Remote work data security & risk posture calculator
Score your remote workforce across access, WiFi, sign-in and devices, and get a remediation plan ordered by impact.
Below the baseline most insurers and auditors expect for remote access to company data.
- 1Replace network-level VPN access with zero trust network access (ZTNA) and per-application policies. (+18 points)
- 2Ask staff to switch home routers to WPA3 (or WPA2 with a long password) and use 802.1X with EAP-TLS in offices and hubs. (+15 points)
- 3Enrol every device in MDM with EDR, and block sign-in from devices without disk encryption (BitLocker or FileVault) or current patches. (+14 points)
- 4Move from SMS codes and push approvals to FIDO2 passkeys or certificate-based sign-in. (+9 points)
- 5Automate leaver offboarding in Entra ID or Okta so network and SaaS access is revoked at once.
- 6Run regular phishing simulations and keep an incident contact route that works outside the VPN.
Purple connects to Microsoft Entra ID, Okta and Google Workspace for 802.1X certificate provisioning, BYOD onboarding and per-user network access, with cloud RADIUS instead of on-premises servers.
हाइब्रिड और दूरस्थ रूप से काम करने के बदलाव ने पारंपरिक कॉर्पोरेट नेटवर्क परिधि को स्थायी रूप से समाप्त कर दिया है। जब कर्मचारी गृह कार्यालयों, सह-कार्यशील स्थानों (co-working spaces) और सार्वजनिक स्थानों से काम करते हैं, तो महत्वपूर्ण कंपनी डेटा आईटी और सुरक्षा टीमों के सीधे नियंत्रण के बाहर के नेटवर्क से होकर गुजरता है। यह वितरित मॉडल जटिल कमजोरियों को जन्म देता है: जैसे अनएन्क्रिप्टेड होम नेटवर्क, नकली सार्वजनिक हॉटस्पॉट, अप्रबंधित मोबाइल डिवाइस और परिष्कृत क्रेडेंशियल-हार्वेस्टिंग हमले।
यूके नेशनल साइबर सिक्योरिटी सेंटर (NCSC) और NIST SP 800-63B के साइबर सुरक्षा बेंचमार्क के अनुसार, दूरस्थ कार्यबल को सुरक्षित करने के लिए स्थिर परिधि सुरक्षा से आगे बढ़कर जीरो-ट्रस्ट मॉडल की ओर बढ़ना आवश्यक है। एक जीरो-ट्रस्ट आर्किटेक्चर में, किसी भी उपयोगकर्ता, डिवाइस या नेटवर्क पर अंतर्निहित रूप से भरोसा नहीं किया जाता है, चाहे वह कार्यालय के अंदर हो या सार्वजनिक इंटरनेट कनेक्शन पर काम कर रहा हो।
रिमोट और हाइब्रिड वर्क वातावरण में कॉर्पोरेट डेटा की सुरक्षा के लिए यहां छह एंटरप्राइज सुरक्षा उपाय दिए गए हैं।
1. लीगेसी पेरिमीटर VPN से Zero Trust Network Access (ZTNA) पर संक्रमण करें
दशकों से, एंटरप्राइज़ रिमोट कनेक्टिविटी फुल-टनल वर्चुअल प्राइवेट नेटवर्क (VPN) पर निर्भर थी। जबकि VPN क्लाइंट डिवाइस और कॉर्पोरेट गेटवे के बीच ट्रांजिट में डेटा को एन्क्रिप्ट करते हैं, वे एक खतरनाक आर्किटेक्चरल दोष पेश करते हैं: एक बार प्रमाणित होने के बाद, रिमोट क्लाइंट को संपूर्ण आंतरिक सबनेट में व्यापक प्रसारण पहुंच प्रदान कर दी जाती है।
यदि कोई हमलावर किसी एक दूरस्थ लैपटॉप से समझौता करता है या VPN क्रेडेंशियल चुरा लेता है, तो वे आंतरिक डेटाबेस, फ़ाइल शेयर और प्रशासनिक डैशबोर्ड पर आसानी से आगे बढ़ सकते हैं। Zero Trust Network Access (ZTNA) फ्लैट नेटवर्क परिधि को माइक्रो-सेगमेंटेड, एप्लिकेशन-विशिष्ट कनेक्शनों से बदलकर इस जोखिम को समाप्त करता है:
- न्यूनतम-विशेषाधिकार अनुप्रयोग पहुंच: रिमोट स्टाफ अंतर्निहित नेटवर्क टोपोलॉजी की दृश्यता प्राप्त किए बिना केवल अधिकृत अनुप्रयोगों (जैसे CRM या ERP प्लेटफॉर्म) से सीधे जुड़ता है।
- सतत संदर्भ-जागरूक मूल्यांकन: ZTNA गेटवे सक्रिय सत्रों से पहले और उसके दौरान उपयोगकर्ता पहचान, डिवाइस अनुपालन, भौगोलिक स्थिति और खतरे की टेलीमेट्री का लगातार मूल्यांकन करते हैं।
- गुप्त इन्फ्रास्ट्रक्चर: आंतरिक सेवाएं केवल-आउटबाउंड रिवर्स टनल के पीछे छिपी रहती हैं, जो बाहरी विरोधियों द्वारा पोर्ट स्कैनिंग और इंटरनेट-व्यापी खोज को रोकती हैं।
2. फ़िशिंग-प्रतिरोधी मल्टी-फ़ैक्टर ऑथेंटिकेशन (FIDO2 और PKI सर्टिफिकेट) अनिवार्य करें
रिमोट एंटरप्राइज उल्लंघनों में समझौता किए गए क्रेडेंशियल्स अभी भी शुरुआती एक्सेस का मुख्य जरिया बने हुए हैं। केवल स्थिर पासवर्ड पर भरोसा करना अस्वीकार्य जोखिम पैदा करता है। हालांकि, सभी मल्टी-फैक्टर ऑथेंटिकेशन (MFA) तंत्र समान सुरक्षा प्रदान नहीं करते हैं।
लीगेसी MFA विधियां - विशेष रूप से SMS टेक्स्ट कोड और स्वचालित वॉयस कॉल - सिम स्वैपिंग, SS7 दूरसंचार अवरोधन, और एडवरसरी-इन-द-मिडल (AiTM) प्रॉक्सी फ़िशिंग सहित ज्ञात कमजोरियों के कारण NIST SP 800-63B दिशानिर्देशों द्वारा स्पष्ट रूप से अमान्य घोषित की गई हैं। आधुनिक संगठनों को सभी रिमोट एक्सेस पॉइंट्स पर फ़िशिंग-प्रतिरोधी प्रमाणीकरण लागू करना चाहिए:
- FIDO2 / WebAuthn पासकीज़: प्रमाणीकरण क्रेडेंशियल्स को कानूनी डोमेन ओरिजिन से क्रिप्टोग्राफिक रूप से जोड़ता है, जिससे क्रेडेंशियल चोरी करने वाली फ़िशिंग साइटें पूरी तरह से अप्रभावी हो जाती हैं।
- 802.1X EAP-TLS क्लाइंट प्रमाणपत्र: सार्वजनिक कुंजी अवसंरचना (PKI) के माध्यम से प्रबंधित डिजिटल डिवाइस प्रमाणपत्र जारी करता है ताकि यह गारंटी दी जा सके कि केवल पूर्व-अनुमोदित कॉर्पोरेट एंडपॉइंट ही नेटवर्क हैंडशेक शुरू कर सकें।
- पहचान प्रदाता सिंक्रनाइज़ेशन: प्रमाणीकरण प्रवाह को सीधे एंटरप्राइज़ पहचान निर्देशिकाओं से जोड़ता है, जैसे कि Microsoft Entra ID, Okta, या Google Workspace।
3. WPA3-Enterprise और Cloud RADIUS के साथ वायरलेस कनेक्शन सुरक्षित करें
दूरस्थ कर्मचारी नियमित रूप से आवासीय ब्रॉडबैंड राउटर, सार्वजनिक हवाई अड्डे के नेटवर्क और आतिथ्य हॉटस्पॉट से जुड़ते हैं। मानक होम और कॉफी शॉप नेटवर्क गंभीर सुरक्षा अंतराल प्रस्तुत करते हैं, जिनमें डिफ़ॉल्ट राउटर पासवर्ड, सैकड़ों मेहमानों के बीच साझा किए गए पुराने WPA2-PSK पासफ़्रेज़ और इविल ट्विन एक्सेस पॉइंट स्पूफिंग का जोखिम शामिल है।
वायरलेस ट्रैफ़िक पर ईव्सड्रॉपिंग और मैन-इन-द-मिडल हमलों को समाप्त करने के लिए, IT लीडर्स को enterprise WiFi security और Cloud RADIUS प्रोटोकॉल लागू करने चाहिए:
- WPA3-Enterprise एन्क्रिप्शन: प्रत्येक कनेक्टेड क्लाइंट के लिए विशिष्ट, सेशन-विशिष्ट एन्क्रिप्शन कुंजियां सुनिश्चित करने के लिए 192-बिट क्रिप्टोग्राफ़िक सुइट्स और गैलोज़/काउंटर मोड प्रोटोकॉल (GCMP-256) का उपयोग करता है।
- क्लाउड RADIUS ओवर TLS (RadSec): एन्क्रिप्टेड TLS टनल (RFC 6614) पर ऑथेंटिकेशन ट्रैफ़िक को सुरक्षित करता है, जिससे रिमोट ब्रांच ऑफ़िस और हाइब्रिड स्टाफ असुरक्षित ऑन-प्रिमाइसेस RADIUS सर्वर का रखरखाव किए बिना केंद्रीय डायरेक्टरी सर्विस के खिलाफ प्रमाणित हो सकते हैं।
- ऑटोमेटेड नेटवर्क प्रोफ़ाइल प्रोविज़निंग: मोबाइल डिवाइस मैनेजमेंट (MDM) के माध्यम से कर्मचारी डिवाइसों को प्री-कॉन्फ़िगर किए गए वायरलेस सुरक्षा प्रोफ़ाइल डिलीवर करता है, जिससे मैन्युअल पासवर्ड एंट्री की आवश्यकता समाप्त हो जाती है और दुष्ट SSIDs से कनेक्शन रुक जाता है।
4. केंद्रीकृत एंडपॉइंट पोस्चर चेकिंग और फुल-डिस्क एन्क्रिप्शन लागू करें
यदि कनेक्ट होने वाला एंडपॉइंट कीलॉगर्स या रैंसमवेयर से संक्रमित है, तो एक सुरक्षित नेटवर्क टनल बहुत कम सुरक्षा प्रदान कर पाती है। रिमोट वर्क मॉडल में, संगठनों को कंपनी की संपत्तियों तक पहुँचने वाले सभी भौतिक एंडपॉइंट्स पर सख्त दृश्यता और नियंत्रण बनाए रखना चाहिए।
एंटरप्राइज IT टीमों को यूनिफाइड एंडपॉइंट मैनेजमेंट (UEM) और एंडपॉइंट डिटेक्शन एंड रिस्पॉन्स (EDR) प्लेटफॉर्म लागू करने चाहिए:
- अनिवार्य फुल-डिस्क एन्क्रिप्शन: Windows पर BitLocker और macOS पर FileVault लागू करें ताकि यह सुनिश्चित किया जा सके कि खोए या चोरी हुए लैपटॉप से डेटा भौतिक रूप से निकाला न जा सके।
- सतत स्थिति सत्यापन: कॉर्पोरेट अनुप्रयोगों तक पहुंच प्रदान करने से पहले स्वचालित रूप से सत्यापित करें कि रिमोट डिवाइस नवीनतम ऑपरेटिंग सिस्टम सुरक्षा पैच, सक्रिय फ़ायरवॉल और प्रमाणित EDR एजेंट चला रहे हैं।
- रिमोट वाइप और आइसोलेशन क्षमताएं: सुरक्षा प्रशासकों को खोए, चोरी हुए, या असुरक्षित उपकरणों पर कॉर्पोरेट कंटेनरों को तुरंत लॉक, आइसोलेट या रिमोट वाइप करने की अनुमति दें।
5. डेटा लॉस प्रिवेंशन (DLP) और क्लाउड एक्सेस सिक्योरिटी ब्रोकर्स (CASB) तैनात करें
रिमोट वर्क से अस्वीकृत व्यक्तिगत क्लाउड सेवाओं, अप्रबंधित USB ड्राइव और अनधिकृत फ़ाइल शेयरिंग (Shadow IT) के माध्यम से डेटा लीक होने का जोखिम बढ़ जाता है। संवेदनशील बौद्धिक संपदा और ग्राहकों की व्यक्तिगत पहचान योग्य जानकारी (PII) की सुरक्षा के लिए सक्रिय डेटा सुरक्षा नीतियों की आवश्यकता होती है।
क्लाउड एक्सेस सिक्योरिटी ब्रोकर्स (CASB) और डेटा लॉस प्रिवेंशन (DLP) समाधान आवश्यक दृश्यता प्रदान करते हैं:
- अपलोड/डाउनलोड पर बारीक नियंत्रण: दूरस्थ कर्मचारियों (remote workers) को संवेदनशील डेटाबेस निर्यात को स्थानीय व्यक्तिगत ड्राइव पर डाउनलोड करने या कंपनी के दस्तावेजों को व्यक्तिगत क्लाउड स्टोरेज पर अपलोड करने से रोकें।
- प्रासंगिक क्लिपबोर्ड और स्क्रीनशॉट नियंत्रण: वर्चुअल डेस्कटॉप वातावरण में अत्यधिक विनियमित वित्तीय और चिकित्सा डेटा के लिए क्लिपबोर्ड कॉपी करने, स्क्रीन कैप्चर करने और प्रिंट करने पर प्रतिबंध लगाएं।
- स्वचालित डेटा वर्गीकरण: GDPR, HIPAA, और ISO 27001 डेटा सुरक्षा मानकों के अनुपालन के लिए पारगमन में फ़ाइलों को स्वचालित रूप से स्कैन और वर्गीकृत करें।
6. उपयोगकर्ता जीवनचक्र प्रोविज़निंग और तत्काल एक्सेस निरस्तीकरण को स्वचालित करें
रिमोट वर्कफोर्स में सबसे अधिक अनदेखा किए जाने वाले सुरक्षा जोखिमों में से एक है कर्मचारी के जाने या उसकी भूमिका बदलने पर एक्सेस क्रेडेंशियल्स को रद्द करने में होने वाली देरी। उद्योग के अध्ययन बताते हैं कि 20% से अधिक पूर्व कर्मचारी संगठन छोड़ने के बाद भी कम से कम एक कॉर्पोरेट एप्लिकेशन तक पहुंच बनाए रखते हैं।
लावारिस पड़े खातों और पुराने अनुमतियों को समाप्त करने के लिए संगठनों को स्वचालित पहचान जीवनचक्र पाइपलाइनों को स्थापित करना चाहिए:
- SCIM निर्देशिका स्वचालन (automation): HR प्रबंधन प्रणालियों को वास्तविक समय में सीधे पहचान प्रदाताओं और SaaS प्लेटफॉर्म के साथ सिंक्रनाइज़ करने के लिए क्रॉस-डोमेन आइडेंटिटी मैनेजमेंट (SCIM) सिस्टम लागू करें।
- तुरंत सिंगल-क्लिक डी-प्रोविज़निंग: जब कोई कर्मचारी कंपनी छोड़ता है, तो उसकी केंद्रीय पहचान को निष्क्रिय करने से सभी सक्रिय SSO सत्र तुरंत रद्द हो जाते हैं, 802.1X प्रमाणपत्र अमान्य हो जाते हैं, VPN/ZTNA टनल समाप्त हो जाते हैं और एक स्वचालित डिवाइस वाइप सक्रिय हो जाता है।
- नियमित एक्सेस समीक्षाएं: यह सुनिश्चित करने के लिए त्रैमासिक अनुमति ऑडिट शेड्यूल करें कि कर्मचारियों के पास उनकी वर्तमान भूमिका के लिए आवश्यक न्यूनतम विशेषाधिकार ही हों।
लीगेसी रिमोट सुरक्षा बनाम Zero-Trust एंटरप्राइज आर्किटेक्चर
एक लचीला वितरित सुरक्षा ढांचा तैयार करना
दूरस्थ कार्य को सुरक्षित करना कोई एक बार की आईटी चेकलिस्ट नहीं है - यह एक निरंतर, पहचान-केंद्रित सुरक्षा स्थिति है। ज़ीरो ट्रस्ट नेटवर्क एक्सेस, फ़िशिंग-प्रतिरोधी प्रमाणीकरण, केंद्रीकृत एंडपॉइंट प्रबंधन और WPA3-Enterprise वायरलेस एन्क्रिप्शन को जोड़कर, संगठन संवेदनशील संपत्तियों की रक्षा करते हैं और साथ ही वितरित टीमों को किसी भी स्थान से उत्पादक रूप से काम करने के लिए सशक्त बनाते हैं।
क्लाउड आइडेंटिटी मैनेजमेंट और स्वचालित 802.1X नेटवर्क एक्सेस हाइब्रिड संगठनों को कैसे सुरक्षित रखते हैं, यह जानने के लिए Purple की Enterprise WiFi Security Guide को पढ़ें।
