Корпоративна несигурност

Во 2008 година можев да посетам една ИТ компанија. Кај секој вработен имаше некаква нездрава тензија. Причината се покажа како едноставна: мобилните телефони се наоѓаат во кутија на влезот во канцеларијата, има камера зад грб, 2 големи дополнителни камери „изгледани“ во канцеларијата и софтвер за следење со тајлогер. И да, ова не е компанија која развила SORM или системи за поддршка на животот на авиони, туку едноставно развивач на софтвер за бизнис апликации, сега апсорбиран, смачкан и повеќе не постои (што изгледа логично). Ако сега се истегнувате и мислите дека во вашата канцеларија со хамакови и M&M во вазни тоа дефинитивно не е така, би можеле да грешите - едноставно над 11 години контролата научила да биде невидлива и исправна, без пресметки. посетени сајтови и преземени филмови.

Значи, дали е навистина невозможно без сето ова, но што е со довербата, лојалноста, вербата во луѓето? Верувале или не, има исто толку компании без безбедносни мерки. Но, вработените успеваат да се збркаат и овде и таму - едноставно затоа што човечкиот фактор може да уништи светови, а не само вашата компанија. Значи, каде можат вашите вработени да се справат со зло?

Ова не е многу сериозен пост, кој има точно две функции: малку да го разубави секојдневието и да ве потсети на основните безбедносни работи кои често се забораваат. О, и уште еднаш да ве потсетиме на кул и безбеден CRM систем - Зарем таквиот софтвер не е работ на безбедноста? 🙂

Ајде да одиме во случаен режим!

Лозинки, лозинки, лозинки...

Зборуваш за нив и се тркала бран огорченост: како може, толку пати му кажаа на светот, но работите се уште се таму! Во компании од сите нивоа, од индивидуални претприемачи до мултинационални корпорации, ова е многу болно место. Понекогаш ми се чини дека ако утре изградат вистинска Ѕвезда на смртта, ќе има нешто како админ/админ во админ панелот. Значи, што можеме да очекуваме од обичните корисници, за кои нивната сопствена страница VKontakte е многу поскапа од корпоративна сметка? Еве ги точките за проверка:

• Пишување лозинки на парчиња хартија, на задната страна од тастатурата, на мониторот, на масата под тастатурата, на налепница на дното на глувчето (лукаво!) - вработените никогаш не треба да го прават тоа. И не затоа што ќе влезе ужасен хакер и ќе го преземе целиот 1C на флеш-уред за време на ручек, туку затоа што може да има навреден Саша во канцеларијата кој ќе се откаже и ќе направи нешто валкано или ќе ги одземе информациите за последен пат. . Зошто да не го направите ова на следниот ручек?

Ова е што? Оваа работа ги чува сите мои лозинки

• Поставување едноставни лозинки за влез во компјутер и работни програми. Датумите на раѓање, qwerty123 па дури и asdf се комбинации кои припаѓаат во шегите и на башорг, а не во корпоративниот безбедносен систем. Поставете барања за лозинки и нивната должина и поставете ја фреквенцијата на замена.

Лозинката е како долна облека: менувајте ја често, не ја споделувајте со вашите пријатели, долгата е подобра, бидете мистериозни, не расфрлајте ја насекаде

• Стандардните лозинки за најавување на програмата на продавачот се погрешни, само затоа што речиси сите вработени на продавачот ги знаат, и ако имате работа со веб-базиран систем во облакот, нема да биде тешко никому да ги добие податоците. Особено ако имате и мрежна безбедност на ниво „не го влечете кабелот“.
• Објаснете им на вработените дека навестувањето за лозинка во оперативниот систем не треба да изгледа како „мојот роденден“, „името на ќерката“, „Gvoz-dika-78545-ap#1! на англиски." или „кварти и еден и нула“.    

Мојата мачка ми дава одлични лозинки! Ми оди по мојата тастатура

Физички пристап до случаите

Како вашата компанија го организира пристапот до сметководствената и кадровската документација (на пример, до личните досиеја на вработените)? Дозволете ми да погодам: ако е мал бизнис, тогаш во одделот за сметководство или во канцеларијата на шефот во папки на полиците или во плакарот, ако се работи за голем бизнис, тогаш во одделот за човечки ресурси на полиците. Но, ако е многу голем, тогаш најверојатно сè е точно: посебна канцеларија или блок со магнетен клуч, каде што имаат пристап само одредени вработени и за да стигнете таму, треба да повикате еден од нив и да отидете во овој јазол во нивно присуство. Нема ништо тешко да се направи таква заштита во секој бизнис, или барем да научите да не ја пишувате лозинката за канцеларискиот сеф со креда на вратата или на ѕидот (сè е засновано на вистински настани, немојте да се смеете).

Зошто е важно? Прво, работниците имаат патолошка желба да ги дознаат најтајните работи едни за други: брачен статус, плата, медицински дијагнози, образование итн. Ова е таков компромис во конкуренција на канцеларии. А вие апсолутно немате корист од кавгите што ќе се појават кога дизајнерот Петја ќе дознае дека заработува 20 илјади помалку од дизајнерката Алис. Второ, таму вработените можат да пристапат до финансиските информации на компанијата (биланс на состојба, годишни извештаи, договори). Трето, нешто едноставно може да се изгуби, оштети или украде за да се прикријат трагите во сопствената работна историја.

Магацин каде некој е загуба, некој е богатство

Ако имате магацин, сметајте дека порано или подоцна гарантирано ќе наидете на криминалци - едноставно вака функционира психологијата на човекот, кој гледа голем обем на производи и цврсто верува дека малку од многу не е грабеж, туку споделување. А единица стока од овој куп може да чини 200 илјади, или 300 илјади, или неколку милиони. За жал, ништо не може да ја спречи кражбата освен педантна и целосна контрола и сметководство: камери, прифаќање и отпишување со користење на баркодови, автоматизација на сметководството на складиштето (на пример, во нашата RegionSoft CRM магацинското сметководство е организирано на таков начин што управителот и надзорникот можат да го видат движењето на стоката низ складот ​​во реално време).

Затоа, наоружајте го вашиот магацин до заби, обезбедете физичка безбедност од надворешниот непријател и целосна безбедност од внатрешниот. Вработените во транспортот, логистиката и магацините мора јасно да сфатат дека контрола има, функционира и речиси ќе се казнат самите себе.

*Еј, не пикај ги рацете во инфраструктурата

Ако приказната за серверската соба и чистачката веќе се надживеала и одамна мигрирала во приказни за други индустрии (на пример, истата се случила за мистичното исклучување на вентилаторот во истото одделение), тогаш останатите остануваат реалност . Безбедноста на мрежата и ИТ на малите и средни бизниси остава многу да се посакува, а тоа често не зависи од тоа дали имате сопствен системски администратор или поканет. Вториот често се справува уште подобро.

Па, за што се способни вработените овде?

• Најубавото и најбезопасното нешто е да отидете во собата на серверот, да ги навлечете жиците, да погледнете, да истурите чај, да нанесете нечистотија или да се обидете сами да конфигурирате нешто. Ова особено влијае на „самоуверените и напредни корисници“ кои херојски ги учат своите колеги да оневозможат антивирус и да ја заобиколат заштитата на компјутерот и се сигурни дека се вродени богови на серверската соба. Во принцип, овластен ограничен пристап е ваше сè.
• Кражба на опрема и замена на компоненти. Дали ја сакате вашата компанија и имате инсталирано моќни видео картички за секого, така што системот за наплата, CRM и сè останато можат да работат совршено? Одлично! Само лукавите момци (а понекогаш и девојките) лесно ќе ги заменат со домашен модел, а дома ќе играат игри на нов канцелариски модел - но половина свет нема да знае. Истата приказна е со тастатури, глувци, ладилници, UPS-и и се што некако може да се замени во хардверската конфигурација. Како резултат на тоа, вие го сносите ризикот од оштетување на имотот, негова целосна загуба, а во исто време не ја добивате посакуваната брзина и квалитет на работа со информациски системи и апликации. Она што заштедува е систем за следење (систем ITSM) со конфигурирана контрола на конфигурацијата), кој мора да биде испорачан со нераспадлив и принципиелен системски администратор.

Можеби сакате да барате подобар безбедносен систем? Не сум сигурен дали овој знак е доволен

• Користењето на сопствени модеми, точки за пристап или некој вид споделен Wi-Fi го прави пристапот до датотеките помалку безбеден и практично неконтролиран, што може да го искористат напаѓачите (вклучително и во дослух со вработените). Па, покрај тоа, веројатноста дека вработен „со свој интернет“ ќе помине работно време на YouTube, хумористични страници и социјални мрежи е многу поголема.  
• Унифицираните лозинки и најавувања за пристап до администраторската област на страницата, CMS, апликативниот софтвер се ужасни нешта што го претвораат неспособен или злонамерен вработен во неостварлив одмаздник. Ако имате 5 луѓе од иста подмрежа со иста најава/лозинка кои влегуваат за да постават банер, да ги проверат рекламните линкови и метрика, да го поправат изгледот и да прикачат ажурирање, никогаш нема да погодите кој од нив случајно го претвори CSS во тиква. Затоа: различни најавувања, различни лозинки, евиденција на дејства и диференцијација на правата за пристап.
• Непотребно е да се каже за нелиценцираниот софтвер што вработените го влечат на нивните компјутери за да уредат неколку фотографии во текот на работното време или да создадат нешто многу поврзано со хоби. Не сте слушнале за инспекција во одделението „К“ на Централната управа за внатрешни работи? Тогаш таа доаѓа кај вас!
• Антивирусот треба да работи. Да, некои од нив може да го забават вашиот компјутер, да ве иритираат и генерално да изгледаат како знак на кукавичлук, но подобро е да го спречите тоа отколку подоцна да платите со прекини или, уште полошо, украдени податоци.
• Не треба да се игнорираат предупредувањата од оперативниот систем за опасностите од инсталирање на апликација. Денес, преземањето нешто за работа е прашање на секунди и минути. На пример, Direct.Commander или уредник на AdWords, некој оптимизација за анализатор итн. Ако сè е повеќе или помалку јасно со Yandex и производите на Google, тогаш друг пикрејзер, бесплатно средство за чистење вируси, уредувач на видеа со три ефекти, слики од екранот, рекордери на Skype и други „мали програми“ може да наштетат и на индивидуален компјутер и на целата мрежа на компанијата. . Обучете ги корисниците да читаат што бара компјутерот од нив пред да го повикаат администраторот на системот и да кажат дека „сè е мртво“. Во некои компании, проблемот се решава едноставно: многу преземени корисни комунални услуги се зачувани на мрежниот удел, а таму е објавена и листа на соодветни онлајн решенија.
• Политиката на BYOD или, обратно, политиката на дозволување употреба на работна опрема надвор од канцеларијата е многу лоша страна на безбедноста. Во овој случај, пристап до технологијата имаат роднините, пријателите, децата, јавните незаштитени мрежи итн. Ова е чисто руски рулет - можете да одите 5 години и да поминете, но можете да ги изгубите или оштетите сите ваши документи и вредни датотеки. Па, освен тоа, ако некој вработен има злонамерна намера, лесно е да испрати два бајта за да протече податоци со опрема за „одење“. Исто така, треба да запомните дека вработените често префрлаат датотеки помеѓу нивните персонални компјутери, што повторно може да создаде безбедносни дупки.
• Заклучувањето на вашите уреди додека сте отсутни е добра навика и за корпоративна и за лична употреба. Повторно, ве штити од љубопитни колеги, познаници и натрапници на јавни места. Тешко е да се навикнеш на ова, но на едно од моите работни места имав прекрасно искуство: колегите се приближија до отклучен компјутер, а Paint беше отворена низ целиот прозорец со натпис „Заклучи го компјутерот! и нешто се смени во работата, на пример, последното напумпано склопување беше уништено или последната воведена грешка беше отстранета (ова беше група за тестирање). Сурово е, но 1-2 пати беше доволно дури и за најдрвените. Иако, се сомневам, луѓето кои не се ИТ можеби не го разбираат таквиот хумор.
• Но, најлошиот грев, се разбира, лежи кај администраторот и менаџментот на системот - ако категорично не користат системи за контрола на сообраќајот, опрема, лиценци итн.

Ова е, се разбира, основа, бидејќи ИТ инфраструктурата е самото место каде што колку подалеку во шумата, толку повеќе огревно дрво има. И секој треба да ја има оваа основа, а не да се замени со зборовите „сите си веруваме еден на друг“, „ние сме семејство“, „кому му треба“ - за жал, ова е засега.

Ова е Интернет, душо, тие можат да знаат многу за тебе.

Време е да се воведе безбедно ракување со Интернет во курсот за безбедност на животот на училиште - и ова воопшто не се однесува на мерките во кои сме потопени однадвор. Ова е конкретно за способноста да се разликува врска од врска, да се разбере каде е фишинг, а каде е измама, а не да се отвораат прилози за е-пошта со тема „Извештај за помирување“ од непозната адреса без да се разбере, итн. Иако, се чини, сето ова веќе го совладале учениците, а вработените не. Има многу трикови и грешки кои можат да ја загрозат целата компанија одеднаш.

• Социјалните мрежи се дел од интернетот на кој нема место за работа, но нивното блокирање на ниво на компанија во 2019 година е непопуларна и демотивирачка мерка. Затоа, само треба да им пишете на сите вработени како да ја проверат незаконитоста на врските, да им кажете за видовите измами и да побарате од нив да работат на работа.

• Поштата е болно место и можеби најпопуларниот начин да се украдат информации, да се засади малициозен софтвер и да се зарази компјутерот и целата мрежа. За жал, многу работодавци сметаат дека клиентот за е-пошта е алатка за заштеда на трошоци и користат бесплатни услуги кои примаат 200 спам-пораки дневно што поминуваат низ филтри, итн. А некои неодговорни луѓе отвораат такви писма и прилози, линкови, слики - очигледно, се надеваат дека црниот принц им оставил наследство. После што администраторот има многу, многу работа. Или така беше наменето? Патем, уште една сурова приказна: во една компанија, за секое спам писмо до системскиот администратор, KPI беше намален. Генерално, по еден месец немаше спам - практиката ја усвои матичната организација, а сè уште нема спам. Елегантно го решивме ова прашање - развивме сопствен клиент за е-пошта и го вградивме во наш RegionSoft CRM, така што и сите наши клиенти добиваат таква погодна функција.

Следниот пат кога ќе примите чудна е-пошта со симбол на спојката за хартија, не кликнувајте на неа!

• Месинџерите се исто така извор на секакви небезбедни врски, но ова е многу помалку зло од поштата (не сметајќи го потрошеното време во разговори).

Се чини дека сето тоа се мали нешта. Сепак, секоја од овие мали нешта може да има катастрофални последици, особено ако вашата компанија е цел на напад на конкурентот. И ова може да му се случи буквално на секого.

Муабет вработени

Ова е самиот човечки фактор од кој тешко ќе се ослободите. Вработените можат да разговараат за работа во ходникот, во кафуле, на улица, во куќата на клиентот, да зборуваат гласно за друг клиент, да зборуваат за работните достигнувања и проекти дома. Се разбира, веројатноста дека зад вас стои конкурент е занемарлива (ако не сте во истиот деловен центар - ова се случило), но можноста дека еден дечко што јасно ги кажува своите деловни работи ќе биде снимен на паметен телефон и објавен на YouTube е, чудно доволно, повисок. Но и ова е срање. Не е срање кога вашите вработени доброволно презентираат информации за производ или компанија на обуки, конференции, состаноци, професионални форуми, па дури и на Habré. Освен тоа, луѓето честопати намерно ги повикуваат своите противници на такви разговори со цел да спроведат конкурентна интелигенција.

Откривачка приказна. На една конференција за ИТ во галактички размери, говорникот на делот изложи на слајд целосен дијаграм на организацијата на ИТ инфраструктурата на една голема компанија (топ 20). Шемата беше мега импресивна, едноставно космичка, речиси сите ја фотографираа, а таа веднаш ги прелета социјалните мрежи со одлични критики. Па, тогаш говорникот ги фатил користејќи гео-ознаки, штандови, социјални мрежи. мрежи на тие што го објавиле и молеле да биде избришан, бидејќи прилично брзо му се јавиле и кажале ах-та-та. Муабет е божји дар за шпион.

Незнаењето... те ослободува од казна

Според глобалниот извештај на Kaspersky Lab за 2017 година за бизниси кои доживеале инциденти со сајбер-безбедност во период од 12 месеци, еден од десет (11%) од најсериозните типови инциденти вклучува невнимателни и неинформирани вработени.

Не претпоставувајте дека вработените знаат сè за корпоративните безбедносни мерки, задолжително предупредете ги, обезбедете обука, правете интересни периодични билтени за безбедносни прашања, одржувајте состаноци за пица и повторно разјаснете ги прашањата. И да, кул лајф хак - означете ги сите печатени и електронски информации со бои, знаци, натписи: трговска тајна, тајна, за службена употреба, општ пристап. Ова навистина функционира.

Современиот свет ги стави компаниите во многу деликатна позиција: неопходно е да се одржи рамнотежа помеѓу желбата на вработениот не само да работи напорно на работа, туку и да добива забавна содржина во позадина/за време на паузите и строгите корпоративни безбедносни правила. Ако вклучите хиперконтрола и моронски програми за следење (да, не е печатна грешка - ова не е безбедност, ова е параноја) и камерите зад грб, тогаш довербата на вработените во компанијата ќе падне, но одржувањето на довербата е исто така корпоративна безбедносна алатка.

Затоа, знајте кога да престанете, почитувајте ги вашите вработени и правете резервни копии. И што е најважно, дајте приоритет на безбедноста, а не на личната параноја.

Ако ти треба CRM или ERP - погледнете одблизу на нашите производи и споредете ги нивните способности со вашите цели и задачи. Ако имате какви било прашања или потешкотии, пишете или јавете се, ние ќе ви организираме индивидуална онлајн презентација - без оценки или ѕвона и свирки.

Нашиот канал во Телеграма, во која, без рекламирање, пишуваме не сосема формални работи за CRM и бизнисот.

Извор: www.habr.com