در سال 2008، من توانستم از یک شرکت فناوری اطلاعات بازدید کنم. در هر کارمند نوعی تنش ناسالم وجود داشت. دلیل آن ساده بود: تلفن های همراه در جعبه ای در ورودی دفتر قرار دارند، یک دوربین در پشت، 2 دوربین بزرگ اضافی "به نظر" در دفتر و نرم افزار نظارت با یک کی لاگر وجود دارد. و بله، این شرکتی نیست که SORM یا سیستم‌های پشتیبانی حیات هواپیما را توسعه داده است، بلکه صرفاً یک توسعه‌دهنده نرم‌افزار کاربردی تجاری است که اکنون جذب شده، خرد شده و دیگر وجود ندارد (که منطقی به نظر می‌رسد). اگر اکنون دراز کشیده اید و فکر می کنید که در دفتر خود با بانوج و M&M در گلدان ها قطعاً اینطور نیست، ممکن است سخت در اشتباه باشید - فقط در طی 11 سال کنترل یاد گرفته است که نامرئی و صحیح باشد، بدون اینکه در معرض نمایش باشد. از سایت های بازدید شده و فیلم های دانلود شده
پس آیا واقعاً بدون همه اینها غیرممکن است، اما اعتماد، وفاداری، ایمان به مردم چطور؟ باور کنید یا نه، به همین تعداد شرکت ها بدون تدابیر امنیتی وجود دارند. اما کارمندان می‌توانند هم اینجا و هم آنجا را به هم بریزند - فقط به این دلیل که عامل انسانی می‌تواند دنیاها را نابود کند، نه فقط شرکت شما را. بنابراین، کارمندان شما کجا می توانند به شرارت دست یابند؟
این یک پست خیلی جدی نیست که دقیقاً دو کارکرد دارد: کمی زندگی روزمره را روشن کند و نکات ایمنی اولیه را که اغلب فراموش می شود به شما یادآوری کند. اوه، و یک بار دیگر به شما یادآوری کنم - آیا چنین نرم افزاری لبه امنیت نیست؟ 🙂
بیایید به حالت تصادفی برویم!
رمز عبور، رمز عبور، رمز عبور ...
شما در مورد آنها صحبت می کنید و موجی از خشم به راه می افتد: چگونه می شود، آنها بارها به دنیا گفتند، اما همه چیز هنوز وجود دارد! در شرکت های همه سطوح، از کارآفرینان فردی گرفته تا شرکت های چند ملیتی، این یک نقطه بسیار دردناک است. گاهی اوقات به نظرم می رسد که اگر فردا یک Death Star واقعی بسازند، چیزی مانند admin/admin در پنل مدیریت وجود خواهد داشت. بنابراین از کاربران عادی که صفحه VKontakte برای آنها بسیار گرانتر از یک حساب شرکتی است، چه انتظاری می توانیم داشته باشیم؟ در اینجا نکاتی برای بررسی وجود دارد:
- نوشتن رمز عبور روی تکه های کاغذ، پشت صفحه کلید، روی مانیتور، روی میز زیر صفحه کلید، روی یک برچسب در پایین ماوس (حیله گری!) - کارمندان هرگز نباید این کار را انجام دهند. و نه به این دلیل که یک هکر وحشتناک وارد می شود و تمام 1C را روی یک درایو فلش در طول ناهار دانلود می کند، بلکه به این دلیل که ممکن است یک ساشا توهین آمیز در دفتر کار خود را ترک کند و کاری کثیف انجام دهد یا اطلاعات را برای آخرین بار از بین ببرد. . چرا این کار را در ناهار بعدی خود انجام نمی دهید؟
این چیزی است که؟ این چیز همه رمزهای عبور من را ذخیره می کند
- تنظیم رمزهای عبور ساده برای ورود به کامپیوتر و برنامه های کاری. تاریخ تولد، qwerty123 و حتی asdf ترکیباتی هستند که در جوک و بشورگ تعلق دارند و نه در سیستم امنیتی شرکت. الزامات رمز عبور و طول آنها را تنظیم کنید و تعداد دفعات جایگزینی را تنظیم کنید.
رمز عبور مانند لباس زیر است: آن را اغلب تغییر دهید، آن را با دوستان خود به اشتراک نگذارید، رمز عبور طولانی بهتر است، مرموز باشید، آن را در همه جا پراکنده نکنید.
- گذرواژه‌های ورود به برنامه پیش‌فرض فروشنده ناقص هستند، البته فقط به این دلیل که تقریباً همه کارمندان فروشنده آنها را می‌دانند، و اگر با یک سیستم مبتنی بر وب در فضای ابری سروکار دارید، دستیابی به داده‌ها برای کسی دشوار نخواهد بود. به خصوص اگر امنیت شبکه در سطح «سیم را نکشید» نیز دارید.
- به کارمندان توضیح دهید که رمز عبور در سیستم عامل نباید شبیه «تولد من»، «نام دختر»، «Gvoz-dika-78545-ap#1» باشد! به انگلیسی." یا «کوارت و یک و صفر».
گربه من رمزهای عبور عالی به من می دهد! او از روی صفحه کلید من راه می رود
دسترسی فیزیکی به موارد
چگونه شرکت شما دسترسی به اسناد حسابداری و پرسنل (به عنوان مثال، پرونده های شخصی کارکنان) را سازماندهی می کند؟ بگذارید حدس بزنم: اگر یک تجارت کوچک است، در بخش حسابداری یا در دفتر رئیس در پوشه‌های روی قفسه یا گنجه؛ اگر یک تجارت بزرگ است، در بخش منابع انسانی در قفسه‌ها. اما اگر خیلی بزرگ است، به احتمال زیاد همه چیز درست است: یک دفتر یا بلوک جداگانه با یک کلید مغناطیسی، جایی که فقط کارمندان خاصی دسترسی دارند و برای رسیدن به آنجا، باید با یکی از آنها تماس بگیرید و در حضور آنها به این گره بروید. ایجاد چنین محافظتی در هر کسب و کاری مشکلی ندارد، یا حداقل یاد بگیرید که رمز عبور گاوصندوق اداری را با گچ روی در یا روی دیوار ننویسید (همه چیز بر اساس رویدادهای واقعی است، نخندید).
چرا مهم است؟ اولاً، کارگران تمایلی بیمارگونه دارند که مخفی ترین چیزها را در مورد یکدیگر کشف کنند: وضعیت تأهل، حقوق، تشخیص های پزشکی، تحصیلات و غیره. این چنین مصالحه ای در رقابت اداری است. و شما مطلقاً از نزاع هایی که وقتی طراح پتیا متوجه می شود که 20 هزار کمتر از طراح آلیس درآمد دارد، به وجود می آید، سود نمی برید. ثانیاً، در آنجا کارمندان می توانند به اطلاعات مالی شرکت (ترازنامه، گزارش سالانه، قراردادها) دسترسی داشته باشند. ثالثاً، چیزی می تواند به سادگی گم شود، آسیب ببیند یا به سرقت برود تا آثاری در سابقه کاری خود پنهان شود.
انباری که در آن کسی ضرر دارد، کسی گنج است
اگر انباری دارید، در نظر بگیرید که دیر یا زود مطمئناً با مجرمان روبرو خواهید شد - روانشناسی فردی که حجم زیادی از محصولات را می بیند و قاطعانه معتقد است که مقدار کمی دزدی نیست، به سادگی کار می کند. اشتراک گذاری و یک واحد کالا از این پشته می تواند 200 هزار یا 300 هزار یا چند میلیون قیمت داشته باشد. متأسفانه هیچ چیز نمی تواند جلوی دزدی را بگیرد به جز کنترل و حسابداری کامل: دوربین ها، پذیرش و حذف با استفاده از بارکد، اتوماسیون حسابداری انبار (مثلاً در ما حسابداری انبار به گونه ای سازماندهی شده است که مدیر و ناظر بتوانند جابجایی کالا از طریق انبار را به صورت لحظه ای مشاهده کنند).
بنابراین انبار خود را تا دندان مسلح کنید، امنیت فیزیکی را از دشمن خارجی و امنیت کامل را از داخلی تضمین کنید. کارمندان حمل و نقل، تدارکات و انبارها باید به وضوح درک کنند که کنترل وجود دارد، کار می کند و تقریباً خودشان را مجازات خواهند کرد.
*هی، دستت را به زیرساخت ها نزن
اگر داستان اتاق سرور و خانم نظافتچی قبلاً از عمر خود گذشته است و مدتهاست به داستانهای صنایع دیگر مهاجرت کرده است (مثلاً همان داستان در مورد تعطیلی عرفانی دستگاه تنفس مصنوعی در همان بخش) ، بقیه واقعیت باقی می مانند. . امنیت شبکه و فناوری اطلاعات کسب‌وکارهای کوچک و متوسط چیزهای زیادی را برای شما به ارمغان می‌آورد، و این اغلب به این بستگی ندارد که آیا مدیر سیستم خود دارید یا یک مدیر دعوت شده. دومی اغلب حتی بهتر از پس آن برمی آید.
پس کارمندان اینجا چه توانایی هایی دارند؟
- زیباترین و بی ضررترین چیز این است که به اتاق سرور بروید، سیم ها را بکشید، نگاه کنید، چای بریزید، خاک بمالید یا خودتان سعی کنید چیزی را پیکربندی کنید. این به ویژه بر "کاربران با اعتماد به نفس و پیشرفته" تأثیر می گذارد که قهرمانانه به همکاران خود آموزش می دهند که آنتی ویروس را غیرفعال کنند و محافظت از رایانه شخصی را دور بزنند و مطمئن باشند که آنها خدایان ذاتی اتاق سرور هستند. به طور کلی، دسترسی محدود مجاز همه چیز شماست.
- سرقت تجهیزات و تعویض قطعات. آیا شرکت خود را دوست دارید و کارت های ویدیویی قدرتمندی را برای همه نصب کرده اید تا سیستم صورتحساب، CRM و هر چیز دیگری بتواند به خوبی کار کند؟ عالی! فقط پسرهای حیله گر (و گاهی اوقات دختران) به راحتی آنها را با یک مدل خانگی جایگزین می کنند و در خانه آنها بازی ها را با یک مدل اداری جدید اجرا می کنند - اما نیمی از جهان نمی دانند. در مورد صفحه کلیدها، ماوس ها، خنک کننده ها، یو پی اس ها و هر چیزی که به نوعی می توان آن را در پیکربندی سخت افزاری جایگزین کرد، همین داستان است. در نتیجه خطر آسیب به اموال، از بین رفتن کامل آن را متحمل می شوید و در عین حال سرعت و کیفیت کار با سیستم های اطلاعاتی و اپلیکیشن ها را به دست نمی آورید. آنچه موجب صرفه جویی می شود یک سیستم مانیتورینگ (سیستم ITSM) با کنترل پیکربندی پیکربندی شده است که باید به طور کامل با یک مدیر سیستم غیرقابل فساد و اصولی عرضه شود.
شاید بخواهید به دنبال سیستم امنیتی بهتری باشید؟ من مطمئن نیستم که آیا این علامت کافی است یا خیر
- استفاده از مودم‌ها، نقاط دسترسی یا نوعی وای‌فای مشترک، دسترسی به فایل‌ها را کمتر امن و عملا غیرقابل کنترل می‌کند، که مهاجمان می‌توانند از آن سوء استفاده کنند (از جمله تبانی با کارمندان). خوب، علاوه بر این، احتمال اینکه یک کارمند "با اینترنت خود" ساعات کاری را در یوتیوب، سایت های طنز و شبکه های اجتماعی سپری کند بسیار بیشتر است.
- گذرواژه‌ها و لاگین‌های یکپارچه برای دسترسی به بخش مدیریت سایت، CMS، نرم‌افزارهای کاربردی چیزهای وحشتناکی هستند که یک کارمند ناکارآمد یا بدخواه را به یک انتقام‌جوی گریزان تبدیل می‌کنند. اگر شما 5 نفر از یک زیرشبکه با ورود/گذرواژه یکسان برای نصب یک بنر، بررسی لینک ها و معیارهای تبلیغاتی، تصحیح طرح و آپلود یک آپدیت وارد شده اند، هرگز حدس نمی زنید که کدام یک از آنها به طور تصادفی CSS را به یک CSS تبدیل کرده اند. كدو حلوايي. بنابراین: لاگین های مختلف، رمزهای عبور مختلف، ثبت اقدامات و تمایز حقوق دسترسی.
- نیازی به گفتن در مورد نرم افزار بدون مجوزی نیست که کارمندان به منظور ویرایش چند عکس در طول ساعات کاری یا ایجاد چیزی بسیار مرتبط با سرگرمی، روی رایانه شخصی خود می کشند. آیا در مورد بازرسی اداره "ک" ریاست امور داخلی مرکزی چیزی نشنیده اید؟ سپس او به سمت شما می آید!
- آنتی ویروس باید کار کند. بله، برخی از آنها می توانند سرعت رایانه شما را کاهش دهند، شما را آزار دهند و به طور کلی نشانه ترسو به نظر می رسند، اما بهتر است از آن جلوگیری کنید تا اینکه بعداً با خرابی یا بدتر از آن داده های سرقت شده پرداخت کنید.
- هشدارهای سیستم عامل در مورد خطرات نصب یک برنامه را نباید نادیده گرفت. امروزه دانلود چیزی برای کار چند ثانیه و چند دقیقه است. به عنوان مثال، Direct.Commander یا ویرایشگر AdWords، برخی از تجزیه کننده سئو و غیره. اگر همه چیز با Yandex و محصولات Google کمابیش واضح باشد، یک Picreizer دیگر، یک پاک کننده ویروس رایگان، یک ویرایشگر ویدئو با سه افکت، اسکرین شات، ضبط کننده Skype و سایر "برنامه های کوچک" می تواند به یک کامپیوتر شخصی و کل شبکه شرکت آسیب برساند. . به کاربران آموزش دهید قبل از اینکه با مدیر سیستم تماس بگیرند و بگویند "همه چیز مرده است" بخوانند که کامپیوتر از آنها چه می خواهد. در برخی از شرکت ها، مشکل به سادگی حل می شود: بسیاری از ابزارهای مفید بارگیری شده در اشتراک شبکه ذخیره می شوند و لیستی از راه حل های آنلاین مناسب نیز در آنجا پست می شود.
- سیاست BYOD یا برعکس، سیاست مجاز به استفاده از تجهیزات کار در خارج از دفتر، جنبه بسیار شیطانی امنیت است. در این حالت، اقوام، دوستان، فرزندان، شبکه های عمومی محافظت نشده و غیره به فناوری دسترسی دارند. این رولت کاملا روسی است - شما می توانید 5 سال بروید و از پس آن بربیایید، اما می توانید تمام اسناد و فایل های ارزشمند خود را از دست بدهید یا به آنها آسیب بزنید. خوب، علاوه بر این، اگر یک کارمند قصد مخربی داشته باشد، به آسانی ارسال دو بایت برای افشای اطلاعات با تجهیزات «راه رفتن» است. همچنین باید به خاطر داشته باشید که کارمندان اغلب فایل‌ها را بین رایانه‌های شخصی خود انتقال می‌دهند که باز هم می‌تواند حفره‌های امنیتی ایجاد کند.
- قفل کردن دستگاه های خود در حالی که دور هستید یک عادت خوب برای استفاده شرکتی و شخصی است. باز هم از شما در برابر همکاران کنجکاو، آشنایان و مزاحمان در اماکن عمومی محافظت می کند. عادت کردن به این کار دشوار است، اما در یکی از مکان های کاری خود تجربه شگفت انگیزی داشتم: همکاران به یک رایانه شخصی باز شده نزدیک شدند و Paint در کل پنجره با کتیبه "قفل کردن رایانه!" و چیزی در کار تغییر کرد، به عنوان مثال، آخرین مجموعه پمپ شده تخریب شد یا آخرین باگ معرفی شده حذف شد (این یک گروه آزمایشی بود). بی رحمانه است، اما 1-2 بار حتی برای چوبی ترین آنها کافی بود. اگرچه، من گمان می کنم، افراد غیر IT ممکن است چنین طنزی را درک نکنند.
- اما بدترین گناه، البته، متوجه مدیر و مدیریت سیستم است - اگر آنها به طور قاطع از سیستم های کنترل ترافیک، تجهیزات، مجوزها و غیره استفاده نکنند.
البته این یک پایه است، زیرا زیرساخت فناوری اطلاعات همان مکانی است که هر چه بیشتر به جنگل بروید، هیزم بیشتری وجود دارد. و همه باید این پایگاه را داشته باشند و با کلمات "ما همه به یکدیگر اعتماد داریم" ، "ما یک خانواده هستیم" ، "چه کسی به آن نیاز دارد" جایگزین نشود - افسوس که فعلاً این است.
این اینترنت است، عزیزم، آنها می توانند چیزهای زیادی در مورد شما بدانند.
زمان آن رسیده است که استفاده ایمن از اینترنت را در دوره ایمنی زندگی در مدرسه معرفی کنیم - و این اصلاً مربوط به اقداماتی نیست که از بیرون در آن غوطه ور هستیم. این به طور خاص در مورد توانایی تشخیص پیوند از یک پیوند، درک اینکه فیشینگ کجاست و کجا کلاهبرداری است، باز نکردن پیوست‌های ایمیل با موضوع «گزارش آشتی» از یک آدرس ناآشنا بدون درک آن، و غیره است. اگرچه به نظر می رسد دانش آموزان مدرسه قبلاً بر همه اینها مسلط شده اند ، اما کارمندان این کار را نکرده اند. ترفندها و اشتباهات زیادی وجود دارد که می تواند کل شرکت را به یکباره به خطر بیندازد.
- شبکه های اجتماعی بخشی از اینترنت هستند که جایی در کار ندارند، اما مسدود کردن آنها در سطح شرکت در سال 2019 اقدامی نامطلوب و بی انگیزه است. بنابراین، شما فقط باید به همه کارمندان بنویسید که چگونه غیرقانونی بودن پیوندها را بررسی کنند، در مورد انواع کلاهبرداری به آنها بگویید و از آنها بخواهید در محل کار کار کنند.
- نامه یک نقطه دردناک و شاید محبوب ترین راه برای سرقت اطلاعات، نصب بدافزارها و آلوده کردن رایانه شخصی و کل شبکه است. افسوس که بسیاری از کارفرمایان ایمیل کلاینت را ابزاری برای صرفه جویی در هزینه می دانند و از خدمات رایگانی استفاده می کنند که روزانه 200 ایمیل اسپم دریافت می کنند که از طریق فیلترها و غیره عبور می کنند. و برخی افراد غیرمسئول چنین نامه ها و ضمیمه ها ، پیوندها ، تصاویر را باز می کنند - ظاهراً امیدوارند که شاهزاده سیاه برای آنها ارثی بگذارد. پس از آن مدیر کار بسیار زیادی دارد. یا اینطور در نظر گرفته شده بود؟ به هر حال، یک داستان بی رحمانه دیگر: در یک شرکت، به ازای هر نامه هرزنامه به مدیر سیستم، KPI کاهش می یابد. به طور کلی، پس از یک ماه هیچ هرزنامه ای وجود نداشت - این عمل توسط سازمان مادر اتخاذ شد و هنوز هیچ هرزنامه ای وجود ندارد. ما این مشکل را به زیبایی حل کردیم - کلاینت ایمیل خودمان را توسعه دادیم و آن را در خودمان ایجاد کردیم ، بنابراین همه مشتریان ما نیز چنین ویژگی راحت را دریافت می کنند.
دفعه بعد که ایمیل عجیبی با نماد گیره دریافت کردید، روی آن کلیک نکنید!
- پیام‌رسان‌ها نیز منبع انواع لینک‌های ناامن هستند، اما این بدتر از ایمیل است (بدون احتساب زمان تلف شده برای چت کردن در چت).
به نظر می رسد همه اینها چیزهای کوچکی هستند. با این حال، هر یک از این موارد کوچک می تواند عواقب فاجعه باری داشته باشد، به خصوص اگر شرکت شما هدف حمله رقبا باشد. و این می تواند به معنای واقعی کلمه برای هر کسی اتفاق بیفتد.
کارمندان پرحرف
این همان عامل انسانی است که رهایی از آن برای شما دشوار خواهد بود. کارمندان می توانند در مورد کار در راهرو، در یک کافه، در خیابان، در خانه مشتری صحبت کنند، در مورد مشتری دیگر با صدای بلند صحبت کنند، در مورد دستاوردهای کاری و پروژه ها در خانه صحبت کنند. البته، احتمال اینکه یک رقیب پشت شما بایستد ناچیز است (اگر شما در همان مرکز تجاری نباشید - این اتفاق افتاده است)، اما این احتمال وجود دارد که مردی که به وضوح امور تجاری خود را بیان می کند در تلفن هوشمند فیلمبرداری شود و در سایت پست شود. یوتیوب، به اندازه کافی عجیب، بالاتر است. اما این هم مزخرف است. وقتی کارمندان شما با میل و رغبت اطلاعاتی در مورد یک محصول یا شرکت در آموزش‌ها، کنفرانس‌ها، جلسات، انجمن‌های حرفه‌ای یا حتی در Habré ارائه می‌کنند، مزخرف نیست. علاوه بر این، مردم اغلب به عمد مخالفان خود را به چنین مکالماتی فرا می‌خوانند تا هوش رقابتی انجام دهند.
یک داستان افشاگر در یک کنفرانس فناوری اطلاعات در مقیاس کهکشانی، سخنران بخش بر روی یک اسلاید نمودار کاملی از سازماندهی زیرساخت فناوری اطلاعات یک شرکت بزرگ (20 مورد برتر) ارائه داد. این طرح فوق العاده چشمگیر بود، به سادگی کیهانی، تقریباً همه از آن عکس گرفتند، و بلافاصله در شبکه های اجتماعی با نظرات تحسین برانگیز پرواز کرد. خوب، پس از آن سخنران آنها را با استفاده از برچسب های جغرافیایی، پایه ها، رسانه های اجتماعی دستگیر کرد. شبکه های کسانی که آن را منتشر کردند و التماس کردند که حذف شود، زیرا خیلی سریع به او زنگ زدند و آه تا تا گفتند. چتر باکس یک موهبت الهی برای یک جاسوس است.
نادانی... تو را از مجازات رهایی می بخشد
بر اساس گزارش جهانی کسپرسکی در سال 2017 از کسب‌وکارهایی که حوادث امنیت سایبری را در یک دوره 12 ماهه تجربه کرده‌اند، از هر ده (11%) یک مورد از جدی‌ترین انواع حوادث مربوط به کارمندان بی‌دقت و ناآگاه است.
تصور نکنید که کارمندان همه چیز را در مورد اقدامات امنیتی شرکت می دانند، حتما به آنها هشدار دهید، آموزش ارائه دهید، خبرنامه های دوره ای جالبی در مورد مسائل امنیتی تهیه کنید، جلساتی را در مورد پیتزا برگزار کنید و دوباره مسائل را روشن کنید. و بله، یک هک زندگی جالب - تمام اطلاعات چاپی و الکترونیکی را با رنگ ها، علائم، کتیبه ها علامت گذاری کنید: راز تجاری، راز، برای استفاده رسمی، دسترسی عمومی. این واقعا کار می کند.
دنیای مدرن شرکت‌ها را در موقعیت بسیار حساسی قرار داده است: لازم است بین تمایل کارمندان نه تنها به سخت‌کوشی در محل کار، بلکه همچنین دریافت محتوای سرگرمی در پس‌زمینه/در زمان استراحت و قوانین سختگیرانه امنیتی شرکت، تعادل برقرار شود. اگر برنامه‌های هایپرکنترل و ردیابی احمقانه را روشن کنید (بله، اشتباه تایپی نیست - این امنیت نیست، این پارانویا است) و دوربین‌های پشت سرتان، اعتماد کارکنان به شرکت کاهش می‌یابد، اما حفظ اعتماد نیز یک ابزار امنیتی شرکتی است.
بنابراین، بدانید چه زمانی باید متوقف شوید، به کارمندان خود احترام بگذارید و نسخه پشتیبان تهیه کنید. و مهمتر از همه، ایمنی را در اولویت قرار دهید، نه پارانویای شخصی.
اگر نیاز داری و توانایی های آنها را با اهداف و مقاصد خود مقایسه کنید. اگر سؤال یا مشکلی دارید، بنویسید یا تماس بگیرید، ما یک ارائه آنلاین فردی برای شما ترتیب خواهیم داد - بدون رتبه بندی یا زنگ و سوت.
، که در آن، بدون تبلیغات، چیزهای نه کاملاً رسمی در مورد CRM و تجارت می نویسیم.
منبع: www.habr.com