Чтобы защитить рабочие аккаунты за границей, до подключения подтвердите, что работодатель разрешил страну и формат работы. Составьте перечень аккаунтов и привилегий, настройте надёжную MFA и отдельные способы восстановления, сократите число активных сеансов и объём локальных данных, используйте только одобренные устройства и каналы доступа и быстро сообщайте о необычных запросах. Меры безопасности сами по себе не дают иммиграционного, налогового или трудового разрешения.

Ключевые выводы:

Получите письменное разрешение на страну, даты, устройство и вид работы.

Разделите обычные, административные, технические, финансовые и восстановительные аккаунты.

Выберите устойчивую к фишингу MFA и храните проверенный резервный фактор отдельно.

Сократите постоянные сеансы, локальные файлы и доступ к чувствительным системам.

Рассматривайте повторные запросы и блокировки как повод связаться с IT, а не как контроль для обхода.

Включите защиту аккаунтов в план международной работы и поездки. Это руководство посвящено безопасности учётных записей; оно не определяет, законна ли работа в стране назначения, покрывается ли она страховкой и разрешена ли клиентом или организацией.

1. Чтобы защитить рабочие аккаунты, получите разрешение на работу за границей

Перед поездкой уточните у работодателя, руководителя, юридической службы или команды глобальной мобильности, можно ли работать из страны назначения. Сообщите страну и при необходимости регион, даты, тип устройства, форму занятости, характер работы с клиентами и системы, к которым потребуется доступ. Сохраните решение и все условия в утверждённой системе учёта.

Не считайте туристический въезд, удалённый формат работы или техническую возможность войти в систему разрешением на работу. Организации могут ограничивать страны из-за санкций, экспортного контроля, клиентских договоров, требований к локализации данных, страхования, налогов, расчёта зарплаты или реагирования на инциденты. Такие вопросы должен решать ответственный владелец процесса, а не технический обход.

Спросите, требует ли деятельность с высоким риском дополнительного одобрения: привилегированное администрирование, производственные изменения, платежи, доступ к исходному коду, регулируемые записи, подписание документов или загрузка данных клиентов. Компания может разрешить обычное сотрудничество, ограничивая меньший набор систем.

Запишите одобренное устройство, корпоративный клиент удалённого доступа, требования к сети, часы работы службы поддержки и экстренный контакт. Если страна назначения изменится, получите согласование заново. Не скрывайте местоположение, не указывайте ложные сведения о поездке и не продолжайте повторные попытки, если сообщение о политике прямо запрещает доступ.

2. Проведите инвентаризацию аккаунтов, привилегий и способов восстановления

Перечислите все рабочие аккаунты: основной каталог, электронную почту, чат, хостинг кода, облачную консоль, менеджер паролей, VPN или клиент Zero Trust, финансовые инструменты, HR-портал, поддержку клиентов и управление устройствами. Отдельно отметьте аккаунты с правами администратора, выставления счетов, развёртывания, подписания или экспорта данных.

Если организация предоставляет разные аккаунты, отделите повседневную работу от привилегированного доступа. Не добавляйте высокие права «на всякий случай» перед поездкой. Попросите владельца удалить устаревшие разрешения и подтвердить процедуру экстренного повышения прав, доступную из-за рубежа.

Составьте карту цепочки восстановления. Определите, какие адрес электронной почты, номер телефона, приложение-аутентификатор, аппаратный ключ, служба поддержки, руководитель, удостоверение личности и устройство позволяют восстановить каждый важный аккаунт. Избегайте замкнутой схемы, при которой потеря одного телефона одновременно блокирует почту, менеджер паролей и все резервные факторы.

Для личных и долгосрочных изменений используйте список цифровых учётных записей при переезде, но корпоративное восстановление оставляйте в одобренных работодателем каналах. Не заменяйте рабочий адрес восстановления неутверждённой личной учётной записью ради удобства.

3. Усильте MFA рабочих аккаунтов и проверьте резервный фактор

CISA рекомендует MFA, поскольку одного украденного пароля тогда недостаточно для входа, и выделяет устойчивые к фишингу методы, когда они доступны. ［1］ Регистрируйте факторы только по процедуре работодателя; не добавляйте без разрешения неофициальный аутентификатор, личный номер телефона или правило пересылки.

Предпочитайте поддерживаемые организацией аппаратные ключи безопасности, ключи доступа, сертификатные или другие устойчивые к фишингу методы. В push-уведомлении проверяйте приложение, местоположение и номер запроса и отклоняйте запрос, который не инициировали. Повторные неожиданные уведомления могут означать компрометацию пароля или попытку добиться подтверждения за счёт усталости пользователя.

Храните проверенный резервный фактор отдельно от основного ноутбука или телефона. Запасной аппаратный ключ должен быть зарегистрирован, промаркирован без раскрытия аккаунта, защищён от потери и помещён в другое безопасное место. Разрешённые коды восстановления следует шифровать или физически защищать и не класть в одну сумку с устройством, которое они восстанавливают.

Проверьте одобренную процедуру восстановления до отъезда, не блокируя себе доступ. Если SMS входит в официальную резервную процедуру, заранее проверьте получение сообщений за рубежом. Учтите, что SMS может оказаться недоступным и обеспечивает меньшую защиту, чем фишингоустойчивые методы. Запишите процедуру проверки службы поддержки и часы её работы, не копируя секреты в заметки о поездке.

4. Сократите количество сеансов, данных и доверенных устройств

Просмотрите активные сеансы и выйдите из браузеров или устройств, которые вы не возьмёте с собой. Удалите устаревшие токены приложений и сторонние интеграции через официальную страницу учётной записи. Не отключайте агент управления устройством или защиты, который требуется политикой. Если не удаётся опознать незнакомую сессию или токен, обратитесь в IT.

Берите только данные, необходимые в поездке. Предпочитайте управляемое облачное хранилище, контролируемые репозитории и утверждённые виртуальные рабочие столы крупным офлайн-экспортам. Удаляйте данные только по правилам хранения и синхронизации организации, чтобы не уничтожить единственную копию и не запустить неуправляемое резервирование.

Создайте отдельный профиль браузера для работы, если это разрешено корпоративными правилами, отключите синхронизацию личных расширений и не используйте рабочие учётные данные на общих или семейных устройствах. Настройте автоматическую блокировку экрана, используйте полнодисковое шифрование, установите необходимые обновления до поездки и убедитесь, что системы защиты конечных точек и управления устройством показывают штатное состояние.

Руководство NIST по удалённой работе охватывает защиту технологий удалённого доступа, конечных устройств и связи вне обычных помещений. ［2］ Применяйте действующий стандарт работодателя, а не собирайте собственный набор средств. Руководство по защите нескольких устройств поможет учесть физические устройства, но правила обработки корпоративных данных по-прежнему определяет работодатель.

5. Используйте утверждённые сети и корпоративные пути доступа

Считайте сеть недоверенной, даже если отель, коворкинг, хозяин жилья или аэропорт выдали пароль. Уточняйте название сети у персонала или по другому доверенному каналу, проходите авторизацию на гостевом портале сети без ввода корпоративных данных на посторонних страницах и отключайте автоматическое подключение к сохранённым публичным сетям.

Используйте корпоративный VPN, службу безопасного доступа, управляемый браузер, виртуальный рабочий стол или иной метод, требуемый работодателем. Потребительский VPN не заменяет корпоративную аутентификацию, проверку состояния устройства, журналирование, правила маршрутизации, предотвращение утечек и контроль местоположения. Сервис личной конфиденциальности и корпоративная система доступа решают разные задачи.

Канадский центр кибербезопасности рекомендует оценивать риск страны назначения, сокращать объём перевозимой информации, защищать устройства и пользоваться утверждёнными каналами связи во время поездок и удалённой работы за рубежом. ［3］ Запросите у работодателя конкретные инструкции.

Для общих проверок публичной сети используйте руководство по Wi-Fi в отеле и коворкинге. AethoVPN может защищать трафик в разрешённом соединении, но не даёт разрешения на работу, не заменяет корпоративный VPN или провайдера идентификации, не обеспечивает соответствие устройства и не отменяет ограничение организации по местоположению.

6. Ведите контроль входов в рабочие аккаунты и быстро сообщайте об аномалиях

Перед отъездом узнайте, где организация показывает недавние входы, предупреждения безопасности, состояние устройства и функцию отзыва сеансов. Включите утверждённые уведомления и проверьте контактный адрес и телефон. Не пересылайте корпоративные предупреждения в неутверждённый личный почтовый ящик.

Считайте неожиданную MFA-проверку, сброс пароля, новый способ восстановления, незнакомое устройство, невозможное местоположение, правило почтового ящика, выдачу токена или привилегированное действие сигналом инцидента. Запишите время, сервис, показанное местоположение, устройство, IP-адрес, если он виден, и идентификатор корреляции или события. Не переходите по ссылке в уведомлении: отдельно откройте известное приложение или канал связи.

Если компрометация правдоподобна, следуйте процедуре работодателя. С заведомо чистого управляемого устройства смените пароль, если это предписано, отзовите сеансы, удалите несанкционированные факторы и сохраните доказательства. Не расследуйте инцидент, открывая подозрительные вложения, отправляя сообщения из предположительно скомпрометированного аккаунта или копируя регулируемые журналы на личное устройство.

Если доступ заблокирован после смены местоположения, прекратите повторные попытки и попросите IT проверить риск учётной записи, соответствие устройства, сетевые условия и политику местоположения. Следуйте специальной процедуре диагностики рабочего ноутбука, не подменяйте местоположение и не переключайтесь хаотично между сетями. Запишите результат инцидента и параметры временного исключения, включая срок и владельца.

Итоги

Подтвердите, что страна назначения и тип работы разрешены, до того как проверять доступ.
Проведите инвентаризацию аккаунтов, привилегированных ролей, зависимостей и цепочек восстановления.
Используйте поддерживаемый фишингоустойчивый метод MFA, а проверенный резервный фактор храните отдельно.
Сократите постоянные сеансы, локальные данные, ненужные интеграции и неуправляемые устройства.
Используйте утвержденные сети и инструменты корпоративного доступа, не минуя контроль местоположения или соответствия.
Контролируйте входы и сообщайте об аномальных запросах, сеансах, изменениях восстановления и блокировках.

Часто задаваемые вопросы (FAQ)

Могу ли я работать за границей, если все рабочие аккаунты доступны?

Технический доступ не равен разрешению на работу. Трудовые, иммиграционные, налоговые, санкционные и страховые правила, а также требования клиента и обработки данных могут запрещать или ограничивать такую работу. Получите письменное решение организации для конкретной страны и вида работы.

Может ли потребительский VPN заменить VPN моего работодателя?

Нет. Корпоративный метод доступа может проверять личность пользователя, сертификаты, состояние устройства, маршрут соединения, регистрацию и соблюдение правил обработки данных. Используйте корпоративный метод. Не используйте другой сервис для сокрытия местоположения или обхода политики.

Какой метод MFA лучше всего подходит для международной работы?

Используйте самый сильный устойчивый к фишингу метод, который поддерживает работодатель, например одобренный ключ безопасности или ключ доступа. Зарегистрируйте и проверьте резервный фактор и следуйте корпоративной политике восстановления; не добавляйте неутверждённый личный способ.

Должен ли я носить оба ключа безопасности в сумке?

Нет. Если основной и резервный факторы хранятся вместе с одним устройством, одна потеря лишит вас сразу всех способов входа. Защитите резервный фактор и храните его отдельно в соответствии с политикой; убедитесь, что он остаётся доступным и его можно законно ввезти в страну назначения.

Что делать с неожиданным запросом MFA за рубежом?

Отклоните запрос, запишите время и показанные сведения, откройте сервис по известному адресу и сообщите о событии через канал реагирования работодателя. Следуйте указаниям по смене пароля, отзыву сеансов или изоляции устройства.

Могу ли я загрузить файлы перед поездкой, если доступ заблокирован?

Только если это разрешают правила организации по обработке данных и поездкам. Большие офлайн-копии повышают риски потери, пограничной проверки, нарушения конфиденциальности, хранения и синхронизации. Предпочитайте одобренный управляемый доступ и берите минимум необходимых данных.

Предупреждение о входе из другой страны всегда означает компрометацию?

Нет. Корпоративные шлюзы, мобильные операторы, облачные сервисы и ошибки геолокации могут повлиять на отображаемое местоположение. Всё равно проверьте событие, устройство, время, приложение и фактор. Сообщите обо всём, что вы не инициировали.

Отказ от ответственности: Это руководство содержит общую информацию по защитной безопасности, а не юридическую, иммиграционную, налоговую, санкционную, трудовую или комплаенс-консультацию. Следуйте правилам работодателя и при необходимости получите квалифицированную консультацию для страны назначения и вида работы.

Источники

Cybersecurity and Infrastructure Security Agency — Require Multifactor Authentication — https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication
National Institute of Standards and Technology — SP 800-46 Rev. 2: Guide to Enterprise Telework, Remote Access, and BYOD Security — https://csrc.nist.gov/pubs/sp/800/46/r2/final
Canadian Centre for Cyber Security — Device security for travel and telework abroad — https://www.cyber.gc.ca/en/guidance/device-security-travel-and-telework-abroad-itsap00188

Sources checked 8 сентября 2026 г.

Рекомендуемые статьи:

Как защитить рабочие аккаунты при работе за границей