In 2008 kon ek 'n IT-maatskappy besoek. Daar was een of ander ongesonde spanning in elke werknemer. Die rede blyk eenvoudig te wees: selfone is in 'n boks by die ingang van die kantoor, daar is 'n kamera agter die rug, 2 groot addisionele "kykende" kameras by die kantoor en moniteringsagteware met 'n keylogger. En ja, dit is nie die maatskappy wat SORM of vliegtuiglewensondersteuningstelsels ontwikkel het nie, maar bloot 'n ontwikkelaar van besigheidstoepassingsagteware, nou geabsorbeer, verpletter en nie meer bestaan nie (wat logies lyk). As jy nou uitstrek en dink dat dit in jou kantoor met hangmatte en M&M in vase beslis nie die geval is nie, kan jy jou baie misgis – dis net dat die beheer oor 11 jaar geleer het om onsigbaar en korrek te wees, sonder kragmetings oor webwerwe besoek en films afgelaai het.
So is dit regtig onmoontlik sonder dit alles, maar wat van vertroue, lojaliteit, geloof in mense? Glo dit of nie, daar is net soveel maatskappye sonder sekuriteitsmaatreëls. Maar werknemers kry dit reg om beide hier en daar te mors – bloot omdat die menslike faktor wêrelde kan vernietig, nie net jou maatskappy nie. So, waar kan jou werknemers kwaad aandoen?
Hierdie is nie 'n baie ernstige plasing nie, wat presies twee funksies het: om die alledaagse lewe 'n bietjie op te helder en om jou te herinner aan basiese veiligheidsdinge wat dikwels vergeet word. O, en herinner jou weereens aan — Is sulke sagteware nie die rand van sekuriteit nie? 🙂
Kom ons gaan in ewekansige modus!
Wagwoorde, wagwoorde, wagwoorde...
Jy praat oor hulle en 'n golf van verontwaardiging rol in: hoe kan dit wees, het hulle soveel keer vir die wêreld gesê, maar dinge is nog daar! In maatskappye van alle vlakke, van individuele entrepreneurs tot multinasionale korporasies, is dit 'n baie seer plek. Soms lyk dit vir my as hulle môre 'n regte Death Star bou, sal daar iets soos admin/admin in die admin paneel wees. So wat kan ons verwag van gewone gebruikers, vir wie hul eie VKontakte-bladsy baie duurder is as 'n korporatiewe rekening? Hier is die punte om na te gaan:
- Skryf wagwoorde op stukkies papier, op die agterkant van die sleutelbord, op die monitor, op die tafel onder die sleutelbord, op 'n plakker onderaan die muis (slinks!) - werknemers moet dit nooit doen nie. En nie omdat 'n verskriklike kuberkraker oor middagete die hele 1C op 'n flash drive sal aflaai nie, maar omdat daar dalk 'n beledigde Sasha in die kantoor is wat gaan ophou en iets vuil doen of die inligting vir oulaas wegneem. . Hoekom doen dit nie by jou volgende middagete nie?
Dit is wat? Hierdie ding stoor al my wagwoorde
- Stel eenvoudige wagwoorde in om die rekenaar en werkprogramme te betree. Geboortedatums, qwerty123 en selfs asdf is kombinasies wat in grappies en op bashorg hoort, en nie in die korporatiewe sekuriteitstelsel nie. Stel vereistes vir wagwoorde en hul lengte, en stel die frekwensie van vervanging.
'n Wagwoord is soos onderklere: verander dit gereeld, moenie dit met jou vriende deel nie, 'n lang een is beter, wees geheimsinnig, moenie dit oral strooi nie
- Die verkoper se verstekprogramaanmeldwagwoorde is gebrekkig, al is dit net omdat byna al die verkoper se werknemers hulle ken, en as jy met 'n webgebaseerde stelsel in die wolk te doen het, sal dit vir niemand moeilik wees om die data te bekom nie. Veral as jy ook netwerksekuriteit op die "moenie die koord trek nie" vlak het.
- Verduidelik aan werknemers dat die wagwoordwenk in die bedryfstelsel nie soos "my verjaardag", "dogter se naam", "Gvoz-dika-78545-ap#1" moet lyk! in Engels." of "quarts en 'n een en 'n nul."
My kat gee my wonderlike wagwoorde! Hy loop oor my sleutelbord
Fisiese toegang tot sake
Hoe organiseer jou maatskappy toegang tot rekeningkundige en personeeldokumentasie (byvoorbeeld tot persoonlike lêers van werknemers)? Laat ek raai: as dit 'n klein besigheid is, dan in die rekeningkundige afdeling of in die baas se kantoor in vouers op rakke of in 'n kas; as dit 'n groot besigheid is, dan in die HR-afdeling op rakke. Maar as dit baie groot is, dan is alles waarskynlik korrek: 'n aparte kantoor of blok met 'n magnetiese sleutel, waar slegs sekere werknemers toegang het en om daar te kom, moet jy een van hulle bel en in hul teenwoordigheid by hierdie knoop ingaan. Daar is niks moeilik om sulke beskerming in enige besigheid te maak nie, of om ten minste te leer om nie die wagwoord vir die kantoorkluis met kryt op die deur of op die muur te skryf nie (alles is gebaseer op werklike gebeure, moenie lag nie).
Hoekom is dit belangrik? Eerstens het werkers 'n patologiese begeerte om die mees geheime dinge oor mekaar uit te vind: huwelikstatus, salaris, mediese diagnoses, onderwys, ens. Dit is so 'n kompromie in kantoorkompetisie. En jy trek absoluut nie baat by die twis wat sal ontstaan wanneer ontwerper Petya uitvind dat hy 20 duisend minder verdien as ontwerper Alice nie. Tweedens het werknemers toegang tot die maatskappy se finansiële inligting (balansstate, jaarverslae, kontrakte). Derdens kan iets eenvoudig verlore, beskadig of gesteel word om spore in 'n mens se eie werkgeskiedenis te bedek.
'n Pakhuis waar iemand 'n verlies is, iemand is 'n skat
As jy 'n pakhuis het, dink daaraan dat jy vroeër of later gewaarborg is om misdadigers teë te kom - dit is eenvoudig hoe die sielkunde van 'n persoon werk, wat 'n groot volume produkte sien en vas glo dat 'n bietjie van baie nie roof is nie, maar deel. En 'n eenheid goedere uit hierdie hoop kan 200 duisend, of 300 duisend, of 'n paar miljoen kos. Ongelukkig kan niks diefstal keer behalwe pedantiese en totale beheer en rekeningkunde nie: kameras, aanvaarding en afskrywing met strepieskodes, outomatisering van pakhuisrekeningkunde (byvoorbeeld in ons pakhuisrekeningkunde is so georganiseer dat die bestuurder en toesighouer die beweging van goedere deur die pakhuis intyds kan sien).
Bewapen dus jou pakhuis tot op die tande, verseker fisiese sekuriteit van die eksterne vyand en volkome sekuriteit van die interne een. Werknemers in vervoer, logistiek en pakhuise moet duidelik verstaan dat daar beheer is, dit werk, en hulle sal hulself amper straf.
*hey, moenie jou hande in die infrastruktuur steek nie
As die storie oor die bedienerkamer en die skoonmaakdame homself reeds oorleef het en lank na verhale van ander industrieë gemigreer het (dieselfde het byvoorbeeld oor die mistieke afskakeling van die ventilator in dieselfde saal gegaan), dan bly die res werklikheid . Netwerk- en IT-sekuriteit van klein en mediumgrootte besighede laat veel te wense oor, en dit hang dikwels nie daarvan af of jy jou eie stelseladministrateur of 'n genooide een het nie. Laasgenoemde hanteer dikwels selfs beter.
So waartoe is die werknemers hier in staat?
- Die lekkerste en onskadelikste ding is om na die bedienerkamer te gaan, aan die drade te trek, te kyk, tee te mors, vuil te smeer of iets self te probeer opstel. Dit raak veral "selfversekerde en gevorderde gebruikers" wat hul kollegas heldhaftig leer om antivirus te deaktiveer en beskerming op 'n rekenaar te omseil en seker is dat hulle aangebore gode van die bedienerkamer is. Oor die algemeen is gemagtigde beperkte toegang jou alles.
- Diefstal van toerusting en vervanging van komponente. Is jy lief vir jou maatskappy en het jy kragtige videokaarte vir almal geïnstalleer sodat die faktuurstelsel, CRM en alles anders perfek kan werk? Puik! Slegs slinkse ouens (en soms meisies) sal hulle maklik met 'n huismodel vervang, en by die huis sal hulle speletjies op 'n nuwe kantoormodel hardloop - maar die helfte van die wêreld sal nie weet nie. Dit is dieselfde storie met sleutelborde, muise, verkoelers, UPS'e en alles wat op een of ander manier binne die hardeware-konfigurasie vervang kan word. As gevolg hiervan, dra jy die risiko van skade aan eiendom, die volledige verlies daarvan, en terselfdertyd kry jy nie die verlangde spoed en kwaliteit van werk met inligtingstelsels en toepassings nie. Wat spaar, is 'n moniteringstelsel (ITSM-stelsel) met gekonfigureerde konfigurasiebeheer), wat kompleet van 'n onkreukbare en beginselvaste stelseladministrateur voorsien moet word.
Wil jy dalk 'n beter sekuriteitstelsel soek? Ek is nie seker of hierdie teken genoeg is nie
- Die gebruik van jou eie modems, toegangspunte of 'n soort gedeelde Wi-Fi maak toegang tot lêers minder veilig en feitlik onbeheerbaar, wat deur aanvallers benut kan word (insluitend in samespanning met werknemers). Wel, buitendien, die waarskynlikheid dat 'n werknemer "met sy eie internet" werksure op YouTube, humoristiese werwe en sosiale netwerke sal spandeer, is baie groter.
- Eenvormige wagwoorde en aanmeldings vir toegang tot die werfadministrasie-area, CMS, toepassingsagteware is verskriklike dinge wat 'n onbekwame of kwaadwillige werknemer in 'n ontwykende wreker verander. As jy 5 mense van dieselfde subnet met dieselfde login/wagwoord inkom om 'n banier op te sit, advertensieskakels en statistieke na te gaan, die uitleg reg te stel en 'n opdatering op te laai, sal jy nooit raai wie van hulle per ongeluk die CSS in 'n pampoen. Daarom: verskillende aanmeldings, verskillende wagwoorde, aanteken van aksies en differensiasie van toegangsregte.
- Nodeloos om te sê oor die ongelisensieerde sagteware wat werknemers na hul rekenaars sleep om 'n paar foto's gedurende werksure te redigeer of iets te skep wat baie stokperdjie verwant is. Het jy nie gehoor van die inspeksie van departement "K" van die Sentrale Binnelandse Sake Direktoraat nie? Dan kom sy na jou toe!
- Die antivirus moet werk. Ja, sommige van hulle kan jou rekenaar vertraag, jou irriteer en oor die algemeen na 'n teken van lafhartigheid lyk, maar dit is beter om dit te voorkom as om later te betaal met stilstand of, erger nog, gesteelde data.
- Bedryfstelselwaarskuwings oor die gevare van die installering van 'n toepassing moet nie geïgnoreer word nie. Vandag is die aflaai van iets vir werk 'n kwessie van sekondes en minute. Byvoorbeeld, Direct.Commander of AdWords-redigeerder, een of ander SEO-ontleder, ens. As alles min of meer duidelik is met Yandex- en Google-produkte, dan kan 'n ander picreizer, 'n gratis virusskoonmaker, 'n videoredigeerder met drie effekte, skermkiekies, Skype-opnemers en ander "klein programme" beide 'n individuele rekenaar en die hele maatskappynetwerk benadeel . Lei gebruikers op om te lees wat die rekenaar van hulle wil hê voordat hulle die stelseladministrateur bel en sê dat "alles dood is." In sommige maatskappye word die probleem eenvoudig opgelos: baie afgelaaide nuttige nutsprogramme word op die netwerkaandeel gestoor, en 'n lys van geskikte aanlynoplossings word ook daar geplaas.
- Die BYOD-beleid of, omgekeerd, die beleid om die gebruik van werktoerusting buite die kantoor toe te laat, is 'n baie slegte kant van sekuriteit. In hierdie geval het familielede, vriende, kinders, openbare onbeskermde netwerke, ens. toegang tot die tegnologie. Dit is suiwer Russiese roulette - jy kan vir 5 jaar gaan en klaarkom, maar jy kan al jou dokumente en waardevolle lêers verloor of beskadig. Wel, buitendien, as 'n werknemer kwaadwillige bedoelings het, is dit so maklik soos om twee grepe te stuur om data te lek met "loop" toerusting. Jy moet ook onthou dat werknemers dikwels lêers tussen hul persoonlike rekenaars oordra, wat weer sekuriteitskuiwergate kan skep.
- Om jou toestelle te sluit terwyl jy weg is, is 'n goeie gewoonte vir beide korporatiewe en persoonlike gebruik. Weereens, dit beskerm jou teen nuuskierige kollegas, kennisse en indringers in openbare plekke. Dit is moeilik om hieraan gewoond te raak, maar by een van my werkplekke het ek 'n wonderlike ervaring gehad: kollegas het 'n ongeslote rekenaar genader, en Paint is oor die hele venster oopgemaak met die inskripsie "Lock the computer!" en iets het in die werk verander, byvoorbeeld, die laaste opgepompte samestelling is afgebreek of die laaste gogga is verwyder (dit was 'n toetsgroep). Dit is wreed, maar 1-2 keer was genoeg, selfs vir die meeste hout. Alhoewel, ek vermoed, nie-IT-mense dalk nie sulke humor verstaan nie.
- Maar die ergste sonde lê natuurlik by die stelseladministrateur en bestuur – as hulle kategories nie verkeersbeheerstelsels, toerusting, lisensies, ens.
Dit is natuurlik 'n basis, want die IT-infrastruktuur is die einste plek waar hoe verder in die bos, hoe meer vuurmaakhout is daar. En almal moet hierdie basis hê, en nie vervang word deur die woorde "ons almal vertrou mekaar", "ons is 'n familie", "wie het dit nodig" - helaas, dit is vir eers.
Dit is die internet, skat, hulle kan baie van jou weet.
Dit is tyd om veilige hantering van die internet in die lewensveiligheidskursus by die skool in te voer - en dit gaan glad nie oor die maatreëls waarin ons van buite af gedompel word nie. Dit gaan spesifiek oor die vermoë om 'n skakel van 'n skakel te onderskei, te verstaan waar uitvissing is en waar 'n bedrogspul is, nie e-posaanhangsels met die onderwerp "Rekonsiliasieverslag" van 'n onbekende adres oop te maak sonder om dit te verstaan nie, ens. Alhoewel, dit blyk, het die skoolkinders dit al bemeester, maar die werknemers nie. Daar is baie truuks en foute wat die hele maatskappy gelyktydig in gevaar kan stel.
- Sosiale netwerke is 'n gedeelte van die internet wat geen plek by die werk het nie, maar om dit op maatskappyvlak in 2019 te blokkeer is 'n ongewilde en demotiverende maatreël. Daarom moet u net aan alle werknemers skryf hoe om die onwettigheid van skakels na te gaan, hulle te vertel van die tipe bedrog en hulle te vra om by die werk te werk.
- Pos is 'n seer plek en miskien die gewildste manier om inligting te steel, wanware te plant en 'n rekenaar en die hele netwerk te besmet. Helaas, baie werkgewers beskou die e-poskliënt as 'n kostebesparende hulpmiddel en gebruik gratis dienste wat 200 strooipos-e-posse per dag ontvang wat deur filters kom, ens. En sommige onverantwoordelike mense maak sulke briewe en aanhangsels, skakels, prente oop - blykbaar hoop hulle dat die swart prins vir hulle 'n erfporsie nagelaat het. Daarna het die administrateur baie, baie werk. Of was dit so bedoel? Terloops, nog 'n wrede storie: in een maatskappy, vir elke strooiposbrief aan die stelseladministrateur, is KPI verminder. Oor die algemeen, na 'n maand was daar geen strooipos nie - die praktyk is deur die ouerorganisasie aangeneem, en daar is steeds geen strooipos nie. Ons het hierdie probleem elegant opgelos - ons het ons eie e-poskliënt ontwikkel en dit in ons eie ingebou , so al ons kliënte ontvang ook so 'n gerieflike kenmerk.
Volgende keer as jy 'n vreemde e-pos met 'n skuifspeld-simbool ontvang, moenie daarop klik nie!
- Boodskappe is ook 'n bron van allerhande onveilige skakels, maar dit is baie minder boos as pos (nie die tyd wat gemors word met geselsies in geselsies ingereken nie).
Dit blyk dat dit alles klein dingetjies is. Elkeen van hierdie klein dingetjies kan egter rampspoedige gevolge hê, veral as jou maatskappy die teiken van 'n mededinger se aanval is. En dit kan met letterlik enigiemand gebeur.
Chattige werknemers
Dit is die einste menslike faktor wat vir jou moeilik sal wees om van ontslae te raak. Werknemers kan werk in die gang, in 'n kafee, op straat, by 'n kliënt se huis bespreek, hard praat oor 'n ander kliënt, praat oor werkprestasies en projekte by die huis. Die waarskynlikheid dat 'n mededinger agter jou staan, is natuurlik gering (as jy nie in dieselfde sakesentrum is nie - dit het gebeur), maar die moontlikheid dat 'n ou wat sy sakesake duidelik aandui, op 'n slimfoon verfilm sal word en op geplaas word. YouTube is, vreemd genoeg, hoër. Maar dit is ook snert. Dit is nie snert as jou werknemers gewillig inligting oor 'n produk of maatskappy by opleidings, konferensies, ontmoetings, professionele forums of selfs op Habré aanbied nie. Boonop roep mense dikwels hul opponente doelbewus na sulke gesprekke om mededingende intelligensie te doen.
’n Onthullende storie. Op een galaktiese-skaal IT-konferensie het die afdelingspreker op 'n skyfie 'n volledige diagram uitgelê van die organisasie van die IT-infrastruktuur van 'n groot maatskappy (top 20). Die skema was mega-indrukwekkend, eenvoudig kosmies, byna almal het dit gefotografeer, en dit het onmiddellik oor sosiale netwerke gevlieg met uitstekende resensies. Wel, toe vang die spreker hulle met geotags, staanders, sosiale media. netwerke van diegene wat dit geplaas het en gesmeek het om uitgevee te word, want hulle het hom redelik vinnig gebel en ah-ta-ta gesê. ’n Chatterbox is ’n uitkoms vir ’n spioen.
Onkunde... bevry jou van straf
Volgens Kaspersky Lab se 2017 wêreldwye verslag van besighede wat kuberveiligheidsvoorvalle in 'n tydperk van 12 maande ervaar, het een uit elke tien (11%) van die ernstigste voorvaltipes onverskillige en oningeligte werknemers betrokke.
Moenie aanvaar dat werknemers alles van korporatiewe veiligheidsmaatreëls weet nie, maak seker dat jy hulle waarsku, opleiding verskaf, interessante periodieke nuusbriewe oor sekuriteitskwessies maak, vergaderings oor pizza hou en sake weer uitklaar. En ja, 'n cool life hack - merk alle gedrukte en elektroniese inligting met kleure, tekens, inskripsies: handelsgeheim, geheim, vir amptelike gebruik, algemene toegang. Dit werk regtig.
Die moderne wêreld het maatskappye in 'n baie delikate posisie geplaas: dit is nodig om 'n balans te handhaaf tussen die werknemer se begeerte om nie net hard by die werk te werk nie, maar ook vermaaklikheidsinhoud op die agtergrond/tydens pouses te ontvang, en streng korporatiewe sekuriteitsreëls. As jy hiperbeheer en moroniese opsporingsprogramme aanskakel (ja, nie 'n tikfout nie - dit is nie sekuriteit nie, dit is paranoia) en kameras agter jou rug, dan sal werknemers se vertroue in die maatskappy daal, maar die handhawing van vertroue is ook 'n korporatiewe sekuriteitsinstrument.
Weet dus wanneer om te stop, respekteer jou werknemers en maak rugsteun. En die belangrikste, prioritiseer veiligheid, nie persoonlike paranoia nie.
As jy nodig het en vergelyk hul vermoëns met jou doelwitte en doelwitte. As jy enige vrae of probleme het, skryf of bel, ons sal 'n individuele aanlyn aanbieding vir jou reël - sonder graderings of klokkies en fluitjies.
, waarin ons, sonder om te adverteer, nie heeltemal formele dinge oor CRM en besigheid skryf nie.
Bron: will.com