ТМТ
Без утечек. Как привить в компании цифровую гигиену
В мае и начале июня в даркнете появилось рекордное количество баз данных российских компаний — более пятидесяти. Практически все утёкшие крупные базы содержат имена клиентов, телефоны, адреса, а некоторые — хеш-пароли, паспортные данные и т. д. При этом, по данным Минцифры, в 70% случаев в утечке есть вина сотрудников, имеющих доступ к таким базам. Из-за масштабов проблемы правительство уже разрабатывает законопроект о наказании за утечки. Ниже приводим основные подходы, которые позволят обезопасить рабочую информацию от взломов.
70% утечек
происходит по вине или недосмотру сотрудников
Рассказываем, каких правил следует придерживаться для профилактики краж информации и чем грозит несоблюдение этих правил.
Проверять письма перед открытием
Почему это важно. Через письма мошенники могут украсть логин и пароль от рабочей почты и получить доступ к корпоративным данным. Такие послания маскируются под отправления от коллег или под письма от почтового сервера. В них может сообщаться о проблеме, связанной с аккаунтом (достижение лимита хранения, проблемы с доставкой писем, несанкционированный вход в аккаунт и т. д.) и требование подтвердить или обновить данные аккаунта, перейдя по ссылке или открыв вложение.
Как снизить риск. Привычку постоянно проверять информацию вырабатывают регулярные тренировки, организованные работодателем. Также нужны и специальные защитные программы, которые блокируют подозрительные письма и ссылки.
Следить за персональными данными
Почему это важно. Пользователи выкладывают в сети персональные данные (адрес, почту, номер телефона и т. д.), по которым легко найти человека и взломать его аккаунт.
Как снизить риск. Объяснить сотрудникам опасность публикации персональной информации в открытом доступе. Они должны периодически менять пароли в социальных сетях, не регистрироваться там по телефону и почте, которые указывают в открытом доступе, удалять личные данные и использовать разные фото в рабочих и личных аккаунтах и т. д.
Личная переписка — только с личного телефона
Почему это важно. Если связать рабочий компьютер с личными гаджетами, то через мессенджеры проще получить доступ к корпоративной информации. По той же причине рискованно использовать личную почту в рабочих целях.
Как снизить риск. Для этого во внутреннем регламенте фиксируется прямой запрет на использование определённых мессенджеров на рабочем компьютере. Например, ограничения на некоторые иностранные программы уже вводятся в некоторых российских госкомпаниях из-за несоответствия уровню безопасности.
Использовать разные пароли
Почему это важно. При использовании повторяющихся паролей мошенникам легче получить доступ к информации. Если, например, данные пользователя интернет-магазина утекут, то по паролю для входа можно будет получить данные к другим его аккаунтам.
Как снизить риск. Ввести двухфакторную аутентификацию на рабочем компьютере (например, при помощи пароля и СМС), в почте, корпоративных мессенджерах и т. д. Также поможет принудительная смена пароля раз в несколько месяцев, при невыполнении этого требования блокируется вход в компьютер.
Самая большая проблема заключается в том, что, даже зная об угрозах, люди всё равно относятся к правилам крайне беспечно: им кажется, что их пароли никому не нужны, что их невозможно обмануть и с ними никогда не произойдёт кража личных данных
Утечки по типам данных, доля от общего числа в %
Блокировать компьютер и отказаться от непроверенных носителей
Почему это важно. Незаблокированный компьютер становится лёгкой мишенью для злоумышленников. Например, они могут войти в него через шпионские программы. А на непроверенных носителях могут быть вирусы-трояны, крадущие данные.
Как снизить риск. Настроить автоматическую блокировку компьютера, если пользователь бездействует. А также запретить использование посторонних носителей.
Памятка для руководителей
По данным Kickidler (разработчика программы учёта и контроля времени сотрудников за рабочими компьютерами), в компаниях используются несколько видов программ:
- тайм-трекеры (time tracking software) — подсчитывают отработанные сотрудниками часы, анализируют время работы над проектами и т. д. (Toggle, Hubstaff, RescueTime);
- системы мониторинга сотрудников (employee monitoring software) — ведут более детальный анализ продуктивности сотрудников, с видеозаписью активности, записью нажатий клавиш, учётом посещаемых сайтов и запускаемых приложений (Kickidler, Time Doctor, Teramind);
- DLP-системы (data loss prevention software) — контролируют активность пользователей и предотвращают утечки информации (InfoWatch, SecureTower от Falcongaze, «СёрчИнформ КИБ»).
«Информационная безопасность становится всё более актуальной как для крупных, так и для мелких компаний, а затраты на поддержание этого сегмента растут ежегодно: из-за масштабной цифровизации большое количество ценных данных под угрозой, — отмечает Алексей Уткин, директор по маркетингу Kickidler. — Способствует росту ответственности и использование специальных программ для контроля: этический вопрос уходит на второй план, когда на кону безопасность бизнеса. Ещё один способ — составление инструкций для работников и периодическое проведение аттестаций и экзаменов на знание правил информационной безопасности».