Năm 2008, tôi được đến thăm một công ty CNTT. Có một sự căng thẳng không lành mạnh nào đó trong mỗi nhân viên. Lý do hóa ra rất đơn giản: điện thoại di động để trong hộp ở lối vào văn phòng, có camera sau lưng, 2 camera “quan sát” cỡ lớn bổ sung tại văn phòng và phần mềm giám sát bằng keylogger. Và đúng vậy, đây không phải là công ty phát triển SORM hay hệ thống hỗ trợ sự sống máy bay, mà chỉ đơn giản là nhà phát triển phần mềm ứng dụng kinh doanh, giờ đã bị hấp thụ, bị nghiền nát và không còn tồn tại (có vẻ hợp lý). Nếu bây giờ bạn đang duỗi người và nghĩ rằng trong văn phòng của mình có võng và M&M đựng trong lọ thì điều này chắc chắn không phải như vậy, bạn có thể đã rất nhầm lẫn - chỉ là trong hơn 11 năm, bộ điều khiển đã học được cách vô hình và chính xác, không có sự thách thức nào đã truy cập các trang web và tải phim xuống.
Vì vậy, thực sự là không thể nếu không có tất cả những điều này, nhưng còn niềm tin, lòng trung thành, niềm tin vào con người thì sao? Dù bạn có tin hay không thì cũng có rất nhiều công ty không có biện pháp an ninh. Nhưng nhân viên lại có thể làm rối tung chỗ này chỗ kia - đơn giản vì yếu tố con người có thể phá hủy cả thế giới chứ không chỉ công ty của bạn. Vì vậy, nhân viên của bạn có thể nghịch ngợm ở đâu?
Đây không phải là một bài viết quá nghiêm túc, nó có đúng hai chức năng: làm cuộc sống hàng ngày tươi sáng hơn một chút và nhắc nhở bạn về những điều an toàn cơ bản thường bị lãng quên. Ồ, và một lần nữa nhắc nhở bạn về — Phần mềm như vậy không phải là khía cạnh bảo mật sao? 🙂
Hãy đi trong chế độ ngẫu nhiên!
Mật khẩu, mật khẩu, mật khẩu...
Bạn nói về họ và một làn sóng phẫn nộ ập đến: sao có thể thế được, họ đã nói với thế giới rất nhiều lần rồi, nhưng mọi chuyện vẫn còn đó! Ở các công ty ở mọi cấp độ, từ doanh nhân cá nhân đến các tập đoàn đa quốc gia, đây là một điểm rất nhức nhối. Đôi khi tôi thấy rằng nếu ngày mai họ xây dựng một Ngôi sao chết thực sự thì sẽ có thứ gì đó giống như quản trị viên/quản trị viên trong bảng quản trị. Vậy chúng ta có thể mong đợi điều gì từ những người dùng thông thường, những người mà trang VKontakte của riêng họ đắt hơn nhiều so với tài khoản công ty? Dưới đây là những điểm cần kiểm tra:
- Viết mật khẩu trên những mảnh giấy, mặt sau bàn phím, trên màn hình, trên bàn dưới bàn phím, trên nhãn dán ở dưới cùng của chuột (xảo quyệt!) - nhân viên không bao giờ nên làm điều này. Và không phải vì một hacker khủng khiếp sẽ đến và tải toàn bộ 1C xuống ổ flash trong bữa trưa, mà bởi vì có thể có một Sasha bị xúc phạm trong văn phòng sẽ bỏ việc và làm điều gì đó bẩn thỉu hoặc lấy đi thông tin lần cuối . Tại sao không làm điều này vào bữa trưa tiếp theo của bạn?
Đây là cái gì? Thứ này lưu trữ tất cả mật khẩu của tôi
- Đặt mật khẩu đơn giản để vào PC và các chương trình làm việc. Ngày sinh, qwerty123 và thậm chí cả asdf là những sự kết hợp thuộc về truyện cười và trên bashorg chứ không phải trong hệ thống bảo mật của công ty. Đặt các yêu cầu về mật khẩu và độ dài của chúng cũng như đặt tần suất thay thế.
Mật khẩu giống như đồ lót: thay thường xuyên, không chia sẻ với bạn bè, mật khẩu dài thì tốt hơn, bí ẩn, đừng rải khắp nơi
- Mật khẩu đăng nhập chương trình mặc định của nhà cung cấp có sai sót, nếu chỉ vì hầu hết tất cả nhân viên của nhà cung cấp đều biết chúng và nếu bạn đang làm việc với một hệ thống dựa trên web trên đám mây, sẽ không khó để bất kỳ ai lấy được dữ liệu. Đặc biệt nếu bạn cũng có bảo mật mạng ở mức “không kéo dây”.
- Giải thích cho nhân viên rằng gợi ý mật khẩu trong hệ điều hành không được giống như “sinh nhật của tôi”, “tên con gái”, “Gvoz-dika-78545-ap#1! bằng tiếng Anh." hoặc “quarts và một và một số không.”
Con mèo của tôi cho tôi những mật khẩu tuyệt vời! Anh ấy đang đi ngang qua bàn phím của tôi
Truy cập vật lý vào các trường hợp
Công ty của bạn tổ chức quyền truy cập vào tài liệu kế toán và nhân sự như thế nào (ví dụ: hồ sơ cá nhân của nhân viên)? Để tôi đoán: nếu là doanh nghiệp nhỏ thì ở phòng kế toán hoặc văn phòng sếp, trong các tập hồ sơ trên kệ hoặc trong tủ; nếu là doanh nghiệp lớn thì ở trên kệ; Nhưng nếu nó rất lớn, thì rất có thể mọi thứ đều đúng: một văn phòng hoặc dãy nhà riêng biệt có khóa từ, nơi chỉ một số nhân viên nhất định mới có quyền truy cập và để đến đó, bạn cần gọi cho một trong số họ và đi vào nút này trước sự chứng kiến của họ. Không có gì khó khăn khi thực hiện biện pháp bảo vệ như vậy trong bất kỳ hoạt động kinh doanh nào, hoặc ít nhất là học cách không viết mật khẩu két sắt văn phòng bằng phấn trên cửa hoặc trên tường (mọi thứ đều dựa trên sự kiện có thật, đừng cười).
Tại sao nó lại quan trọng? Thứ nhất, người lao động có mong muốn bệnh hoạn là tìm ra những điều bí mật nhất về nhau: tình trạng hôn nhân, tiền lương, chẩn đoán y tế, trình độ học vấn, v.v. Đây là một sự thỏa hiệp trong cạnh tranh văn phòng. Và bạn hoàn toàn không được hưởng lợi từ những cuộc tranh cãi sẽ nảy sinh khi nhà thiết kế Petya phát hiện ra rằng anh ta kiếm được ít hơn nhà thiết kế Alice 20 nghìn. Thứ hai, ở đó nhân viên có thể truy cập thông tin tài chính của công ty (bảng cân đối kế toán, báo cáo thường niên, hợp đồng). Thứ ba, một thứ gì đó có thể đơn giản bị mất, hư hỏng hoặc bị đánh cắp nhằm che đậy dấu vết trong lịch sử công việc của chính mình.
Nhà kho có người là mất mát, có người là kho báu
Nếu bạn có một nhà kho, hãy cân nhắc rằng sớm hay muộn bạn chắc chắn sẽ gặp phải tội phạm - đây đơn giản là cách hoạt động của tâm lý một người, người nhìn thấy một khối lượng lớn sản phẩm và tin chắc rằng một ít trong số đó không phải là cướp, mà là chia sẻ. Và một đơn vị hàng hóa từ đống này có thể có giá 200 nghìn, 300 nghìn, hoặc vài triệu. Thật không may, không có gì có thể ngăn chặn hành vi trộm cắp ngoại trừ việc kiểm soát và tính toán toàn diện và mô phạm: camera, chấp nhận và xóa sổ bằng mã vạch, tự động hóa kế toán kho hàng (ví dụ: trong hệ thống của chúng tôi). kế toán kho được tổ chức sao cho người quản lý và người giám sát có thể nhìn thấy sự di chuyển của hàng hóa qua kho theo thời gian thực).
Do đó, hãy trang bị tận răng cho nhà kho của bạn, đảm bảo an ninh vật lý khỏi kẻ thù bên ngoài và an ninh hoàn toàn từ kẻ thù bên trong. Nhân viên vận tải, hậu cần, kho hàng phải hiểu rõ rằng có sự kiểm soát, có tác dụng và gần như họ sẽ tự trừng phạt mình.
*này, đừng thò tay vào cơ sở hạ tầng nhé
Nếu câu chuyện về phòng máy chủ và người phụ nữ dọn dẹp đã tồn tại lâu hơn và từ lâu đã chuyển sang những câu chuyện của các ngành khác (ví dụ, câu chuyện tương tự về việc máy thở trong cùng một khu vực bị tắt một cách thần bí), thì phần còn lại vẫn là hiện thực. . Bảo mật mạng và CNTT của các doanh nghiệp vừa và nhỏ còn nhiều điều chưa mong muốn và điều này thường không phụ thuộc vào việc bạn có quản trị viên hệ thống của riêng mình hay người được mời. Cái sau thường đối phó tốt hơn.
Vậy nhân viên ở đây có khả năng gì?
- Điều thú vị nhất và vô hại nhất là đi đến phòng máy chủ, kéo dây, nhìn, làm đổ trà, bôi chất bẩn hoặc cố gắng tự mình cấu hình thứ gì đó. Điều này đặc biệt ảnh hưởng đến “những người dùng tự tin và nâng cao”, những người đã anh dũng dạy đồng nghiệp của mình cách vô hiệu hóa phần mềm chống vi-rút và vượt qua tính năng bảo vệ trên PC và chắc chắn rằng họ là những vị thần bẩm sinh của phòng máy chủ. Nói chung, quyền truy cập hạn chế được ủy quyền là tất cả mọi thứ của bạn.
- Trộm cắp thiết bị và thay thế linh kiện. Bạn có yêu thích công ty của mình và đã cài đặt thẻ video mạnh mẽ cho mọi người để hệ thống thanh toán, CRM và mọi thứ khác có thể hoạt động hoàn hảo không? Tuyệt vời! Chỉ những anh chàng xảo quyệt (và đôi khi là các cô gái) mới dễ dàng thay thế chúng bằng mô hình gia đình, và ở nhà, họ sẽ chạy trò chơi trên mô hình văn phòng mới - nhưng một nửa thế giới sẽ không biết. Câu chuyện tương tự xảy ra với bàn phím, chuột, bộ làm mát, UPS và mọi thứ có thể được thay thế bằng cách nào đó trong cấu hình phần cứng. Kết quả là, bạn phải chịu rủi ro về thiệt hại tài sản, mất mát toàn bộ tài sản, đồng thời không đạt được tốc độ và chất lượng công việc như mong muốn với các hệ thống và ứng dụng thông tin. Những gì tiết kiệm được là một hệ thống giám sát (hệ thống ITSM) với điều khiển cấu hình được định cấu hình), hệ thống này phải được cung cấp đầy đủ bởi một quản trị viên hệ thống có nguyên tắc và liêm khiết.
Có lẽ bạn muốn tìm kiếm một hệ thống bảo mật tốt hơn? Tôi không chắc dấu hiệu này có đủ không
- Việc sử dụng modem, điểm truy cập của riêng bạn hoặc một số loại Wi-Fi dùng chung khiến quyền truy cập vào các tệp kém an toàn hơn và thực tế không thể kiểm soát được, điều này có thể bị kẻ tấn công lợi dụng (bao gồm cả việc thông đồng với nhân viên). Ngoài ra, khả năng một nhân viên “có Internet của riêng mình” sẽ dành hàng giờ làm việc trên YouTube, các trang hài hước và mạng xã hội sẽ cao hơn nhiều.
- Mật khẩu và thông tin đăng nhập thống nhất để truy cập khu vực quản trị trang, CMS, phần mềm ứng dụng là những thứ khủng khiếp có thể biến một nhân viên kém cỏi hoặc độc hại trở thành kẻ báo thù khó nắm bắt. Nếu bạn có 5 người từ cùng một mạng con có cùng thông tin đăng nhập/mật khẩu vào để đặt banner, kiểm tra liên kết và số liệu quảng cáo, sửa bố cục và tải lên bản cập nhật, bạn sẽ không bao giờ đoán được ai trong số họ đã vô tình biến CSS thành một quả bí ngô. Do đó: thông tin đăng nhập khác nhau, mật khẩu khác nhau, nhật ký hành động và phân biệt quyền truy cập.
- Không cần phải nói về phần mềm không có giấy phép mà nhân viên kéo vào PC của họ để chỉnh sửa một vài bức ảnh trong giờ làm việc hoặc tạo ra thứ gì đó rất liên quan đến sở thích. Bạn chưa nghe nói đến việc thanh tra phòng “K” của Tổng cục Nội vụ Trung ương sao? Sau đó cô ấy sẽ đến với bạn!
- Phần mềm chống vi-rút sẽ hoạt động. Đúng, một số trong số chúng có thể làm chậm PC của bạn, khiến bạn khó chịu và nhìn chung có vẻ như là dấu hiệu của sự hèn nhát, nhưng tốt hơn hết là bạn nên ngăn chặn điều đó còn hơn là phải trả giá bằng thời gian ngừng hoạt động hoặc tệ hơn là dữ liệu bị đánh cắp.
- Không nên bỏ qua những cảnh báo của hệ điều hành về sự nguy hiểm của việc cài đặt một ứng dụng. Ngày nay, việc tải xuống thứ gì đó cho công việc chỉ mất vài giây và vài phút. Ví dụ: Direct.Commander hoặc trình soạn thảo AdWords, một số trình phân tích cú pháp SEO, v.v. Nếu mọi thứ ít nhiều rõ ràng với Yandex và các sản phẩm của Google, thì một trình tạo ảnh khác, trình dọn dẹp vi-rút miễn phí, trình chỉnh sửa video với ba hiệu ứng, ảnh chụp màn hình, trình ghi Skype và các “chương trình nhỏ” khác có thể gây hại cho cả PC cá nhân và toàn bộ mạng công ty . Huấn luyện người dùng đọc những gì máy tính muốn từ họ trước khi họ gọi cho quản trị viên hệ thống và nói rằng “mọi thứ đã chết”. Ở một số công ty, vấn đề được giải quyết một cách đơn giản: nhiều tiện ích hữu ích đã tải xuống được lưu trữ trên mạng chia sẻ và danh sách các giải pháp trực tuyến phù hợp cũng được đăng ở đó.
- Chính sách BYOD hay ngược lại, chính sách cho phép sử dụng thiết bị làm việc bên ngoài văn phòng là một mặt rất xấu về an ninh. Trong trường hợp này, người thân, bạn bè, trẻ em, mạng công cộng không được bảo vệ, v.v. có quyền truy cập vào công nghệ. Đây hoàn toàn là trò roulette của Nga - bạn có thể chơi trong 5 năm và vượt qua, nhưng bạn có thể bị mất hoặc làm hỏng tất cả tài liệu và hồ sơ có giá trị của mình. Ngoài ra, nếu một nhân viên có mục đích xấu, việc gửi hai byte để rò rỉ dữ liệu bằng thiết bị “đi bộ” cũng dễ dàng như vậy. Bạn cũng cần nhớ rằng nhân viên thường chuyển tập tin giữa các máy tính cá nhân của họ, điều này một lần nữa có thể tạo ra các lỗ hổng bảo mật.
- Khóa thiết bị của bạn khi bạn đi vắng là một thói quen tốt cho cả mục đích sử dụng cá nhân và công ty. Một lần nữa, nó bảo vệ bạn khỏi những đồng nghiệp, người quen tò mò và những kẻ đột nhập ở nơi công cộng. Thật khó để làm quen với điều này, nhưng tại một trong những nơi làm việc của tôi, tôi đã có một trải nghiệm tuyệt vời: các đồng nghiệp tiếp cận một chiếc PC đã mở khóa và Paint được mở trên toàn bộ cửa sổ với dòng chữ “Khóa máy tính!” và có điều gì đó đã thay đổi trong công việc, chẳng hạn như cụm máy bơm cuối cùng đã bị phá bỏ hoặc lỗi được đưa ra lần cuối đã bị loại bỏ (đây là nhóm thử nghiệm). Thật tàn nhẫn, nhưng 1-2 lần là đủ ngay cả đối với những thứ bằng gỗ nhất. Mặc dù vậy, tôi nghi ngờ rằng những người không rành CNTT có thể không hiểu được sự hài hước như vậy.
- Nhưng tội lỗi tồi tệ nhất tất nhiên nằm ở người quản trị và quản lý hệ thống - nếu họ nhất quyết không sử dụng hệ thống, thiết bị, giấy phép điều khiển giao thông, v.v.
Tất nhiên, đây là cơ sở vì cơ sở hạ tầng CNTT chính là nơi càng đi sâu vào rừng thì càng có nhiều củi. Và mọi người nên có cơ sở này, chứ không nên bị thay thế bằng những từ “tất cả chúng ta đều tin tưởng lẫn nhau”, “chúng ta là một gia đình”, “ai cần nó” - than ôi, điều này là tạm thời.
Đây là Internet, em yêu, họ có thể biết rất nhiều về em.
Đã đến lúc đưa việc sử dụng Internet an toàn vào khóa học về an toàn tính mạng ở trường - và đây hoàn toàn không phải là những biện pháp mà chúng ta đang áp dụng từ bên ngoài. Điều này đặc biệt về khả năng phân biệt liên kết với liên kết, hiểu đâu là lừa đảo và đâu là lừa đảo, không mở tệp đính kèm email với chủ đề “Báo cáo hòa giải” từ một địa chỉ không quen thuộc mà không hiểu nó, v.v. Mặc dù có vẻ như học sinh đã thành thạo tất cả những điều này nhưng nhân viên thì không. Có rất nhiều mánh khóe và sai lầm có thể gây nguy hiểm cho toàn bộ công ty cùng một lúc.
- Mạng xã hội là một phần của Internet không có chỗ đứng tại nơi làm việc, nhưng việc chặn chúng ở cấp công ty vào năm 2019 là một biện pháp không được ưa chuộng và làm mất động lực. Vì vậy, bạn chỉ cần viết thư cho tất cả nhân viên cách kiểm tra tính bất hợp pháp của các liên kết, nói cho họ biết về các hình thức lừa đảo và yêu cầu họ làm việc tại nơi làm việc.
- Thư là một điểm yếu và có lẽ là cách phổ biến nhất để đánh cắp thông tin, cài đặt phần mềm độc hại và lây nhiễm vào PC cũng như toàn bộ mạng. Than ôi, nhiều nhà tuyển dụng coi ứng dụng email là một công cụ tiết kiệm chi phí và sử dụng các dịch vụ miễn phí nhận 200 email spam mỗi ngày vượt qua các bộ lọc, v.v. Và một số người vô trách nhiệm mở những bức thư và tệp đính kèm, liên kết, hình ảnh như vậy - rõ ràng, họ hy vọng rằng hoàng tử đen sẽ để lại tài sản thừa kế cho họ. Sau đó quản trị viên có rất nhiều, rất nhiều công việc. Hay nó được dự định theo cách đó? Nhân tiện, một câu chuyện tàn khốc khác: ở một công ty, cứ mỗi thư rác gửi đến quản trị viên hệ thống, KPI lại bị giảm. Nói chung, sau một tháng không có thư rác - cách làm đã được tổ chức mẹ áp dụng và vẫn không có thư rác. Chúng tôi đã giải quyết vấn đề này một cách khéo léo - chúng tôi đã phát triển ứng dụng email của riêng mình và tích hợp nó vào ứng dụng email của riêng mình. , vì vậy tất cả khách hàng của chúng tôi cũng nhận được tính năng tiện lợi như vậy.
Lần tới khi bạn nhận được một email lạ có biểu tượng kẹp giấy, đừng bấm vào đó!
- Các trình nhắn tin cũng là nguồn gốc của đủ loại liên kết không an toàn, nhưng điều này ít nguy hiểm hơn nhiều so với thư (không tính thời gian lãng phí để trò chuyện trong các cuộc trò chuyện).
Có vẻ như đây đều là những điều nhỏ nhặt. Tuy nhiên, mỗi điều nhỏ nhặt này đều có thể gây ra những hậu quả tai hại, đặc biệt nếu công ty của bạn là mục tiêu tấn công của đối thủ cạnh tranh. Và điều này có thể xảy ra với bất kỳ ai theo đúng nghĩa đen.
Nhân viên hay nói chuyện
Đây chính là yếu tố con người mà bạn sẽ khó bỏ được. Nhân viên có thể thảo luận công việc ở hành lang, trong quán cà phê, trên đường phố, tại nhà khách hàng, nói to về khách hàng khác, nói về thành tích công việc và dự án ở nhà. Tất nhiên, khả năng đối thủ cạnh tranh đứng sau bạn là không đáng kể (nếu bạn không ở cùng trung tâm thương mại - điều này đã xảy ra), nhưng khả năng một anh chàng nêu rõ công việc kinh doanh của mình sẽ bị quay phim trên điện thoại thông minh và đăng lên Kỳ lạ thay, YouTube lại cao hơn. Nhưng điều này cũng thật nhảm nhí. Sẽ không phải là chuyện nhảm nhí khi nhân viên của bạn sẵn sàng trình bày thông tin về sản phẩm hoặc công ty tại các khóa đào tạo, hội nghị, buổi gặp mặt, diễn đàn chuyên môn hoặc thậm chí trên Habré. Hơn nữa, mọi người thường cố tình kêu gọi đối thủ của mình tham gia những cuộc trò chuyện như vậy để tiến hành hoạt động tình báo cạnh tranh.
Một câu chuyện lộ liễu. Tại một hội nghị CNTT quy mô thiên hà, diễn giả của phần đã trình bày trên slide một sơ đồ hoàn chỉnh về tổ chức cơ sở hạ tầng CNTT của một công ty lớn (top 20). Kế hoạch này cực kỳ ấn tượng, đơn giản là mang tính vũ trụ, hầu hết mọi người đều chụp ảnh nó và nó ngay lập tức bay khắp mạng xã hội với những lời khen ngợi. Chà, sau đó người nói đã phát hiện ra họ sử dụng thẻ địa lý, khán đài, mạng xã hội. mạng của những người đã đăng nó và cầu xin được xóa, bởi vì họ đã gọi cho anh ấy khá nhanh và nói ah-ta-ta. Hộp trò chuyện là một ơn trời cho một điệp viên.
Sự thiếu hiểu biết... giải thoát bạn khỏi sự trừng phạt
Theo báo cáo toàn cầu năm 2017 của Kaspersky Lab về các doanh nghiệp gặp sự cố an ninh mạng trong khoảng thời gian 12 tháng, 11/XNUMX (XNUMX%) loại sự cố nghiêm trọng nhất liên quan đến nhân viên bất cẩn và thiếu hiểu biết.
Đừng cho rằng nhân viên biết mọi thứ về các biện pháp an ninh của công ty, hãy nhớ cảnh báo họ, đào tạo, tạo các bản tin định kỳ thú vị về các vấn đề an ninh, tổ chức các cuộc họp bên pizza và làm rõ lại các vấn đề. Và vâng, một mẹo cuộc sống thú vị - đánh dấu tất cả thông tin in và điện tử bằng màu sắc, ký hiệu, chữ khắc: bí mật thương mại, bí mật, để sử dụng chính thức, quyền truy cập chung. Điều này thực sự hiệu quả.
Thế giới hiện đại đã đặt các công ty vào một tình thế rất tế nhị: cần phải duy trì sự cân bằng giữa mong muốn của nhân viên không chỉ làm việc chăm chỉ mà còn nhận được nội dung giải trí trong nền/trong giờ giải lao và các quy tắc bảo mật nghiêm ngặt của công ty. Nếu bạn bật các chương trình theo dõi siêu kiểm soát và ngu ngốc (vâng, không phải lỗi đánh máy - đây không phải là bảo mật, đây là chứng hoang tưởng) và camera sau lưng bạn, thì niềm tin của nhân viên vào công ty sẽ giảm xuống, nhưng việc duy trì niềm tin cũng là một công cụ bảo mật của công ty.
Vì vậy, hãy biết khi nào nên dừng lại, tôn trọng nhân viên của mình và thực hiện các biện pháp dự phòng. Và quan trọng nhất, hãy ưu tiên sự an toàn chứ không phải sự hoang tưởng cá nhân.
Nếu bạn cần và so sánh khả năng của họ với mục tiêu và mục tiêu của bạn. Nếu bạn có bất kỳ câu hỏi hoặc khó khăn nào, hãy viết thư hoặc gọi điện, chúng tôi sẽ tổ chức một buổi thuyết trình trực tuyến riêng cho bạn - không có xếp hạng hoặc chuông và còi.
, trong đó, không có quảng cáo, chúng tôi viết những điều không hoàn toàn chính thức về CRM và hoạt động kinh doanh.
Nguồn: www.habr.com