматтарымен бірдей шарттарда консулдық қорғауға құқылы. Жеке деректерге трансшекаралық қашықтан қол жеткізу GDPR V тарауымен (44-50-баптар) реттеледі.
• Австралия және Жаңа Зеландия: Шетелдегі австралиялықтар DFAT тәулік бойы жұмыс істейтін консулдық жедел жәрдем орталығына мына мекенжайда хабарласа алады: +61 2 6261 3305 (немесе 1300 555 135 Австралияның ішінде). Шетелдегі жаңа зеландиялықтар MFAT SafeTravel 24/7 консулдық желісіне хабарласа алады +64 99 20 20 20.
• Үндістан және Азия-Тынық мұхиты: Үндістанда 112 нөмірін теріңіз (немесе MEA Pravasi Bharatiya Sahayata Kendra 24/7 сенім телефонына хабарласыңыз), Жапония мен Оңтүстік Кореяда 119 немесе Сингапурда 995 (СІМ 24 сағаттық кезекшілік кеңсесі мекенжайы бойынша) +65 6379 8800). Біздің толық тізімді қараңыз шұғыл нөмірлер.

Жиі қойылатын сұрақтар¶

Егер мен бекітілген PTO қызметінде болсам, жұмыс берушім шетелде демалыста екенімді көргім келмесе, жеке телефонымның корпоративтік Geo-Fence ескертуін іске қосуын қалай тоқтатуға болады?¶

Көптеген қызметкерлер өздерінің жеке iPhone немесе Android телефонында **Microsoft Outlook, Microsoft Teams, Slack немесе Okta Verify** орнатылғандықтан және ұшақ қонған кезде және телефон шетелдік ұялы деректерге қосылған кезде OAuth таңбалауыштарын үнсіз жаңартады, себебі көптеген қызметкерлер заңды, бекітілген демалыста жұмыс істей алмайды. Жеке демалыс үшін халықаралық рейске отырмас бұрын, не **(1) корпоративтік жұмыс профиліңізден шығыңыз** (Android жұмыс профилінде, жай ғана **"Жұмыс қолданбалары/Жұмыс профилін кідірту"** жылдам параметрлер науасында Өшірулі күйіне ауысыңыз) немесе **(2) Outlook, Teams, Teams және Company телефондарына арналған "Қолданбаны фондық жаңарту" және ұялы деректерді өшіріңіз. Тәулік бойы шетелден келген корпоративтік серверлер.

Жұмыс беруші менің жұмыс ноутбугімде Wi-Fi және Bluetooth өшіретін болсам, аппараттық VPN маршрутизаторын (үйімдегі WireGuard серверіне қосылған GL.iNet маршрутизаторы сияқты) пайдаланатынымды айта ала ма?¶

Ноутбукте Wi-Fi және Bluetooth өшірілгенде және сымды Ethernet кабелі арқылы WireGuard маршрутизаторының аппараттық құралына қосылу пассивті Wi-Fi BSSID сканерлеуін блоктайды, кәсіпорынның қауіпсіздік стектері әлі де төрт басқа механизм арқылы рұқсат етілмеген халықаралық маршруттауды анықтайды: **(1) Смартфонның MFA корреляциясы** (телефоныңыздың Microsoft Authenticator немесе GPS Logcell деректерінің жергілікті қолданбасын пайдаланған кезде), **(2) TCP/IP MTU пакет өлшемі және кідіріс уақыты саусақ ізі** (WireGuard және OpenVPN максималды жіберу бірлігін кішірейтеді. `1500 bytes` дейін `1420 bytes` және ноутбук пен бірінші рет іске қосылған DNS шешушісі арасында 60-200 миллисекундқа бару кідірісін қосыңыз, **(3) Қуат желісі жиілігі және қоршаған орта сенсорының телеметриясы** және **(4) Үйдегі ISP үзілісін/қайта жүктеудің ағып кетуі** (егер үйдегі маршрутизатор 1 секундқа қатты жұмыс істемей қайта іске қосылса немесе туннельді түсірсе). Жасырын жабдық арқылы рұқсат етілмеген халықаралық жұмысты жасыруға әрекет жасау қашықтан жұмыс істеуге ресми ерекшелік сұрауға қарағанда әлдеқайда жоғары тоқтату қаупін тудырады.

Бірнеше апта бойы АҚШ-тың басқа штатынан қашықтан жұмыс істейтін болсам, менің компаниям неге алаңдайды?¶

Америка Құрама Штаттарында жалақы салығы, жұмыссыздықтан сақтандыру, жұмысшылардың өтемақы туралы заңдары және ақылы отбасылық демалыс мандаттары компанияның штаб-пәтері орналасқан жерде емес, **қызметкер жұмысты физикалық түрде орындайтын жер** негізінде 50 штаттың әрқайсысында бөлек реттеледі. Егер сіз жұмыс берушіңіз бизнес жүргізу үшін тіркелмеген (немесе штаттың резидент еместердің салық ұстау шегінен асатын) штаттан жұмыс істесеңіз, сіз де, жұмыс берушіңіз де мемлекеттік салық тексерулеріне, қосарлы салықты ұстау дауларына және заңмен белгіленген айыппұлдарға тап болуы мүмкін. Дегенмен, барлық дерлік компаниялар штаттан тыс уақытша сапарларға рұқсат береді (`7 to 30 days`) компанияның қысқа мерзімді саяхат саясаты шегінде болған кезде салықтық тұрғылықты жеріңізді өзгертпестен отбасына бару немесе саяхаттау үшін.

Microsoft Entra немесе Okta бағдарламаларында «Мүмкін емес саяхат туралы ескерту» нені білдіреді және ол автоматты түрде іске қосылады ма?¶

**Мүмкін емес саяхат туралы ескерту** , Microsoft Entra ID Protection, Okta ThreatInsight және Cisco Duo бағдарламаларында бір пайдаланушы тіркелгісіндегі екі дәйекті аутентификация оқиғасының географиялық координаттары мен уақыт белгілерін салыстыратын автоматтандырылған машинада оқытуды анықтау. Телефоныңыз Далластан келген электрондық поштаны таңғы сағат 9:00-де тексерсе және ноутбугыңыз VPN немесе Франкфурттағы шетелдік интернет провайдері арқылы таңғы сағат 9:10-да қосылса, жүйе адамның 10 минут ішінде 8000 шақырым жол жүре алмайтынын есептейді, Франкфурттағы хакер сеанс cookie файлын немесе құпиясөзіңізді ұрлады деп болжайды және барлық тіркелгілерді автоматты түрде өшіріп, белсендіргенге дейін IT өшіреді. сәйкестік.

Мен денсаулық сақтау саласында жұмыс істеймін (немесе денсаулық сақтау саласының сатушысы үшін) және Канада/Мексикодағы отбасыма барған кезде ноутбугым құлыптаулы. Неліктен HIPAA халықаралық қолжетімділікке соншалықты қатал?¶

АҚШ-тың бастапқы HIPAA қауіпсіздік ережесі (`45 CFR § 164.308`) оффшорларға кіруге жалпы федералдық тыйымды қамтымайды, ** АҚШ-тың әрбір дерлік штатының Medicaid агенттігі (`CMS` оффшорлық аттестациялар), аурухананың іскерлік серіктестік келісімі (`BAA`) және негізгі медициналық сақтандырушы келісімшартында кез келген қызметкерге немесе мердігерге электрондық қорғалған денсаулық ақпаратын көруге, жіберуге немесе қол жеткізуге тыйым салатын қатаң шарттық тыйым бар (`ePHI`) Америка Құрама Штаттары мен АҚШ-тың 50 территориясынан тыс**. EHR немесе денсаулық сақтау дерекқорына бір шетелдік IP логин аурухананың BAA-сын бұзады және міндетті сәйкестік туралы есеп беруді іске қосатындықтан, денсаулық сақтау IT командалары АҚШ шекарасында қатаң нөлдік ерекшелік геоқоршауларын қолданады.

Егер ол менің Windows құпия сөзімді офлайн режимде сұраса және «Сіздің тіркелгі деректеріңізді растау мүмкін болмады» немесе «Домен қолжетімді емес» десе, корпоративтік ноутбуктің құлпын қалай ашуға болады?¶

Егер сіз шетелде желіден тыс болсаңыз, корпоративтік ноутбук жергілікті Windows жүйесіне кіру экранын құлыптаса, себебі кэштелген Active Directory доменінің тіркелгі деректерінің мерзімі өтіп кеткен немесе Wi-Fi өшірілмес бұрын тіркелгіңіз MDM арқылы эфирден өшірілген болса, корпоративтік домен контроллеріне көз жеткізбей домен құлыптауын өшіре алмайсыз (`DC`) немесе Entra ID бұлты. **пайдаланушы тіркелгінің құлпын ашу және бұлтта уақытша гео-қоршау ерекшелігін қосу** үшін алдымен АТ анықтама қызметіне телефон арқылы хабарласу керек, содан кейін ноутбукты Wi-Fi желісіне немесе Windows құлыптау экранындағы смартфонның хотспотына қосыңыз (Windows кіру экранының төменгі оң жақ бұрышындағы **Желіге / VPN кіру белгішесін** басу арқылы Enter пернесін басу арқылы ноутбук жарамды сервердің құлпын ашуы мүмкін).

Қатысты нұсқаулықтар¶

• Саяхат кезінде ұрланған немесе сынған жұмыс ноутбук: MDM құлпы және нөлдік үзіліс уақытын қалпына келтіру
• Жұмыс ноутбугы CrowdStrike арқылы карантинге жабылған немесе VPN өшіру қосқышы бұзылған.
• Қонақ үйден қашықтан жұмыс істеу
• Төтенше жағдайда қашықтан жұмыс істеу қауіпсіздігі және деректердің құпиялылығы

Дереккөздер және ресми нұсқаулар¶

• CISA (Киберқауіпсіздік және инфрақұрылымдық қауіпсіздік агенттігі) және NSA: Қашықтан қол жеткізуді және нөлдік сенімді идентификацияны басқаруды қамтамасыз ету: шартты қол жеткізуді геоқоршау және саяхатты мүмкін емес анықтау.
• АҚШ Өнеркәсіп және қауіпсіздік бюросы (BIS) және Мемлекеттік департамент (DDTC): Экспортты басқару ережелері (EAR) 15 CFR § 740.9 (Уақытша импорт, экспорт, реэкспорт және трансферттер - сауда құралдары TMP) және 22 CFR § 120.54 (Шетелдегі корпоративтік ноутбуктер үшін ITAR End-to-End Encryption Carve-Out).
• АҚШ Денсаулық сақтау және халыққа қызмет көрсету департаменті (HHS OCR) және CMS: HIPAA қауіпсіздік ережесі трансшекаралық ePHI тәуекелдерін талдау жөніндегі нұсқаулықтар және мемлекеттік Medicaid оффшорлық қосалқы мердігерлерді аттестаттау талаптары.
• Microsoft корпорациясы (Microsoft Entra Documentation): Ақаулықтарды жою Жүйеге кіру қатесінің коды 53003 (шартты кіру арқылы бұғатталған) және қате коды 50053 (Smart Lockout / Identity Protection Risk Policy).
• AICPA және көп мемлекеттік салық комиссиясы (MTC): Ұялы және қашықтағы қызметкерлерге арналған мемлекеттік табыс салығын ұстау және корпоративтік Nexus шекті мәндері.