Информационная безопасность – ключевая задача любого бизнеса. Трудно переоценить значение ценных данных, ведь именно они определяют динамику развития, позицию на рынке и конкурентные преимущества любой компании. Однако, несмотря на это, многие собственники регулярно наступают на одни и те же грабли. Специалисты по безопасности определили 4 основных ошибки, которые могут разрушить всю систему информационной защиты.
Меня это не касается
«Хакеры? Утечка данных? Кому нужна коммерческая информация моей фирмы?» — наивно полагает владелец небольшой компании, расположенной где-нибудь в Воронеже или Омске. И на первый взгляд, подобное мнение имеет под собой железобетонный бэкграунд: какую ценность для хакеров может представлять непонятная фирма, если есть более привлекательные жертвы, на серверах которых хранятся терабайты важных данных. Достаточно вспомнить об утечке в корпорации Sony, или скандале с Mossack Fonseca. Информационное поле и СМИ невинно намекают небольшим компаниям: вы никому не нужны, на вас не стоит тратить силы. Но так ли это на самом деле?
Малый и средний бизнес страдает от хищений информации гораздо чаще, чем крупные корпорации. Их системы защиты обычно представляют собой антивирус и надежду на светлое будущее. Статистика затрудняется с подсчетом жертв в этом сегменте, ведь многие владельцы маленьких компаний даже не догадываются о том, что факт утечки имел место, поскольку инструменты отслеживания и анализа трафика отсутствуют как класс.
Основная угроза исходит от инсайдеров, сотрудников компании, решивших развить свой бизнес за счет ресурсов работодателя, или найти новое место работы, попутно захватив все, что плохо лежит. Например, базу клиентов.
Последний год наглядно продемонстрировал: даже хакерам не наплевать на малый бизнес, ведь их систему защиты легко взломать. Самый яркий пример – вирусы WannaCry и Petya A, которые положили на обе лопатки компании от мала до велика. Конечно, в СМИ по традиции, попали истории о крупных мастодонтах бизнеса, прочувствовавших на своей шкуре, что такое блэкаут. Небольшие компании, которые утратили работоспособность, на дни и даже недели, никто особо и не подсчитывал. Это ведь не так интересно и увлекательно, как обсуждать большого мамонта, впавшего в летаргический сон.
«Меня это никогда не коснется» — ключевая ошибка бизнеса независимо от форм и размеров. В XXI веке проблема утечки данных, к сожалению, касается абсолютно всех.
Бесконтрольные коммуникации
Упомянутый выше случай с WannaCry и Petya A – наглядная иллюстрация того, как легко можно обойти системы безопасности с помощью достаточно простого инструмента – фишинга. Подобные атаки характеризуются отправкой писем, замаскированных под уведомления от банков, государственных регуляторов, сообщений от партнеров или даже собственного босса! Как только нерадивый сотрудник запускает вложение, вирус в мгновение ока попадает во внутреннюю сеть компании. Нередки случаи, когда фишинговые письма содержат ссылки на сайты — сборщики паролей, мимикрирующие под банковскую систему, CRM или корпоративный портал.
Но не письмами едиными живут хакеры. Skype, Viber, уютный Facebook или привычный ВКонтакте могут служить эффективными инструментами в руках злоумышленников. Взломать аккаунт руководителя в мессенджере гораздо проще, чем возиться с маскировкой почтовых сообщений. А дальше – дело техники: сотрудник получает ссылку или документ от непосредственного начальства, открывает, и вся система защиты рушится в один момент.
Бесконтрольные коммуникации рано или поздно приведут к потере информации, и речь идет не только о целенаправленном вредительстве. Работник не всегда понимает, что можно и нельзя делать. А руководитель, оставив персонал наедине со всемирной паутиной, даже не будет догадываться о приближающейся беде.
Единственный способ противостоять рисковым ситуациям – контроль каналов связи в режиме реального времени, позволяющий предвидеть угрозы, выявлять опасные действия персонала и адекватно реагировать на них.
Пароли
Хорошая подготовка – вот ключевой фактор любой успешной атаки. В фишинге могут пригодиться доступы к электронной почте сотрудников, или аккаунтам в скайпе. Казалось бы, подобные данные получить не так уж и просто, ведь у большинства программ и сайтов есть защита от «брутфорса» — грубого автоматического подбора паролей. Задачу злоумышленникам упрощают, как всегда, люди. До сих пор самое популярное во всем мире кодовое слово – 123456, на втором месте – 12345, почетное третье место уже который год занимает венец креатива, пароль – password.
Среднестатистический работник, оставленный на произвол судьбы, сам не желая того, сделает все, чтобы хакерам не пришлось прикладывать лишних усилий для взлома корпоративной почты или сервера с ценной информацией.
Отсутствие бэкапов
Независимо от системы защиты утечка или безвозвратная порча данных может произойти. Причин этому тысячи: сработал хитрый инсайдер, сотрудник попался на крючок фишинга, хакеры использовали «уязвимость нулевого дня» и так далее. Если вы не хотите, чтобы подобное прискорбное происшествие поставило жирную точку на деятельности компании, стоит прислушаться к главному совету специалистов по безопасности: всегда делайте копии информации, которые желательно хранить в труднодоступном для персонала и не подключенном к интернету месте.
В случае ЧП они хотя бы дадут возможность наладить работу. Ну а выяснить, что же стало причиной катастрофы и не допустить подобного в дальнейшем – поможет DLP-система, позволяющая контролировать действия сотрудников и предиктивно оценивать риски.
