{"id":6586,"title":"\u041f\u0440\u0435\u0434\u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u0435\u043b\u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0443\u0442, \u043a\u0430\u043a \u0437\u0430\u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u043d\u0430 \u043e\u0431\u043b\u0430\u043a\u0430\u0445","url":"\/redirect?component=advertising&id=6586&url=https:\/\/vc.ru\/yandex.cloud\/296199-kak-ispolzovat-oblachnye-tehnologii-dlya-rosta-biznesa-v-2022-godu-rasskazhem-na-yandex-scale&placeBit=1&hash=86a9775af69c8d2b0b7ae05611e0ceeeee68d1fee132c87b743ace298a8cf221","isPaidAndBannersEnabled":false}
Будущее
Polyakov Finance

Являются ли сотрудники самым слабым звеном в борьбе организации с угрозами кибербезопасности?

В вопросах кибербезопасности всё чаще темой номер один в обсуждении становятся внутренние угрозы как следствие широкого внутреннего доступа сотрудников к данным организаций.

"В то время, как программное обеспечение для обнаружения внутренних угроз становится все более умным благодаря поведенческому анализу искусственного интеллекта, человеческий фактор продолжит оставаться проблемой для кибербезопасности компаний до тех пор, пока эти системы не будут полностью усовершенствованы", - считает финансовый директор Поляков Финанс и эксперт в области "Индустрия 4.0" Пьер Поликарпов.

Действительно, даже после обнаружения внутренних угроз усилия по сдерживанию причиненного ущерба требуют огромного времени и ресурсов. Последние исследования в этой области свидетельствуют о том, что на ликвидацию инсайдерского инцидента у компаний уходит в среднем около 70-80 дней.

Внутренние угрозы принимают две основные формы - злонамеренные и небрежные.

Злонамеренные инсайдерские угрозы сознательно участвуют в причиняемом ими ущербе, тогда как небрежные инсайдерские угрозы непреднамеренно причиняют вред компании из-за вредных привычек сотрудников или из-за попыток злоумышленников, пытающихся получить доступ к данным и системам организации.

По мнению аналитиков Поляков Финанс, небрежные инсайдерские угрозы являются причиной в 60% - 65% инцидентов в кибербезопасности.

Являются ли внутренние угрозы самым слабым местом в кибербезопасности?

Везде, где существует уязвимость, и мотив получения доступа к данным и системам компании достаточно силен, риск так или иначе будет возникать. К примеру, в отчетах IBM говорится, что в 2015 году 60% всех атак на компанию осуществлялось через инсайдерские каналы, что делало сотрудников прямой целью для использования их в качестве метода получения несанкционированного доступа.

С течением времени технологии обеспечения безопасности стали все более изощренными, равно как и методы атак, применяемые против организаций.

Что делает сотрудников уязвимыми

Методы превращения сотрудников в невольных исполнителей инсайдерских атак могут различаться, но основные из них остаются неизменными – это вредные привычки, излишняя доверчивость и отсутствие осведомленности о кибербезопасности.

Сотрудники - люди, а люди слишком доверчивы

Программное обеспечение гораздо более предсказуемо и непротиворечиво по сравнению с людьми. Хотя политика безопасности является необходимым фундаментальным компонентом плана кибербезопасности организации, людей невозможно запрограммировать.

На примере любого, кто работает в офисе с доступом при помощи электронных карточек-ключей, можно увидеть, как обычное человеческое поведение и доверие регулярно подвергается «тестам на уязвимости».

Ежедневно мы наблюдаем картину, когда, скажем, две персоны подходят к двери доступа с применением карточек-ключей одновременно, где человек А открывает дверь своей карточкой-ключом. Что происходит дальше? В утопичном сценарии, полностью ориентированном на безопасность, должно быть следующее: Человек А пройдет через дверь и подождет, пока она полностью не закроется, рассчитывая, что Человек Б снаружи терпеливо дождется закрытия двери и далее воспользуется своей карточкой-ключом, чтобы пройти в здание вслед за Человеком А. Данный сценарий является технически наиболее безопасным процессом, но в большинстве случаев он не практикуется. В реальном мире это выглядит так: Человек А открывает дверь и продолжает свой веселый путь, возможно, уделяя мало внимания тому, что Человек Б намерен сделать, либо в знак вежливости Человек А открывает дверь и продолжает держать дверь открытой для Человека Б с некоторой паузой.

В свою очередь, потребности организационной кибербезопасности не должны влиять на общепринятые нормы поведения и пытаться перепрограммировать человека с целью искоренить просоциальное поведение и гуманизм.

Эффективное предотвращение небрежных внутренних угроз требует реалистичного понимания того, что одной политики недостаточно для кибербезопасности - организации также должны учитывать нормальное поведение людей.

Социальная инженерия и фишинг

Кибербезопасность в значительной степени сосредоточена на внешних хакерских угрозах, когда злоумышленники получают удаленный доступ к ценным данным и системам организаций извне. Однако с помощью социальной инженерии самая большая угроза для компаний может фактически исходить изнутри.

Социальная инженерия — это форма обмана, использующая доверие сотрудников организации к своим коллегам и партнерам компании. С её развитие внешние угрозы стали далеко не единственной угрозой для кибербезопасности организаций. Сами сотрудники непреднамеренно становятся уязвимыми, будучи просто вежливыми, когда, казалось бы, заслуживающий доверия коллега или партнер начинает запрашивать ресурсы, информацию или услуги, которые выходят за рамки их обычного объема работы.

Причина, по которой социальная инженерия так эффективна в отношении сотрудников, заключается в том, что, хотя люди не так предсказуемы, как технологии, у них всегда есть типичные психологические особенности, использование которых облегчает доступ к данным.

Это можно проиллюстрировать на примере некоего хакера Х, который может получить доступ к серверу разработки компании Х, просто позвонив в эту организацию и представившись ее ведущим разработчиком, нуждающимся в смене пароля. В наши дни компании стали лучше отслеживать такие виды атак, но по-прежнему этот кейс всё еще актуален.

Социальная инженерия может принимать множество других форм, включая подделку или компрометацию учетных записей доверенных лиц, чтобы обманным способом заставить сотрудников загружать вредоносные файлы или посещать опасные ссылки при фишинг-атаке.

Вредные привычки

Помимо прямой эксплуатации ПО, сотрудники могут создавать уязвимости компании из-за вредных привычек. Источником их вредных привычек может быть элементарное невежество, вызванное отсутствием знания основ кибербезопасности, а также отсутствием корпоративного обучения культуре содержания рабочего места и правилам безопасности в офисе.

К вредным привычкам сотрудников относятся:

• Не блокировать свой рабочий компьютер, когда он не используется.

• Чтение фишинговых писем (клики по ссылкам на вредоносные сайты, загрузка вредоносных программ из, казалось бы, невинных файлов).

• Оставлять конфиденциальную информацию открытой (в том числе оставлять отпечатанные документы без присмотра в лотке для бумаги у принтера).

Как работать с сотрудниками, чтобы смягчить угрозы кибербезопасности

Безусловно, сотрудники являются мишенью для кибератак. Тем не менее, при надлежащем сочетании технологических возможностей компании, обучения и прочих информационных ресурсов команда предприятия может стать критически важным ресурсом для снижения киберугроз.

Организация, которая мотивирует своих сотрудников обеспечивать кибербезопасность на рабочем месте, получает ценный актив для снижения угроз. Менеджмент компании может расширить возможности своих сотрудников, проводя постоянные тренинги по кибербезопасности, предоставляя сотрудникам четкий способ сообщения о проблемах безопасности и открыто признавая важную роль, которую их сотрудники играют в поддержании стабильности организации.

Так, являются ли сотрудники самым слабым звеном в борьбе организаций с угрозами кибербезопасности? На самом деле, - не обязательно. При правильном сочетании политик, процессов, продуктов и процедур люди могут стать самым большим активом для предприятия.

{ "author_name": "Polyakov Finance", "author_type": "self", "tags": ["\u043f\u044c\u0435\u0440\u043f\u043e\u043b\u0438\u043a\u0430\u0440\u043f\u043e\u0432","\u043f\u043e\u043b\u044f\u043a\u043e\u0432\u0444\u0438\u043d\u0430\u043d\u0441","\u043c\u0435\u043d\u0435\u0434\u0436\u043c\u0435\u043d\u0442","\u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c","\u0438\u043d\u0434\u0443\u0441\u0442\u0440\u0438\u044f4","\u0437\u0430\u0449\u0438\u0442\u0430_\u0434\u0430\u043d\u043d\u044b\u0445","polfinance","bigdata"], "comments": 1, "likes": 9, "favorites": 13, "is_advertisement": false, "subsite_label": "future", "id": 108365, "is_wide": true, "is_ugc": true, "date": "Fri, 21 Feb 2020 12:48:48 +0300", "is_special": false }
0
1 комментарий
Популярные
По порядку

Добрый день. Нам, к сожалению, не так повезло с сотрудниками. Дело, как мне кажется, в уровне ответственности коллектива. Не все понимают важность защиты в сети, большая часть думает, что с ними ничего плохого в интернете произойти не может . И уж о том, что вся компания может пострадать точно никому в голову не приходит. В 2017 зимой мы столкнулись со всеми прелестями интернет-атак, а ведь тогда только на ноги встали! В конце-концов обратился за помощью к https://www.smart-soft.ru/state-solutions/. И ни разу не пожалел. Сплю однозначно крепче.

0
Читать все 1 комментарий
Эксперты Httpool выступят на конференции по глобальному маркетингу Globalize! 2021

Событие соберет самых продвинутых специалистов в сфере трафика и аналитики из Google, Httpool, AppsFlyer, Aitarget, Angle Connect, TikTok, OWOX, SHAREit, Tribuna, SportQuake, LCFC, FBS.

Неделя российских экосистем: Ozon добавит объявления и кино, Яндекс сделал офис в приложении Почты, а Мегафон — подписку

А бизнес избавился от многочасовых онлайн-закупок благодаря Сберу и Эвотору

Rambler&Co поддержал проект открытых уроков по предпринимательству для московских школьников

В рамках программы «Атланты в школах» исполнительный директор Алёна Корякина рассказала московским старшеклассникам о ценностях в бизнесе и жизни.

«Ничего не делай две минуты»: как приложение для медитаций Calm стало популярным ещё до запуска Статьи редакции

Сооснователь приложения Алекс Тью решил проверить, действительно ли люди часто отвлекаются на ненужные вещи, и создал сайт, где нужно было ничего не делать. Проект быстро стал вирусным и помог раскрутить Calm. First1000 рассказывает, как Тью это удалось.

Как традиционному малому бизнесу превратиться в стартап: план действий

Сейчас в России предприниматели переходят из традиционного малого бизнеса в стартапы очень редко — меньше чем в 0,02% случаев. Это не больше 1 000 стартапов из около 6 млн предприятий малого бизнеса. Поговорим о том, что мешает предпринимателям и как действовать, если есть желание создать стартап.

Нужны ли в России сити-фермы

И появятся ли грядки на крышах пятиэтажек.

re-thinkingthefuture.com
Сергей Галицкий сообщил о болезни, которая «мешает работе» — из-за неё он не может посещать матчи команды Статьи редакции

Галицкий не раскрыл детали, но рассказал, что меняет структуру футбольного клуба — чтобы он не зависел от одного человека.

Сергей Галицкий «КомментШоу»
Готовы выбрать победителя премии «Экспортер года eBay — 2021»?
«Любая клавиатура может быть эргономичной — просто купите вторую» Статьи редакции

Программист Disney Джефф Пэрриш несколько лет страдал от боли в спине при наборе текста— смена клавиатуры и упражнения не помогали. Решение оказалось изящнее.

Кейс: как мы арендовали гостиницу на юге и ничего не заработали

На днях я поговорила с предпринимателями, которые в 2018 году арендовали гостевой дом в Геленджике, и выяснила, почему нужно чётко фиксировать все принципиальные вопросы в договоре заранее и что важно просчитать на старте, чтобы бизнес был прибыльным.

Набережная Геленджика  Фото является объектом авторского права
Нью-Йорк первым из крупных городов США принял указы об условиях труда курьеров: разрешил отказываться от заказа и другое Статьи редакции

Сервисы должны будут сообщать, куда везти заказ, до его принятия и платить не реже раза в неделю.

null