Nel 2008 ho avuto l'opportunità di lavorare in un'azienda IT. In ogni dipendente si leggeva una certa tensione malsana. La causa si è rivelata semplice: i telefoni cellulari dovevano essere messi in un cassetto all'ingresso dell'ufficio, c'era una telecamera dietro le spalle, due grandi telecamere supplementari nell'ufficio e un software di monitoraggio con keylogger. E sì, non era una di quelle aziende che sviluppavano il SORM o i sistemi di supporto vitale per aerei, ma solo un’azienda che si occupava dello sviluppo di software applicativo per il business, ora assorbita, schiacciata e non più esistente (cosa che sembra logica). Se ora ti stai allungando e pensando che nel tuo ufficio con amache e M&M in ciotole non ci sia nulla di simile, potresti sbagliarti di grosso: in 11 anni il controllo ha imparato a essere invisibile e preciso, senza problemi per i siti visitati e i film scaricati.
Non si può fare a meno di tutto questo, e che dire della fiducia, della lealtà, della fede nelle persone? Non ci crederete, ma ci sono molte aziende senza mezzi di sicurezza. Eppure i dipendenti riescono a commettere errori in entrambe le situazioni — semplicemente perché il fattore umano può distruggere mondi, figuriamoci la vostra azienda. Quindi, dove possono combinare guai i vostri dipendenti?
Questo non è un post molto serio, ha solo due scopi: rendere un po' più leggere le giornate lavorative e ricordare alcune basi della sicurezza che spesso vengono dimenticate. E, beh, ricordarvi un'altra volta di — non è questa una questione di sicurezza? 🙂
Iniziamo in modo casuale!
Password, password, password…
Quando si parla di esse arriva subito un'ondata di indignazione: come è possibile, quante volte abbiamo ripetuto queste cose, eppure siamo sempre al punto di partenza! Nelle aziende di ogni livello, da piccole imprese a multinazionali, questo è un problema molto serio. A volte mi sembra che se domani costruissero una vera Morte Nera, nella sua gestione si troverebbe qualcosa come admin/admin. Quindi cosa possiamo aspettarci dagli utenti comuni, per cui la propria pagina su VK è molto più preziosa di un account aziendale? Ecco i punti da controllare:
- Non scrivete le password su pezzi di carta, sul retro della tastiera, sul monitor, sotto la tastiera o sull'etichetta sotto il mouse (astuti!) — i dipendenti non dovrebbero mai farlo. Non perché un hacker terribile entri e scarichi tutta la 1C su una chiavetta USB durante il pranzo, ma perché in ufficio potrebbe esserci un Alessandro offeso che sta per dimettersi e potrebbe causare problemi o prendere informazioni per vendetta. Perché non farlo durante il prossimo pranzo?
Questo? Questo aggeggio conserva tutte le mie password.
- Stabilire password semplici per accedere al PC e alle applicazioni di lavoro. Date di nascita, qwerty123 e anche asdf — sono combinazioni che dovrebbero stare nelle barzellette e su Bashorg, non nel sistema di sicurezza aziendale. Stabilite requisiti per le password e la loro lunghezza, definendo anche la frequenza di cambio.
La password è come la biancheria intima: cambiatela spesso, non condividerla con i vostri amici, una lunga è meglio, siate misteriosi, non sparpagliate ovunque.
- Le password predefiniti forniti dai vendor sono problematici perché quasi tutti i dipendenti li conoscono e, se state usando un sistema web basato su cloud, ottenere tali dati non è difficile per nessuno. Soprattutto se la vostra sicurezza di rete è impostata su 'non staccare il cavo'.
- Spiegate ai dipendenti che l'indizio per la password nel sistema operativo non dovrebbe essere 'la mia data di nascita', 'il nome di mia figlia', 'Chiodo-78545-ap#1! in inglese' o 'QWERTY e uno con zero'.
Il mio gattino genera password magnifiche! Cammina sulla mia tastiera.
Accessi fisici ai documenti
Come gestite in azienda l'accesso alla documentazione contabile e delle risorse umane (ad esempio, ai fascicoli personali dei dipendenti)? Lasciate che indovini: se siete una piccola impresa, probabilmente si trova in contabilità o nell'ufficio del capo, in cartelle sugli scaffali o in un armadietto; se siete grandi, nel dipartimento delle risorse umane sugli scaffali. Ma se siete molto grandi, è probabile che tutto sia organizzato correttamente: un ufficio separato o un’area con una chiave magnetica, accessibile solo a determinati dipendenti e per accedervi bisogna chiamare qualcuno di loro e accedere a questa zona insieme. Non è difficile implementare tale protezione in qualsiasi azienda o almeno imparare a non scrivere la password della cassaforte dell'ufficio con un gesso sulla porta o sul muro (tutto si basa su eventi reali, non ridete).
Perché è importante? In primo luogo, i lavoratori hanno una patologia nel voler conoscere l'aspetto più segreto degli altri: stato civile, stipendio, diagnosi mediche, educazione, ecc. Questi diventano dei veri e propri punti di debolezza nella competizione in ufficio. E non ti giova affatto il pettegolezzo che si scatenerà quando il designer Petya scoprirà di guadagnare 20.000 in meno rispetto alla designer Alice. In secondo luogo, i dipendenti possono anche accedere alle informazioni finanziarie dell'azienda (bilanci, report annuali, contratti). In terzo luogo, potrebbe semplicemente andare perso, danneggiato o rubato, per nascondere tracce della propria carriera lavorativa.
Un magazzino dove per alcuni è una perdita, per altri è un tesoro
Se possiedi un magazzino, sappi che prima o poi incontrerai senza dubbio dei trasgressori — è semplicemente nella psicologia umana vedere un grande volume di prodotti e credere fermamente che un piccolo prelievo non sia una rapina, ma una divisione. E un'unità di prodotto in questo mucchio può costare anche 200.000, 300.000 o diversi milioni. Purtroppo, nulla può fermare i furti se non un controllo e una registrazione meticolosa e totale: telecamere, accettazione e smaltimento tramite codici a barre, automazione della gestione del magazzino (ad esempio, nel nostro caso, la gestione del magazzino è organizzata in modo tale che il manager e il responsabile possano vedere i movimenti delle merci in tempo reale). La gestione del magazzino è organizzata in modo tale che il manager e il responsabile possano vedere i movimenti delle merci in tempo reale.
Pertanto, armati fino ai denti, assicurati la sicurezza fisica contro il nemico esterno e la massima sicurezza — da quello interno. I dipendenti nel trasporto, nella logistica e nel magazzino devono essere pienamente consapevoli che esiste un controllo, che funziona, e che, in caso contrario, si puniranno da soli.
*Non intrometterti nell'infrastruttura
Se la storia del tecnico e della donna delle pulizie è ormai superata ed è diventata una leggendaria storiella tra altri settori (per esempio, ce n'era una simile riguardo a un misterioso blackout del ventilatore in una stessa stanza), le altre realtà rimangono tali. La sicurezza della rete e IT nelle piccole e medie imprese lascia a desiderare, il che spesso non dipende dal fatto che si abbia un sysadmin interno o uno esterno. Spesso il secondo si destreggia anche meglio.
Allora, di cosa sono capaci i dipendenti qui?
- La cosa più innocua è andare nel server room, tirare cavi, guardare, versare tè, sporcare o provare a configurare qualcosa da soli. Questo è particolarmente comune tra gli "utenti sicuri e esperti", che eroicamente istruiscono i colleghi su come disattivare l'antivirus e aggirare la protezione sui PC, convinti di essere divinità innate della server room. In sostanza, l'accesso autorizzato e limitato è tutto ciò di cui avete bisogno.
- Furto di attrezzature e sostituzione di componenti. Ami la tua azienda e hai installato potenti schede grafiche per garantire che il sistema di billing, il CRM e tutto il resto funzionino alla grande? Ottimo! Solo che dei furbi (e a volte anche furbe) potrebbero semplicemente sostituirle con quelle domestiche, mentre a casa giocano con un modello più nuovo — nessuno se ne accorgerà. La stessa storia vale per tastiere, mouse, coolers, UPS e tutto ciò che può essere in qualche modo sostituito all'interno della configurazione hardware. Alla fine, corsi il rischio di danneggiare la proprietà e di perderla completamente, e allo stesso tempo non ottieni la velocità e la qualità desiderate nel lavoro con i sistemi informatici e le applicazioni. Un sistema di monitoraggio (sistema ITSM) con controllo delle configurazioni è la soluzione, che deve essere fornita insieme a un amministratore di sistema intransigente e degno di fiducia.
Forse vuoi cercare un sistema di sicurezza migliore? Non sono sicuro che questa indicazione sia sufficiente.
- Utilizzare i propri modem, punti di accesso o una connessione Wi-Fi condivisa rende l'accesso ai file meno sicuro e praticamente incontrollabile, aprendo la porta a potenziali aggressori (compresi quelli in collusione con i dipendenti). Inoltre, la probabilità che un dipendente con "la propria connessione internet" trascorra le ore lavorative su YouTube, su siti di umorismo e sui social network è molto più alta.
- Utilizzare le stesse password e credenziali per accedere all'amministrazione del sito, CMS e software applicativo rappresenta una minaccia seria, trasformando un dipendente poco esperto o malintenzionato in un vendicatore inafferrabile. Se cinque persone nella stessa subnet accedono con lo stesso login/password per posizionare un banner, controllare i link pubblicitari e le metriche, modificare il layout e caricare un aggiornamento, non potrai mai indovinare chi di loro ha accidentalmente trasformato il CSS in una zucca. Pertanto: utilizza diverse credenziali, diverse password, registra le azioni e delimita i diritti di accesso.
- È inutile parlare di software pirata che gli impiegati portano sui loro PC per modificare qualche foto durante l'orario di lavoro o per impaginare qualcosa di puramente hobbistico. Non hai sentito parlare dei controlli del dipartimento 'K' della polizia? Allora sono in arrivo da te!
- L'antivirus deve funzionare. Sì, alcuni di essi possono rallentare il PC, infastidire e sembrare un segno di codardia, ma è meglio prevenire che dover affrontare successivamente fermi lavoro o, peggio ancora, dati rubati.
- Le avvertenze del sistema operativo riguardo ai pericoli nell'installazione di applicazioni non devono essere ignorate. Oggi scaricare qualcosa per lavorare è un'operazione che richiede solo qualche secondo o minuto. Per esempio, Direct.Commender o l'editor AdWords, qualche SEO parser, e così via. Se i prodotti di Yandex e Google sono abbastanza chiari, ci sono anche piccole applicazioni come i ridimensionatori di immagini, i pulitori di virus gratuiti, editor video con tre effetti, strumenti per schermate, registratori di Skype e altre 'piccole utility' che possono danneggiare sia un singolo PC che l'intera rete aziendale. Abitua gli utenti a leggere cosa desidera il computer da loro, prima di contattare l'amministratore IT per dire che 'tutto è morto'. In alcune aziende, la questione viene risolta facilmente: molte utilità utili scaricate sono archiviate su una condivisione di rete, dove è presente anche un elenco di valide soluzioni online.
- La politica BYOD o, al contrario, la politica di utilizzo delle apparecchiature aziendali al di fuori dell'ufficio rappresenta un aspetto critico della sicurezza. In questo caso, l'accesso ai dispositivi può avvenire da parte di parenti, amici, bambini, reti pubbliche non sicure e simili. È una vera e propria roulette russa: si può andare avanti per 5 anni senza problemi, ma si può anche perdere o danneggiare documenti e file preziosi. Inoltre, se un dipendente ha cattive intenzioni, con un dispositivo "in giro" è facile esfiltrare dati. Bisogna anche ricordare che i dipendenti spesso trasferiscono file tra i propri computer personali, il che può aprire ulteriori falle nella sicurezza.
- Il blocco dei dispositivi quando non si è presenti è un'abitudine utile sia in ambito aziendale che personale. Serve a proteggere da colleghi, conoscenti e malintenzionati nei luoghi pubblici. È difficile abituarsi, ma in uno dei miei posti di lavoro c'era un'ottima pratica: i colleghi si avvicinavano a un PC non bloccato, e appariva una finestra di Paint con la scritta "Blocca il computer!", mentre qualcosa cambiava nel lavoro, come la rimozione dell'ultima build installata o la cancellazione del bug più recente (era un gruppo di test). È severo, ma bastavano 1-2 volte anche per i più distratti. Anche se, sospetto, i non-IT non possano comprendere un simile umorismo.
- Ma ovviamente, il peccato più grave ricade sulle spalle dell'amministratore di sistema e della direzione — nel caso in cui non utilizzino assolutamente sistemi di monitoraggio traffico, attrezzature, licenze, ecc.
Quella è, senza dubbio, la base, perché l'infrastruttura IT è il luogo in cui più ci si addentra, più cresce la confusione. E questa base deve appartenere a tutti, non può essere sostituita da affermazioni come "noi ci fidiamo l'uno dell'altro", "siamo una famiglia", "ma chi se ne frega" — purtroppo, questo dura fino a un certo punto.
Questo è Internet, baby, qui sanno molto su di te.
È tempo di introdurre un uso sicuro di Internet nei corsi di educazione alla salute a scuola — e non si tratta delle misure che ci impongono dall'esterno. Si tratta di saper distinguere un link da un altro, capire dove ci sono tentativi di phishing e dove ci sono truffe, non aprire gli allegati delle email con oggetto 'Verifica atti' da indirizzi sconosciuti, senza aver prima controllato, e così via. Anche se, a quanto pare, gli studenti hanno già appreso tutto questo, i dipendenti no. Ci sono molte insidie e errori che possono mettere a rischio l'intera azienda.
- I social network sono una parte di Internet che non dovrebbe avere posto sul posto di lavoro, ma bloccarli a livello aziendale nel 2019 è una misura poco popolare e demotivante. Pertanto, è necessario semplicemente ricordare a tutti i dipendenti come verificare la legittimità dei link, spiegare i vari tipi di frodi e chiedere di lavorare al lavoro.
- La posta elettronica è un punto dolente e probabilmente il modo più comune per rubare informazioni, installare malware, infettare computer e intere reti. Purtroppo, molti datori di lavoro considerano il client di posta un oggetto su cui risparmiare, utilizzando servizi gratuiti che ricevono fino a 200 email di spam al giorno, che non riescono a superare i filtri, e così via. Alcuni individui sconsiderati aprono queste email, allegati, link e immagini, sperando evidentemente che un principe dall'Africa abbia lasciato un'eredità proprio a loro. Dopodiché, il lavoro per l'amministratore di sistema aumenta esponenzialmente. O era già tutto pianificato in questo modo? A proposito, ecco un'altra storia cruda: in un'azienda ogni email di spam riduceva il KPI dell'amministratore. Alla fine, dopo un mese, lo spam era scomparso — la pratica è stata adottata dalla direzione e lo spam non esiste più fino ad oggi. Noi abbiamo risolto il problema in modo elegante: abbiamo sviluppato il nostro client di posta e l'abbiamo integrato nella nostra , quindi anche i nostri clienti hanno accesso a questa comoda funzionalità.
La prossima volta che ricevi un'email strana con un'icona di graffetta, non cliccarci sopra!
- I messaggeri sono anch'essi una fonte di vari link non sicuri, ma questo è un male molto minore rispetto alle e-mail (senza contare il tempo perso a chiacchierare nei chat).
Sembra tutto insignificante. Tuttavia, ognuno di questi dettagli può avere conseguenze catastrofiche, soprattutto se la vostra azienda è un bersaglio per gli attacchi della concorrenza. E questo può succedere a chiunque.
Dipendenti chiacchieroni
Questo è il fattore umano da cui sarà difficile liberarsi. I dipendenti possono discutere del lavoro nei corridoi, al bar, per strada, parlare ad alta voce di un altro cliente presso un cliente, raccontare dei successi lavorativi e dei progetti a casa. Certo, la probabilità che ci sia un concorrente dietro le spalle è trascurabile (a meno che non siate nello stesso business center — è successo), ma la possibilità che un ragazzo che espone chiaramente questioni di business venga ripreso con uno smartphone e pubblicato su YouTube è stranamente più alta. Ma questo è poca cosa. Non è poca cosa quando i vostri dipendenti condividono volentieri informazioni sul prodotto o sull'azienda durante corsi di formazione, conferenze, meet-up, forum professionali, o anche su Habr. E non di rado le persone invitano appositamente un avversario per discutere di questi argomenti, per svolgere un'intelligence competitiva.
Una storia esemplare. Durante una conferenza IT di portata galattica, il relatore della sessione ha mostrato su un diapositiva un diagramma completo dell'organizzazione dell'infrastruttura IT di una grande azienda (top-20). Il diagramma era estremamente impressionante, quasi spaziale; è stato fotografato da quasi tutti e ha rapidamente iniziato a circolare sui social network con entusiasti riscontri. Tuttavia, poi il relatore ha cercato di rintracciare tramite geotag, stand, e social network, implorando di rimuoverlo, perché gli hanno rapidamente telefonato dicendo che non andava bene. Un chiacchierone è una manna per gli spioni.
L'ignoranza… protegge dalla punizione
Secondo il rapporto globale di Kaspersky Lab del 2017, tra le aziende che hanno affrontato incidenti di cybersecurity negli ultimi 12 mesi, uno su dieci (11%) dei tipi di incidenti più gravi riguardava dipendenti negligenti e non informati.
Non dare per scontato che i dipendenti sappiano tutto sulle misure di sicurezza aziendale; assicurati di avvisarli, di formarli, di inviare newsletter interessanti sui problemi di sicurezza, di organizzare incontri con della pizza e di chiarire le questioni ancora una volta. E sì, un ottimo consiglio: contrassegna tutte le informazioni stampate ed elettroniche con colori, segni, etichette: segreto commerciale, confidenziale, riservato, accesso generale. Funziona davvero.
Il mondo moderno ha messo le aziende in una posizione molto delicata: bisogna mantenere un equilibrio tra la voglia del dipendente di non solo lavorare, ma anche ricevere contenuti di intrattenimento durante i momenti di pausa, e le rigide normative sulla sicurezza aziendale. Se attivi il controllo estremo e programmi di sorveglianza stupidi (sì, non è un errore — non è sicurezza, è paranoia) e telecamere alle spalle, la fiducia dei dipendenti nell'azienda diminuirà, e mantenere la fiducia è anche uno strumento di sicurezza aziendale.
Pertanto, ricordate le proporzioni, rispettate i dipendenti, effettuate backup. E soprattutto, fate della sicurezza la priorità, non della paranoia personale.
Se hai bisogno di e confrontate le loro funzionalità con i vostri obiettivi e compiti. Se avete domande o difficoltà, scriveteci, chiamateci, organizzeremo per voi una presentazione online personalizzata - senza classifiche e confronti.
, in cui pubblichiamo contenuti informali su CRM e business senza pubblicità.
Fonte: habr.com
