2008 yilda men IT kompaniyasiga tashrif buyurishga muvaffaq bo'ldim. Har bir xodimda qandaydir nosog'lom zo'riqish bor edi. Buning sababi oddiy bo'lib chiqdi: mobil telefonlar ofisga kiraverishdagi qutida, orqada kamera, ofisda ikkita katta qo'shimcha "qarash" kamerasi va keylogger bilan monitoring dasturi. Va ha, bu SORM yoki samolyot hayotini qo'llab-quvvatlash tizimlarini ishlab chiqqan kompaniya emas, balki oddiygina biznes-dasturiy ta'minotni ishlab chiquvchisi, hozir so'rilgan, maydalangan va endi mavjud emas (bu mantiqiy ko'rinadi). Agar siz hozir cho'zilib ketayotgan bo'lsangiz va o'zingizning ofisingizda hammom va vazalardagi M&M bunday emas deb o'ylayotgan bo'lsangiz, siz juda adashgan bo'lishingiz mumkin - shunchaki 2 yil ichida nazorat ko'rinmas va to'g'ri bo'lishni o'rgandi, hech qanday to'qnashuvlarsiz. tashrif buyurilgan saytlar va yuklab olingan filmlar.
Xo'sh, bularning barchasisiz haqiqatan ham mumkin emasmi, lekin odamlarga bo'lgan ishonch, sadoqat, ishonch haqida nima deyish mumkin? Ishoning yoki ishonmang, xavfsizlik choralari ko'rilmagan kompaniyalar ham shunchalik ko'p. Ammo xodimlar bu erda ham, u erda ham chalkashishga muvaffaq bo'lishadi - shunchaki inson omili nafaqat kompaniyangizni, balki dunyoni ham buzishi mumkin. Xo'sh, sizning xodimlaringiz qayerda buzg'unchilikka duch kelishlari mumkin?
Bu juda jiddiy post emas, u aynan ikkita funktsiyaga ega: kundalik hayotni biroz yorqinroq qilish va ko'pincha unutilgan asosiy xavfsizlik narsalarni eslatish. Oh, va yana bir bor eslatib o'tamiz - Bunday dasturiy ta'minot xavfsizlikning chekkasi emasmi? 🙂
Keling, tasodifiy rejimga o'tamiz!
Parollar, parollar, parollar ...
Siz ular haqida gapirasiz va g'azab to'lqini paydo bo'ladi: bu qanday bo'lishi mumkin, ular dunyoga ko'p marta aytishdi, lekin narsalar hali ham mavjud! Yakka tartibdagi tadbirkorlardan tortib transmilliy korporatsiyalargacha bo'lgan barcha darajadagi kompaniyalarda bu juda og'riqli joy. Ba'zida menga shunday tuyuladiki, ertaga ular haqiqiy O'lim yulduzini qursalar, admin panelida admin/admin kabi narsa bo'ladi. Xo'sh, oddiy foydalanuvchilardan nimani kutishimiz mumkin, ular uchun o'zlarining VKontakte sahifalari korporativ akkauntga qaraganda ancha qimmat? Bu erda tekshirish uchun nuqtalar:
- Parollarni qog‘oz bo‘laklariga, klaviaturaning orqa tomoniga, monitorga, klaviatura ostidagi stolga, sichqonchaning pastki qismidagi stikerga yozish (ayyorlik!) - xodimlar hech qachon bunday qilmasliklari kerak. Va tushlik paytida dahshatli xaker kirib, flesh-diskga barcha 1C-ni yuklab olishi uchun emas, balki ofisda xafa bo'lgan Sasha bo'lishi mumkin, u ishdan bo'shatib, harom ish qiladi yoki oxirgi marta ma'lumotni olib qo'yadi. . Nega buni keyingi tushlikda qilmaysiz?
Bu nima? Bu narsa mening barcha parollarimni saqlaydi
- Kompyuter va ish dasturlariga kirish uchun oddiy parollarni o'rnatish. Tug'ilgan sanalari, qwerty123 va hatto asdf - korporativ xavfsizlik tizimida emas, balki hazillarda va bashorga tegishli kombinatsiyalar. Parollar va ularning uzunligi uchun talablarni belgilang va almashtirish chastotasini belgilang.
Parol ichki kiyimga o'xshaydi: uni tez-tez o'zgartiring, uni do'stlaringiz bilan baham ko'rmang, uzoqroq bo'lsa yaxshi, sirli bo'ling, uni hamma joyga sochmang.
- Sotuvchining standart dasturga kirish parollari noto'g'ri, chunki sotuvchining deyarli barcha xodimlari ularni bilishadi va agar siz bulutda veb-ga asoslangan tizim bilan ishlayotgan bo'lsangiz, ma'lumotlarni olish hech kimga qiyin bo'lmaydi. Ayniqsa, sizda "shnurni tortmang" darajasida tarmoq xavfsizligi ham mavjud bo'lsa.
- Xodimlarga operatsion tizimdagi parol maslahati "mening tug'ilgan kunim", "qizimning ismi", "Gvoz-dika-78545-ap#1" kabi ko'rinmasligi kerakligini tushuntiring! inglizchada." yoki "kvarts va bir va nol".
Mening mushukim menga ajoyib parollar beradi! U mening klaviatura bo‘ylab yuribdi
Ishlarga jismoniy kirish
Sizning kompaniyangiz buxgalteriya hisobi va xodimlar hujjatlariga (masalan, xodimlarning shaxsiy fayllariga) kirishni qanday tashkil qiladi? Taxmin qilaylik: agar bu kichik biznes bo'lsa, u holda buxgalteriya bo'limida yoki xo'jayinning kabinetida javonlardagi papkalarda yoki shkafda; agar u katta biznes bo'lsa, javonlardagi kadrlar bo'limida. Ammo agar u juda katta bo'lsa, unda hamma narsa to'g'ri bo'lishi mumkin: magnit kalitli alohida ofis yoki blok, u erda faqat ma'lum xodimlar kirish huquqiga ega va u erga borish uchun siz ulardan biriga qo'ng'iroq qilishingiz va ularning ishtirokida ushbu tugunga kirishingiz kerak. Har qanday biznesda bunday himoya qilish yoki hech bo'lmaganda eshik yoki devorga bo'r bilan ofis seyfi uchun parolni yozmaslikni o'rganishda qiyin narsa yo'q (hamma narsa haqiqiy voqealarga asoslangan, kulmang).
Nima uchun bu muhim? Birinchidan, ishchilar bir-birlari haqida eng sirli narsalarni: oilaviy ahvol, ish haqi, tibbiy tashxis, ta'lim va boshqalarni bilish uchun patologik istagi bor. Bu ofis raqobatida shunday murosa. Dizayner Petya dizayner Elisdan 20 ming kam maosh olishini bilganida paydo bo'ladigan janjallardan sizga mutlaqo foyda yo'q. Ikkinchidan, u erda xodimlar kompaniyaning moliyaviy ma'lumotlariga (balanslar, yillik hisobotlar, shartnomalar) kirishlari mumkin. Uchinchidan, o'z ish tarixidagi izlarni yashirish uchun biror narsa yo'qolishi, shikastlanishi yoki o'g'irlanishi mumkin.
Kimdir ziyon, kimdir xazina bo'lgan ombor
Agar sizning omboringiz bo'lsa, o'ylab ko'ring, ertami-kechmi jinoyatchilarga duch kelishingiz kafolatlanadi - bu juda ko'p mahsulot hajmini ko'radigan va ozgina narsa talonchilik emasligiga qat'iy ishonadigan odamning psixologiyasi shunday ishlaydi. almashish. Va bu uyumdan tovar birligi 200 ming yoki 300 ming yoki bir necha millionga tushishi mumkin. Afsuski, o'g'irlikni pedantik va umumiy nazorat va buxgalteriya hisobidan boshqa hech narsa to'xtata olmaydi: kameralar, shtrix kodlari yordamida qabul qilish va hisobdan chiqarish, ombor hisobini avtomatlashtirish (masalan, bizning ombor hisobi shunday tashkil etilganki, menejer va nazoratchi tovarlarning ombor orqali harakatlanishini real vaqt rejimida ko'rishlari mumkin).
Shuning uchun, omboringizni tishlarga qadar qurollang, tashqi dushmandan jismoniy xavfsizlikni va ichki tomondan to'liq xavfsizlikni ta'minlang. Transport, logistika va omborlar xodimlari nazorat borligini, u ishlaydi va ular deyarli o'zlarini jazolashlarini aniq tushunishlari kerak.
*hey, qo'lingizni infratuzilmaga tiqmang
Agar server xonasi va farrosh ayol haqidagi hikoya allaqachon o'z-o'zidan o'tib ketgan bo'lsa va boshqa sohalarning ertaklariga ko'chib o'tgan bo'lsa (masalan, xuddi shu palatadagi ventilyatorning mistik tarzda o'chirilishi haqida), qolganlari haqiqat bo'lib qoladi. . Kichik va o'rta biznes tarmoqlari va IT xavfsizligi ko'p narsani orzu qiladi va bu ko'pincha sizning tizim administratoringiz yoki taklif qilingan shaxsingiz borligiga bog'liq emas. Ikkinchisi ko'pincha yaxshiroq kurashadi.
Xo'sh, bu yerdagi xodimlar nimaga qodir?
- Eng yoqimli va zararsiz narsa bu server xonasiga borish, simlarni tortish, qarash, choyni to'kish, kirni surtish yoki biror narsani o'zingiz sozlashga harakat qilishdir. Bu, ayniqsa, "ishonchli va ilg'or foydalanuvchilar" ga ta'sir qiladi, ular o'z hamkasblariga antivirusni o'chirish va shaxsiy kompyuterda himoyani chetlab o'tishni qahramonona o'rgatadilar va ular server xonasining tug'ma xudolari ekanligiga aminlar. Umuman olganda, ruxsat berilgan cheklangan kirish sizning hamma narsangizdir.
- Uskunani o'g'irlash va tarkibiy qismlarni almashtirish. Siz o'z kompaniyangizni yaxshi ko'rasizmi va billing tizimi, CRM va boshqa hamma narsa mukammal ishlashi uchun hamma uchun kuchli video kartalarni o'rnatdingizmi? Ajoyib! Faqat ayyor yigitlar (va ba'zan qizlar) ularni osongina uy modeli bilan almashtiradilar va uyda ular yangi ofis modelida o'yinlar o'tkazadilar - lekin dunyoning yarmi buni bilmaydi. Klaviaturalar, sichqonchalar, sovutgichlar, UPS va apparat konfiguratsiyasida qandaydir tarzda almashtirilishi mumkin bo'lgan barcha narsalar bilan bir xil voqea. Natijada, siz mol-mulkka zarar yetkazish, uning to‘liq yo‘qolishi xavfini o‘z zimmangizga olasiz va shu bilan birga axborot tizimlari va ilovalari bilan ishlashning kerakli tezligi va sifatiga erisha olmaysiz. Tejaydigan narsa bu sozlangan konfiguratsiya boshqaruviga ega monitoring tizimi (ITSM tizimi) bo'lib, u buzilgan va printsipial tizim ma'muri bilan to'liq ta'minlanishi kerak.
Ehtimol siz yaxshiroq xavfsizlik tizimini qidirmoqchimisiz? Men bu belgining etarli ekanligiga ishonchim komil emas
- O'z modemlaringiz, kirish nuqtalaringiz yoki ba'zi umumiy Wi-Fi-dan foydalanish fayllarga kirishni xavfsizroq va deyarli nazorat qilib bo'lmaydigan holga keltiradi, bu esa tajovuzkorlar (shu jumladan xodimlar bilan til biriktirgan holda) foydalanishi mumkin. Bundan tashqari, "o'z Internetiga ega" xodimning ish vaqtini YouTube, kulgili saytlar va ijtimoiy tarmoqlarda o'tkazishi ehtimoli ancha yuqori.
- Sayt administratori maydoniga, CMSga, amaliy dasturlarga kirish uchun yagona parollar va loginlar - bu aqlsiz yoki yomon niyatli xodimni qiyin qasoskorga aylantiradigan dahshatli narsalar. Agar sizda bitta pastki tarmoqdan bir xil login/parol bilan 5 kishi kirsa, banner o'rnatish, reklama havolalari va ko'rsatkichlarini tekshirish, tartibni to'g'rilash va yangilanishni yuklash, ulardan qaysi biri tasodifan CSS-ni tarmoqqa aylantirganini hech qachon taxmin qila olmaysiz. qovoq. Shuning uchun: turli xil loginlar, turli parollar, harakatlar jurnali va kirish huquqlarini farqlash.
- Ish vaqtida bir nechta fotosuratlarni tahrirlash yoki sevimli mashg'ulotlariga tegishli narsalarni yaratish uchun xodimlar o'z shaxsiy kompyuterlariga tortadigan litsenziyasiz dasturiy ta'minot haqida gapirishning hojati yo'q. Markaziy ichki ishlar boshqarmasining “K” bo‘limida tekshiruv o‘tkazilgani haqida eshitmadingizmi? Keyin u sizga keladi!
- Antivirus ishlashi kerak. Ha, ulardan ba'zilari shaxsiy kompyuteringizni sekinlashtirishi, sizni bezovta qilishi va umuman qo'rqoqlik belgisi kabi ko'rinishi mumkin, ammo keyinchalik ishlamay qolgan vaqt yoki undan ham yomoni, o'g'irlangan ma'lumotlar bilan to'lashdan ko'ra, buni oldini olish yaxshiroqdir.
- Ilovani o'rnatish xavfi haqida operatsion tizim ogohlantirishlarini e'tiborsiz qoldirmaslik kerak. Bugungi kunda ish uchun biror narsani yuklab olish bir necha soniya va daqiqalar masalasidir. Masalan, Direct.Commander yoki AdWords muharriri, ba'zi SEO tahlilchilari va boshqalar. Agar Yandex va Google mahsulotlarida hamma narsa aniq yoki aniq bo'lsa, boshqa pikreizer, bepul virusni tozalash vositasi, uchta effektli video muharriri, skrinshotlar, Skype yozuvchilari va boshqa "mayda dasturlar" ham shaxsiy kompyuterga, ham butun kompaniya tarmog'iga zarar etkazishi mumkin. . Foydalanuvchilarni tizim ma'muriga qo'ng'iroq qilishdan va "hamma narsa o'lik" deb aytishdan oldin kompyuter ulardan nimani xohlashini o'qishga o'rgating. Ba'zi kompaniyalarda muammo oddiygina hal qilinadi: ko'plab yuklab olingan foydali yordam dasturlari tarmoq ulushida saqlanadi va tegishli onlayn echimlar ro'yxati ham u erda joylashtiriladi.
- BYOD siyosati yoki aksincha, ish jihozlarini ofisdan tashqarida ishlatishga ruxsat berish siyosati xavfsizlikning juda yomon tomonidir. Bunday holda, qarindoshlar, do'stlar, bolalar, jamoat himoyalanmagan tarmoqlar va boshqalar texnologiyaga kirish huquqiga ega. Bu sof rus ruletidir - siz 5 yil davomida borishingiz va o'tishingiz mumkin, lekin siz barcha hujjatlaringiz va qimmatli fayllaringizni yo'qotishingiz yoki zarar etkazishingiz mumkin. Bundan tashqari, agar xodimning yomon niyati bo'lsa, "yurish" uskunasi bilan ma'lumotlarni sizib chiqish uchun ikki bayt yuborish kabi oson. Shuni ham yodda tutish kerakki, xodimlar ko'pincha shaxsiy kompyuterlari o'rtasida fayllarni uzatishadi, bu esa yana xavfsizlik bo'shliqlarini yaratishi mumkin.
- Tashqarida boʻlganingizda qurilmalaringizni qulflash korporativ va shaxsiy foydalanish uchun yaxshi odatdir. Shunga qaramay, u sizni qiziquvchan hamkasblar, tanishlar va jamoat joylarida bosqinchilardan himoya qiladi. Bunga ko'nikish qiyin, lekin ish joylarimdan birida men ajoyib tajribaga ega bo'ldim: hamkasblarim qulflanmagan kompyuterga yaqinlashdi va Paint butun oyna bo'ylab "Kompyuterni qulflang!" yozuvi bilan ochildi. va ishda biror narsa o'zgardi, masalan, so'nggi pompalangan yig'ilish buzildi yoki oxirgi kiritilgan xato o'chirildi (bu sinov guruhi edi). Bu shafqatsiz, lekin 1-2 marta eng yog'och uchun ham etarli edi. Garchi, menimcha, IT bo'lmagan odamlar bunday hazilni tushunmasligi mumkin.
- Ammo eng yomon gunoh, albatta, tizim ma'muri va boshqaruvida - agar ular qat'iy ravishda yo'l harakati nazorati tizimlari, uskunalar, litsenziyalar va hokazolardan foydalanmasalar.
Bu, albatta, asosdir, chunki IT infratuzilmasi o'rmonga qanchalik uzoq bo'lsa, o'tin shunchalik ko'p bo'ladigan joy. Va har bir kishi shunday asosga ega bo'lishi kerak va "barchamiz bir-birimizga ishonamiz", "biz bir oilamiz", "kimga kerak" degan so'zlar bilan almashtirilmasligi kerak - afsuski, bu hozircha.
Bu Internet, bolam, ular siz haqingizda ko'p narsalarni bilishlari mumkin.
Maktabdagi hayot xavfsizligi kursiga Internetdan xavfsiz foydalanishni joriy qilish vaqti keldi - bu biz tashqaridan jalb qilingan choralar haqida emas. Bu, xususan, havolani havoladan ajrata olish, fishing qayerda va qayerda firibgarlik ekanligini tushunish, notanish manzildan "Yarashish hisoboti" mavzusidagi elektron pochta qo'shimchalarini tushunmasdan ochmaslik va hokazolar haqida. Aftidan, maktab o'quvchilari bularning barchasini o'zlashtirgan bo'lsa-da, lekin xodimlar buni o'zlashtira olmadilar. Bir vaqtning o'zida butun kompaniyani xavf ostiga qo'yadigan juda ko'p hiyla va xatolar mavjud.
- Ijtimoiy tarmoqlar Internetning ish joyiga ega bo'lmagan qismidir, ammo 2019 yilda ularni kompaniya darajasida blokirovka qilish mashhur bo'lmagan va demotivatsiya qiluvchi choradir. Shuning uchun, siz barcha xodimlarga havolalarning noqonuniyligini qanday tekshirishni yozishingiz, ularga firibgarlik turlari haqida aytib berishingiz va ish joyida ishlashni so'rashingiz kerak.
- Pochta - bu ma'lumotni o'g'irlash, zararli dasturlarni ekish va shaxsiy kompyuter va butun tarmoqqa zarar etkazishning eng mashhur usuli. Afsuski, ko'plab ish beruvchilar elektron pochta mijozini tejamkor vosita deb bilishadi va kuniga 200 ta spam-xatlarni qabul qiladigan bepul xizmatlardan foydalanadilar, ular filtrlardan o'tadilar va hokazo. Ba'zi mas'uliyatsizlar esa bunday xat va qo'shimchalarni, havolalarni, rasmlarni ochishadi - aftidan, ular qora shahzoda ularga meros qoldirgan deb umid qilishadi. Shundan so'ng administrator juda ko'p ish qiladi. Yoki shunday maqsad qilinganmi? Aytgancha, yana bir shafqatsiz voqea: bitta kompaniyada tizim ma'muriga yuborilgan har bir spam xat uchun KPI kamaydi. Umuman olganda, bir oydan keyin spam yo'q edi - bu amaliyot bosh tashkilot tomonidan qabul qilingan va hali ham spam yo'q. Biz bu muammoni nafis hal qildik - biz o'z elektron pochta mijozimizni ishlab chiqdik va uni o'zimizga yaratdik , shuning uchun barcha mijozlarimiz ham bunday qulay xususiyatni olishadi.
Keyingi safar qog'oz qisqich belgisi bilan g'alati elektron pochta xabarini olsangiz, uni bosmang!
- Messenjerlar har xil xavfli havolalarning manbai hamdir, ammo bu pochtadan ko'ra yomonroqdir (chatlarda suhbatlashish uchun behuda sarflangan vaqtni hisobga olmaganda).
Bularning barchasi kichik narsalarga o'xshaydi. Biroq, bu kichik narsalarning har biri halokatli oqibatlarga olib kelishi mumkin, ayniqsa sizning kompaniyangiz raqobatchilarning hujumiga uchrasa. Va bu tom ma'noda har qanday odam bilan sodir bo'lishi mumkin.
Suhbatdosh xodimlar
Bu siz uchun eng qiyin bo'lgan insoniy omil. Xodimlar koridorda, kafeda, ko'chada, mijozning uyida ishni muhokama qilishlari, boshqa mijoz haqida baland ovozda gapirishlari, uyda ishdagi yutuqlar va loyihalar haqida gapirishlari mumkin. Albatta, sizning orqangizda raqobatchi turish ehtimoli juda oz (agar siz o'sha biznes markazida bo'lmasangiz - bu sodir bo'ldi), lekin yigit o'z biznes ishlarini aniq aytib beradigan smartfonda suratga olinishi va e'lon qilinishi ehtimoli. YouTube, g'alati darajada, yuqoriroq. Lekin bu ham bema'nilik. Sizning xodimlaringiz treninglar, konferentsiyalar, uchrashuvlar, professional forumlar yoki hatto Habré-da mahsulot yoki kompaniya haqida ma'lumotni bajonidil taqdim etishsa, bu bema'nilik emas. Bundan tashqari, odamlar ko'pincha raqobatbardosh razvedka o'tkazish uchun o'z raqiblarini ataylab bunday suhbatlarga chaqirishadi.
Ochiq hikoya. Galaktik miqyosdagi IT-konferentsiyada bo'lim ma'ruzachisi slaydda yirik kompaniyaning IT infratuzilmasini tashkil etishning to'liq diagrammasini taqdim etdi (top 20). Sxema juda ta'sirli, shunchaki kosmik edi, deyarli hamma uni suratga oldi va u bir zumda ijtimoiy tarmoqlar bo'ylab hayratlanarli sharhlar bilan tarqaldi. Xo'sh, keyin ma'ruzachi ularni geoteglar, stendlar, ijtimoiy tarmoqlar yordamida ushlab oldi. uni joylashtirgan va o'chirishni iltimos qilganlarning tarmoqlari, chunki ular tezda unga qo'ng'iroq qilishdi va ah-ta-ta dedilar. Gap ayg'oqchi uchun xudodir.
Jaholat... sizni jazodan ozod qiladi
Kasperskiy laboratoriyasining 2017-yilgi global hisobotiga ko‘ra, 12 oy davomida kiberxavfsizlik intsidentlarini boshdan kechirgan bizneslar to‘g‘risidagi hisobotga ko‘ra, eng jiddiy hodisalarning har o‘ndan biri (11%) ehtiyotsizlik va ma’lumotga ega bo‘lmagan xodimlar bilan bog‘liq.
Xodimlar korporativ xavfsizlik choralari haqida hamma narsani biladi deb o'ylamang, ularni ogohlantiring, treninglar o'tkazing, xavfsizlik masalalari bo'yicha qiziqarli davriy axborot byulletenlarini tayyorlang, pizza ustida uchrashuvlar o'tkazing va muammolarni yana oydinlashtiring. Ha, ajoyib hayot xakeri - barcha bosma va elektron ma'lumotlarni ranglar, belgilar, yozuvlar bilan belgilang: tijorat siri, sir, rasmiy foydalanish uchun, umumiy foydalanish uchun. Bu haqiqatan ham ishlaydi.
Zamonaviy dunyo kompaniyalarni juda nozik ahvolga solib qo'ydi: xodimning nafaqat ishda qattiq ishlash, balki fonda / tanaffus paytida ko'ngilochar kontentni olish istagi va qat'iy korporativ xavfsizlik qoidalari o'rtasidagi muvozanatni saqlash kerak. Agar siz gipernazorat va ahmoqona kuzatuv dasturlarini (ha, xato emas - bu xavfsizlik emas, bu paranoyya) va orqangizdagi kameralarni yoqsangiz, xodimlarning kompaniyaga bo'lgan ishonchi pasayadi, ammo ishonchni saqlash ham korporativ xavfsizlik vositasidir.
Shuning uchun, qachon to'xtash kerakligini biling, xodimlaringizni hurmat qiling va zaxira nusxasini yarating. Va eng muhimi, shaxsiy paranoyaga emas, balki xavfsizlikka ustunlik bering.
Agar kerak bo'lsa va ularning imkoniyatlarini maqsad va vazifalaringiz bilan solishtiring. Agar sizda biron bir savol yoki qiyinchiliklar bo'lsa, yozing yoki qo'ng'iroq qiling, biz siz uchun individual onlayn taqdimotni tashkil qilamiz - reytinglar va qo'ng'iroqlarsiz.
, unda biz reklamasiz CRM va biznes haqida umuman rasmiy bo'lmagan narsalarni yozamiz.
Manba: www.habr.com