У бизнеса есть множество рисков, связанных с информационной безопасностью. И речь идет не о риске провалить проверку какого-нибудь профильного ведомства на соответствие многочисленным правилам и протоколам. Все чаще предприниматели сталкиваются с реальными атаками, которые могут привести к приостановке работы бизнеса и/или потере денег.
Вот основные разновидности таких атак:
- Фишинговые атаки. Это когда хакеры рассылают поддельные ссылки, которые маскируются под надежные. Так делают, чтобы обманом заставить людей раскрыть личную информацию: как правило, логин и пароль от сервиса, под который маскируется мошенник.
- Заражение вредоносным ПО. Вредоносы предназначены для нанесения ущерба компьютеру или сети. Последствия заражения могут варьироваться от надоедливых всплывающих окон до более серьезных проблем, таких как кража данных или сбои в работе систем.
- Взлом паролей. Хакеры могут подобрать слабые пароли и получить доступ к конфиденциальным данным. Найти нужный пароль можно разными способами: от простого перебора до использования методов социальной инженерии или эксплуатации утечки данных.
- Взлом незащищенных сетей Wi-Fi. Хакеры могут перехватывать данные, которые передаются по незащищенным сетям Wi-Fi: утечь могут логины и пароли, финансовые данные или любая другая конфиденциальная информация.
- Атаки на мобильные устройства. Угрозу взлома мобильных устройств усиливает отсутствие шифрования, которое может облегчить хакерам перехват данных, слабые пароли или PIN-коды, незащищенные приложения, а также устаревшее встроенное ПО, содержащее уязвимости безопасности.
Что делать, чтобы защититься от киберугроз?
Мы собрали для вас несколько простых в реализации советов по информационной безопасности для бизнеса:
Следите за паролями и настраивайте многофакторную аутентификацию. Есть несколько простых правил, которые помогут сделать пароль более надежными:
- В пароле должно быть минимум 12 символов
- В пароле лучше использовать сочетание прописных и строчных букв, цифр и символов.
- Пароль не должен содержать никакой личной информации, такой как имена, даты рождения или адреса.
- Пароль должен быть уникальным для каждой учетной записи, чтобы хакеры не могли получить доступ к нескольким учетным записям с одним и тем же паролем.
Многофакторная аутентификация, например, в формате отправки кода на мобильное устройство, также может повысить уровень безопасности паролей. Google Authenticator, Microsoft Authenticator и Authy — это одни из самых популярных приложений этой категории. Они доступны бесплатно на устройствах Android и iOS.
Дополнительные риски появляются в тот момент, когда пароли нужно куда-то передавать. Например, если ваш SMM-менеджер не работает в штате, ему нужно предоставить доступ к аккаунтам. А что, если в какой-то момент вы попрощаетесь с менеджером, а он не захочет возвращать аккаунт?
В этом случае один из удобных вариантов — передать не пароль, а профиль в Octo Browser с залогиненным аккаунтом. Тогда вероятность потерять аккаунт несколько уменьшится.
Своевременно обновляйте софт и системы безопасности. Обновления безопасности не дают новых классных фичей, не добавляют “темную тему” и не добавляют новую красивую иконку на экран смартфона. Зато они устраняют известные уязвимости и помогают предотвратить кибератаки. Если программное обеспечение и системы безопасности не обновляются регулярно, предприятия могут оказаться уязвимыми для кибератак, что может привести к значительным потерям.
Регулярно делайте бекапы. Систематическое резервное копирование данных — один из важнейших шагов для обеспечения безопасности и непрерывности работы информационных систем бизнеса. Кто однажды забывал делать бекап и терял данные — тот подтвердит. Потеря данных может произойти по разным причинам, включая сбои системы, человеческие ошибки или кибератаки.
Рекомендуется делать резервные копии не от случая к случаю, а по графику, регулярно. Хранить бекапы нужно в безопасных и доступных в случае чрезвычайной ситуации местах. Наконец, рекомендуется иметь наготове план аварийного восстановления на случай серьезной потери данных. В такой план нужно включить роли и обязанности сотрудников, а также шаги для минимизации ущерба и скорейшего восстановления работы системы.
Проводите учения по защите от социальной инженерии. Сотрудников можно обучить распознавать атаки, основанные на социальной инженерии. Для этого нужны регулярные тренинги с моделированием фишинговых атак и других тактик социальной инженерии, а также инструкции о том, как идентифицировать подозрительные электронные письма или сообщения. Крайне важно донести до коллег, что особую категорию риска представляют из себя письма с конфиденциальной информацией и данными для входа в сервисы: к перепискам, содержащим такие данные, нужно относиться с удвоенным вниманием.
Внедрите политики безопасности для мобильных устройств. Если у вас можно работать со смартфона — значит, на смартфоны должна распространяться и политика безопасности. Речь обо всех тех мерах, что были описаны выше: политика паролей, регулярных обновлений, бекапов. В идеале мобильные устройства должны быть оснащены возможностями удаленного стирания для удаления данных с потерянных или украденных устройств, а также службами отслеживания устройств для обнаружения потерянных или украденных устройств.
Отслеживайте внутренние угрозы. Под внутренними угрозами мы имеем в виду вредительские действия сотрудников. Это могут быть как неумышленные глупости вроде нажимания на рандомные ссылки в интернете с последующим заражением рабочего компьютера вредоносами, так и осознанные действия: например, кража корпоративных данных.
Для выявления внутренних угроз можно использовать контроль доступа и мониторинг действий сотрудников. Эти меры могут предотвратить преднамеренную или случайную утечку информации.
Контроль доступа предполагает, что у сотрудников есть возможность работать только с теми файлами и ресурсами, которые необходимы в рамках их деятельности.
Мониторинг, в свою очередь, предполагает отслеживание подозрительных действий сотрудников внутри информационной системы компании. Речь не идет о какой-то тотальной слежке: компании могут обращать внимание только на определенные “красные флаги”, необычную активность, которая может указывать на угрозу безопасности.
Один из простых способов противодействия внутренним угрозам инфобезопасности — это использование антидетект-браузера для командной работы.
В Octo Browser есть возможность создавать профили для отдельных сотрудников и распределять доступ к ним. Например, бухгалтер получит профиль с набором своих инструментов, а маркетолог — своих. При этом у руководителя будет доступ ко всем профилям с возможностью просмотра истории активности.
Используйте шифрование для защиты конфиденциальных данных. Чтобы защитить конфиденциальные данные, нужно их шифровать. В целом, на этом можно остановиться: сейчас шифрование является стандартом и вам остается только проверять, есть ли шифрование в вашем рабочем ПО. Но для того, чтобы у вас была возможность лучше ориентироваться в вопросе, расскажем об основных типах шифрования.
Существует два основных типа шифрования: симметричное и асимметричное. Симметричное использует один ключ для шифрования и дешифрования данных. Этот ключ должен храниться в секрете, чтобы обеспечить безопасность данных. В асимметричном шифровании используется два ключа — открытый и закрытый. Открытый ключ может быть передан кому угодно, а закрытый ключ должен храниться в секрете.
Некоторые распространенные протоколы шифрования включают Secure Sockets Layer (SSL), Transport Layer Security (TLS) и Pretty Good Privacy (PGP).
SSL и TLS обычно используются для шифрования данных при передаче, например, при отправке данных через Интернет. Чтобы зашифровать данные с помощью SSL, вам необходимо установить сертификат SSL на вашем сервере. Этот сертификат будет включать открытый ключ, необходимый для шифрования данных.
В свою очередь шифрование PGP обычно используется для защиты данных “в состоянии покоя”, хранящихся на жестком диске или другом устройстве хранения. Чтобы зашифровать данные с помощью PGP, вам понадобятся такие программы как Gpg4win или Kleopatra. После установки вы сможете использовать их для создания пары ключей PGP. Открытым ключом можно делиться со всеми, кому нужно отправлять вам зашифрованные сообщения.
Итого, с чего стоит начать обеспечение информационной безопасности бизнеса:
- Определение парольных политик и настройка многофакторной аутентификации
- Своевременное обновление софта и систем безопасности
- Разработка системы регулярного резервного копирования
- Обучение сотрудников
- Применение правил безопасности к мобильным устройствам
- Создание системы внутреннего мониторинга и разделения доступов
- Использование шифрования конфиденциальных данных