Корпоративна несигурност

През 2008 г. успях да посетя ИТ компания. Във всеки служител имаше някакво нездравословно напрежение. Причината се оказа проста: мобилните телефони са в кутия на входа на офиса, има камера зад гърба, 2 големи допълнителни „гледащи“ камери в офиса и софтуер за наблюдение с кийлогър. И да, това не е компанията, която е разработила SORM или животоподдържащи системи за самолети, а просто разработчик на бизнес приложен софтуер, който сега е погълнат, смачкан и вече не съществува (което изглежда логично). Ако сега се опъвате и си мислите, че в офиса ви с хамаци и M&M във вазите това определено не е така, може много да се заблуждавате - просто за 11 години контролът се научи да бъде невидим и коректен, без разправии посетени сайтове и изтеглени филми.

Така че наистина ли е невъзможно без всичко това, но какво да кажем за доверието, лоялността, вярата в хората? Вярвате или не, но има също толкова компании без мерки за сигурност. Но служителите успяват да объркат и тук, и там - просто защото човешкият фактор може да унищожи светове, не само вашата компания. И така, къде вашите служители могат да правят пакости?

Това не е много сериозна публикация, която има точно две функции: да разведри малко ежедневието и да ви напомни за елементарни неща за безопасност, които често се забравят. О, и още веднъж ви напомням готина и сигурна CRM система — Този софтуер не е ли ръбът на сигурността? 🙂

Да отидем в случаен режим!

Пароли, пароли, пароли...

Говориш за тях и се надига вълна от възмущение: как може, толкова пъти са казали на света, но нещата са си там! В компании от всички нива, от индивидуални предприемачи до мултинационални корпорации, това е много болно място. Понякога ми се струва, че ако утре построят истинска Звезда на смъртта, в админ панела ще има нещо като admin/admin. И така, какво можем да очакваме от обикновените потребители, за които тяхната собствена страница VKontakte е много по-скъпа от корпоративен акаунт? Ето точките за проверка:

• Писане на пароли на листове, на гърба на клавиатурата, на монитора, на масата под клавиатурата, на стикер отдолу на мишката (хитро!) - служителите никога не трябва да правят това. И не защото ужасен хакер ще влезе и ще изтегли целия 1C на флашка по време на обяд, а защото може да има обиден Саша в офиса, който ще напусне и ще направи нещо мръсно или ще отнеме информацията за последен път . Защо не направите това на следващия си обяд?

Това е какво? Това нещо съхранява всичките ми пароли

• Задаване на прости пароли за влизане в компютъра и работните програми. Рождени дати, qwerty123 и дори asdf са комбинации, които принадлежат на вицовете и на bashorg, а не на корпоративната система за сигурност. Задайте изисквания за паролите и тяхната дължина и задайте честотата на подмяна.

Паролата е като бельото: сменяйте я често, не я споделяйте с приятелите си, дългата е по-добра, бъдете загадъчни, не я разпръсквайте навсякъде

• Паролите за влизане в програмата по подразбиране на доставчика са погрешни, дори само защото почти всички служители на доставчика ги знаят и ако имате работа с уеб базирана система в облака, няма да е трудно за никого да получи данните. Особено ако имате и мрежова сигурност на ниво „не дърпайте кабела“.
• Обяснете на служителите, че подсказката за парола в операционната система не трябва да изглежда като „моят рожден ден“, „името на дъщерята“, „Gvoz-dika-78545-ap#1! на английски." или „кварти и едно и нула“.    

Моята котка ми дава страхотни пароли! Той минава през клавиатурата ми

Физически достъп до случаите

Как вашата компания организира достъпа до счетоводна и кадрова документация (например до лични досиета на служители)? Нека позная: ако е малък бизнес, тогава в счетоводния отдел или в офиса на шефа в папки на рафтове или в килера; ако е голям бизнес, тогава в отдела по човешки ресурси на рафтове. Но ако е много голям, тогава най-вероятно всичко е правилно: отделен офис или блок с магнитен ключ, където само определени служители имат достъп и за да стигнете до там, трябва да се обадите на един от тях и да отидете в този възел в тяхно присъствие. Няма нищо трудно да направите такава защита във всеки бизнес или поне да се научите да не пишете паролата за офис сейфа с тебешир на вратата или на стената (всичко се основава на реални събития, не се смейте).

Защо е важно? Първо, работниците имат патологично желание да научат най-тайните неща един за друг: семейно положение, заплата, медицински диагнози, образование и т.н. Това е такъв компромис в офис конкуренцията. И вие абсолютно не печелите от дрязгите, които ще възникнат, когато дизайнерката Петя разбере, че печели с 20 хиляди по-малко от дизайнерката Алис. Второ, там служителите имат достъп до финансовата информация на компанията (баланси, годишни отчети, договори). Трето, нещо може просто да бъде изгубено, повредено или откраднато, за да се прикрият следи в собствената трудова история.

Склад, където някой е загуба, някой е съкровище

Ако имате склад, помислете, че рано или късно гарантирано ще се сблъскате с престъпници - просто така работи психологията на човек, който вижда голям обем продукти и твърдо вярва, че малко от много не е грабеж, а споделяне. И една единица стоки от тази купчина може да струва 200 хиляди, или 300 хиляди, или няколко милиона. За съжаление, нищо не може да спре кражбата, освен педантичен и тотален контрол и счетоводство: камери, приемане и изписване с помощта на баркодове, автоматизация на складовата отчетност (например в нашата RegionSoft CRM складовото счетоводство е организирано по такъв начин, че управителят и надзорът да могат да виждат движението на стоките през склада в реално време).

Затова въоръжете своя склад до зъби, осигурете си физическа сигурност от външния враг и пълна сигурност от вътрешния. Служителите в транспорта, логистиката, складовете трябва ясно да разберат, че има контрол, той работи и едва ли не ще се самонакажат.

*хей, не си бъркайте в инфраструктурата

Ако историята за сървърното помещение и чистачката вече е надживяла себе си и отдавна е мигрирала към приказки от други индустрии (например същата се разказа за мистичното спиране на вентилатора в същото отделение), то останалото остава реалност . Мрежовата и ИТ сигурност на малкия и среден бизнес оставя много да се желае и това често не зависи от това дали имате собствен системен администратор или поканен. Последният често се справя дори по-добре.

И така, на какво са способни служителите тук?

• Най-приятното и безобидно нещо е да отидете в сървърната стая, да дръпнете кабелите, да погледнете, да разлеете чай, да нанесете мръсотия или да се опитате да конфигурирате нещо сами. Това засяга особено „уверените и напреднали потребители“, които героично учат колегите си да деактивират антивирусната програма и да заобикалят защитата на компютъра и са сигурни, че са вродени богове на сървърната стая. Като цяло оторизираният ограничен достъп е вашето всичко.
• Кражба на оборудване и подмяна на компоненти. Обичате компанията си и сте инсталирали мощни видео карти за всички, за да може системата за таксуване, CRM и всичко останало да работи перфектно? Страхотен! Само хитри момчета (а понякога и момичета) лесно ще ги заменят с домашен модел, а у дома ще пускат игри на нов офис модел - но половината свят няма да знае. Същото е и с клавиатурите, мишките, охладителите, UPS-ите и всичко, което по някакъв начин може да бъде заменено в рамките на хардуерната конфигурация. В резултат на това носите риска от увреждане на имуществото, пълната му загуба, като в същото време не получавате желаната скорост и качество на работа с информационните системи и приложения. Това, което спестява, е система за мониторинг (ITSM система) с конфигуриран контрол на конфигурацията), която трябва да бъде доставена в комплект с неподкупен и принципен системен администратор.

Може би искате да потърсите по-добра система за сигурност? Не съм сигурен дали този знак е достатъчен

• Използването на ваши собствени модеми, точки за достъп или някакъв вид споделен Wi-Fi прави достъпа до файлове по-малко сигурен и практически неконтролируем, от което могат да се възползват нападателите (включително в тайно споразумение със служители). Е, освен това вероятността служител „със собствен интернет“ да прекарва работно време в YouTube, хумористични сайтове и социални мрежи е много по-голяма.  
• Унифицираните пароли и влизания за достъп до административната зона на сайта, CMS, приложен софтуер са ужасни неща, които превръщат некадърния или злонамерен служител в неуловим отмъстител. Ако имате 5 души от една и съща подмрежа с едно и също име/парола, за да поставите банер, да проверите рекламните връзки и показатели, да коригирате оформлението и да качите актуализация, никога няма да познаете кой от тях случайно е превърнал CSS в тиква. Следователно: различни влизания, различни пароли, регистриране на действия и разграничаване на правата за достъп.
• Излишно е да споменаваме за нелицензирания софтуер, който служителите плъзгат на компютрите си, за да редактират няколко снимки през работно време или да създадат нещо много свързано с хоби. Не сте ли чували за проверката на отдел „К” на СДВР? Тогава тя идва при вас!
• Антивирусната трябва да работи. Да, някои от тях могат да забавят вашия компютър, да ви дразнят и като цяло да изглеждат като признак на малодушие, но е по-добре да го предотвратите, отколкото по-късно да плащате с престой или, още по-лошо, откраднати данни.
• Предупрежденията на операционната система за опасностите от инсталирането на приложение не трябва да се пренебрегват. Днес изтеглянето на нещо за работа е въпрос на секунди и минути. Например Direct.Commander или AdWords редактор, някакъв SEO анализатор и т.н. Ако всичко е повече или по-малко ясно с продуктите на Yandex и Google, тогава друг picreizer, безплатен инструмент за почистване на вируси, видеоредактор с три ефекта, екранни снимки, Skype рекордери и други „малки програми“ могат да навредят както на отделен компютър, така и на цялата фирмена мрежа . Обучете потребителите да четат какво компютърът иска от тях, преди да се обадят на системния администратор и да кажат, че „всичко е мъртво“. В някои компании проблемът се решава просто: много изтеглени полезни помощни програми се съхраняват в мрежовия дял и там също е публикуван списък с подходящи онлайн решения.
• Политиката BYOD или, обратното, политиката за разрешаване на използването на работно оборудване извън офиса е много лоша страна на сигурността. В този случай достъп до технологията имат роднини, приятели, деца, публични незащитени мрежи и др. Това си е чисто руска рулетка - можете да продължите 5 години и да се справите, но можете да загубите или повредите всичките си документи и ценни файлове. Е, освен това, ако служител има злонамерени намерения, това е толкова лесно, колкото да изпратите два байта за изтичане на данни с „ходещо“ оборудване. Също така трябва да запомните, че служителите често прехвърлят файлове между персоналните си компютри, което отново може да създаде вратички в сигурността.
• Заключването на вашите устройства, докато сте далеч, е добър навик както за корпоративна, така и за лична употреба. Отново ви предпазва от любопитни колеги, познати и натрапници на обществени места. Трудно е да свикна с това, но на едно от местата ми на работа имах чудесно преживяване: колеги се приближиха до отключен компютър и Paint беше отворен през целия прозорец с надпис „Заключете компютъра!“ и нещо се промени в работата, например, последното изпомпвано сглобяване беше разрушено или последната въведена грешка беше премахната (това беше група за тестване). Жестоко е, но 1-2 пъти беше достатъчно и за най-дървесните. Въпреки че подозирам, че не-ИТ хората може да не разбират такъв хумор.
• Но най-лошият грях, разбира се, е на системния администратор и ръководството - ако те категорично не използват системи за контрол на трафика, оборудване, лицензи и т.н.

Това, разбира се, е база, защото ИТ инфраструктурата е мястото, където колкото по-навътре в гората, толкова повече дърва има. И всеки трябва да има тази база, а не да се заменя с думите „всички си вярваме“, „семейство сме“, „кому трябва“ – уви, това е засега.

Това е интернет, скъпа, те могат да знаят много за теб.

Време е да въведем безопасното боравене с интернет в курса по безопасност на живота в училище - и това изобщо не е за мерките, в които сме потопени отвън. Тук става въпрос по-конкретно за способността да се разграничи връзка от връзка, да се разбере къде има фишинг и къде е измама, да не се отварят прикачени файлове към имейл с тема „Доклад за съгласуване“ от непознат адрес, без да го разбирате, и т.н. Въпреки че, изглежда, учениците вече са усвоили всичко това, но служителите не са. Има много трикове и грешки, които могат да застрашат цялата компания наведнъж.

• Социалните мрежи са част от интернет, която няма място на работа, но блокирането им на фирмено ниво през 2019 г. е непопулярна и демотивираща мярка. Затова просто трябва да напишете на всички служители как да проверят незаконността на връзките, да им кажете за видовете измами и да ги помолите да работят на работното място.

• Пощата е болно място и може би най-популярният начин за кражба на информация, поставяне на зловреден софтуер и заразяване на компютър и цялата мрежа. Уви, много работодатели смятат имейл клиента за инструмент за спестяване на разходи и използват безплатни услуги, които получават 200 спам имейла на ден, които преминават през филтри и т.н. И някои безотговорни хора отварят такива писма и прикачени файлове, връзки, снимки - явно се надяват, че черният принц им е оставил наследство. След което администраторът има много, много работа. Или така беше замислено? Между другото, друга жестока история: в една компания, за всяко спам писмо до системния администратор, KPI беше намален. Като цяло след месец нямаше спам - практиката беше възприета от родителската организация и все още няма спам. Решихме този проблем елегантно - разработихме собствен имейл клиент и го вградихме в нашия собствен RegionSoft CRM, така че всички наши клиенти също получават такава удобна функция.

Следващият път, когато получите странен имейл със символ на кламер, не щракайте върху него!

• Месинджърите също са източник на всякакви опасни връзки, но това е много по-малко зло от пощата (без да се брои времето, загубено в чатове).

Изглежда, че всичко това са малки неща. Всяко от тези малки неща обаче може да има катастрофални последици, особено ако вашата компания е обект на атака на конкурент. И това може да се случи буквално на всеки.

Бъбриви служители

Това е самият човешки фактор, от който трудно ще се отървете. Служителите могат да обсъждат работа в коридора, в кафене, на улицата, в дома на клиента, да говорят на висок глас за друг клиент, да говорят за работни постижения и проекти у дома. Разбира се, вероятността зад вас да стои конкурент е незначителна (ако не сте в същия бизнес център - това се е случвало), но възможността човек, който ясно заявява бизнес делата си, да бъде заснет на смартфон и публикуван на YouTube е, колкото и да е странно, по-висок. Но и това са глупости. Не е глупост, когато служителите ви доброволно представят информация за продукт или компания на обучения, конференции, срещи, професионални форуми или дори на Хабре. Освен това хората често умишлено призовават опонентите си на такива разговори, за да проведат конкурентно разузнаване.

Разкриваща история. На една ИТ конференция от галактически мащаб лекторът на секцията изложи на слайд пълна диаграма на организацията на ИТ инфраструктурата на голяма компания (топ 20). Схемата беше мега впечатляваща, просто космическа, почти всички я снимаха и моментално прелетя в социалните мрежи с възторжени отзиви. Е, тогава говорителят ги хвана да използват геотагове, стойки, социални медии. мрежи на тези, които го публикуваха и се молеха да бъдат изтрити, защото доста бързо му се обадиха и казаха а-та-та. Бъбривецът е божи дар за шпионина.

Невежеството... те освобождава от наказание

Според глобалния доклад на Kaspersky Lab за 2017 г. за предприятията, претърпели инциденти с киберсигурността за период от 12 месеца, един на всеки десет (11%) от най-сериозните видове инциденти включва невнимателни и неинформирани служители.

Не предполагайте, че служителите знаят всичко за мерките за корпоративна сигурност, не забравяйте да ги предупредите, осигурете обучение, правете интересни периодични бюлетини за проблемите на сигурността, провеждайте срещи на пица и изяснявайте проблемите отново. И да, готин лайфхак - маркирайте цялата печатна и електронна информация с цветове, знаци, надписи: търговска тайна, секретно, за служебно ползване, общ достъп. Това наистина работи.

Съвременният свят постави компаниите в много деликатна позиция: необходимо е да се поддържа баланс между желанието на служителя не само да работи усилено на работа, но и да получава развлекателно съдържание във фонов режим / по време на почивките, и строгите правила за корпоративна сигурност. Ако включите хиперконтрол и идиотски програми за проследяване (да, не е печатна грешка - това не е сигурност, това е параноя) и камери зад гърба ви, тогава доверието на служителите в компанията ще падне, но поддържането на доверие също е инструмент за корпоративна сигурност.

Затова знайте кога да спрете, уважавайте служителите си и правете резервни копия. И най-важното, дайте приоритет на безопасността, а не на личната параноя.

Ако се нуждаеш CRM или ERP - разгледайте по-отблизо нашите продукти и сравнете техните възможности с вашите цели и цели. Ако имате въпроси или затруднения, пишете или се обадете, ние ще организираме индивидуална онлайн презентация за вас - без оценки и звънци.

Нашият канал в Telegram, в който без реклама пишем не съвсем формални неща за CRM и бизнеса.

Източник: www.habr.com