Новости о крупных утечках информации или о хакерских атаках не сходят с первых полос разнообразных изданий. Всемирная паутина уже давно стала опасным местом, в котором обитает множество крупных и мелких хищников, всегда готовых атаковать жертву.
В системах безопасности особое место занимает защита от внутренних угроз – инсайдеров, ведь кому, как ни сотрудникам компании легче всего обойти ловушки и препятствия, добраться до ценных данных. Для борьбы с инсайдерами используются системы мониторинга почты и мессенджеров, слежение за перемещением печатных документов, разграничение уровня доступа к информации. Однако, очень часто настоящая «дыра» в системе безопасности остается незакрытой. Сложно представить, что такое невинное развлечение, как социальны сети, может стать причиной настоящей катастрофы.
Эволюция электронных каналов коммуникации привела к тому, что интернет стал чуть ли не основным средством для любого бизнеса. А в эпоху веб два-ноль на арену вышли социальные сети. Платформы для общения очень быстро превратились в один из мощнейших каналов коммуникации бренда с потребителями и стали серьезным каналом продаж. И неудивительно, ведь одно из последних исследований демонстрируют, что 74% лиц старше 18 лет имеют аккаунты в различных социальных сетях.
Возможность быстро передать любую информацию широкому кругу лиц имеет две стороны. Любая социальная сеть может стать причиной утечки внутренней секретной информации, послужить черным ходом для злоумышленников или стать инструментом, нанесшим непоправимый вред репутации компании.
Внутренняя угроза
Снисходительное отношение к социальным сетям дало инсайдерам отличную фору. Очень часто руководители закрывают глаза на «маленькие» слабости сотрудников. Например, весьма успешный менеджер по продажам Иванов сидит в Одноклассниках, но его босса это не беспокоит — продажи держатся на неплохом уровне. Можно и поблажку Иванову дать, полчаса рабочего времени, потраченного на флирт с бывшей одноклассницей – небольшая трагедия для фирмы. Однако дела обычно обстоят гораздо хуже, чем нецелевая трата времени. Сотрудники, неудовлетворенные зарплатой, регулярно «сливают» крупных клиентов конкурентам. Заметить деятельность особо хитрых инсайдеров сложно, ведь они стараются сохранить небольшую динамику продаж в своей родной компании за счет менее крупных сделок и клиентов.
Кроме откровенного саботажа и работы на конкурентов всегда есть шанс, что один из сотрудников решит развивать свой бизнес за счет мощностей компании. Для таких инсайдеров социальные сети – отличный канал поиска клиентов и партнеров.
Хакеры и социальная инженерия
Киберпреступники научились быстро и без особых финансовых затрат проникнуть внутрь практически любой компании. Социальная инженерия – особый вид мошенничества, который подразумевает манипулирование сознанием отдельных личностей. Однако действовать без подготовки социальные инженеры не могут, перед атакой им необходимо изучить огромный пласт информации: составить список потенциальных жертв внутри компании, узнать их личностные характеристики, изучить окружение и привычки. Еще 10 лет назад для этого понадобился бы, как минимум, источник внутри компании. Сейчас все гораздо проще. В социальных сетях большинство указывают место работы и должность, в соответствующих разделах можно получить информацию о семье, хобби и увлечениях. А тысяча и одна фотография дополнят картину. Имея столь полную информацию любой хороший психолог, а социальные инженеры всегда отличные манипуляторы, сможет заставить жертву выполнить нужные ему действия. Например, представившись руководителем одного из отделов компании, попросить подтвердить перевод или отправить список ключевых клиентов за последний год.
Репутация бренда
Репутация компании – не пустой звук. Именно на ней держится весомый процент продаж и успешных сделок, доверие клиентов и партнеров. Заработать положительный имидж крайне сложно, а вот разрушить можно практически мгновенно. За последние годы большинство скандалов вокруг компаний, так или иначе, связанны с социальными сетями. И виновники, чаще всего, не хитрые конкуренты или недовольные клиенты, а сами работники. Неудачные посты, твиты и фотографии наносят непоправимый урон бренду. А жалобы друзьям в конфиденциальной переписке на «несносного босса» или «адские условия труда» очень легко могут стать достоянием общественности. Ведь перемыть косточки лидеру рынка, например, на форуме или в СМИ – очень заманчиво. Особенно если информация получена из «достоверного источника» внутри компании.
Противодействие
Наиболее оптимальная стратегия противодействия утечкам информации через социальные сети состоит из двух составляющих: грамотная информационная политика и мониторинг сотрудников.
Информационная политика — это набор четких инструкций поведения сотрудников в социальных сетях. Она может включать как полный запрет на использование социальных медиа на рабочем месте, так и регламент их применения для решения определенного спектра задач. Следует уделить внимание поведению персонала во внерабочее время. Например, если сотрудник указывает в профиле место работы, он должен придерживаться определенных правил публикации контента, так как является в некоторой степени лицом компании. Если же сотрудник не согласен с ограничениями – выход прост: не упоминать место работы и не публиковать информацию, связанную с компанией.
Второй важный этап – мониторинг действий в социальных сетях в рабочее время. Сотрудники должны понимать, что нецелевой расход рабочего времени с использованием ресурсов компании недопустим, любые действия наблюдаются и анализируются, и нарушение правил будет иметь последствия.
Для противодействия утечкам данных и распространению нежелательной информации очень важно вести наблюдение не только посещенных форумов, блогов или социальных сетей, но и понимать, какой контент генерировал сотрудник. Современные DLP системы позволяют делать скриншоты с распознаванием текста, перехватывать текст, введенный на клавиатуре и, в случае регистрации риска, уведомлять ответственное лицо.
