W 2008 roku miałem okazję odwiedzić jedną firmę IT. W każdym pracowniku dało się wyczuć jakieś nienaturalne napięcie. Przyczyna okazała się prosta: telefony komórkowe - do szuflady przy wejściu do biura, za plecami - kamera, 2 duże dodatkowe „nadzorcze” kamery w biurze oraz oprogramowanie kontrolujące z keyloggerem. I tak, to nie była firma, która opracowywała SORM lub systemy podtrzymywania życia samolotów, a jedynie deweloper aplikacyjnego oprogramowania biznesowego, obecnie wchłonięty, zgnieciony i już nie istniejący (co wydaje się logiczne). Jeśli teraz sięgasz po myśl, że w twoim biurze z hamakami i M&M w wazonie coś takiego zdecydowanie nie ma, możesz się mocno mylić - po prostu przez 11 lat kontrola nauczyła się być niezauważalna i poprawna, bez rozpraw o odwiedzanych stronach i pobranych filmach.
Czy naprawdę nie da się bez tego wszystkiego, a co z zaufaniem, lojalnością, wiarą w ludzi? Nie uwierzysz, ale firm bez środków bezpieczeństwa jest co najmniej równie dużo. Ale pracownicy potrafią popełniać błędy tu i tam - po prostu dlatego, że czynnik ludzki jest w stanie zburzyć światy, a co dopiero twoją firmę. Więc gdzie twoi pracownicy mogą narobić głupot?
To nie jest bardzo poważny post, który ma dokładnie dwie funkcje: nieco umilić codzienną pracę i przypomnieć o podstawowych zasadach bezpieczeństwa, które często są zapominane. A, no i przypomnieć o — czy taki program nie jest granicą bezpieczeństwa? 🙂
I jedziemy w losowej kolejności!
Hasła, hasła, hasła…
Mówisz o nich i nasuwa się fala oburzenia: jak to możliwe, tyle razy mówiliśmy światu, a efekt wciąż ten sam! W firmach wszystkich poziomów, od jednoosobowej działalności do międzynarodowej korporacji, to bardzo bolesny temat. Czasami mam wrażenie, że jeśli jutro zbudują prawdziwą Gwiazdę Śmierci, w panelu administracyjnym będzie coś w stylu admin/admin. Czego więc oczekiwać od zwykłych użytkowników, dla których własna strona na VKontakte jest o wiele cenniejsza niż konto korporacyjne? Oto punkty, które trzeba sprawdzić:
- Pisanie haseł na kawałkach papieru, na odwrocie klawiatury, na monitorze, na stole pod klawiaturą, na naklejce z tyłu myszki (sprytne!) — pracownicy nigdy nie powinni tego robić. I nie dlatego, że pojawi się straszny haker i podczas obiadu pobierze całą bazę danych na pamięć USB, ale dlatego, że w biurze może być zagniewany Sasza, który planuje odejść i chce na koniec zaszkodzić lub zabrać informacje. Dlaczego by tego nie zrobić podczas kolejnego obiadu?
To to? Ta rzecz przechowuje wszystkie moje hasła
- Ustawianie prostych haseł do logowania do komputera i programów roboczych. Daty urodzin, qwerty123 i nawet asdf — to kombinacje, które powinny znaleźć się w kawałkach humorystycznych, a nie w systemie bezpieczeństwa korporacyjnego. Ustalaj wymagania dotyczące haseł i ich długości, wprowadzaj okresowość zmiany haseł.
Hasło jest jak bielizna: zmieniaj je częściej, nie dziel się nim z przyjaciółmi, długie — lepsze, bądź tajemniczy, nie rozsypuj go wszędzie
- Domyślne hasła dostępu producenta są wadliwe chociażby dlatego, że zna je niemal każdy pracownik producenta, a jeżeli masz do czynienia z systemem webowym w chmurze, pozyskanie danych nie będzie nikomu sprawiać trudności. Szczególnie, jeśli twoje zabezpieczenia sieciowe są na poziomie "nie wyciągać kabla".
- Wyjaśnij pracownikom, że podpowiedź do hasła w systemie operacyjnym nie powinna wyglądać jak "moja data urodzenia", "imię córki", "Gwoź-dzik-78545-ap#1! po angielsku" lub "qwerty i jedynka z zerem".
Mój kotek podsuwa mi wspaniałe hasła! Chodzi po mojej klawiaturze
Fizyczny dostęp do akt
Jak w waszej firmie zorganizowany jest dostęp do dokumentacji związanej z zatrudnieniem i kadrami (np. do akt osobowych pracowników)? Daję głowę, że w małym biznesie to w biurze rachunkowym lub u szefa w szufladach na półkach lub w szafie, w większym — w dziale kadr na regałach. A jeżeli to bardzo duża firma, to najprawdopodobniej wszystko jest w porządku: osobny gabinet lub blok z kluczem magnetycznym, do którego dostęp mają tylko niektórzy pracownicy i aby się tam dostać, trzeba zadzwonić do kogoś z nich i wejść do tego pomieszczenia w ich obecności. Nie ma nic trudnego w wprowadzeniu takiej ochrony w każdej firmie, lub przynajmniej nauczyć się, by nie zapisywać hasła do biurowego sejfu kredą na drzwiach lub ścianie (wszystko oparto na prawdziwych wydarzeniach, nie śmiej się).
Dlaczego to ważne? Po pierwsze, pracownicy mają patologiczną potrzebę poznania najbardziej tajemnych informacji o sobie nawzajem: statusu rodzinnego, wysokości wynagrodzenia, diagnoz medycznych, wykształcenia itp. To rodzaj kompromitującego materiału w biurowej rywalizacji. A kłótnie, które wybuchną, kiedy projektant Piotr dowie się, że zarabia o 20 tys. mniej niż projektantka Alicja, nie będą ci na rękę. Po drugie, w ten sam sposób pracownicy mogą uzyskać dostęp do informacji finansowych firmy (bilansów, rocznych raportów, umów). Po trzecie, coś po prostu może zostać zagubione, uszkodzone lub skradzione w celu zatarcia śladów w własnej karierze zawodowej.
Magazyn, gdzie dla jednych to strata, dla innych — skarb.
Jeśli masz magazyn, możesz być pewien, że prędzej czy później natkniesz się na przestępców — taka jest psychologia człowieka, który widzi dużą ilość towaru i jest przekonany, że branie w nawias nie jest kradzieżą, a podziałem. A jednostka towaru z tej kupy może kosztować i 200 tys., i 300 tys., a nawet kilka milionów. Niestety, żadna forma kontroli nie powstrzyma kradzieży poza pedantycznym i całkowitym nadzorem i ewidencją: kamery, odbiór i spisywanie według kodów kreskowych, automatyzacja ewidencji magazynowej (na przykład, w naszej ewidencja magazynowa jest zorganizowana w taki sposób, że menedżer i kierownik mogą w czasie rzeczywistym widzieć ruchy towarów w magazynie).
Dlatego uzbrój swój magazyn po zęby, zapewnij fizyczne bezpieczeństwo przed zewnętrznymi wrogami i pełne bezpieczeństwo — przed wewnętrznymi. Pracownicy w transporcie, logistyce, w magazynie muszą wyraźnie zdawać sobie sprawę, że kontrola istnieje, działa i w każdej chwili mogą sami siebie ukarać.
*rąk, nie wkładać w infrastrukturę
Jeśli historia o serwerowni i sprzątaczce już się zestarzała i od dawna przeszła do anegdot z innych branż (na przykład, podobna krążyła o mistycznym odłączeniu respiratora w tej samej sali), to inne pozostają rzeczywistością. Sieciowe i IT bezpieczeństwo w małych i średnich przedsiębiorstwach pozostawia wiele do życzenia, a często nie zależy to od tego, czy masz własnego administratora, czy zaproszonego. Ostatni często radzi sobie nawet lepiej.
Więc, co mogą zrobić pracownicy w tym przypadku?
- Najmilsią i najmniej szkodliwą rzeczą jest pójść do serwerowni, pociągnąć za kable, popatrzeć, wylać herbatę, nanieść brud lub samodzielnie spróbować coś ustawić. Szczególnie dotyczy to "pewnych i zaawansowanych użytkowników", którzy heroicznie uczą kolegów, jak wyłączać antywirus i omijać zabezpieczenia na komputerze, myśląc, że są wrodzonymi bogami serwerowni. W skrócie, autoryzowany ograniczony dostęp — to wszystko, czego potrzebujesz.
- Kradzież sprzętu i zamiana komponentów. Kochasz swoją firmę i zainstalowałeś wszystkim mocne karty graficzne, aby świetnie działał system billingowy, CRM i wszystko inne? Doskonale! Tylko sprytni chłopcy (a czasem i dziewczyny) bez problemu zamienią je na domowe, a w domu będą grać w gry na nowym biurowym modelu — pół świata się o tym nie dowie. Ta sama historia dotyczy klawiatur, myszek, chłodnic, UPS-ów i wszystkiego, co można w jakiś sposób zamienić w ramach konfiguracji sprzętowej. W efekcie ponosisz ryzyko uszkodzenia mienia i jego całkowitej utraty, a jednocześnie nie osiągasz pożądanej prędkości i jakości pracy z systemami informacyjnymi i aplikacjami. Ratuje system monitorowania (system ITSM) z ustawioną kontrolą konfiguracji, który powinien być dostarczany w zestawie z nieprzekupnym i zasadniczym administratorem.
Może chcesz poszukać lepszego systemu bezpieczeństwa? Nie jestem pewien, czy ten znak wystarczy.
- Użycie własnych modemów, punktów dostępowych lub jakiegoś wspólnego Wi-Fi sprawia, że dostęp do plików jest mniej zabezpieczony i praktycznie niekontrolowany, z którego mogą skorzystać przestępcy (w tym w zmowie z pracownikami). Cóż, poza tym, prawdopodobieństwo, że pracownik "ze swoim internetem" spędzi czas w pracy na YouTube, stronach humorystycznych i w mediach społecznościowych, jest znacznie wyższe.
- Jednolite hasła i loginy do admin panelu strony, CMS, aplikacji są przerażającymi rzeczami, które zamieniają niekompetentnego lub złośliwego pracownika w nieuchwytnego mściciela. Jeśli pięć osób z tej samej podsieci loguje się pod jednym loginem/hasłem, aby powiesić baner, sprawdzić linki reklamowe i metryki, poprawić kod i wrzucić aktualizację, nigdy nie zgadniesz, kto z nich przypadkowo zamienił CSS w dynię. Dlatego: różne loginy, różne hasła, rejestrowanie działań i ograniczanie praw dostępu.
- Nie ma sensu mówić o nielegalnym oprogramowaniu, które pracownicy ściągają na swoje komputery, aby w czasie pracy edytować kilka zdjęć lub stworzyć coś swojego. Nie słyszeliście o kontrolach Departamentu «K» Głównego Urzędu Policji? W takim razie nadchodzą do was!
- Antywirus powinien działać. Tak, niektóre z nich mogą spowalniać działanie komputera, denerwować i w ogóle wydawać się oznaką tchórzostwa, ale lepiej zapobiegać, niż potem płacić za przestoje w pracy lub, co gorsza, skradzione dane.
- Ostrzeżenia systemu operacyjnego o niebezpieczeństwie instalacji aplikacji nie powinny być ignorowane. Dziś pobranie czegoś do pracy zajmuje zaledwie kilka sekund i minut. Na przykład DirectCommander lub edytor Adwords, jakiś SEO-parserek itp. Jeśli chodzi o produkty Yandex i Google, sprawa jest bardziej klarowna, ale kolejny pikresizer, darmowy program do czyszczenia wirusów, edytor wideo z trzema efektami, zrzuty ekranu, nagrywarki Skype'a i inne 'małe programy' mogą zaszkodzić zarówno pojedynczemu komputerowi, jak i całej sieci firmy. Przyzwyczajajcie użytkowników do czytania, co komputer od nich chce, zanim zadzwonią do administratora i powiedzą, że 'wszystko padło'. W niektórych firmach problem rozwiązuje się prosto: wiele przydatnych narzędzi jest dostępnych na sieciowym udziale, a tam także znajduje się lista dobrych rozwiązań online.
- Polityka BYOD lub, przeciwnie, polityka zezwalająca na korzystanie z sprzętu służbowego poza biurem to bardzo poważny problem bezpieczeństwa. W takim przypadku do sprzętu mają dostęp bliscy, znajomi, dzieci, publiczne niezabezpieczone sieci itd. To czysta rosyjska ruletka – można przez 5 lat chodzić i nic się nie stanie, a można stracić lub uszkodzić wszystkie dokumenty i cenne pliki. A poza tym, jeśli pracownik ma złe intencje, z 'krążącym' sprzętem wykradzenie danych jest tak łatwe, jak przesłanie dwóch bajtów. Należy również pamiętać, że pracownicy często przesyłają pliki między swoimi komputerami osobistymi, co może stworzyć luki w bezpieczeństwie.
- Blokowanie urządzeń podczas nieobecności to dobra praktyka zarówno w sferze korporacyjnej, jak i osobistej. Ponownie, chroni przed ciekawskimi współpracownikami, znajomymi i osobami trzecimi w miejscach publicznych. Trudno się do tego przyzwyczaić, ale w jednym z moich miejsc pracy mieliśmy świetne doświadczenie: do niezablokowanego komputera podchodzili koledzy, na cały ekran rozciągał się Paint z napisem „Zablokuj komputer!” i coś zmieniało się w pracy, na przykład usuwano ostatnią zainstalowaną wersję lub usuwano ostatni zgłoszony błąd (to była grupa testująca). Surowe, ale 1-2 razy wystarczało nawet dla najbardziej opornych. Chociaż podejrzewam, że nie-IT mogą nie zrozumieć takiego humoru.
- Jednak najstraszniejszy grzech leży zapewne w rękach administratora systemu i kierownictwa — w przypadku, gdy kategorycznie nie korzystają z systemów kontroli ruchu, sprzętu, licencji itp.
To oczywiście podstawa, ponieważ infrastruktura IT to to miejsce, gdzie im dalej w las, tym więcej drewna. I ta podstawa powinna być u wszystkich, a nie zastępowana słowami „wszyscy sobie ufamy”, „jesteśmy rodziną”, „kto by się tym przejmował” — niestety, trwa to tylko do pewnego momentu.
To internet, kochanie, tutaj mogą o tobie dużo wiedzieć.
Bezpieczne korzystanie z internetu powinno być wprowadzone w kursie BHP w szkołach — i to nie chodzi o te środki, z którymi zostajemy zasypywani z zewnątrz. Chodzi tu o umiejętność odróżnienia linku od linku, zrozumienia, gdzie jest phishing, a gdzie oszustwo, nieotwieranie załączników od nieznajomych z tematem „Akt ustalenia” bez wcześniejszego sprawdzenia itp. Chociaż wydaje się, że uczniowie to wszystko już opanowali, a pracownicy — nie. Jest mnóstwo sztuczek i błędów, które mogą zagrozić całej firmie.
- Media społecznościowe to dział internetu, który nie ma miejsca w pracy, ale blokowanie ich na poziomie firmy w 2019 roku to niepopularny i demotywujący krok. Dlatego wystarczy napisać do wszystkich pracowników, jak sprawdzać legalność linków, opowiedzieć o rodzajach oszustw i poprosić, aby w pracy po prostu wykonali swoją pracę.
- E-mail to wrażliwe miejsce i praktycznie najpopularniejszy sposób na kradzież informacji, zainstalowanie złośliwego oprogramowania, zainfekowanie komputera oraz całej sieci. Niestety, wielu pracodawców traktuje klienta pocztowego jako przedmiot oszczędności i korzysta z darmowych usług, które generują po 200 wiadomości spamowych dziennie, które przedostają się przez filtry itd. A niektórzy nieświadomi użytkownicy otwierają takie wiadomości oraz załączniki, linki, obrazy — najwyraźniej mają nadzieję, że czarnoskóry książę zostawił dziedzictwo właśnie dla nich. Po czym admin ma dużo pracy. Czy to było zamierzone? A tak przy okazji, kolejna okrutna historia: w jednej firmie za każdą wiadomość spamową obniżano KPI administratora. W rezultacie po miesiącu spamu już nie było — praktyka została przyjęta przez organizację nadrzędną i spam zniknął do tej pory. My jednak rozwiązaliśmy ten problem w elegancki sposób — opracowaliśmy własnego klienta pocztowego i wbudowaliśmy go w nasze , dlatego wszyscy nasi klienci również mogą korzystać z tej wygodnej funkcji.
Następnym razem, gdy dostaniesz dziwną wiadomość z symbolem spinacza, nie klikaj w nią!
- Komunikatory również mogą być źródłem wszelkiego rodzaju niebezpiecznych linków, ale to znacznie mniejsze zło niż e-mail (nie licząc czasu spędzonego na gadaniu na czatach).
Wydaje się, że to wszystko drobiazgi. Jednak każda z tych drobiazgów może mieć katastrofalne konsekwencje, szczególnie jeśli twoja firma jest celem ataku konkurencji. A to może się zdarzyć dosłownie każdemu.
Gadatliwi pracownicy
To ten humanistyczny czynnik, z którym będzie ci trudno się uporać. Pracownicy mogą omawiać pracę na korytarzu, w kawiarni, na ulicy, głośno mówić o innym kliencie, dzielić się swoimi osiągnięciami zawodowymi i projektami w domu. Oczywiście, prawdopodobieństwo, że konkurencja podsłuchuje ich, jest minimalne (jeśli nie siedzisz w tym samym budynku biurowym — zdarzały się takie przypadki), ale to, że ktoś nagra wyraźnie przedstawiającego sprawy biznesowe chłopaka na smartfonie i wrzuci to na YouTube, jest, paradoksalnie, dużo wyższe. Ale to nie wszystko. Naprawdę nie jest dobrze, gdy twoi pracownicy chętnie dzielą się informacjami o produkcie lub firmie na szkoleniach, konferencjach, spotkaniach, forach zawodowych, czy nawet na Habrze. Zwłaszcza że często ludzie celowo wywołują takich rozmówców, by przeprowadzić wywiad konkurencyjny.
Eksperymentalna historia. Na jednej z galaktycznych konferencji IT prelegent zademonstrował na slajdzie pełny schemat organizacji infrastruktury IT dużej firmy (top-20). Schemat był mega imponujący, wręcz kosmiczny, sfotografował go prawie każdy, a on błyskawicznie zaczął krążyć po mediach społecznościowych z entuzjastycznymi komentarzami. A potem prelegent odłapywał po geotagach, stoiskach, mediach społecznościowych, które to opublikowały i błagał o usunięcie, ponieważ szybko zadzwoniono do niego i powiedziano „a-ta-ta”. Gaduła — znalezisko dla szpiega.
Niewiedza… uwalnia od kary
Zgodnie z globalnym raportem laboratorium Kaspersky z 2017 roku wśród przedsiębiorstw, które napotkały incydenty cyberbezpieczeństwa w ciągu 12 miesięcy, jeden na dziesięć (11%) najpoważniejszych typów incydentów dotyczył nieostrożnych i niedoinformowanych pracowników.
Nie zakładaj, że pracownicy wiedzą wszystko o środkach bezpieczeństwa w firmie, koniecznie ich poinformuj, przeprowadź szkolenie, zorganizuj interesujące okresowe newslettery dotyczące problematyki bezpieczeństwa, zrób spotkania przy pizzy i po raz kolejny wyjaśnij kwestie. I tak, świetny sposób — oznaczaj wszelkie drukowane i elektroniczne informacje kolorem, znakami, napisami: tajemnica handlowa, poufne, tylko do użytku służbowego, ogólny dostęp. To naprawdę działa.
Współczesny świat stawia firmy w bardzo delikatnej sytuacji: należy znaleźć równowagę między chęcią pracownika do pracy nie tylko na pełnym obrotach, ale i w czasie przerw na uzyskiwanie rozrywkowych treści a surowymi zasadami bezpieczeństwa w firmie. Jeśli wprowadzisz duży nadzór i idiotyczne programy śledzenia (tak, to nie jest literówka — to nie bezpieczeństwo, to paranoja) i kamery za plecami, to zaufanie pracowników do firmy spadnie, a przecież zachowanie zaufania również jest narzędziem bezpieczeństwa w firmie.
Dlatego poznaj umiar, szanuj pracowników, rób kopie zapasowe. I przede wszystkim stawiaj na bezpieczeństwo, a nie osobistą paranoję.
Jeśli potrzebujesz i dopasuj ich możliwości do swoich celów i zadań. Jeśli pojawią się pytania lub trudności — pisz, dzwoń, zorganizujemy dla Ciebie indywidualną prezentację online — bez rankingów i popisywania się.
, na którym bez reklam piszemy mniej formalne rzeczy o CRM i biznesie.
Źródło: habr.com
