Корпоративна несигурност

2008. године био сам у могућности да посетим ИТ компанију. Постојала је нека врста нездраве напетости у сваком запосленом. Разлог се показао једноставним: мобилни телефони су у кутији на улазу у канцеларију, иза леђа је камера, 2 велике додатне „гледајуће“ камере у канцеларији и софтвер за праћење помоћу кејлогера. И да, ово није компанија која је развила СОРМ или системе за одржавање живота авиона, већ једноставно програмер софтвера за пословне апликације, који је сада апсорбован, здробљен и више не постоји (што изгледа логично). Ако се сада протежете и мислите да у вашој канцеларији са висећим лежаљкама и М&М у вазама то дефинитивно није случај, могли бисте се много преварити – само што је за 11 година контрола научила да буде невидљива и исправна, без обрачуна. посећивали сајтове и преузимали филмове.

Па зар је заиста немогуће без свега овога, али шта је са поверењем, оданошћу, вером у људе? Веровали или не, исто толико је компанија без мера безбедности. Али запослени успевају да забрљају и овде и тамо - једноставно зато што људски фактор може да уништи светове, а не само вашу компанију. Дакле, где ваши запослени могу да дођу до несташлука?

Ово није баш озбиљан пост, који има тачно две функције: да мало улепша свакодневицу и да вас подсети на основне безбедносне ствари које се често заборављају. Ох, и још једном да вас подсетим хладан и сигуран ЦРМ систем — Зар такав софтвер није ивица безбедности? 🙂

Идемо у насумични режим!

Лозинке, лозинке, лозинке...

Причаш о њима и нагрне се талас огорчења: како може, толико пута су рекли свету, али ствари су и даље ту! У компанијама свих нивоа, од индивидуалних предузетника до мултинационалних корпорација, ово је веома болна тачка. Понекад ми се чини да ако сутра направе праву Деатх Стар, у админ панелу ће бити нешто као админ/админ. Дакле, шта можемо очекивати од обичних корисника, за које је њихова сопствена страница ВКонтакте много скупља од корпоративног налога? Ево тачака које треба проверити:

• Писање лозинки на комадиће папира, на полеђини тастатуре, на монитору, на столу испод тастатуре, на налепници на дну миша (лукаво!) - запослени то никада не би требало да раде. И не зато што ће ужасни хакер ући и преузети цео 1Ц на флеш диск за време ручка, већ зато што ће можда бити увређени Саша у канцеларији који ће дати отказ и учинити нешто прљаво или последњи пут одузети информације . Зашто то не урадите на следећем ручку?

То је оно што? Ова ствар чува све моје лозинке

• Постављање једноставних лозинки за улазак у рачунар и радне програме. Датуми рођења, кверти123, па чак и асдф су комбинације које спадају у шале и на башорг, а не у систем корпоративне безбедности. Поставите захтеве за лозинке и њихову дужину и подесите учесталост замене.

Лозинка је као доњи веш: мењајте је често, не делите је са пријатељима, дуга је боља, будите мистериозни, не разбацујте је свуда

• Подразумеване лозинке за пријаву на програм добављача су погрешне, макар само зато што их знају скоро сви запослени у продавцу, а ако имате посла са системом заснованим на вебу у облаку, никоме неће бити тешко да дође до података. Нарочито ако такође имате мрежну безбедност на нивоу „не вуците за кабл“.
• Објасните запосленима да наговештај лозинке у оперативном систему не би требало да изгледа као „мој рођендан“, „име ћерке“, „Гвоз-дика-78545-ап#1! на енглеском." или „кварти и један и нула“.    

Моја мачка ми даје сјајне лозинке! Хода преко моје тастатуре

Физички приступ случајевима

Како ваша компанија организује приступ рачуноводственој и кадровској документацији (на пример, личним досијеима запослених)? Да погодим: ако се ради о малом бизнису, онда у одељењу за рачуноводство или у канцеларији шефа у фасциклама на полицама или у орману, ако је у питању велики посао, онда у одељењу за људске ресурсе на полицама. Али ако је веома велика, онда је највероватније све тачно: засебна канцеларија или блок са магнетним кључем, где само одређени запослени имају приступ и да бисте тамо стигли, морате позвати једног од њих и ући у овај чвор у њиховом присуству. Нема ништа тешко направити такву заштиту у било ком послу, или барем научити да не пишете лозинку за канцеларијски сеф кредом на вратима или на зиду (све је засновано на стварним догађајима, немојте се смејати).

Зашто је важно? Прво, радници имају патолошку жељу да сазнају најтајније ствари једни о другима: брачни статус, плата, медицинске дијагнозе, образовање итд. Ово је такав компромис у канцеларијској конкуренцији. А ви апсолутно немате користи од свађа које ће настати када дизајнер Петја сазна да зарађује 20 хиљада мање од дизајнерке Алице. Друго, тамо запослени могу да приступе финансијским информацијама компаније (биланси, годишњи извештаји, уговори). Треће, нешто се једноставно може изгубити, оштетити или украсти како би се прикрили трагови у сопственој радној историји.

Складиште где је неко губитак, неко благо

Ако имате складиште, узмите у обзир да ћете пре или касније сигурно наићи на криминалце - једноставно тако функционише психологија особе која види велику количину производа и чврсто верује да мало од много није пљачка, већ дељење. А јединица робе са ове гомиле може коштати 200 хиљада, или 300 хиљада, или неколико милиона. Нажалост, ништа не може зауставити крађу осим педантне и тоталне контроле и рачуноводства: камере, пријем и отпис помоћу бар кодова, аутоматизација складишног рачуноводства (нпр. РегионСофт ЦРМ складишно књиговодство је организовано тако да руководилац и надзорник могу да виде кретање робе кроз складиште у реалном времену).

Стога, наоружајте своје складиште до зуба, осигурајте физичку сигурност од спољашњег непријатеља и потпуну сигурност од унутрашњег. Запослени у транспорту, логистици, складиштима морају јасно да схвате да постоји контрола, она функционише и скоро да ће сами себе казнити.

*хеј, не гурај руке у инфраструктуру

Ако је прича о серверској соби и чистачици већ наџивела себе и давно се преселила у приче о другим индустријама (на пример, иста је била о мистичном гашењу вентилатора у истом одељењу), онда остало остаје стварност . Мрежна и ИТ безбедност малих и средњих предузећа оставља много да се пожели, а то често не зависи од тога да ли имате свог администратора система или позваног. Овај други се често сналази још боље.

Па за шта су запослени овде способни?

• Најлепше и најбезазленије је отићи у серверску собу, повући жице, погледати, пролити чај, нанети прљавштину или покушати нешто сами да конфигуришете. Ово посебно погађа „поуздане и напредне кориснике“ који херојски уче своје колеге да онемогуће антивирусну и заобилазе заштиту на рачунару и сигурни су да су они урођени богови серверске собе. Генерално, овлашћени ограничени приступ је ваше све.
• Крађа опреме и замена компоненти. Да ли волите своју компанију и инсталирали сте моћне видео картице за све како би систем наплате, ЦРМ и све остало могли савршено да раде? Велики! Само лукави момци (а понекад и девојке) ће их лако заменити кућним моделом, а код куће ће покренути игрице на новом канцеларијском моделу - али пола света неће знати. Иста је прича са тастатурама, мишевима, хладњацима, УПС-овима и свиме што се некако може заменити у оквиру хардверске конфигурације. Као резултат тога, сносите ризик од оштећења имовине, њеног потпуног губитка, а притом не добијате жељену брзину и квалитет рада са информационим системима и апликацијама. Оно што штеди је систем за надзор (ИТСМ систем) са конфигурисаном контролом конфигурације), који мора бити испоручен у комплету са непоткупљивим и принципијелним администратором система.

Можда желите да тражите бољи сигурносни систем? Нисам сигуран да ли је овај знак довољан

• Коришћење сопствених модема, приступних тачака или неке врсте дељеног Ви-Фи-ја чини приступ датотекама мање безбедним и практично неконтролисаним, што могу да искористе нападачи (укључујући у дослуху са запосленима). Па, осим тога, много је већа вероватноћа да ће запослени „са сопственим интернетом“ проводити радно време на Јутјубу, шаљивим сајтовима и друштвеним мрежама.  
• Обједињене лозинке и логин за приступ административној области сајта, ЦМС-у, апликативном софтверу су страшне ствари које претварају неспособног или злонамерног запосленог у неухватљивог осветника. Ако имате 5 људи из исте подмреже са истим корисничким именом/лозинком да поставе банер, проверите рекламне везе и метрику, исправите изглед и отпремите ажурирање, никада нећете погодити ко је од њих случајно претворио ЦСС у бундева. Дакле: различити логини, различите лозинке, евидентирање акција и диференцијација права приступа.
• Непотребно је говорити о нелиценцираном софтверу који запослени превлаче на своје рачунаре како би уредили неколико фотографија током радног времена или направили нешто веома везано за хоби. Зар нисте чули за инспекцију одељења „К” ЦЈБ? Онда она долази код тебе!
• Антивирус би требало да ради. Да, неки од њих могу да успоре ваш рачунар, да вас иритирају и генерално делују као знак кукавичлука, али боље је то спречити него касније плаћати застојима или, још горе, украденим подацима.
• Упозорења оперативног система о опасностима од инсталирања апликације не треба занемарити. Данас је преузимање нечега за посао питање секунди и минута. На пример, Дирецт.Цоммандер или АдВордс едитор, неки СЕО парсер итд. Ако је све мање-више јасно са Иандек и Гугл производима, онда још један пицреизер, бесплатни чистач вируса, видео уређивач са три ефекта, снимци екрана, Скипе снимачи и други „сићушни програми“ могу да нашкоде и појединачном рачунару и целој мрежи компаније . Обучите кориснике да прочитају шта рачунар жели од њих пре него што позову администратора система и кажу да је „све мртво“. У неким компанијама, проблем се решава једноставно: многи преузети корисни услужни програми се чувају на мрежном делу, а тамо је постављена и листа одговарајућих онлајн решења.
• БИОД политика или, обрнуто, политика дозвољавања употребе радне опреме ван канцеларије је веома лоша страна безбедности. У овом случају, рођаци, пријатељи, деца, јавне незаштићене мреже итд. имају приступ технологији. Ово је чисто руски рулет - можете ићи 5 година и преживети, али можете изгубити или оштетити све своје документе и вредне датотеке. Па, осим тога, ако запослени има злонамерне намере, то је лако као слање два бајта за цурење података помоћу опреме за „шетање“. Такође треба да запамтите да запослени често преносе датотеке између својих личних рачунара, што опет може створити безбедносне рупе.
• Закључавање уређаја док сте одсутни је добра навика и за корпоративну и за личну употребу. Опет вас штити од радозналих колега, познаника и уљеза на јавним местима. Тешко је навикнути се на ово, али на једном од мојих радних места доживео сам дивно искуство: колеге су пришле откључаном рачунару, а Паинт је отворен преко целог прозора са натписом „Закључај рачунар!“ и нешто се променило у раду, на пример, демолиран је последњи напумпани склоп или је уклоњена последња уведена грешка (ово је била група за тестирање). Сурово је, али 1-2 пута је било довољно и за оне најдрвеније. Мада, претпостављам, људи који нису ИТ људи можда неће разумети такав хумор.
• Али најгори грех, наравно, лежи на администратору система и менаџменту - ако категорички не користе системе контроле саобраћаја, опрему, лиценце итд.

Ово је, наравно, база, јер је ИТ инфраструктура управо место где што даље у шуму има више огревног дрвета. И свако треба да има ту основу, а не да је замењују речи „сви верујемо једни другима“, „ми смо породица“, „коме то треба“ - авај, за сада је тако.

Ово је интернет, душо, они могу знати много о теби.

Време је да уведемо безбедно руковање интернетом у курс безбедности живота у школи – а овде се уопште не ради о мерама у које смо уроњени споља. Овде се посебно ради о могућности разликовања везе од везе, разумевању где је пхисхинг, а где превара, не отварању прилога е-поште са темом „Извештај о помирењу“ са непознате адресе без разумевања, итд. Иако су, чини се, школарци све ово већ савладали, а запослени нису. Постоји много трикова и грешака које могу да угрозе целу компанију одједном.

• Друштвене мреже су део интернета коме није место на послу, али њихово блокирање на нивоу компаније у 2019. је непопуларна и демотивишућа мера. Дакле, само треба да напишете свим запосленима како да провере незаконитост линкова, да им кажете о врстама превара и замолите их да раде на послу.

• Пошта је болна тачка и можда најпопуларнији начин за крађу информација, постављање малвера и заразу рачунара и целе мреже. Нажалост, многи послодавци сматрају да је е-маил клијент алат за уштеду и користе бесплатне услуге које дневно примају 200 нежељених е-порука које пролазе кроз филтере итд. А неки неодговорни људи отварају таква писма и прилоге, линкове, слике – очигледно, надају се да им је црни принц оставио наследство. После чега администратор има много, много посла. Или је тако замишљено? Иначе, још једна сурова прича: у једној компанији је за свако нежељено писмо администратору система смањен КПИ. Генерално, после месец дана није било нежељене поште - праксу је усвојила матична организација, а спама још увек нема. Овај проблем смо решили на елегантан начин – развили смо сопствени клијент е-поште и уградили га у свој РегионСофт ЦРМ, тако да сви наши клијенти такође добијају тако згодну функцију.

Следећи пут када добијете чудну е-пошту са симболом спајалице, немојте кликнути на њу!

• Месинџери су такође извор свих врста небезбедних веза, али то је много мање зло од поште (не рачунајући време изгубљено на ћаскање у ћаскању).

Чини се да су све то ситнице. Међутим, свака од ових ситница може имати катастрофалне последице, посебно ако је ваша компанија мета напада конкуренције. А ово се може догодити буквално свакоме.

Брбљиви запослени

Ово је управо људски фактор којег ћете се тешко отарасити. Запослени могу да разговарају о раду у ходнику, у кафићу, на улици, у кући клијента, гласно причају о другом клијенту, причају о радним достигнућима и пројектима код куће. Наравно, вероватноћа да иза вас стоји конкурент је занемарљива (ако нисте у истом пословном центру - то се десило), али могућност да момак који јасно каже своје пословне послове буде снимљен на паметном телефону и постављен на ИоуТубе је, зачудо, виши. Али и ово је срање. Није срање када ваши запослени вољно износе информације о производу или компанији на обукама, конференцијама, састанцима, професионалним форумима или чак на Хабре. Штавише, људи често намерно позивају своје противнике на такве разговоре како би водили конкурентску интелигенцију.

Прича која открива. На једној ИТ конференцији галактичког размера, говорник секције је изложио на слајд комплетан дијаграм организације ИТ инфраструктуре велике компаније (топ 20). Шема је била мегаимпресивна, једноставно космичка, скоро сви су је фотографисали, а она је истог трена облетела друштвене мреже са одушевљеним критикама. Па, онда их је говорник ухватио користећи географске ознаке, штандове, друштвене мреже. мреже оних који су то објавили и молили да га избришу, јер су га прилично брзо позвали и рекли ах-та-та. Брбљивац је божји дар за шпијуна.

Незнање... ослобађа вас казне

Према глобалном извештају компаније Касперски Лаб за 2017. о предузећима која су доживела инциденте сајбер безбедности у периоду од 12 месеци, сваки десети (11%) најозбиљнијих типова инцидената је укључивао непажљиве и необавештене запослене.

Немојте претпостављати да запослени знају све о корпоративним безбедносним мерама, обавезно их упозорите, обезбедите обуку, правите занимљиве периодичне билтене о безбедносним питањима, одржавајте састанке уз пицу и поново разјасните проблеме. И да, кул лајф хак - обележите све штампане и електронске информације бојама, знацима, натписима: пословна тајна, тајна, за службену употребу, општи приступ. Ово стварно ради.

Савремени свет је довео компаније у веома деликатан положај: неопходно је одржавати равнотежу између жеље запослених да не само напорно раде на послу, већ и примају забавни садржај у позадини/у паузама, и строгих правила корпоративне безбедности. Ако укључите хиперконтролу и програме за моронско праћење (да, није грешка у куцању - ово није безбедност, ово је параноја) и камере иза леђа, онда ће поверење запослених у компанију пасти, али одржавање поверења је такође корпоративно безбедносно средство.

Стога, знајте када да станете, поштујте своје запослене и правите резервне копије. И што је најважније, дајте приоритет безбедности, а не личној параноји.

Ако ти треба ЦРМ или ЕРП - погледајте ближе наше производе и упоредите њихове способности са вашим циљевима. Ако имате било каквих питања или потешкоћа, пишите или позовите, ми ћемо за вас организовати индивидуалну онлајн презентацију - без оцењивања и звона.

Наш канал у Телеграму, у којој, без реклама, пишемо не сасвим формалне ствари о ЦРМ-у и пословању.

Извор: ввв.хабр.цом