Существование любой компании или предприятия, насколько большим или маленьким оно бы ни было, невозможно без наличия определенного рода данных, недоступных для обнародования или передачи посторонним лицам. Это и личные данные сотрудников, и клиентская база, и уникальные разработки, и, конечно же, финансовые и бухгалтерские документы. Информационная безопасность бизнеса подразумевает под собой защиту всех этих данных от несанкционированного доступа посторонних лиц, копирования, уничтожения, обнародования и т.д. Самостоятельно обеспечить должный уровень информационной безопасности практически невозможно, поэтому в этом деле лучше прибегнуть к помощи профессионалов.
Проблемы информационной безопасности – угроза для бизнеса
На самом деле, информационная безопасность бизнеса может быть поставлена под угрозу не только целенаправленными действиями злоумышленников. Очень часто утечка информации происходит по причине халатности и невнимательного отношения сотрудников. Поэтому очень важно выявить слабые места в системе информационной безопасности, и только потом обеспечить должную защиту данных на всех уровнях.
В каждой большой или маленькой фирме существуют такие блоки информации, которые составляют основу благополучного развития бизнеса. Это, прежде всего, клиентская база, особенности технологии производственного процесса, данные движения денежных и материально-технических средств в бухгалтерии, финансовые показатели и пр.
От того, насколько надежно защищены каналы движения этой информации от утечки, зависят результаты развития фирмы, ее конкурентоспособность и прибыльность. Именно поэтому для создания надежной системы информационной безопасности следует обращаться к профессионалам.
Заказать обеспечение информационной безопасности бизнеса
Компания BZPT предоставляет профессиональные услуги в сфере информационной безопасности. Мы быстро и качественно выполним аудит безопасности предприятия, и лишь затем подберем и установим необходимые методы защиты.
Как мы работаем
- Заявка или звонок
- Личная встреча, уточнение деталей
- Рассчет стоимости и заключение договора
- Выполнение работы
- Предоставление отчета
- Оплата
Почему стоит выбрать наши услуги
- 100% конфиденциально
- Оперативно
- Соблюдение действующего законодательства
- Бесплатные консультации
Почему стоит доверить безопасность бизнеса профессионалам?
Безопасность бизнеса – одно из важнейших направлений в любой коммерческой сфере. Заниматься им может как сам руководитель, так и специально назначенный человек или целое подразделение. Достаточно популярно сегодня стало пользоваться услугами сторонней компании. Контроль безопасности вашего бизнеса будет осуществлен в полной мере, если обратиться к опытным специалистам, которые знают многие тонкости и готовы гарантировать надежность всех проводимых мероприятий. Поэтому обращение к профессионалам – это более рациональный выход?
Как показывает практика, эффективно выстроить систему защиты компании штатные сотрудники не способны в силу недостаточной компетенции, отсутствия подготовки и специальных знаний. Кроме того, опыт свидетельствует о том, что зачастую уже после того, как случилась какая-то проблемная ситуация, приведшая к финансовым потерям. Чтобы такого не допустить, необходимо своевременно позаботиться о системе безопасности, объектами которой становятся активы и финансовые средства, деятельность сотрудников и административного состава, материальная база, информационные ресурсы и т.д.
Услуги обеспечения информационной защиты бизнеса в Москве
Зачастую, когда говорят об обеспечении информационной безопасности предприятия, то подразумевают внешние угрозы взлома, хакерские атаки и т.д. Однако такие действия «шпионов» очень редко дают им какие-либо результаты. В большинстве случаев утечка происходит по умышленной или случайной вине сотрудников компании. Во многом, величина ущерба от действий инсайдеров зависит от того, насколько такая угроза была недооценена. Поэтому информационная безопасность бизнеса – это дело, которое нужно доверять профессионалам. Только опытные и квалифицированные сотрудники нашей компании способны оценить все потенциальные риски и установить грамотную систему защиты.
Безопасность коммерческой тайны
Желаете защитить вашу коммерческую тайну? Подозреваете что конкуренты применяют незаконные методы? Уже сегодня мы имеем все возможности чтобы обеспечить вашего бизнеса. На сегодняшний день наш колоссальный опыт в сфере защиты информации, а также возможность решать нестандартные и сложные задачи по достоинству оценили наши многочисленные заказчики. Ваша база данных о партнерах, поставщиках и дистрибьюторах, бухгалтерские отчеты, деловая переписка, информация об уникальных технологиях и бизнес-стратегиях будут надежно защищены экспертами нашей компании.
Являясь одним из видов конфиденциальной информации, коммерческая тайна как институт базируется не на прямых законодательных указаниях, а, скорее, на праве владения сведениями (в качестве собственности), которые могут привести к обогащению и нанесению ущерба предприятию. Поэтому, когда речь заходит об , коммерческая тайна становится составной частью обязательных мероприятий в данном направлении. В частности, определяется режим доступа к определённой информации и пресекается её несанкционированное использование.
2019
ИБ-приоритеты СМБ
Компании СМБ-сегмента тянутся в облака, к сервисной модели потребления услуг по модели MSSP (Managed Security Service Provider). Это помогает им существенно сокращать операционные затраты в области ИБ.
| Сейчас некоторые вендоры предлагает своим клиентам облачные ИБ-сервисы по подписной модели. На мой взгляд, средний и малый бизнес будет уходить именно к такой, сервисной модели ИБ, - отмечает Дмитрий Лившиц , генеральный директор «Диджитал Дизайн ». |
Сервисная модель потребления ИБ становится все более востребованной субъектами малого и среднего предпринимательства, поскольку эти компании не могут себе позволить многочисленный штат специалистов по безопасности.
По словам Владимира Баланина, руководителя Департамента информационной безопасности ГК «Ай-Теко », СМБ-сегмент становится основным потребителем услуг сервис-провайдеров, которые предоставляют услуги сразу с интегрированными сервисами информационной безопасности: нет издержек на администрирование, мониторинг и содержание собственной инфраструктуры, а риски регуляторных требований несет сам сервис-провайдер.
В то же время для российского рынка сейчас характерно очень ограниченное предложение по ИБ для СМБ. Как отмечает Андрей Янкин, директор Центра информационной безопасности компании «Инфосистемы Джет», почти все сервисные услуги направлены на крупных заказчиков. Типовых и недорогих, но не примитивных ИБ-сервисов для СМБ, по его словам, практически не существует, хотя в ряде других стран этот рынок неплохо развит.
Вместе с тем, с развитием сегмента управляемых сервисов ИБ и перспективой развития рынка страхования киберрисков, эта категории заказчиков получит в свое распоряжение адекватные современным угрозам меры.
Пока же СМБ-компании реализуют базовую ИТ-безопасность, редко поднимаясь на уровень бизнес-процессов .
По словам Дмитрия Пудова, заместителя гендиректора Angara Technologies Group по технологиям и развитию, представителям СМБ, при их бюджетах, доступ к высокотехнологичным или сложным решениям практически закрыт. Это не обусловлено исключительно стоимостью решений, скорее причина в OPEX, которую они несут.
Основные решения, которые приобретают заказчики СМБ-сегмента – антивирусы и программные межсетевые экраны, говорит Яков Гродзенский, руководитель направления информационной безопасности компании «Системный софт». Кроме того, компании данного сегмента активно начинают интересоваться вопросами аудита ИБ и проведения пентестов, ведь такие организации не всегда держат в штате отдельного специалиста по информационной безопасности, не говоря уже о пентестерах.
Вячеслав Медведев, ведущий аналитик компании «Доктор Веб», добавляет, что опросы среднего бизнеса показали отсутствие у таких компаний средств на защитные решения, отличные от базовых.
ИБ-приоритеты крупного бизнеса
Для акционеров, собственников и топ-менеджмента всегда важно иметь объективную картину ИБ и технологических процессов внутри организации, поэтому общий уровень зрелости ИБ в компаниях растет с каждым годом. Однако некоторым крупным организациям по-прежнему не хватает элементарного порядка в бизнес-процессах, обеспечивающих работу информационных систем, что может привести к хаосу в ИБ. Поэтому основной приоритет для крупных компаний – в решении этих задач, считает Николай Забусов , директор департамента информационной и сетевой безопасности «Стэп Лоджик ».
Кроме того, крупный бизнес делает акцент на выполнении требований регуляторов и внутренних стандартов, пытаясь создать более-менее равномерно защищенную инфраструктуру. Отраслевые стандарты в области информационной безопасности разработаны и «внедрены» во многих корпорациях.
Крупные коммерческие компании по сути оказались перед выбором: идти по пути цифровой трансформации, либо работать, не меняя парадигму ведения бизнеса. Но во втором случае они рано или поздно будут вынуждены уступить свои позиции на рынке конкурентам, проявившим большую гибкость.
| Среди приоритетов для сегмента enterprise могу отметить с одной стороны повышение эффективности использования классических ИБ-решений, и с другой – внедрение средств защиты от угроз нового типа в рамках реализации проектов по диджитализации. Последнее очень важно, так как ограничения с точки зрения безопасности зачастую являются одной из главных причин медленного прохождения по пути цифровой трансформации, - отмечает Олег Шабуров , руководитель департамента информационной безопасности компании Softline. |
С точки зрения практической безопасности вектор все больше смещается с предотвращения атак к их обнаружению и реагированию, считает Андрей Заикин , руководитель направления информационной безопасности компании «Крок ». Это приводит к тому, что становятся все более популярны и востребованы относительно молодые классы решений: EDR, IRP. Автоматизированные системы реагирования имеют разные наборы скриптов, сценариев и позволяют блокировать попытки распространения угроз.
ИБ-сервисы
СМБ-компании, которые понимают критичность обеспечения информационной безопасности для своего бизнеса, идут по пути использования сервисных моделей.
Ничто не дается бизнесу столь дешево и не обходится столь дорого, как ошибки в системе защиты корпоративной информации. Лучше учиться на чужих ошибках безопасности.
Кибератаки и DLP -системы
В 2010 году сотрудник HSBC- банка, входящего в полусотню самых надежных банков мира при увольнении прихватил с собой реквизиты 15 тыс. клиентов (преимущественно из Швейцарии и Франции). Этот обошлось банку в $94 млн, потраченных на замену неэффективной системы безопасности.
Куда больший ущерб нанесли добропорядочным гражданам киберпреступники, взломавшие Twitter -аккаунт Associated Press . Взломщики кратко «прощебетали»: «Два взрыва в Белом доме, Барак Обама ранен». Индекс Dow Jones упал на 150 пунктов, а голубые фишки сократили свою суммарную капитализацию на $200 млрд. Правда, после того как появилось опровержение, паника прекратилась, и индекс вернулся к прежнему значению. Но те, кто поспешили сбросить акции по ползущим вниз ценам, изрядно прогорели. Ответственность за взлом взяла на себя некая «Сирийская электронная армия». Однако утверждать наверняка, что это была не чисто экономическая диверсия, нельзя. Уж слишком точно было выбрано время: сразу же после теракта на Бостонском марафоне.
На Всемирном экономическом форуме в числе глобальных рисков для мировой экономики, таких как коррупция, демографический кризис, истощение природных ресурсов, были впервые в истории названы и кибератаки. Угрозы, подстерегающие и компании, и государственные структуры, могут быть как внешними, так и внутренними. Собственно кибератаки - это внешняя угроза. Внутренние угрозы - необязательно результат злого умысла. Вполне лояльные, но некомпетентные в области IT сотрудники могут случайно запустить вложенную в электронное письмо вредоносную программу, по ошибке стереть нужную папку, забрести на сайт, нашпигованый троянами. В результате важная для компании информация может либо бесследно исчезнуть, либо попасть в руки конкурентов или каких-нибудь «борцов за справедливость», одержимых идеями спасения человечества от глобализма и прочих язв капитализма, тоталитаризма etc. Статистика показывает, что наибольший вред компании терпят от своего же персонала.
Проблема компьютерной безопасности возникла сразу, как только американская компания Eckert-Mauchly Computer Corporation в 1951 году выпустила первый серийный компьютер UNIVAC I . Долгое время эта проблема носила скорее теоретический характер. Все изменилось после изобретения Интернета и лавинообразного разрастания Всемирной паутины.
Для противодействия киберпреступности понадобилась целая новая индустрия. Каждый год российские и иностранные компании выпускают все новые и новые антивирусы, криптографические программы, продукты, предотвращающие фишинг и ddos-атаки и т. п. Программы постоянно совершенствуются, возникают новые их разновидности. В частности, сравнительно недавно на рынок средств информационной безопасности вышли DLP -системы (Data Leak Prevention ), предотвращающие утечку информации из корпоративных сетей.
Полноценная и полнофункциональная DLP-система обладает следующими функциями:
- тотальный и постоянный контроль всех каналов потенциальной утечки информации;
- анализ всего трафика, выходящего за пределы корпоративной сети на предмет наличия конфиденциальной информации;
- блокирование передачи конфиденциальной информации, под которой понимаются не только корпоративные секретные данные, но и оскорбительные высказывания, непристойные видеоролики, а также почтовые рассылки, по той или иной причине негативно влияющие на корпоративный имидж;
- блокирование приема нежелательной и вредоносной информации;
- архивирование перехваченного несанкционированного трафика с целью расследования возникших инцидентов.
Необходимо отметить, что DLP-системы не отменяют актуальность прежних категорий продуктов, таких как антивирусы, криптографические программы, электронные замки с повышенной степенью идентификации пользователей и прочее. Однако весь этот инструментарий за последние 2-3 года стал более уязвимым. Причиной тому два глобальных IT-тренда: экспансия мобильных устройств и облачные вычисления.
Новые уязвимости
В настоящий момент на руках у россиян находится около 50 млн мобильных устройств - смартфонов, планшетов, нетбуков, ноутбуков и т. д. В этом году показатель увеличится еще на 12 млн, а к 2015-му превысит 70 млн. Согласно прогнозу аналитической компании International Data Corporation , мобильные устройства по частоте выхода в Интернет превзойдут персональные компьютеры уже в ближайшие месяцы.
И все эти устройства создают потенциальные уязвимости как для самой корпоративной сети, так и для хранящейся в ней конфиденциальной информации. У хакеров сейчас в большой моде вредоносные программы для смартфонов, работающих под управлением ОС Android . И поскольку сотрудники пользуются смартфонами и на работе, и дома, и на отдыхе, и в транспорте, вероятность инфицирования серверов, входящих в состав корпоративной сети, резко повышается.
Есть угроза и иного рода. Известны как минимум три случая, когда либо подгулявшие, либо перетрудившиеся сотрудники британской контрразведки MI-5, теряли свои ноутбуки с секретной информацией в самых неподходящих местах - в метро, такси, кафе. А смартфон, согласитесь, потерять куда легче, чем ноутбук.
Бороться с «тотальной мобилизацией» офиса бесполезно. Да и невыгодно: ведь сотрудники благодаря смартфонам и планшетам могут работать и дома или на отдыхе. По данным «Лаборатории Касперского», сейчас категорически запрещено использовать на работе мобильные устройства лишь четвертой части сотрудников всех компаний. Полный доступ к корпоративным ресурсам имеют 34% владельцев смартфонов, 38% - планшетов, 45% - ноутбуков. Для остальных введены ограничения различных уровней доступа.
Как же обеспечить информационную безопасность в эпоху мобильного Интернета и облачных вычислений? Задача непростая. Ведь рабочие станции и сервера корпоративных сетей работают под управлением одних ОС (Windows или Unix ), их безопасность поддерживается встроенными в систему средствами. А мобильные устройства мало того, что используют свои ОС, так еще и не располагают эффективными средствами защиты, потому что они задумывались как устройства индивидуального, а не корпоративного пользования. Ситуация усугубляется еще и тем, что контролировать местонахождение мобильного устройства и источник подключения, а также то, в чьих руках оно находится, организационными методами невозможно.
Как правило, эти проблемы решаются программными средствами за счет усиления защитного контура системы, адаптирования корпоративной системы безопасности ко всему многообразию мобильных устройств и установки на них необходимых защитных приложений. Однако возможен и иной способ - выдать сотрудникам корпоративные защищенные планшеты и смартфоны.
Отечественный производитель средств компьютерной безопасности «Код Безопасности» выпустил планшет «Континент Т-10» , работающий под управлением ОС Android 4 и оснащенный всеми необходимыми средствами для безопасной удаленной работы как самого планшета, так и приложений корпоративной системы, к которым он подключается через защищенный шлюз. Этот мобильный девайс полностью интегрирован в корпоративную систему безопасности и не требует никаких дополнительных адаптационных мероприятий.
Серьезные проблемы создают и облачные вычисления. Российский рынок облачных услуг уже превысил годовой оборот в $150 млн и растет ежегодно на 50%. При этом большая часть рынка приходится на частные облака, то есть создаваемые внутри корпорации. Частные облака существенно отличаются от корпоративных сетей жесткой конфигурации с точки зрения информационной безопасности. И требуют собственных средств защиты.
По линейке
Российский рынок информационной безопасности стремительно развивается и уже превысил объем в $600 млн. 15% рынка контролируют пять крупнейших игроков: «Астерос», «Крок», «Информзащита», Leta и «Инфосистемы Джет» . Что же касается мирового рынка, то при ежегодном приросте в 30%, его объем приблизился к $1 млрд. Среди международных лидеров значатся такие гиганты, как Symantec, McAffee, TrendMicro, Check Point, Cisco Systems .
И российские, и западные производители, решая общие задачи, выпускают схожие продукты. Для того чтобы гарантированно защитить информацию от всего спектра существующих угроз, необходим комплексный подход, учитывающий все аспекты функционирования корпоративных сетей, не только технические, но и психологические, связанные с человеческим фактором. Наилучшие результаты достигаются при использовании всей линейки продуктов, обеспечивающих защиту информации: антивирусов, межсетевых экранов, антиспамов, криптографических средств, систем предотвращения потери данных и т. п. Одна единственная брешь в защитном контуре системы способна привести к непредсказуемому ущербу.
Но каждый отдельный отечественный производитель предлагают не всю продуктовую линейку. Возникает ситуация, получившая название «зоопарка систем», когда использование различных продуктов, имеющих различную идеологию, требует создания сложных схем управления. В исключительных случаях это может привести к отказу системы.
Поэтому при выборе системы безопасности следует руководствоваться не только полнотой функционала и масштабируемостью, но и управляемостью, зависящей от единства концепции всех ее компонентов. Из российских вендоров, этому требованию удовлетворяет, например, компания «Код Безопасности», имеющая самую широкую продуктовую линейку. Ее продукты, инсталлированные по «бесшовной» технологии, позволяют оперативно отслеживать происходящие события из единой точки контроля всех защитных систем.
БИБЛИОГРАФИЧЕСКИЙ СПИСОК
1. Хованскова В.С., Румянцев К.Е., Ховансков С.А. Метод повышения защиты работоспособности распределенных вычислений в компьютерных сетях // Известия ЮФУ. Технические науки. - 2012. - № 4 (129). - С. 102-107.
2. Ховансков С.А., Норкин О.Р. Алгоритм повышения производительности распределенных сетевых вычислений // Информатизация и связь. - 2011. - № 3. - С. 96-98.
3. Литвиненко В.А., Ховансков С.А. Решения задач путем организации распределенных вычислений в сети // Известия ЮФУ. Технические науки. - 2008. - № 3 (80). - С. 16-21.
4. Ховансков С.А., Норкин О.Р. Алгоритмическая оптимизация конфигурации системы децентрализованных вычислений // Телекоммуникации. - 2012. - № 11. - С. 2-5.
5. Ховансков С.А. Организация распределенных вычислений с иерархической структурой связей // Информационное противодействие угрозам терроризма. - 2007. - № 9. - С. 170-178.
6. Литвиненко В.А., Ховансков С.А. Алгоритм оптимизации параметров компьютерной сети для уменьшения времени решения задачи на основе мультиагентной системы // Известия ЮФУ. Технические науки. - 2007. - № 2 (77). - С. 186-190.
7. Ховансков С.А., Литвиненко В.А., Норкин О.Р. Организация распределенных вычислений для решения задач трассировки // Известия ЮФУ. Технические науки. - 2010.
- № 12 (113). - С. 48-55.
8. Калашников В.А., Трунов И.Л., Ховансков С.А. Параллельный алгоритм размещения на многопроцессорной вычислительной системе // Известия ЮФУ. Технические науки.
1997. - № 3 (6). - С. 181-184.
Румянцев Константин Евгеньевич - Федеральное государственное автономное образовательное учреждение высшего профессионального образования «Южный федеральный университет»; e-mail: [email protected]; 347900, г. Таганрог, ул. Чехова, 2; тел.: 88634328725; кафедра ИБТКС; зав. кафедрой; д.т.н.; профессор,
Ховансков Сергей Андреевич - e-mail: [email protected]; тел.: 88634642530; кафедра ИБТКС; к.т.н.; доцент.
Хованскова Вера Сергеевна - e-mail: [email protected]; тел.: 88634676616; студентка.
Rumyantsev Constantine Evgen’evich - Federal State-Owned Autonomy Educational Establishment of Higher Vocational Education “Southern Federal University”; e-mail: [email protected]; 2, Chekhov street, Taganrog, 347900, Russia; phone: +78634328725; the department of IBTKS; head the department; dr. of eng. sc.; professor.
Khovanskov Sergey Andreevich - e-mail: [email protected]; phone: 88634642530; the department of ISTCN; cand. of eng. sc.; associate professor.
Khovanskovа Vera Sergeevna - e-mail: [email protected]; phone: +78634676616; student.
Е.Н. Ефимов, Г.М. Лапицкая
ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ И БИЗНЕС-ПРОЦЕССЫ
КОМПАНИИ
Цель исследования показать, что информационная безопасность должна создаваться и существовать в рамках достижения бизнес-целей компании. При этом бизнес-процессы являются первоисточником данных для организации информационной безопасности компании.
При разработке стратегии управления информационной безопасностью предложена комплексная диагностика состояния компании с помощью SWOT-анализа с условной количественной оценкой результатов, полученной с помощью метода анализа иерархий.
Идентификация рисков необходима для оценки значимости угроз и построения системы безопасности. Анализ показал, что риски бизнес-процессов компании группируются в следующие категории: риски при проектировании, риски при реинжиниринге и риски в процессе использования бизнес-процессов.
Автоматизировать процессы информационной безопасности компании целесообразно с помощью системы класса GRC (Governance, Risk management and Compliance), которые сегодня рассматриваются как один из эффективных способов управления информационными технологиями и информационной безопасностью. Систему GRC при этом целесообразно комплексировать с системами класса Business Process Management, предназначенных для управления бизнес-процессами компании.
Бизнес-цели; информационная безопасность; бизнес-процессы.
E.N. Efimov, G.M. Lapitskaya
INFORMATION SECURITY AND BUSINESS PROCESSES OF THE COMPANY
The Purpose of the study to show that information safety must be created and exist within the framework of achievement business-integer to companies. At business-processes are a firsthand given for organization of information safety to companies.
At development of the strategies of management information safety is offered complex diagnostics of the condition to companies by means of SWOT-analysis with conditional quantitative estimation result, got by means of method of the analysis hierarchy.
The Identification risk required for estimation of value of the threats and buildings of the system to safety. The Analysis has shown that risks business-processes to companies are grouped in the following categories: risks when designing, risks under reengineering and risks in process of the use business-processes.
Automate the processes to safety to companies reasonable by means of systems of the class GRC (Governance, Risk management and Compliance), which are today considered as one of the efficient ways of management information technology and information safety. The Systems GRC herewith necessary complex with system of the class Business Process Management, intended for governing business-process to companies.
Business-purposes; information safety; business-processes.
Постановка проблемы. Информационная безопасность должна создаваться и существовать в рамках достижения бизнес-целей компаний. Эффективное ведение бизнеса невозможно без использования современных информационных технологий (ИТ), которые используются для поддержки практически всех бизнес-процессов современной компании. Однако сегодня очевидна тенденция: информационная безопасность из защиты конкретных сетей, серверов, информационных ресурсов, превращается в безопасность бизнес-процессов компаний, поддерживаемых ИТ. Это предполагает наличие двух взаимозависимых направлений обеспечения безопасности компании: с одной стороны - эффективная работа бизнеса в части функционирования бизнес-процессов; с другой - нормальное функционирование поддерживающей ИТ-инфраструктуры. В настоящее время не сложилось единого подхода к информационной безопасности именно в данном контексте.
Для понимания основных проблем безопасности компании целесообразно выполнить тщательный анализ внешней и внутренней среды бизнеса, выделить те компоненты, которые действительно имеют значение, провести сбор и отслеживание информации по каждому компоненту и на основе оценки реального положения выяснить состояние компании и причины этого положения. Точная, комплексная, своевременная диагностика состояния компании - первый этап в разработке стратегии управления безопасной деятельностью.
Самый распространенный способ оценки стратегического положения компании - SWOT-анализ1. Матрица SWOT-анализа может быть представлена в виде следующей совокупности:
SWOT =
где St (Strengths) - множество сильных сторон организации, St = (St1, St2, ..., Stmt); W (Weaknesses) - множество слабых сторон организации, W = (W1, W2, ..., Wnw); Op (Opportunities) - множество возможностей организации, Op = (Op1, Op2, ., Opnop); Th (Threats) - множество угроз организации, Th = (Th1, Th2, ..., Thnth).
При этом важно понимать, что сильные St = (St1, St2, ..., Stnst) и слабые W = (W1, W2, ..., Wnw) стороны - это те составные части деятельности компании, которые она может контролировать, а возможности Op = (Op1, Op2, ., Opnop) и угрозы Th = (Th1, Th2, ..., Thnth) - это те факторы, которые находятся вне контроля компании и могут повлиять на процесс ее развития .
Результаты SWOT-анализа позволяют сформулировать стратегию безопасности компании на данном этапе развития. Эта задача вряд ли может быть формализована, однако на основе этих данных может быть разработано множество стратегий организации S = (S1, S2, ., Sn).
Для условной количественной оценки SWOT-матрицы возможно использовать, например, метод анализа иерархий (МАИ). Данный метод обеспечивает реализацию наиболее эффективного способа оценки количественно неизмеримых, но вместе с тем важных, факторов для принятия обоснованных решений. Кроме того, метод работает с несогласованными суждениями и не требует, чтобы предпочтения потребителей или лица принимающего решение (ЛПР) соответствовали аксиомам полезности. МАИ позволяет сводить исследования сложных проблем к простой процедуре проведения последовательно парных сравнений .
В качестве примера рассматривались результаты SWOT-анализа действующего предприятия телекоммуникационной отрасли (ОАО «Телеком»), предоставляющего полный спектр услуг связи (проводная и беспроводная телефония, доступ в сеть Интернет, услуги радиосвязи, информационные услуги) на территории города и области (в статье не приводится). Вариант последующей оценки SWOT-матрицы с помощью МАИ представлен в табл. 1.
Таблица 1
Оценка SWOT-матрицы
St W Op Th Вектор приоритетов Нормализованный вектор
St 1 1 0,33 0,33 0,58 0,10
W 1 1 0,2 0,14 0,41 0,07
Op 3 5 1 0,2 1,32 0,24
Th 3 7 5 1 3,20 0,58
Индекс согласованности ИС = 0,14 и отношение согласованности ОС = 15,58 < 20 % показывают удовлетворительную согласованность оценок ЛПР.
Значения нормализованного вектора лежат в пределах , поэтому результаты экспертных расчетов могут трактоваться следующим образом: “угрозы” организации значительны (П = 0,58), “возможности” организации для решения проблем удовлетворительны (Op = 0,24), “силы” организации для преодоления проблем посредственны ^ = 0,1), “слабости” организации незначительны ^ = 0,07).
1 SWOT - это аббревиатура, включающая начальные буквы четырёх английских слов: strength («сила»), weakness («слабость»), opportunities («возможности»), и threats («угрозы»)
Такой взгляд на проблему безопасности компании позволяет конкретизировать ее цель и задачи, объекты и угрозы, выработать план мероприятий по снижению рисков бизнес-процессов и произвести оценку эффективности проведенных мероприятий.
В связи с определенной спецификой исследования информационной безопасности с точки зрения безопасности бизнес-процессов компании необходимо вначале выполнить идентификацию рисков бизнес-процессов. Целью идентификации рисков является оценка подверженности компании угрозам, которые могут нанести существенный ущерб. Для сбора информации о рисках производится анализ бизнес-процессов компании и опрос экспертов предметной области. Результатом данного процесса является классифицированный перечень всех потенциальных рисков.
Идентификация рисков бизнес-процессов. Бизнес-процесс можно представить как преобразование:
Р (X, Я, Я, I О) ^ У, где Р - процесс, имеющий вид множества действий Р = {Бх, Б2, ..., Бр};X = {Хх, Х2,..., Х} - входные потоки бизнес-процесса и их поставщики; У = { Ух, У2,..., У} -выходные потоки бизнес-процесса и их потребители; Я = {Ях, Я2,..., Я/} - множество ресурсов, используемых для выполнения бизнес-процесса (технические, материальные, информационные); Я = {Я1, Я2,..., Яп} - множество функций, реализуемых в бизнес-процессе; I = { 2Ь 12,..., 1т} - множество участников и исполнителей бизнес-процесса; О = {Ох, О2,..., О} - границы и интерфейсы процесса.
Из данного определения видно, что бизнес-процессы являются первоисточником данных для организации информационной безопасности компании.
Вначале необходимо определить объекты защиты, т.е. что и от каких угроз следует защищать. К объектам защиты, безусловно, относятся информация, бизнес-процессы и материальные ресурсы компании.
Очевидным началом работ по информационной безопасности сегодня признается классификации данных компании. Классификация - процесс сложный, требующий немало времени и средств. Для того, чтобы классификация была эффективной, ее необходимо постоянно поддерживать и актуализировать. Целесообразность классификации заключается в том, что она позволяет определить все места хранения информации и выявить ту информацию, которую следует защищать. Это позволяет минимизировать количество конфиденциальной информации. При проведении классификации выявляются документы, бывшие когда-то секретными, но теперь уже потерявшие свою актуальность. Их можно отправить в архив или безвозвратно удалить.
Информационные активы (ИА) как объекты защиты требуют поддержания целостности, доступности и, если требуется, конфиденциальности информации в бизнес-системах. Проведенный анализ возможных угроз показал, что информационная инфраструктура должна обладать свойством защищенности информации, используемой в бизнес-процессах, т.е. обеспечивать защиту от несанкционированного (преднамеренного или случайного) получения, изменения, уничтожения или использования коммерческой, служебной или технологической информации. С учетом наличия компонентов бизнес-процесса, а также их взаимосвязей, к потенциально опасным ситуациям относятся: несанкционированный доступ нарушителей (не владельцев и участников процессов) к информации, хранящейся и обрабатываемой в средствах автоматизации, с целью ознакомления, искажения или уничтожения. При этом, точками входа могут быть интерфейсы и границы процесса, а также информация, необходимая для реализации функций (операций, процедур) процесса; перехват информации при ее приеме (передаче) по каналам связи
(сети) функциями процесса, а также за счет хищения носителей информации; уничтожение (изменение, искажение) информации за счет случайных помех, сбоев технических (программных) средств при передаче, хранении и обработке информации; несанкционированное влияние на бизнес-процесс нарушителей из числа владельцев и (или) участников процесса .
Анализ предметной области показал, что целесообразно идентифицировать риски бизнес-процессов компании на всех основных стадиях их жизненного цикла: на этапах проектирования, реинжиниринга и в процессе использования бизнес-процессов.
Идентификация рисков при проектировании и реинжиниринге бизнес-процессов. Даже первоначальное описание основных бизнес-процессов компании приносит как ощутимые результаты повышения эффективности работы, так и возможные потери (риски). Это, прежде всего, риски из-за ошибок при проектировании процессов: ошибки незавершенности (наличие пробелов в описании процесса); ошибки несоответствия (неадекватного использования информационных ресурсов в различных частях процесса, что приводит к искаженному восприятию информации или к неясности указаний); ошибки иерархической или «наследственной» несовместимости (наличие конфликта между основными и последующими процессами). Очевидно, следует допустить и наличие иных видов ошибок.
Следующий ряд рисков возникает из-за ошибок в методологии описания процессов (или парадигмы «.методология - модель - нотация - средства»): при отображении функций системы; процессов, обеспечивающих выполнение функций; данных и организационных структур, обеспечивающих выполнение функций; материальных и информационных потоков в ходе выполнения функций.
Далее следует отметить риски, возникающие из-за несоответствия топологии процесса, не позволяющие добиться максимально понятного течения процесса, отражающего при этом либо реальное положение вещей, либо оптимальное с учетом загрузки исполнителей, доступности ресурсов или других обстоятельств. Анализ ошибок топологии процесса может проводиться в несколько итераций. В результате анализируемый процесс может кардинально измениться. Например, функции, которые раньше выполнялись последовательно друг за другом, будут выполняться параллельно. Безусловно, что при этом не должна исказиться логика процесса и получаемый результат.
Идентификация рисков при использовании бизнес-процессов. Операционный риск можно определить как риск прямых или косвенных убытков в результате неверного исполнения бизнес-процессов, неэффективности процедур внутреннего контроля, технологических сбоев, несанкционированных действий персонала или внешнего воздействия. Операционный риск критичен для процессов, характеризующихся значимостью для деятельности организации в целом, большим числом транзакций в единицу времени, сложной системой технической поддержки. Выделяемые обычно риск-факторы аналогичны показателям состояния внутренней операционной среды и бизнес-процессов - объем операций, оборот, процент ошибочных действий. Управление операционными рисками осуществляется построением прозрачных и управляемых бизнес-процессов, правильной организационной структурой с опорой на экспертное знание .
Для решения задач устранения операционных рисков бизнес-процессов может быть использована система lean production (бережливое производство) - концепция менеджмента, созданная на основе производственной системы Toyota. Цель lean - идентифицировать, проанализировать и устранить потери в производственных процессах . В соответствии с концепцией lean в бизнес-процессах возникает восемь видов потерь: неиспользование потенциала сотрудников; потери
от перепроизводства; потери на транспортировку; потери от брака, излишних отходов и переделок; потери на обслуживание запасов; потери на перемещениях и движениях персонала; потери от простоев; потери из-за чрезмерной обработки. Потери в этом случае рассматриваются как операции, на которые затрачиваются временные и материальные ресурсы, без добавления ценности товару или услуге для конечного потребителя.
Так, к примеру, необходима защита от противоправных действий персонала, выполняющего бизнес-процессы, несанкционированного воздействия на поставщиков, объемы и сроки поставки ресурсов; регламент выполнения бизнес-процессов, в т.ч. регламент внутренних и внешних интерфейсов; технологию выполнения бизнес-процессов и прочее.
Описание бизнес-процессов, их моделирование, последующий контроль и анализ выполнения - постоянная и последовательная деятельность по устранению операционных рисков, а следовательно и потерь.
Автоматизировать процессы информационной безопасности компании можно с помощью систем класса GRC (Governance, Risk management and Compliance), которые рассматриваются сегодня как один из эффективных способов управления информационными технологиями и информационной безопасностью.
GRC это взгляд на управление чем-либо с трёх точек зрения: высшего руководства (Governance), управления рисками (Risk management) и соответствия требованиям (Compliance). Результатом обработки информации о деятельности всех подразделений компании становятся наглядные отчеты, сформулированные в терминах бизнеса.2
Например, модуль Enterprise Management продукта RSA Archer eGRC позволяет выполнить инвентаризацию и классификацию активов компании, создать единый реестр взаимоувязанных между собой активов, включая информационные и технологические активы, бизнес-процессы, товары и услуги, подразделения и отдельные бизнес-единицы, производственные помещения и оборудование, контакты с ответственными работниками компании, партнерами и поставщиками. Для каждого актива определяется его владелец и ценность для компании. Результаты данной работы могут использоваться при дальнейшем проведении процедуры оценки рисков информационной безопасности. Интеграция с системами управления уязвимостями SIEM или DLP позволяет установить приоритет устранения уязвимостей и нейтрализации инцидентов в отношении каждого конкретного актива.3
Однако реализовать все функции GRC в контексте безопасности бизнес-процессов с помощью одного, пусть даже хорошего, ИТ-решения практически невозможно. Система, которая может помочь в решении задач этой концепции, должна быть такая же комплексная, как и сами задачи GRC.4 Для комплексирова-ния с GRC-системой целесообразно использовать системы класса Business Process Management (ВРМ), Business" Performance Management и Business Intelligence, предназначенные для автоматизации и управления бизнес-процессами. Диаграмма взаимосвязи бизнес-процессов и основных субъектов информационной безопасности компании в нотации UML приведена на рис. 1.
2 Евгений Безгодов Что такое ОЯС и чем это может быть полезно для информационной безопасности? [Электронный ресурс] http://ru.deiteriy.com/what_is_grc_and_its_ ^аЬИ-ityJnJnformation_security/.
3 ОЯС - путь к оптимизации процессов управления ИБ //Банковское обозрение №9 (176) Сентябрь 2013 [электронный ресурс] http://www.bosfera.ru/bo/put-k-optimizatsii-protsessov
4 Концепция ОЯС стала очередным этапом развития рынка ИБ [Электронный ресурс] http://www.cnews.ru/reviews/free/security2008/articles/grc.shtml.
Рис. 1. Взаимосвязь бизнес-процессов и основных субъектов информационной
безопасности компании
Взаимодействие бизнес-процессов компании и среды, создающей угрозы, прежде всего для бизнес-процессов, в рамках системы информационной безопасности приведено на диаграмме ниже (рис. 2).
Рис. 2. Взаимодействие бизнес-процессов и среды, создающей угрозы
Основные выводы.
Комплексная диагностика состояния компании - первый этап в разработке стратегии управления информационной безопасностью, которую лучше всего выполнить с помощью SWOT-анализа с предлагаемой условной количественной оценкой.
Анализ показал, что бизнес-процессы являются первоисточником данных для организации информационной безопасности компании.
Обеспечение информационной безопасности бизнес-процессов следует начинать с разработки классификации данных, которая позволяет выявить информацию для защиты, минимизировать количество конфиденциальной информации, определить все места хранения информации, что может быть использовано для оптимизации бизнес-процессов в компании.
Анализ возможных рисков бизнес-процессов позволил установить следующие группы: риски при проектировании, реинжиниринге и в процессе использования бизнес-процессов.
Автоматизировать процессы информационной безопасности компании целесообразно с помощью системы класса GRC (Governance, Risk management and Compliance), которая должна комплексироваться с системами класса Business Process Management, Business Performance Management или Business Intelligence, предназначенные для автоматизации и управления бизнес-процессами.
БИБЛИОГРАФИЧЕСКИЙ СПИСОК
1. Каменнова М.С., Громов А.И., Ферапонтов М.М., Шматалюк А.Е. Моделирование бизнеса. Методология ARIS. - М.: Весть-МетаТехнология, 2001.
2. Саати Т. Принятие решений. Метод анализа иерархий. - М.: Радио и связь, 1993.
3. Стельмашонок Е.В. Организация информационной защиты-бизнес-процессов // Прикладная информатика. - 2006. - № 2. - C. 42-57.
4. Тимохин А. Как найти все потери: практика применения методологии lean в НПО «ЭЛСИБ» // "БОСС" № 9, 2012.
5. Ханова А.А. Структурно-функциональная модель сбалансированной системы показателей при принятии управленческих решений // Вестник АГТУ Сер.: Управление, вычислительная техника и информатика. - 2012. - № 1. - C. 200-208.
Ефимов Евгений Николаевич - Ростовский государственный экономический университет (РИНХ); e-mail: [email protected]; 344002, г. Ростов-на-Дону, Б. Садовая, 69, комн. 306 а; тел.: 89525721917; кафедра информационных технологий и защиты информации; д.э.н.; профессор.
Лапицкая Галина Мелконовна - e-mail: [email protected]; тел.: 89286050143; кафедра информационных технологий и защиты информации; к.э.н.; профессор.
Efimov Evgeniy Nikolayevich - Rostov State Economic University; e-mail: [email protected]; 69, B. Sadovaya street, room 306 a, Rostov-on-Don, 344002, Russia; phone: +79525721917; the department information technologies and information security; dr.ec. sc.; professor.
Lapickaya Galina Melkovna - e-mail: [email protected]; phone: +79286050143; the department information technologies and information security; cand.ec. sc.; professor.
Компании часто пренебрегают вопросами кибербезопасности и в результате несут многомиллионные потери. В новом спецпроекте сайт эксперты расскажут, как предотвратить атаки злоумышленников, не покушаясь на свободу сотрудников.
Бизнес находится под постоянными кибератаками злоумышленников, цель которых - опустошить счета компании или похитить данные ее клиентов.
15:33 15.07.2019
Многие российские компании забывают o базовых мерах кибербезопасности своих промышленных активов и вынуждены тратить огромные суммы, чтобы справиться с последствиями атак, хотя есть более простые решения.
Год назад жертвами масштабных кибератак WannaCry и ExPetr стали многие российские и зарубежные компании. С тех пор подобных случаев не было - это значит, что бизнес стал ответственнее относиться к кибербезопасности или ситуация изменилась каким-то иным образом? Руководитель направления Kaspersky Industrial CyberSecurity рассказал о них.
Важно понимать, что эти атаки не были нацелены на промышленность, но «зацепили» ее. Обычно громкие кибератаки происходят из-за сочетания нескольких факторов. В этом случае свою роль сыграли публичное раскрытие уязвимости в очень распространенных операционных системах Windows и неготовность пользователей оперативно устранить ее в масштабе всего предприятия. Отсутствие таких случаев сейчас никак не связано с тем, что компании стали ответственнее относиться к своей безопасности.
Те предприятия, которые пострадали от WannaCry или в которых мы расследовали инциденты и давали рекомендации по усилению защиты, приняли определенные меры. С высокой долей вероятности можно сказать, что у них такая же атака не повторится.
Но в большинстве компаний ничего не изменилось, хоть они и хорошо осведомлены о рисках, а инцидентов было уже достаточно.
Хорошая новость для российских предприятий - появление №187-ФЗ «О безопасности критической информационной инфраструктуры». Он касается и систем автоматизации промышленных процессов. В России этот закон - самый мощный драйвер в построении систем реальной защиты. Он вступил в силу в начале 2018 г., и в 2019–2021 гг. мы уже увидим рост защищенности.
Какие угрозы сейчас можно назвать ключевыми?
Самая частая причина заражений в промышленных инфраструктурах - банальное вредоносное программное обеспечение. В основном это «троянцы», которые попадают туда случайно. Не нужно быть целью, чтобы стать жертвой.
Очевидно противоречие: когда принимают законы и говорят о кибербезопасности в целом, то в основном переживают из-за атак мотивированных и квалифицированных злоумышленников, боятся целевых атак. Но сейчас зрелость промышленной кибербезопасности такова, что компании допускают банальное заражение массовым вредоносным ПО.
Могли бы вы перечислить подобные курьезные атаки?
Вредоносное ПО пишут люди, и не всегда качественно - в нем есть баги.
Инциденты в промышленных сетях чаще всего происходят из-за случайного заражения: подрядчик подключил ноутбук с вирусом к защищенной сети, сотруднику предоставили удаленный доступ... Вирус может спровоцировать отказ в обслуживании, сбои в оборудовании, остановку технологических процессов, хоть это и происходит не намеренно.
Например, одна из трех версий WannaCry не могла шифровать, но была очень плохо совместима с Windows XP, в результате чего система вылетала в синий «экран смерти». В ряде случаев приходилось бороться именно с этим, а не с шифрованием в промышленной сети.
Какие меры предосторожности позволят свести вероятность таких случаев к минимуму?
Чем выше осведомленность сотрудников об определенном типе кибератак, тем проще их избежать.
8–10 лет назад, когда большинство специалистов индустриальных предприятий получали образование, промышленные системы подвергались атакам реже - как правило, они были изолированы от внешнего мира. Но в последние годы по требованию бизнеса промышленные сети интегрируются с корпоративными, например, для управления заказами и цепочкой поставок. Доступ в технологические сети получают подрядчики, чтобы быстрее оказывать сервисные услуги промышленным предприятиям. Сети становятся подвержены широкому набору киберугроз.
С этими угрозами успешно борются в корпоративном сегменте, но инженеры и метрологи с ними раньше не сталкивались.
Стоит рассказать им о базовых вопросах: как выглядит поддельное письмо или вирус на флешке, почему нельзя заряжать мобильный телефон от панели управления станком, почему надо звать «безопасника» при предоставлении удаленного доступа подрядчику...
Если бы сотрудники знали о потенциальных векторах проникновения и их последствиях, они бы просто не делали таких вещей. Это одна из первоочередных, быстрых и очень дешевых мер.
Мы в «Лаборатории Касперского» видим наше предназначение не просто в разработке продуктов, которые позволяют предотвращать атаки или обнаруживать их, но и в профессиональном образовании. Для этого мы инициируем партнерства с тренинг-центрами и университетами, которые «говорят» на языке инженеров. В России наш партнер - компания Abiroy, которая много лет профессионально занимается тренингами в промышленной среде, а сейчас еще и в сфере кибербезопасности. В Европе несколько месяцев назад мы анонсировали партнерство с институтом Fraunhofer IOSB, теперь в их портфолио доступны наши курсы по информационной безопасности, а нам они дают еще более глубокое понимание специфики промышленности.
Наконец, не надо забывать про базовые технические меры. Антивирусы, средства организации удаленного доступа, сегментирование сетей очень эффективны в защите.
Насколько затратны энергетически и финансово решения по борьбе с киберрисками в промышленности?
Проектные трудности - это действительно проблема. Представим индустриальную сеть, построенную восемь лет назад, которая подключена к корпоративной сети с целью удаленного доступа или передачи данных. Потенциально в нее можно проникнуть, попасть на уровень программируемых логических контроллеров, изменить логику управления процессами и вывести их из строя. Но часто промышленные сети на нижнем уровне построены на неуправляемом сетевом оборудовании, с которого невозможно организовать зеркалирование трафика, чтобы подключить систему обнаружения вторжений. В итоге проникнуть в такую сеть можно, а вот обнаружить такие атаки очень сложно.
Во многих случаях, чтобы реализовать все меры защиты, нужно переделать всю сеть. Но в промышленном мире свои правила: «работает - не надо лезть».
Там есть свой цикл модернизации и сеть могут построить по новым, защищенным правилам через 5–10, а то и 15 лет. Старую инфраструктуру крайне сложно защитить современными средствами: чтобы поставить средство обнаружения вторжений за $50 тыс., нужно сделать проект по модернизации сети еще на $500 тыс.
Вторая сложность - квалифицированный персонал. Специалистов по информационной безопасности АСУ ТП не так много в мире и тем более в российских регионах, где в основном расположены промышленные предприятия. Современные системы кибербезопасности достаточно сложны в использовании и требуют понимания того, как будут развиваться угрозы.
Конечно, есть и финансовые вопросы. Первые проекты по защите большого количества уже построенных инфраструктур затратны: услуги, обследование, проектирование, внедрение, новый персонал... В России много компаний с госкапиталом, которые не могут так просто повысить цены на свои услуги и товары. Например, в энергетике сверхинвестиции в кибербезопасность в конечном счете могут отразиться на наших счетах за электричество.
Но уверен, что мы преодолеем это и перейдем на новый уровень защищенности. Главное - постоянно поддерживать должный уровень кибербезопасности по мере развития своих систем.
В Европе количество компьютеров, которые подвергаются попыткам случайного заражения, гораздо меньше, чем в России. В развитых странах компании пользуются сервисной моделью обслуживания промышленных инфраструктур: поставщик систем автоматизации или интегратор постоянно обслуживает эти системы, шаг за шагом, в том числе внедряя меры по кибербезопасности. Таким образом, западные компании имеют более защищенную инфраструктуру без шоковых затрат, распределяя их на несколько лет. У нас же компании сами отвечают за свою промышленную инфраструктуру и работают по принципу «если система работает, нет нужды ее модернизировать». Так накапливается отставание, устранять которое достаточно «больно».
Как правило, заказчикам подходят готовые решения или им нужны индивидуальные проекты из-за нестандартных параметров?
Заказчикам необходимы индивидуальные проекты, которые содержат «кубики» из готовых решений. Интеграторская работа, обследование и проектирование системы защиты очень важны, но нет смысла переделывать промышленную защиту для каждой системы.
Сейчас промышленность унифицируется: стандартизованные протоколы передачи данных, одинаковые операционные системы... Да, иногда попадаются очень необычные промышленные сети, но, как правило, выясняется, что их модернизируют в ближайшие годы.
Если нужно защитить уникальную инфраструктуру, то после комплексного анализа становится ясно, что будет дешевле и правильнее сделать это через два года вместе с ее модернизацией, а до этого применить какие-либо компенсирующие меры.
Мало кто из руководителей осознает, что сотрудник - это «точка входа» в его компанию. Как поднять кибербезопасность бизнеса на новый уровень, чтобы работники не считали это ограничением свободы?
Одна из ключевых проблем информационной безопасности бизнеса - слабая осведомленность сотрудников о рисках. Как ее можно повысить простыми способами?
Ключевыми знаниями по этой теме делится , руководитель отдела региональных корпоративных продаж «Лаборатории Касперского »:
Людям, которые мало знают об угрозах, все равно приходится осваивать основы кибербезопасности, чтобы чувствовать себя защищенными. Ведь следует понимать, какие письма не надо открывать, по каким ссылкам не стоит кликать, какие программы не нужно скачивать.
При этом мало кто из руководителей осознает, что сотрудник - это «точка входа» в компанию: особенно, если у него есть доступ к документам и клиентским базам. Человек - всегда самое слабое звено.
Традиционное обучение кибербезопасности выглядит так: человек слушает тренинг, который длится от одного до трех дней, подписывает документ о пройденной учебе и идет работать. В голове откладывается в лучшем случае 10% полученных знаний, если они не применяются и не отрабатываются на практике.
Это не совсем правильный подход. Помнить о правилах кибербезопасности и применять их должен каждый сотрудник. Наш подход предполагает онлайн-обучение, так как сегодня проще всего учиться в интернете. « » разработала онлайн-курс, который можно скачать бесплатно, если у вас меньше пяти сотрудников, и приобрести по лицензии, если больше. Отслеживать прогресс можно в едином центре управления.
Всего курс содержит 32 модуля. В модуле «Почта» сотрудник видит образец письма, в котором написано о потенциальных угрозах и мерах кибербезопасности (например, нельзя сообщать PIN-код и CVV-код, даже если их запрашивает банк). После того как человек прочитает письмо, ему предлагают пройти тест в игровой форме. Если сотрудник выбирает правильный ответ, то его поощряют, а если неправильный, то объясняют, что и почему он сделал не так.
Такие практические задания требуют 15 минут в неделю и почти не отвлекают работника от его основных обязанностей.
После того как сотрудник проходит учебный модуль, на контрольный пункт поступает сообщение и через пару недель назначают проверку. Если человек не нажимает на вредоносные ссылки и не скачивает сомнительные программы, значит, он усвоил урок.
Если работник допускает те же ошибки, то в центр управления приходит сигнал о том, что сотруднику нужно повторить урок и еще раз сдать тест. Такое обучение проходит в течение года, это очень доступно и удобно.
Какая доля персонала, который нуждается в изучении азов, и какова доля тех, кто в процессе обучения успешно усваивает материал с первого раза?
По нашей статистике, 85% сотрудников усваивают все с первого раза. Полагаю, эта программа пригодится всем. Разработку тестировали на сотрудниках «Лаборатории Касперского». Я еще ни разу не прошла ни один модуль правильно на 100%, хотя работаю на рынке информационной безопасности 12 лет. Некоторые вопросы только кажутся доступными и простыми.
Открытие подозрительных ссылок - простейший пример. Не секрет, что все пользуются социальными сетями в рабочее время. Представьте, что человек получает ссылку на интересное видео от друга: 99% людей ее откроют на рабочем компьютере и вовсе не в безопасном режиме. Что скачается параллельно с видео, не знает никто.
Порядка 30% малых предприятий поручают вопросы кибербезопасности неспециалистам. Какими средствами им стоит пользоваться, чтобы повысить свою защищенность?
Уже хорошо, если такая компания купила легальный антивирус. До сих пор не все пользуются даже этим. И малому бизнесу нужен хотя бы штатный системный администратор, который бы обеспечивал работу всех компьютеров и защищал их от вирусов и возможных атак.
К антивирусу часто относятся как к панацее: раз он есть, то можно толком и не думать о безопасности, мол, он все сделает сам.
К сожалению, это не так. Антивирус можно сравнить с пуленепробиваемой железной дверью. От нее есть ключи, и если вы их потеряли или кому-то отдали, то защита не сработает. Для компаний, которые действительно озабочены сохранностью своей информации, есть решения более высокого уровня - для защиты от целевых атак. Когда злоумышленник целенаправленно хочет вскрыть защиту, он обычно не применяет громкие методы, а работает очень тихо: тайно подбирается к месту, где может взять нужную информацию. Ему невыгодно быть обнаруженным, пока он не добился своей цели. Очень похожая ситуация наблюдается и в киберпространстве. В крупных компаниях злоумышленники могут ждать месяцами.
Чаще встречаются преднамеренные или непреднамеренные атаки?
Мы предполагаем, что высококвалифицированные атаки занимают 1% от всех угроз. Но они очень значительные: например, вирус ExPetr был направлен на определенные компании и параллельно зацепил тысячи других предприятий. Мир насыщен информационными технологиями, и между собой общаются и взаимодействуют люди из разных структур.
Какие еще меры могут быть действенны при борьбе с намеренным вмешательством? Всегда ли реально обнаружить этот процесс или бывает, что о нем узнают месяцы и годы спустя?
Процесс реально обнаружить, если этим заниматься. Есть специальные сервисы по проверке корпоративной сети. В среднем высококвалифицированная атака занимает полгода: сначала злоумышленник проникает в компанию, осматривается, а несколько месяцев спустя, например, шифрует все компьютеры и одновременно выводит деньги со счетов.
Для защиты от таргетированных атак наши специалисты при желании клиента просматривают трафик в онлайн-режиме, сообщают о подозрительных активностях и спрашивают, что с ними делать: можно заблокировать действия злоумышленника, а можно создать внутри системы имитацию инфраструктуры, чтобы узнать намерения злоумышленника. Параллельно специалисты ведут расследование и ищут источник атаки.
Целью подобных атак чаще становятся малые или крупные компании?
Происходит и то, и другое. Но для атаки на крупную компанию нужно привлечь профессионалов, работа которых стоит дорого. И у большого бизнеса есть целая система кибербезопасности. У малого бизнеса зачастую предел защиты - это антивирус. Иногда, чтобы добраться до крупной организации, злоумышленники атакуют их поставщиков.
Нередко атаки, необязательно громкие, происходят со стороны чем-то обиженных бывших сотрудников или, возможно, подрядчиков. Вероятно, даже непреднамеренно.
Если в компании выстроена система безопасности, такие случаи можно минимизировать. Но на практике есть примеры, когда уволенному сисадмину не блокировали доступ. Например, в крупном логистическом центре бывший сотрудник заблокировал все принтеры: почти сутки в центре не могли отправить и принять товар, так как не могли распечатать ни одного документа.
В мерах безопасности необходимо прописать, что при увольнении сотрудника у него блокируется доступ к системе, меняются пароли важных систем.
Бывают уникальные случаи: на одном финансовом предприятии пароль требовали менять раз в месяц. Для простых сотрудников это лишнее телодвижение, и 95% человек вводили пароль по схеме «месяц и год». Это и позволило бывшему работнику воспользоваться лазейкой и проникнуть во внутреннюю сеть компании.
Кстати, один из модулей онлайн-курса «Лаборатории Касперского» - не устанавливать пароли наподобие «12345», как до сих пор делают многие.
Необходимо помнить об основах кибербезопасности: не пользоваться социальными сетями с рабочего компьютера, если они не требуются по работе. Менять пароли, возможно, ограничивать доступ к интернету тем сотрудникам, которым он не нужен напрямую. Запретить использование флешек и других съемных устройств.
Но обычные офисные сотрудники воспринимают все эти меры как ограничение личной свободы. С одной стороны, эти меры правильные, с другой - информационные технологии так быстро развиваются, что мы никогда не сможем контролировать все полностью. Нельзя закрыть все предприятие под коробочку - тогда ничего не будет работать. Даже на оборонных предприятиях, где есть закрытые сети и нельзя использовать Wi-Fi, Bluetooth и флешки, есть люди, которые следят за системой и соответствием всех параметров. Им скучно сидеть по 12 часов и они умудряются запустить фильм или сидеть в интернете.
Человек всегда найдет, как обойти ограничения, поэтому оптимальный вариант - повышать компьютерную грамотность.
Бизнес находится под постоянными кибератаками злоумышленников, цель которых - опустошить счета компании или похитить данные ее клиентов. Компании, особенно небольшие, часто экономят на информационной безопасности (ИБ), и половина директоров по ИБ уверены: расплатой за это станут финансовые потери.
Как можно предотвратить атаки и на что обратить внимание для защиты бизнеса? Рассказывает , руководитель отдела продаж клиентам малого и среднего бизнеса «Лаборатории Касперского».
Зачастую руководители в сфере информационной безопасности понимают неминуемость угроз, но сталкиваются с нехваткой бюджетов. Насколько велики масштабы этой проблемы и как бизнесу с ней справляться?
К сожалению, кибербезопасность в России действительно недофинансирована.
Вероятно, это связано с тем, что многие руководители и собственники бизнеса недооценивают масштабы потерь, к которым могут привести киберинциденты.
Важно трезво оценивать, какие убытки понесет компания при простое в течение нескольких дней - если перестанет работать сайт или все корпоративные компьютеры. Конечно, для продавца цветов, ведущего бухгалтерию в тетрадке, двухдневная блокировка компьютера не станет серьезной проблемой. Но доступ к данным критически важен для турагентства, страховой компании, ритейлера, который ведет бухгалтерию в электронном виде, поставляет товар в кредит, делает записи о будущих платежах и долгах. Это все реальные случаи из нашей практики.
Объем предстоящих платежей и средств, которые еще не поступили на счета компании, может составлять 20-30% от годового оборота.
Когда предприниматель понимает, сколько может потерять, то примерно представляет, сколько готов инвестировать в бесперебойную работу, сохранение интеллектуальной собственности компании и ее репутации - то есть обеспечение кибер и ИТ-безопасности. С одной стороны, это немного эфемерные расчеты - как оценить стоимость репутации? С другой стороны, они вполне очевидны. Например, если авиакомпания не сможет продавать билеты онлайн, клиенты не будут долго ждать и просто купят билеты у другого перевозчика.
Утеря данных приведет к сложностям, как минимум с доступом к 20-30% годового оборота средств компании
Обычно бюджет на кибербезопасность и информационную безопасность составляет 10–15% от всего ИТ-бюджета. Затраты на мобильные устройства, компьютеры, картриджи, интернет в среднем составляют 30–50 тыс. руб. на одного сотрудника в год. А качественная защита одного рабочего места в малом и среднем бизнесе - от 1 тыс. до 3,5 тыс. руб.
Поэтому экономия на ИТ-безопасности - это экономия на спичках. Офисные траты на кофе, туалетную бумагу и канцелярские принадлежности могут быть выше.
Важно понимать, что защита информации - это критически важная статья расходов, которой не стоит пренебрегать.
Малый и средний бизнес сейчас находится под пристальным вниманием злоумышленников - в некоторых случаях кибератаки даже приводили к банкротству предприятий.
Киберпреступники выискивают пути, как проникнуть в организацию. Чаще всего для этого рассылаются письма в бухгалтерию, а затем - в юридический, кадровый и маркетинговый отделы.
В электронных сообщениях может содержаться вредоносное ПО или предложение перейти на фишинговую страницу. После заражения злоумышленники начинают собирать различные данные: отслеживают нажатия клавиш на клавиатуре, перемещение мышки, изучают переписку, контакты и должности отправителей писем и т.д.
Изучив процессы в компании, злоумышленники могут составить целевое фишинговое письмо, направленное на конкретного сотрудника.
К примеру, работнику отдела кадров написать с просьбой рассмотреть резюме, приложив файл в формате Word.
Подобными документами сотрудники компаний пользуются каждый день, однако они могут содержать исполняемый скрипт, который запустит вирус и начнет шифровать данные внутри компании - на всех локациях, куда имеет доступ данный сотрудник. Обычные антивирусы, работающие только сигнатурным методом, не могут отследить подобную программу-вымогатель.
Шифровальщики - это бич текущего времени. Их активность увеличивается в четвертом квартале года, когда идут наиболее активные продажи, и с конца марта до июня, когда компании подают налоговую отчетность за прошедший период. Какие угрозы со стороны компетентных органов могут быть, если не подать налоговую декларацию вовремя?
Теперь представьте, что все данные на серверах были зашифрованы, и доступа к бухгалтерским и учетным программам просто нет.
Компания вынуждена заплатить злоумышленникам, либо сообщить налоговой, что не может сдать отчетность. Поэтому сумма выкупа в пиковые периоды растет.
Есть статистика, какая часть атакованных компаний соглашается заплатить, а какая пытается расшифровать данные и бороться со злоумышленниками?
Восстановить данные без ключа шифрования после атаки современного шифровальщика невозможно. Если раньше был один универсальный ключ на все пострадавшие компьютеры, то современное вредоносное ПО создает ключи для каждой отдельной машины.
Защитой от шифровальщиков будет использование не обычных антивирусов, а многослойной системы кибербезопасности. Она должна включать мониторинг активности программ, пользователей, эвристический поведенческий анализ, возможность 100-процентного предотвращения запуска шифровальщика.
Если проверять входящие сообщения на почтовых серверах, то вложения с вредоносными файлами даже не дойдут до компьютера работника
Второй рубеж обороны - на рабочем месте сотрудника: контроль запуска программ проверяет все используемые файлы. Третий барьер - веб-контроль: администратор сети составляет «белые» списки сайтов, где перечисляются разрешенные ресурсы, а все остальные считаются запрещёнными.
Максимальное внимание в вопросах кибербезопасности надо уделить защите рабочих станций бухгалтера, юриста, финансового и генерального директоров - людей, имеющих доступ к деньгам компании. Чаще всего они и подвержены целевым атакам злоумышленников.
Следующий уровень защиты от шифровальщиков - антикриптор или мониторинг системы. Антикриптор отслеживает поведение пользователя: если он вдруг начинает шифровать данные, чего никогда раньше не делал, то подозрительная деятельность будет приостановлена, а компьютер отсечен от всей остальной сети. Часть данных поместят в бэкап для последующего восстановления. Таким образом мы предотвращаем развитие атак шифровальщиков на наших заказчиков.
- Один из самых нашумевших зловредов - Buhtrap. Как можно с ним бороться?
Buhtrap - это вредоносная программа, позволяющая получить доступ к электронному банку, к возможности проводить финансовые трансакции в компании.
Попытки злоумышленников найти людей, которые могут проводить такие операции, становятся все изощреннее. Заражаются сайты специализированных СМИ, которые чаще всего посещают бухгалтеры и финансовые директора, сайты, на которые заходят руководители компаний, собственники бизнеса.
В некоторых случаях хакеры даже создают ресурсы с интересным контентом, чтобы привлечь к себе больше специализированных пользователей.
- Каковы последствия заражения Buhtrap?
Сумма ущерба российских компаний от подобных вредоносных программ только за прошлый год оценивается в десятки миллионов долларов. Справиться с Buhtrap можно, но нужно бороться не с последствиями атаки, а с ее первоисточником.
Квалифицированные решения, как у «Лаборатории Касперского», позволяют обнаружить вредоносные новостные ресурсы, с помощью которых Buhtrap попадает на рабочие станции, и полностью их заблокировать вместе со зловредом.
Иногда кибербезопасностью в компаниях малого и среднего бизнеса занимаются неспециалисты. Как руководителю бизнеса осознать важность этой задачи и передать ее в правильные руки?
Специализированные решения для компаний среднего и малого бизнеса, например, Kaspersky Small Office Security, позволяют защитить компании, у которых менее 25-ти рабочих станций. Этот продукт включает защиту финансовых трансакций, менеджер паролей, защиту мобильных устройств, серверов и рабочих станций. В программе использованы технологии, которые разрабатывались с том числе и для защиты крупных компаний.
В более крупном сегменте будет интересно решение Kaspersky Security Cloud. Оно подойдет компаниям, в которых работает до 250 сотрудников.
При этом управлять защитой можно не только с рабочего места, а из любой точки мира, где есть доступ в интернет.
То есть сотрудник может уехать в отпуск на Бали и оттуда следить за кибербезопасностью компании. Консоль интуитивно понятна и адаптирована для неспециалистов - разобраться с настройками сможет даже главный бухгалтер или руководитель бизнеса.
- Может ли бизнес положиться на бесплатные решения по защите от финансовых угроз?
Как и решения для домашних устройств, они не подходят для корпоративных пользователей, потому что не предназначены для защиты организаций. А злоумышленники совершенствуются в своих методах работы. В основном бесплатные версии включают только базовую защиту от вредоносного ПО, они не могут обеспечить безопасность финансовых операций онлайн, не блокируют мошеннические ссылки, не помогают контролировать использования ресурсов и программ и т.д.
Сможете ли вы защитить свои данные от программы-вымогателя? Интерактивная игра
Как малому бизнесу защитить себя от атак злоумышленников и предотвратить распространение «зловреда» еще до того, как он станет проблемой?
Мы слишком малы, чтобы быть целью для атаки» так считают многие руководители в малом бизнесе. По статистике «Лаборатории Касперского», 58% жертв киберпреступников – организации малого бизнеса, а средний ущерб от успешной атаки для компаний из сегмента СМБ – 4,3 млн рублей.
Как малому и среднему бизнесу обезопасить своих сотрудников от атак со стороны злоумышленников? Какие средства защиты стоит использовать? Рассказывает , старший менеджер по продуктовому маркетингу «Лаборатории Касперского».
Когда руководство предприятия понимает, что необходимо предпринять какие-либо меры защиты?
В большинстве случаев после первого инцидента. К сожалению, в малом бизнесе приоритет ИТ-безопасности становится очень высоким только после того, как компанию впервые атаковал вирус-шифровальщик. Владелец бизнеса будет по максимуму откладывать дополнительные расходы, если он не продвинутый пользователь.
Цена ошибки очень велика. Крупная организация может перераспределить свою инфраструктуру и продолжить работу. Но если в малом бизнесе от атаки «вредоноса» падает вся сеть, он просто перестает оказывать услуги - работа компании останавливается целиком. А конкуренция очень высока: по статистике половина компаний малого бизнеса, ставших жертвами атаки, через полгода вылетают с рынка, потому что не смогли вовремя восстановить свои ресурсы.
В моей практике был очень сложный случай. Злоумышленники знали о бреши в кибербезопасности предприятия, заточили «зловреда» под воровство данных организации и постепенно уводили у нее клиентов. Скорее всего, они действовали «по наводке». Но у компании нашлись продвинутые люди, которые смогли распознать целенаправленную атаку и спасти фирму - такое встречается крайне редко.
В большинстве случаев атаки носят массовый характер, а сотрудники - всегда слабое звено. Они ищут информацию с рабочих компьютеров, скачивают программу, которая нужна для работы, и могут ошибиться. Если нет специалиста, который за этим следит, то ситуацию в компании не контролирует никто.
Минимальная защита для малого бизнеса помогает избежать негативных последствий именно от таких ошибок. Представьте, что вы столкнулись с фишинговой атакой. Если у вас в организации 50-100 человек, неважно, сколько из них перешли по ссылке - даже одного клика достаточно, чтобы инфицировать сеть. Решения для малого бизнеса призваны предотвратить распространение «зловреда» еще до того, как он станет проблемой.
Как правило, крупные компании обучают сотрудников выявлять в электронной почте файлы и ссылки от злоумышленников. Ограждают ли малые компании своих работников от подобных угроз?
Малый бизнес очень много времени и усилий тратит на свою профильную деятельность. Основные средства всегда вкладываются в те направления, которые потенциально могут увеличить доходы компании. На поддерживающие процессы остается минимум ресурсов, поэтому финансирование ИТ и ИТ-безопасности не является приоритетным, а при выборе этих услуг важны простота в обращении и автоматическая работа. То есть решения должны требовать минимум внимания.
Кроме того, в малом бизнесе всегда остро стоят кадровые вопросы. В небольшой фирме зачастую работает приходящий системный администратор, а не штатный сотрудник. В компаниях чуть крупнее один специалист может отвечать и за ИТ, и за информационную безопасность.
Руководители малого и среднего бизнеса уделяют внимание ИТ-безопасности в зависимости от своего неприятного опыта в этой сфере. Если они в целом представляют спектр угроз, сталкивались с такими инцидентами раньше или осознают необходимость обезопасить компанию после массовых кибератак, то будут искать защиту, работающую в автоматическом режиме.
«Лаборатория Касперского» как раз предлагает такие решения - Kaspersky Endpoint Security для бизнеса. Мы называем такие продукты «Install and Forget», то есть установил и забыл. Они предоставят максимум автоматической защиты - у малого бизнеса зачастую нет специальных сотрудников в штате для настройки программы.
Защита от фишинговых писем тоже должна быть автоматической, чтобы такие рассылки в принципе не доходили до пользователей.
Вероятность того, что работники малых компаний получат такие письма, выше, чем в крупном бизнесе?
У руководителей малого бизнеса есть опасное заблуждение, что они не являются целью киберпреступников и «лакомым кусочком» для них. Но по статистике жертвами организованных криминальных группировок в 50% случаев оказываются малые и средние компании. В случае глобальных веерных атак типа WannaCry достается всем: корпорациям, небольшим фирмам и частным пользователям.
Целенаправленные атаки больше касаются крупных предприятий, когда злоумышленники понимают размер своей потенциальной «добычи». Но на моей памяти были случаи, когда такие атаки проводились на интернет-магазины и средние компании в сфере оптовой торговли.
Шанс атаки возрастает, если злоумышленники каким-то образом узнают, что компания не занимается информационной и кибербезопасностью - в малом бизнесе часто надеются на авось.
Такие предприниматели отдают ИТ-безопасность на откуп приходящим сотрудникам или единственному сотруднику или же возрастает роль автоматической защиты?
В микробизнесе вопросами ИТ зачастую занимается самый продвинутый человек, чья основная работа заключается в другом - иногда даже в логистике и продажах. Но если выяснилось, что человек разбирается в информационных системах, то он берет на себя в том числе защиту компьютеров и кибербезопасность. Минимум, который ему нужно сделать, - установить антивирусы. Причем ему нужны решения для бизнеса, а не домашняя защита.
Они ставят решения, в которых обычный человек не разбирается. Ему достаточно продвинутого ИТ-уровня, чтобы установить эту защиту.
В более крупной компании, где есть приходящий или даже собственный админ, появляется еще требование контроля. То есть на предприятии осознают, что им нужно внедрить минимальные политики безопасности, чтобы понимать происходящее, сократить спектр рисков и угроз. Мы готовы по мере созревания компании предлагать все более продвинутые решения.
Пользоваться облачной защитой выгоднее, чем услугами обычного приходящего специалиста?
Айтишнику все равно нужны инструменты: это решение не заменяет его, а становится средством, с помощью которого он защитит организацию. Kaspersky Small Office - это решение из разряда «do it yourself». С ним организация сможет защитить себя от актуальных угроз и пока что не прибегать к помощи профессионала.
В чем ключевое отличие Endpoint Security Cloud и каковы преимущества облачного решения?
Необлачная защита устанавливается на сервер - для этого нужен узкопрофильный специалист. Нужно быть технически грамотным человеком, чтобы развернуть Endpoint-решение на сервере, установить агенты, подключить все это, настроить политику безопасности и так далее. Облачное решение позволяет получить быструю защиту: не нужно покупать сервер и поддерживать его - то есть нет затрат на содержание «железа». Вы экономите деньги и время штатных сотрудников.
Облачное решение скачивается и устанавливается за несколько минут, вся задача занимает не более часа. Основное преимущества такого метода - это скорость: защита начинает действовать в течение нескольких минут.
Наши решения для малого бизнеса максимально облегчены с точки зрения управления. Small Office Security вообще не требует заходить в веб-консоль. В Kaspersky Endpoint Security Cloud консоль сильно облегчена: все настройки автоматически применяются к новым устройствам, подключенным к защите. Хотя при желании админ может что-то добавить вручную. При этом оба решения - облачные и не требуют «железа», сервера.
Как правило, к подобным решениям прибегают более продвинутые организации, или необязательно?
Здесь важны степень зрелости организации, руководителя и ИТ-специалиста, если он есть. В целом в России уровень ИТ-компетентности достаточно высокий. Организация в целом может стремиться к современной инфраструктуре: некоторые компании отказываются от собственного «железа», чтобы быть более гибкими и динамичными.
Облачные решения очень легкое масштабировать. Если у вас открывается новая точка продаж или новый офис, то с помощью Kaspersky Endpoint Security Cloud ее можно защитить за считанные минуты. Скорость масштабирования и роста вашего бизнеса не привязана к собственной инфраструктуре. Офисы могут быть разбросаны по стране, а вы все делаете удаленно, потому что все решения в облаке. Компании, которые настроены на рост и понимают вопросы, связанные с масштабированием, изначально выбирают «облака», потому что традиционные решения не позволят им так быстро меняться.
Какой еще важный тренд вы видите в области безопасности малого бизнеса?
Еще один тренд - работа на мобильных устройствах. В крупных организациях есть корпоративные программы мобильности: устройства закупают централизованно, устанавливают на них средства совместной работы, средства защиты и так далее. Все это контролирует «безопасник», и подключиться к инфраструктуре компании в принципе нельзя.
А в малом бизнесе никто не разбирается, личное это устройство или нет. Человек выбирает самый удобный гаджет, чтобы быстрее и эффективнее справляться со своей работой. Мы готовы поддерживать такие предприятия и предоставляем защиту в том числе для мобильных устройств. Если компания пока что не пользуется облачной защитой, ее можно подключить позже. И неважно, где находится человек - всю защиту можно установить удаленно.
«Мобильное устройство превращается в инструмент слежки, и эта слежка по сути дозволена компанией». Как личные смартфоны и ноутбуки сотрудников создают брешь в информационной безопасности бизнеса?
Небольшие компании не всегда могут позволить себе приобрести для сотрудников все необходимые гаджеты, например, рабочие смартфоны и ноутбуки. При этом использование личных девайсов в рабочих целях приветствуется, чтобы сотрудник всегда мог быть на связи.
Так возник тренд, который получил название BYOD (bring your own device или «принеси собственное устройство»), и он все сильнее распространяется в среднем и малом бизнесе.
«За счет BYOD компания сильно экономит деньги на покупке и обслуживании железа, снимает с себя риски утраты и порчи мобильных устройств. А это существенные деньги», - комментирует Виктор Чебышев , антивирусный эксперт «Лаборатории Касперского ».
Однако концепция BYOD сама по себе противоречива. Доступ личного устройства сотрудника к внутреннему периметру компании удобен для самого работника, но создает риски утечки данных и неконтролируемого доступа к информации.
В этом случае BYOD-подход является осложняющим фактором и может стать «точкой входа» в компанию для злоумышленников. Поэтому организации необходимо так настроить доступ и контролировать вход, что это далеко не всегда будет удобно для пользователя.
Чтобы снизить риски при BYOD-подходе, необходимо предпринять множество мер по защите данных. Личные гаджеты персонала, как правило, защищены хуже корпоративных и более подвержены киберугрозам и потере. Согласно исследованию «Лаборатории Касперского», 35% компаний в сфере МСБ (со штатом от 1 до 249 сотрудников) сталкивались с тем, что гаджеты сотрудников, которые те использовали в том числе в рабочих целях, заражались вредоносным ПО. Работники 28% организаций теряли личные устройства и носители с корпоративной информацией: смартфоны, ноутбуки, внешние жесткие диски, флешки. А средний ущерб от успешной атаки на компанию из сегмента малого и среднего бизнеса оценивался в 4,3 млн руб.
Личные устройства сотрудников в бизнесе: в чем опасность?
Степень серьезности угроз зависит от того, как ИТ-отдел компании следит за безопасностью мобильных устройств работников. Здесь можно использовать несколько решений:
1.MDM-профили. Mobile Device Management (управление мобильными устройствами) - это набор сервисов и технологий, обеспечивающих контроль и защиту гаджетов компании и её сотрудников. Одна часть MDM устанавливается на гаджет сотрудника, а другая представляет собой «контрольный центр» для удаленного управления устройством.
2.Ограничивающие политики. Далеко не всем сотрудникам нужен доступ к некоторым ресурсам. Например, зачем бухгалтеру выходить в соцсети с рабочих устройств? Это может быть опасно, если на гаджете есть конфиденциальные документы, а сотрудник случайно кликает по вредоносной интернет-ссылке. Поэтому гибкая настройка прав доступа к соцсетям или иным программам или ресурсам - очень важное и нужное решение.
3.Антивирусы с централизованным управлением, защищающие от вредоносного ПО. Эти решения позволят сразу отсечь зараженный девайс от инфраструктуры компании и провести расследование инцидента.
Если ни один из этих способов не практикуется, то у компании возникают существенные риски кибербезопасности, предупреждает Виктор Чебышев. По его словам, при заражении мобильного устройства возможны несколько вариантов развития событий:
1. Зловред собирает все данные с мобильного устройства - фактически шпионит. В этом случае можно перехватить важные файлы в памяти устройства, записать переговоры при помощи встроенного микрофона, сделать снимки камер и так далее. Мобильное устройство превращается в инструмент слежки, и эта слежка по сути дозволена компанией.
2. Зловред устанавливает так называемый туннель. У мобильного телефона есть два сетевых интерфейса - WIFI и 3G/4G/LTE. Злоумышленник, находясь в любой мира, может получить доступ к внутренней инфраструктуре компании через эти сетевые интерфейсы, так как мобильный телефон постоянно находится в сети, а внутренние WIFI-сети компании доступны для BYOD. Последствия от такого заражения могут быть сколь угодно печальными.
Контроль за данными на ноутбуках - отдельный разговор. Незащищенная информация на личном компьютере, который можно потерять в аэропорту или забыть в кафе - это типичный кошмар для ИТ-отдела.
Чтобы избежать этой угрозы, ряд компаний позволяют сотрудникам работать только на офисных компьютерах, на которых сильно ограничены возможности передачи данных и отключены USB-порты для флэшек. Но такой подход не будет работать в ориентированной на BYOD компании, предостерегает Виктор Чебышев. Защита предполагает ограничения, на которые могут пойти далеко не все пользователи.
Как предпринимателям обезопасить корпоративную информацию на личных гаджетах?
В концепции BYOD стоит применять несколько основных методов защиты данных. «Пренебрегать ими не стоит: цена халатного отношения может быть несоизмерима с ценой даже полного комплекта защиты», - говорит Виктор Чебышев.
Ни в коем случае не пренебрегайте защитой мобильных гаджетов (помимо основных рабочих устройств - компьютеров). Используйте комплексную защиту компьютеров, файловых серверов, а также планшетов и смартфонов от интернет-атак, финансового онлайн-мошенничества, программ-вымогателей и потери данных. Такую защиту предоставляет, например, программа Kaspersky Small Office Security , специально созданная для небольших компаний с числом сотрудников до 25 человек, или Kaspersky Endpoint Security Cloud , которая помогает защитить малый бизнес без дополнительной нагрузки на IT-ресурсы, время и финансы.
Активируйте специальный модуль «Анти-вор» для Android-устройств в составе комплексной защиты. Такая функция позволяет удаленно заблокировать потерянное устройство, стереть на нем данные или определить его местонахождение на карте.
Применяйте полное или частичное шифрование корпоративных данных. Тогда даже в случае утери или кражи ноутбука или USB-накопителя нельзя будет получить доступ к содержащейся на них информации без пароля.
Технологии резервного копирования спасут ваш бизнес. С помощью бэкапа у вас всегда будет запасное хранилище с самой актуальной версией ценной рабочей информации в случае, например, успешной атаки вируса-шифровальщика.
Системные администраторы всегда должны знать, какие устройства сотрудники используют для работы, и иметь дистанционный «взрыватель» (удаленный контроль) для корпоративных данных в таких устройствах на случай их утери, кражи или ухода их владельца из компании.
Но в целом нельзя позволять секретным документам утекать за пределы периметра компании, даже в облачные хранилища вроде «Яндекс.диск» и Google.drive - и тогда не придется ничего уничтожать.
Чтобы обезопасить переписку на корпоративные темы в личных мессенджерах, можно дать несколько рекомендаций. Во-первых, на мобильном устройстве должна быть установлена последняя версию операционной системы. Во-вторых, всегда использовать защитное решение - иначе устройство нельзя допускать в периметр компании.
Среди средств противодействия есть решения из линейки Kaspersky Security для бизнеса и Kaspersky Small Office Security. Они включают в себя одинаково эффективную защиту для корпоративных и личных компьютеров и для мобильных устройств, что особенно важно для малых предприятий. Kaspersky Small Office Security позволяет владельцам сосредоточиться на ведении бизнеса, потому что он прост в использовании и не требует специальных знаний IT-администрирования для защиты сети компании.
Станет ли использование личных устройств сотрудников более безопасным для компании?
Техническая сторона вопроса кибербезопасности в концепции BYOD будет совершенствоваться, и всё больше компаний будут отказываться от закупки устройств, уверен Виктор Чебышев. Вероятно, следовать старым методам будут лишь компании, в которых используют специфические мобильные устройства, например, ударопрочные и водонепроницаемые.
«Логика профилей устройств в мобильных операционных системах наверняка будет усложняться. То есть мобильное устройство само будет решать, что в данный момент владелец находится на работе, и блокировать деятельность, сопряженную с риском заражения или доступом устройства в запретные для него места. Вместе с этим эволюционируют механизмы контроля личных устройств в сети предприятия, а в обозримом будущем будут внедряться решения на основе машинного обучения, фиксирующие аномалии с BYOD-устройств. За такими системами будущее», - резюмирует антивирусный эксперт «Лаборатории Касперского».