Korporatiivne ebaturvalisus

2008. aastal sain ma võimaluse külastada üht IT-firmat. Igas töötajas oli tunda mingit ebatervislikku pinget. Põhjus oli lihtne: mobiiltelefonid – kappi kabineti uksel, selja taga – kaamera, 2 suurt lisakaamerat kabinetis ja kontrolliv tarkvara koos klahvivõtja seadmega. Ja jah, see ei olnud ettevõte, mis arendas SORM-i või lennukite elutarkvarasid, vaid lihtsalt ärirakenduste arendaja, mis nüüd on omandatud, purustatud ja enam ei eksisteeri (mis tundub loogiline). Kui te praegu ulatate käe ja arvate, et teie kontoris, kus on kiiktoolid ja M&M-d vaasides, ei saa seda kindlasti olla, siis võite rängalt eksida – lihtsalt 11 aastaga on kontroll õppinud olema märkamatuks ja korrektseks, ilma vaidlusteta külastatud veebisaitide ja alla laaditud filmide osas.

Kas ei saa siis kõike seda vältida, aga kuidas jääb usalduse, lojaalsuse ja inimeste usuga? Te ei usuks, kuid ettevõtteid, kus puuduvad turvaprotseduurid, on sama palju. Kuid töötajad suudavad seal ja seal eksida – lihtsalt sellepärast, et inimfaktor suudab maailmu hävitada, rääkimata teie ettevõttest. Nii et kus saaksid teie töötajad jänni jääda?

See pole eriti tõsine postitus, millel on täpselt kaks funktsiooni: veidi leevendada tööpäevi ja meenutada põhilisi turvategureid, mida sageli unustatakse. Ah, ja veel üks kord meenutada lahedast ja kaitstud CRM-süsteemist – kas selline tarkvara ei olegi turvalisuse piir? 🙂

Hakkame liikuma juhuslikus järjekorras!

Paroolid, paroolid, paroolid...

Kasedäma uvasseerima alla, sostavad nad sel juhul, kui, löirese kriiti, ja uhai keed ja ta ja need privaatset detalad. Kõikide, muudest ettevõtetest, kuni rahvusvaheliste korporatsioonide kärbes, on see tõeliselt valus teema. Mulle tundub, et kui homme ehitatakse tõeline Surma Täht, on adminpaneelil midagi sellist nagu admin/admin. Nii et mida oodata tavakasutajatelt, kelle jaoks nende isiklik VKontakte leht on kaugel kallim kui ettevõtte konto? Siin on punktid, mida tuleks kontrollida:

• Paroolide kirjutamine paberile, klaviatuuri tagaküljele, monitorile, lauale klaviatuuri alla, hiire all oleva kleepsu peale (targad!) — töötajad ei tohi seda kunagi teha. Ja mitte sellepärast, et kuri häkker tuleks ja lõunapausil kogu 1C USB peale tõmbaks, vaid sellepärast, et kontoris võib olla vihane Sasha, kes kavatseb lahkuda ja hävitada või viia viimased andmed endaga. Miks mitte seda teha järgmise lõuna ajal?

See? See asi hoiab kõiki minu paroole.

• Lihtsate paroolide seadmine arvuti ja tööprogrammide sisenemiseks. Sünnikuupäevad, qwerty123 ja isegi asdf — need kombinatsioonid kuuluvad naljade ja meme’ide maailma, mitte ettevõtte turvasüsteemi. Seadke paroolidele ja nende pikkusele nõuded ning määrake vahetusperiood.

Parool on nagu aluspesu: muutke seda tihti, ärge jagage seda oma sõpradega, pikk on parem, olge müstiliselt privaatne, ärge visake seda igale poole laiali.

• Tootja vaikeparoolid programmides on probleemsed juba seetõttu, et neid teavad peaaegu kõik tootja töötajad ja kui te tegelete veebisüsteemiga pilves, ei ole andmete hankimine kellelegi keeruline. Eriti kui teie võrgu turvalisus on tasemel „kaabel välja ei tõmmata“
• Selgitage töötajatele, et operatsioonisüsteemi paroolinipp ei tohiks välja näha nagu "minu sünnipäev", "tütre nimi", "Nael-õieline-78545-#1! inglise keeles" või "qwerty ja üks koos nulliga".    

Minu kiisuke genereerib mulle imelisi paroole! Ta jalutab mu klaviatuuril.

Füüsilised juurdepääsud isiklikele asjadele.

Kuidas teie ettevõttes on korraldatud juurdepääs raamatupidamise ja personalidokumentatsioonile (näiteks töötajate isiklikele dosiidele)? Las ma arvan: kui tegemist on väikese ettevõttega, siis on need raamatupidamises või ülemuse kabinetis riiulites või kapis, kui suur — siis personaliosakonnas riiulitel. Ja kui see on väga suur, siis on tõenäoliselt kõik õigesti: eraldi kabinet või ala magnetvõtmega, kuhu pääsevad ainult mõned töötajad ja et sinna sisse pääseda, tuleb kelleltki neist helistada ja siseneda nende juuresolekul. Miski ei ole keeruline selle kaitse seadmine igas ettevõttes või vähemalt õppida mitte kirjutama kontori seifa parooli kriidiga uksele või seinale (kõik põhineb tõelistel sündmustel, ärge naerge).

Miks see on oluline? Esiteks, töötajatel on patoloogiline soov üksteise kohta kõige salajasemat teada: perekonna olukord, palga suurus, meditsiinilised diagnoosid, haridus jne. See on nagu kompromiteeriv materjal kontori konkurentsivõitluses. Ja need tüli ei too teile absoluutselt kasu, kui disainer Petja saab teada, et ta teenib 20 tuhat vähem kui disainer Alice. Teiseks, seal saavad töötajad juurdepääsu ka ettevõtte finantsinformatsioonile (bilansid, aastaaruanded, lepingud). Kolmandaks, elementaarselt võib midagi kaduda, rikutud või varastatud, et peita jälgi enda tööelus.

Ladu, kus kellelegi on kahjum, kellelegi — varandus

Kui teil on ladu, siis arvestage, et varem või hiljem satute garantii alusel õigusrikkujatega — lihtsalt inimpsühholoogia on selline, et kes näeb suurt toodangute mahtu ja usub kindlalt, et palju väiksematest paladest — ei ole röövimine, vaid jagamine. Ja kaup selle hunniku seest võib maksta nii 200 tuhat, 300 tuhat kui ka mitu miljonit. Kahjuks ei saa röövimisi peatada miski, välja arvatud pedantselt ja täielikult kontroll ja arvestus: kaamerad, kaupade vastuvõtt ja eemaldamine baarikoodide abil, laoarvestuse automatiseerimine (näiteks meie) RegionSoft CRM ladu on korraldatud selliselt, et juht ja juhendaja saavad näha kaupadete liikumist laos reaalajas).

Seega, relvastage oma ladu põhjalikult, tagage füüsiline turvalisus välise vaenlase eest ja täielik turvalisus — sisemise vastu. Transport, logistika, lao töötajad peavad selgelt aru saama, et kontroll on olemas, see töötab ja kõige pisemate probleemide korral saavad nad ise ennast karistada.

*uke, ärge topige infrastruktuuri käsi

Kui lugu serveriruumist ja koristajast on juba oma aja ära elanud ja ammu teistesse valdkondadesse liikunud (näiteks selline ei ole ainus, mis räägib müstilise IVL-i väljalülitumisest samas palatis), jääb ülejäänud aga tõeks. Ettevõtte võrgu- ja IT-turvalisus väikeses ja keskmises äri jätab soovida, kuigi see ei sõltu sageli sellest, kas teil on oma süsteemiadministraator või kutsetöötaja. Viimane suudab sageli isegi paremini toime tulla.

Nii et milleks on töötajad siin võimelised?

• Kõige süütum ja ohutum on minna serveriruumi, tõmmata kaableid, vaadata ringi, teed maha ägades, mustust tekitades või proovida midagi ise seadistada. Eriti kaldub seda tegema "kindlad ja edasijõudnud kasutajad", kes kangelaslikult õpetavad kolleege viirusetõrjet välja lülitama ja kaitset PC-l mööda minema, olles kindlad, et nad on serveriruumi sünnipärased jumalad. Ühesõnaga, volitatud piiratud juurdepääs on kõik, mida vajate.
• Seadmete vargus ja komponentide vahetamine. Kas armastad oma ettevõtet ja paigaldasid kõigile võimsad graafikakaardid, et arveldamine, CRM ja kõik muu hästi toimiks? Suurepärane! Ainult et kavalad poisid (mõnikord ka tüdrukud) vahetavad need lihtsalt koduste vastu ja kodus mängivad nad uusi mänge uue kontori mudeliga — pool maailma ei saa kunagi teada. Sama lugu on klaviatuuride, hiirte, jahutusventilaatorite, UPS-ide ja kõigi teiste asjadega, mida saab kuidagi asendada füüsilise konfiguratsiooni raames. Enne on risk teie vara kahjustamise, selle täieliku kadumise ja samal ajal ei saa soovitud kiirus ja kvaliteet info süsteemide ja rakendustega. Aitab jälgimissüsteem (ITSM-süsteem) seadistatud konfiguratsiooni kontrolliga, mis peaks olema kaasas korruptsioonitundetu ja põhimõttekindla süsteemiadministraatoriga.

Võib-olla soovid otsida paremat turvasüsteemi? Ei ole kindel, et see märk on piisav.

• Oma modemite, juurdepääsupunktide, mingite ühiste Wi-Fi kasutamine muudab failide juurdepääsu vähem kaitstud ja praktiliselt kontrollimatuks, millega saavad hakkama kurjategijad (sealhulgas koostöös töötajatega). Ja lisaks on tõenäosus, et töötaja „oma internetiga” veedab tööaega YouTube'is, naljakaid saite külastades ja sotsiaalmeedias olles, palju suurem.  
• Ühtsed paroolid ja sisselogimised saidi admin-paneeli, CMS-i, rakenduste jaoks — hirmsad asjad, mis muudavad oskamatud või kuritegelikud töötajad tabamatuks kättemaksjaks. Kui 5 inimest ühest alajaotusest logib sisse sama sisselogimise/parooliga, et riputada bännerit, kontrollida reklaamilinge ja mõõdikuid, parandada kujundust ja laadida üles uus uuendus, ei suuda sa kunagi arvata, kes neist juhuslikult CSS-i kõrvitsaks muutis. Seetõttu: erinevad sisselogimised, erinevad paroolid, tegevuste logimine ja õiguste jagamine.
• Kas on vaja rääkida mitteautorisatsioonitud tarkvarast, mida töötajad enda arvutitesse toovad, et töötamise ajal paar fotot redigeerida või midagi hobina kujundada. Kas te pole kuulnud GUVD „K” osakonna kontrollidest? Siis see tuleb teie juurde!
• Viirusetõrje peab töötama. Jah, mõned neist võivad aeglustada arvuti tööd, häirida ja üldiselt näida nagu nõrkuse sümptom, kuid parem on ennetada, kui hiljem töö seiskumise või, mis veel hullem, varastatud andmete tõttu maksta.
• Käitusüsteemi hoiatustest rakenduse installimise ohtudest ei tohi üle vaadata. Täna on töö jaoks midagi allalaadimine vaid sekundite või minutite küsimus. Näiteks Direct.Commander või AdWords redigeerija, mingi SEO-parser jms. Kui Yandexi ja Google'i toodete puhul on kõik enam-vähem selge, siis igasugused pildid suurendavad programmid, tasuta viirusetõrjed, kolme efektiga videoredigeerijad, ekraanisalvestajad ja muud „väikesed programmid” võivad kahjustada nii ühte arvutit kui ka kogu ettevõtte võrgustikku. Harjutage kasutajaid lugema, mida neilt arvuti tahab, enne kui nad helistavad süsteemi administraatorile ja ütlevad, et “kõik on surnud”. Mõnes ettevõttes lahendatakse see lihtsalt: palju allalaaditud kasulikke utiliite on jagamiskaustas ja seal on ka nimekiri headest veebilahendustest.
• BYOD poliitika või vastupidi, poliitika, mis lubab töötamise tehnikat väljaspool kontorit kasutada, on julgeoleku väga negatiivne külg. Sel juhul on seadmetele ligipääs pereliikmetel, tuttavatel, lastel, avalikes kaitsetutes võrkudes jne. See on puhas venekeelne vene rulett — võib viis aastat ringi käia ja jääb kõik korda, kuid võib ka kaotada või rikkuda kõik dokumendid ja väärtuslikud failid. Ja lisaks, kui töötajal on kurja kavaga meel, siis on „ringleva” seadmega andmete lekkimine sama lihtne kui kahebaidise info edastamine. Samuti tuleb meeles pidada, et töötajad edastavad tihti faile oma isiklike arvutite vahel, mis võib samuti julgeolekus nõrkusi luua.
• Seadmete blokeerimine puudumise ajal on hea harjumus nii ettevõtte kui ka isiklikus sfääris. See hoiab ära uudishimu pärimise kolleegide, tuttavate ja kurjategijate poolt avalikes kohtades. Selle harjumuse omandamine on raske, kuid ühes minu töökohas oli suurepärane kogemus: lukustamata arvutisse lähenesid kolleegid, avanes Paint koos tekstiga „Lukusta arvuti!” ja midagi muudeti töötamises, näiteks kustutati viimane installitud versioon või viimane registreeritud viga (see oli testimisrühm). Julm, aga 1-2 korda piisab isegi kõige kangekaelsemate jaoks. Kuigi kahtlen, et mitte-IT inimesed saavad sellisest huumorist aru.
• Kuid kõige kohutavam patt lasub loomulikult süsteemihalduri ja juhtkonna peal — juhul, kui nad ei kasuta kategooriliselt liiklus, seadmete, litsentside jne kontrolli süsteeme.

See on muidugi põhialus, sest IT-infrastruktuur on just see koht, kus mida sügavamale metsa, seda rohkem puid. Ja see alus peaks olema kõigil, mitte asenduma sõnadega «me usaldame üksteist», «me oleme perekond», «kes seda vajab» — kahjuks, see on ajutine.

See on Internet, beebi, siit võivad paljusid asju teada.

Ohutu Interneti kasutamine tuleks viia kooli elukeskkonnaõpetusse — ja see ei ole sugugi need meetmed, millele meid väljastpoolt suunatakse. See on just oskus eristada linki lingist, mõista, kus on fiššing ja kus on pettus, mitte avada e-kirjade manuseid teemaga «Kontrollimise akt» tundmatult aadressilt, enne kui on selge jne. Kuigi tundub, et koolilapsed on selle kõik juba omandanud, kuid töötajad ei ole. On palju trikke ja vigu, mis võivad kogu ettevõtte korraga ohtu seada.

• Sotsiaalmeedia on Interneti osa, mis ei sobi tööks, kuid selle blokeerimine ettevõtte tasandil 2019. aastal on ebapopulaarne ja demotivatsiooniline meetod. Seetõttu tuleb lihtsalt kirjutada kõigile töötajatele, kuidas kontrollida linkide seaduslikkust, rääkida pettuste liikidest ja paluda neil tööl töötada.

• Meil on ebameeldiv teema ja tõenäoliselt kõige tavalisem viis teabe varastamiseks, pahavara juurutamiseks, arvuti ja kogu võrgu nakatamiseks. Kahjuks peavad paljud tööandjad meiliprogrammi kulude kärpimise objektiks ning kasutavad tasuta teenuseid, kuhu tuleb umbes 200 rämpsposti päevas, mis pääseb läbi filterite jne. Mõned hoolimatud isikud avavad selliseid kirju, manuseid, linke, pilte – ilmselt loodavad, et mustanahaline prints jättis päranduse just neile. Pärast seda on administraatoril palju-palju tööd. Kas see oli nii planeeritud? Muide, veel üks karm lugu: ühes ettevõttes vähendati iga rämpsposti kirja puhul süsteemiadministraatori KPI-d. Ühesõnaga, kuu aja pärast polnud rämpsposti – praktika levis peakorterisse ja rämpsposti pole siiani. Me otsustasime selle probleemi elegantse lahenduse – arendasime oma e-posti kliendi ja integreerisime selle enda... RegionSoft CRM, seega saavad kõik meie kliendid ka sellise mugava funktsiooni.

Järgmisel korral, kui saad kummalise kirja clipi märke, ära kliki sellel!

• Messengereid on samuti mitmesuguste ohtlike linkide allikad, kuid see on palju väiksem kuritegu kui e-post (ärgem unustagem aega, mis kulub chatides lobisemiseks).

Tundub, et need on kõik pisiasjad. Siiski võivad igaühel neist pisiasjadest olla katastroofilised tagajärjed, eriti kui teie ettevõte on konkurentide rünnaku sihtmärk. Ja see võib juhtuda igaühega.

Läbikukkuvad töötajad

See on see inimfaktor, millest teil on raske vabaneda. Töötajad võivad arutada tööd koridoris, kohvikus, tänaval, rääkida valjusti teisest kliendist klientide juures, rääkida kodus oma töö saavutustest ja projektidest. Muidugi on tõenäosus, et konkurent varitseb teie selja taga, tühine (kui te ei ole samas ärihoones – selliseid olukordi on olnud), aga just see, et selgelt äri asja selgitav poiss võiks olla mänguväljakul nutitelefoniga filmitud ja YouTube'i üles laaditud, on paraku suurem. Aga ka see on väike asi. Mitte väike asi on see, kui teie töötajad jagavad innukalt teavet tootest või ettevõttest koolitustel, konverentsidel, meietel, ametlikel foorumitel, isegi Habras. Eriti kuna sageli kutsuvad inimesed tahtlikult vastase sellistele vestlustele, et läbi viia konkurentsi luuret.

Näidislugu. Ühel galaktiga suuruses IT-konverentsil esitles sektsiooni esineja suurt ettevõtte IT-infrastruktuuri skeemi (top-20) slaidil. Skeem oli ülimalt muljetavaldav, peaaegu kosmiline, ning seda pildistas peaaegu igaüks, ja see levitas peaaegu kohe sotsiaalmeedias, saades palju positiivset tagasisidet. Seejärel jahtis esineja geotagide, stendide ja postituste kaudu inimesi, paludes neid kustutada, kuna tal õnnestus kiiresti telefoniga ühendust võtta ja talle öeldi, et see pole hästi. Suutleja — leid spioonile.

Teadmatus... vabastab karistusest

Vastavalt Kaspersky Labori 2017. aasta globaalsele raportile koges kuue kuu jooksul küberjulgeoleku juhtumeid üks kümnest (11%) ettevõttest, kus kõige tõsisemate juhtumite hulgas olid hooletud ja mitte ettevalmistatud töötajad.

Ärge oletage, et töötajad teavad kõike ettevõtte julgeolekumeetmete kohta. Teavitage neid kindlasti, korraldage koolitusi, saatke huvitavaid perioodilisi teadlikkuse'i teenuseid, korraldage pizzaõhtuid ja selgitage olukorda veel kord. Ja jah, lahe elutarkus — markeerige kogu trüki- ja elektrooniline teave värvide, sümbolite ja siltidega: ärisaladus, salajane, ametlikuks kasutamiseks, avalik juurdepääs. See tõepoolest töötab.

Kaasaegne maailm on pannud ettevõtted väga tundlikku olukorda: tuleb leida tasakaal töötaja soovide ja rangete ettevõtte julgeolekureeglite vahel, et nad ei peaks ainult tööd tegema, vaid ka lõbustuslikku sisu tarbima vahepeal. Kui rakendate ülemäärast kontrolli ja mõttetuks peetavaid jälgimisprogramme (jah, see pole trükierror — see ei ole julgeolek, see on paranoja) ja kaameraid selja taga, siis langeb töötajate usaldus ettevõtte vastu, aga usalduse hoidmine on ka osa ettevõtte julgeolekust.

Seega teadke piirid, austage töötajaid ja tehke varukoopiaid. Ja peamine — asetage julgeolek esikohale, mitte isiklikule paranoiale.

Kui vajate CRM või ERP — uurige meie tooteid hoolikalt ja võrrelge nende võimalusi oma eesmärkide ja ülesannetega. Kui on küsimusi või probleeme — kirjutage, helistage, korraldame teile individuaalse online-esitluse — ilma edetabelite ja võrdluste tegemiseta.

Meie kanal Telegramis, kus kirjutame ilma reklaamita mitte täiesti formaalseid asju CRM-i ja äri kohta.

Allikas: habr.com