Corporate insecurity

2008. aastal sain olla ühes IT-ettevõttes. Igas töötajas peegeldues oli mingi ebatervislik pingutamine. P põhjus osutus lihtsaks: mobiiltelefonid — tööruumi sissepääsu juures kastis, selja taga — kaamera, kaks suurt täiendavat „valvavat” kaamerat kabinetis ja jälgimistarkvara koos klahvivajutuste jälgijaga. Ja jah, see ei olnud ettevõte, mis arendas SORM-i või lennuki elupüsimiste süsteeme, vaid lihtsalt rakenduste äriprogrammide arendaja, kellel on nüüdseks omandanud, purustatud ja enam mitte eksisteeriv (mida näib loogiline). Kui te praegu sirutate käe ja arvate, et teie kontoris, kus on kiiged ja M&M-kombitsates ei ole midagi sellist, võite väga eksida — lihtsalt 11 aastaga on kontroll õppinud olema märkamatuks ja korrektseks, ilma arutelu käikude ja allalaaditud filmide pärast.

Kas tõesti ei saa kõigi nende asjadeta hakkama, aga kuidas jääb usalduse, lojaalsuse, usuga inimestesse? Te ei usu, aga ettevõtteid, kus ei ole turvameetmeid, on umbes sama palju. Kuid töötajad suudavad seal ja seal ikka vigu teha — lihtsalt sellepärast, et inimlik faktor suudab maailmu kokku kukutada, rääkimata teie ettevõttest. Nii et kus võivad teie töötajad oma numbreid panna?

See on mitte eriti tõsine postitus, millel on täpselt kaks ülesannet: veidi leevendada tööpäevi ja meenutada põhiasju turvalisuse kohta, mida tihti unustatakse. Ja noh, jagada veel kord teavet ägeda ja turvalise CRM-süsteemi — kas selline tarkvara ei ole turvalisuse piir? 🙂

Aitäh, lähme juhuslikus režiimis!

Paroolid, paroolid, paroolid…

Räägid neist ja tõuseb ärritus: kuidas küll, niivõrd palju on maailmale kuulutatud, aga olukord on ikka sama! Kõikide tasemete ettevõtetes, alates FIE-dest kuni rahvusvaheliste korporatsioonideni, on see väga valus teema. Mõnikord tundub mulle, et kui homme ehitatakse tõeline Surma Täht, siis admin-paneelis on midagi taolist nagu admin/admin. Mida saab oodata tavalistelt kasutajatelt, kelle jaoks isiklik leht VKontakte on palju väärtuslikum kui ettevõtte konto? Siin on punktid, millele tuleb tähelepanu pöörata:

• Paroolide kirjutamine paberile, klaviatuuri tagaküljele, ekraanile, klaviatuuri alla lauale, hiire alt kleebisele (nutikad!) — töötajad ei tohi seda kunagi teha. Ja mitte seetõttu, et äkki tuleb kuri häkker ja laadib lõunapausi jooksul kogu 1C ülestikku mälupulgale, vaid seetõttu, et kontoris võib olla Solvunud Sasha, kes kavatseb lahkuda ja viia ära teavet viimasel hetkel. Miks mitte seda lõunapausi ajal teha?

Kas see? See asi salvestab kõik minu paroolid

• Lihtsate paroolide seadmine PC-sse ja tööprogrammidesse. Sünnipäevad, qwerty123 ja isegi asdf — need on kombinatsioonid, mis kuuluvad anekdootide ja naljade valdkonda, mitte ettevõtte turvasüsteemi. Seadke paroolide nõuded ja nende pikkus, määrake vahetusperiood.

Parool on nagu aluspesu: vahetage seda tihti, ärge jagage seda oma sõpradega, pikk on parem, olge salapärased, ärge visake seda igale poole.

• Müüja vaikimisi paroolid on vähemalt seetõttu probleemsed, et neid teavad peaaegu kõik müüja töötajad. Kui teil on tegemist pilvesüsteemiga, ei ole andmete hankimine kellelegi keeruline. Eriti kui teie võrgu turvalisus on tasemel «juhet ei tõmmata välja».
• Selgitage oma töötajatele, et parooli vihje operatsioonisüsteemis ei tohi välja näha nagu «minu sünnipäev», «tütar», «Nael-78545-ä#1! inglise keeles» või «kverty ja üks nulliga».    

Minu kass genereerib mulle imetabaseid paroole! Ta jalutab mu klaviatuuril.

Füüsilised juurdepääsud asjadele.

Kuidas teie ettevõttes on korraldatud juurdepääs arvepidamise ja personalidokumentidele (näiteks töötajate kaustadele)? Loodan, et kui tegemist on väikese ettevõttega, siis on need raamatupidamises või juhi kabinetis kappidest või riiulitelt leitud, ja kui suur, siis personaliosakonnas riiulitel. Aga kui ettevõte on väga suur, siis tõenäoliselt on see korraldatud õigesti: eraldi kabinet või ala magnetvõtmega, kuhu pääseb vaid teatud töötajatel ja kuhu sisse pääsemiseks peab enne helistama kellelegi ja minema neile järele. Pole midagi keerulist, et selline kaitse oleks igas ettevõttes või vähemalt õppida, et mitte kirjutada kontoris oleva seifi parooli kriidiga uksele või seinale (kõik see põhineb tõelistel sündmustel, ära naera).

Miks see oluline on? Esiteks on töötajatel patoloogiline soov üksteise saladusi teada: peresuhted, palga suurus, meditsiinilised diagnoosid, haridus jne. See on kontorivõitluses tõeline kompromiteeriv teave. Ja need vaidlused, mis tekivad, kui disainer Petja saab teada, et tema palk on 20 tuhat vähem kui disainer Alisal, ei ole kindlasti teie huvides. Teiseks saavad töötajad seal juurde pääseda ka ettevõtte finantsinformatsioonile (bilansid, aastaaruanded, lepingud). Kolmandaks võib midagi elementaarset kaduma minna, rikneda või varastada, et omaenda töökohateavet varjata.

Ladu, kus kellelgi on kahjum, kellelegi – varandus

Kui teil on ladu, siis arvake, et varem või hiljem peate kindlasti silmitsi seisma õigusrikkujate probleemiga — see on lihtsalt inimpsühholoogia, kus suur hulk tooteid tekitab tugeva usu, et palju väikeseid vargusi ei ole rööv, vaid jagamine. Üks toode sellest kuhjast võib maksma minna 200 000, 300 000 või isegi mitu miljonit. Kahjuks ei saa varguste vältimiseks midagi olla tõhusam kui pedantne ja täielik kontroll ning arvestus: kaamerad, vastuvõtt ja lihtsalt arvestus, automatiseeritud laohaldus (näiteks meie laohaldus on korraldatud nii, et juht ja manager saavad jälgida kaupade liikumist reaalajas). RegionSoft CRM Meie laohaldus on korraldatud nii, et juht ja manager saavad jälgida kaupade liikumist reaalajas.

Seetõttu varustage oma ladu igasuguste kaitsevahenditega, tagage füüsiline turvalisus väliste rünnakute eest ja täielik turvalisus sisemiste ohtude eest. Töötajad transpordis, logistikast ja laos peavad selgelt mõistma, et kontroll on olemas, see töötab ja väikseima eksimuse korral peavad nad ise vastutust kandma.

* ärge pange oma käsi infrastruktuuri

Kui lugu serverist ja koristajast on juba oma olemuse ammendanud ja rändanud teiste valdkondade müütidesse (näiteks, selline käis kunagi müstilisest ventilatsiooniseadmest, mis samas palatis lõpetas töö), siis teised asjad jäävad tõelisuseks. Ettevõtte võrgu- ja IT-turvalisus väikeses ja keskmises ettevõttes on sageli kahetsusväärsel tasemel, mis tihti ei sõltu sellest, kas teil on oma süsteemiadministraator või palkate välist. Viimane suudab sageli asjadega paremini toime tulla.

Nii et milleks on töötajad siin võimelised?

• Kõige süütu ja kahjutu — minna serveriruumi, tõmmatake kaableid, vaadake ringi, valage teed, jätke mustust või proovige midagi ise seadistada. Eriti kipuvad sellele vaevuma "kindlad ja arenenud kasutajad", kes kangelaslikult õpetavad kolleege viirusetõrje välja lülitama ja arvuti kaitset mööda minema ning on veendunud, et nad on serveriruumi loomulikud jumalad. Ühesõnaga, autoriseeritud piiratud ligipääs — see on teie kõik.
• Seadmete vargus ja koostisosade vahetamine. Kas armastad oma ettevõtet ja oled kõigile paigaldanud võimsad graafikakaardid, et arveldamise süsteem, CRM ja kõik muu töötaks suurepäraselt? Suurepärane! Ainult et nutikad viisid (mõnikord ka naised) võivad lihtsalt vahetada need kodus olevate vastu ja mängida uusi mänge uue kontori mudeliga — pool maailma ei saa sellest aimu. Sama lugu on klaviatuuride, hiirte, jahutite, UPS-ide ja kõigega, mida on kuidagi võimalik raudvarakombinatsiooni raames vahetada. Lõppkokkuvõttes kannad sa varakadu ja samal ajal ei saa sa soovitud kiirusest ja kvaliteedist infotehnoloogiliste süsteemide ja rakendustega töötamisel. Aitab jälgimissüsteem (ITSM süsteem) koos seadistatud konfiguratsioonikontrolliga, mis peaks olema komplektis koos lahkushimu ja kaine mõistusega süsteemihalduriga.

Võib-olla tahad otsida paremat turvasüsteemi? Ei ole kindel, kas see märk on piisav.

• Oma modemide, juurdepääsupunktides või mõnes ühis-Wi-Fi võrgus kasutamine muudab failide juurdepääsu vähem turvaliseks ja praktiliselt kontrollimatuks, millega saavad ära kasutada kurjategijad (sealhulgas koostöös töötajatega). Samuti on tõenäolisem, et töötaja, kes kasutab "oma internetti", veedab tööaega YouTube'is, humoorikates saitides ja sotsiaalmeedias.  
• Üksikud paroolid ja sisselogimised saidi adminpaneeli, CMS-i ja rakendustarkvara juurde pääsemiseks on kohutavad asjad, muutes oskamatust või pahatahtlikku töötajat tabamatuks kätte maksjaks. Kui teie võrgus on 5 inimest, kes logivad sisse sama sisselogimise/parooliga, et riputada bännerit, kontrollida reklaamilingid ja metrikaid, parandada koodi ja laadida uuendust, ei saa te kunagi teada, kes neist kogemata CSS-i kõrvitsaks muutis. Seetõttu: erinevad sisselogimised, erinevad paroolid, tegevuste logimine ja ligipääsu õiguste eristamine.
• Kas on võimalik rääkida mittealkohoolsetest programmide loomise lubadest, mida töötajad oma arvutitesse tõmbavad, et tööl paar pilti redigeerida või midagi hobi korras seadistada. Kas olete kuulnud K-sektori kontrollist? Siis on see teie suunas tulemas!
• Viirusetõrje peab töötama. Jah, mõned neist võivad aeglustada arvuti tööd, olla tüütud ja tunduda argusmärgina, kuid parem on ennetada, kui hiljem seista silmitsi tööpeatuste või veel hullem, varastatud andmetega.
• Operating system warnings about the dangers of installing applications should not be ignored. Today, downloading something for work takes just a matter of seconds and minutes. For example, Direct Commander or AdWords editor, some SEO parser, and so on. While the products from Yandex and Google are more or less clear, little tools like image resizers, free virus cleaners, video editors with three effects, screenshot tools, Skype recorders, and other "tiny programs" can harm both a single PC and the entire company's network. Teach users to pay attention to what their computer wants before they call the sysadmin to say that "everything has crashed." In some companies, the issue is easily resolved: many downloaded useful utilities are stored on a network share, along with a list of good online solutions.
• BYOD poliitika või vastupidiselt, tööseadmete kasutamise poliitika kontori väliselt — on väga tõsine ohutusprobleem. Sellisel juhul pääsevad seadmetele ligi sugulased, tuttavad, lapsed ja avalikud, kaitsmata võrgud jne. See on nagu Vene rulett — võid viis aastat ilma probleemideta hakkama saada, aga võib ka juhtuda, et kaotad või rikud ära kõik olulised dokumendid ja väärtuslikud failid. Ja lisaks sellele, kui töötajal on halvad kavatsused, on andmete lekimine „ringluses” oleva varustuse kaudu sama lihtne kui kahe baitide saatmine. Tuleb ka meeles pidada, et töötajad edastavad sageli faile oma isiklike arvutite vahel, mis võib samuti tekitada turvabööpe.
• Seadmete lukustamine, kui neid ei kasutata, on hea harjumus nii ettevõtluses kui ka isiklikus elus. See kaitseb uudishimulike kolleegide, tuttavate ja pahatahtlike isikute eest avalikes kohtades. Sellega harjumine on keeruline, kuid ühes mu varasemas töökohas oli suurepärane kogemus: lukustamata arvutite juurde lähenesid kolleegid ja ekraanile ilmustus suur kiri "Lukusta arvuti!", tehes samal ajal midagi, näiteks kustutades viimase üleslaaditud versiooni või eemaldades viimase loodud vea (see oli testimisgrupp). Julm, aga 1-2 korda piisab isegi kõige õrnematest. Kuigi kahtlustan, et mitte-IT inimesed ei pruugi sellist huumorit mõista.
• Kuid kõige suurem patt lasub loomulikult süsteemiadministraatoril ja juhtkonnal, kui nad absoluutselt ei kasuta liikluse, seadmete, litsentside jne kontrollimise süsteeme.

See on muidugi alus, sest IT-infrastruktuur on just see koht, kus mida rohkem sügavusse minna, seda rohkem puid tuleb teele. See alus peaks olema kõigil, mitte asendatuna sõnadega "me usaldame üksteist", "me oleme perekond", "kellele see ikka huvi pakub" — kahjuks, see kehtib vaid mõnda aega.

See on internet, beebi, siin teavad sinust palju.

Internetis turvalisuse õpetamine tuleks viia koolidesse elukeskkonna alustes — ja see ei tähenda sugugi neid meetmeid, millega meid väljastpoolt uputatakse. See tähendab just oskust eristada linki lingist, mõista, kus on phishing ja kus petmine, mitte avada e-kirju, mille teemaks on 'Tasaarvestuse akt', kui nad tulevad tundmatult aadressilt, ja nii edasi. Kuigi tundub, et koolilapsed on selle juba selgeks saanud, siis töötajad mitte. On hulk trikke ja vigu, mis võivad kogu ettevõtte korraga ohtu seada.

• Sotsiaalmeedia on interneti osa, mis ei sobi tööellu, kuid nende blokeerimine ettevõtte tasandil 2019. aastal on ebatavaline ja demotiveeriv meetod. Seetõttu tuleks igale töötajale lihtsalt kirjutada, kuidas kontrollida linkide seaduslikkust, rääkida petuskeemide liikidest ja paluda neil tööl töötada.

• Postkast on probleemne ala ja peaaegu kõige populaarsem viis teabe varastamiseks, pahavara paigaldamiseks, arvuti ja kogu võrgu nakatamiseks. Kahjuks peavad paljud tööandjad postikliendi kokkuhoiuobjektiks ja kasutavad tasuta teenuseid, kuhu saabub 200 rämpsposti kirja päevas, mis pääseb läbi filtrite jne. Mõned vastutustundetud inimesed avavad selliseid kirju ja manuseid, linke, pilte — ilmselt loodavad, et Aafrika prints on just neile pärandi jätnud. Seejärel on administraatoril palju-palju tööd. Või oli see nii plaanitud? Üks karm lugu veel: ühes ettevõttes vähendati süsteemihalduri KPI-d iga rämpsposti kirja eest. Kokkuvõttes rämpsposti enam ei olnud — praktika võeti üle peakorterist ja rämpsposti pole siiani. Me lahendasime selle küsimuse elegantselt — lõime oma postikliendi ja integratsiooni selle enda RegionSoft CRM, seega saavad ka kõik meie kliendid seda mugavat funktsiooni.

Järgmine kord, kui saad kummalise kirja klammerdusega, ära kliki sellel!

• Sõnumirakendused on samuti allikaks mitmesugustele ebaturvalistele linkidele, kuid see on palju väiksem kuritegu kui e-post (kui mitte arvestada aega, mis kulutatakse jutustamisele vestluses).

Tundub, et need on kõik pisiasjad. Kuid igaüks neist pisiasjast võib tuua kaasa katastroofilisi tagajärgi, eriti kui teie ettevõte on konkurentide rünnaku sihtmärk. Ja see võib juhtuda sõna otseses mõttes igaühega.

Klitserlikud töötajad

See on see inimfaktor, millest on raske vabaneda. Töötajad võivad rääkida tööst koridoris, kohvikus, tänaval, valjult kliendi ees teistest klientidest, jagada oma töö saavutusi ja projekte kodus. Muidugi, tõenäosus, et selja taga on konkurent, on peaaegu olematu (kui te ei ole ühes ärihoones – seda on juhtunud), kuid et keegi filmib selgelt äriideid esitavat meest nutitelefoniga ja postitab selle YouTube'i, on üllatavalt tõenäolisem. Kuid see pole veel kõik. Teine asi on see, kui teie töötajad on valmis jagama teavet toote või ettevõtte kohta koolitustel, konverentsidel, meet-up'ides, professionaalsetel foorumitel, isegi Habras. Eriti kuna sageli kutsub inimesi otseselt vastaseid sellistel aruteludel osalema, et teha konkurentsi puudutavat uurimistööd.

Kohane lugu. Ühel galaktika tasemel IT-konverentsil näitas ettekandja oma slaidil suurt IT-infrastruktuuri skeemi, mis kuulub 20 parima ettevõtte hulka. See skeem oli äärmiselt muljetavaldav, lausa kosmilise mõõtmega, seda pildistati peaaegu igaühe poolt ja see levis sotsiaalmeedias koos vaimustavate tagasisidetega. Siis püüdis ettekandja geotägide, stendide ja sotsiaalmeedia kaudu üles leida ja palus seda eemaldada, sest talle helistati üsna kiiresti ja öeldi, et sellega on mured. Lobiseja on spiooni jaoks leid.

Teadmatus... vabastab karistusest.

Vastavalt Kaspersky Labori 2017. aasta globaalsetele aruanne andmetele, millega kokku puutusid küberjulgeoleku intsidentide põhjused 12 kuu jooksul, oli üks kümnest (11%) kõige tõsisemast intsidendist seotud hooletute ja mitte informeeritud töötajatega.

Ärge arvake, et töötajad teavad kõike ettevõtte turvameetmetest; kindlasti informeerige neid, korraldage koolitusi, saatke huvitavaid perioodilisi uudiskirju turvaeest ning pidage koosolekuid pitsa saatel, et selgitada küsimusi uuesti. Ja jah, üks hea nipp: markeerige kogu trükitud ja elektrooniline teave värvidega, märkide ja siltidega: ärisaladus, salajane, ainult teenistuses, avalik kasutus. See tõesti toimib.

Tänapäeva maailm on pannud ettevõtted väga keerulisse olukorda: tuleb leida tasakaal töötaja soovide ja vajaduste vahel, et mitte ainult vaeva näha, vaid ka nautida meelelahutuslikku sisu töökeskkonnas või pauside ajal, ning rangete ettevõtte turvameetmete vahel. Kui rakendate ülemäärast kontrolli ja rumalaid jälgimisprogramme (jah, see pole trükiviga — see ei ole turvalisus, see on paranoia) ning kaameraid selja taha, siis töötajate usaldus ettevõtte vastu langeb, kuid usaldusväärsuse säilitamine on samuti ettevõtte turvameetmete tööriist.

Seetõttu teadke mõõtu, austage töötajaid, tehke varukoopiad. Ja mis kõige tähtsam — tõstke esikohale just turvalisus, mitte isiklik paranoia.

Kui vajate CRM või ERP — uurige hoolikalt meie tooteid ja võrrelge nende võimalusi oma eesmärkide ja ülesannetega. Küsimuste ja raskuste korral kirjutage, helistage, organiseerime teile veebis isikupärastatud esitlust — ilma edetabelite ja turunumbrite.

Meie Telegrami kanal, kus jagame reklaamivabas vormis mitte just ametlikke asju CRM-ist ja business'ist.

Allikas: habr.com