Кибербезопасность в офисе
Денис Матвеев,
глава представительства
ESET в России и СНГ
— Каким киберугрозам подвержены компании?
— По данным IDC, в 2016 году ущерб мировой экономики от киберпреступности превысил $650 млрд, а к 2020-му достигнет $1 трлн. Сумма астрономическая, но далеко не максимальная — например, Microsoft оценивает возможный ущерб к 2020 году в $3 трлн. Все дело в методах подсчета. Кроме того, предполагается, что менее чем через три года от утечек данных пострадают свыше 1,5 млрд человек.
Корпоративные киберугрозы принято делить на внешние и внутренние. К первым можно отнести целевые атаки хакеров, всевозможные вредоносные программы, спам и фишинг, DDoS-атаки. Под вторыми подразумевают уязвимость программного обеспечения, кражу конфиденциальной информации, потери организаций из-за умышленных или случайных действий сотрудников.
До 38% участников опроса, проведенного среди пользователей России и СНГ, хотя бы раз за свою карьеру копировали, уничтожали или обнародовали конфиденциальные данные бывшего работодателя.
— Следует ли ограничивать сотрудников в использовании компьютеров на работе, чтобы избежать этих угроз?
— Скорее да, некоторые ограничения имеют смысл. Проиллюстрирую свои слова результатами опроса, который мы провели среди пользователей России и СНГ. До 38% респондентов хотя бы раз за свою карьеру копировали, уничтожали или обнародовали конфиденциальные данные бывшего работодателя.
Компания может пострадать и от неосознанных действий сотрудников. В частности, все больше людей используют для подключения к ресурсам компании личные смартфоны, планшеты или ноутбуки. Удобно, мобильно, но небезопасно: на этих устройствах может отсутствовать антивирус, а ПО — быть уязвимым. Все это открывает правонарушителям доступ в IT-сеть компании.
Распространенная практика «поработать дома» также имеет слабые места. Сотрудники переносят корпоративные данные на домашний компьютер, защита которого несовершенна по тем же причинам.
Наконец, для заражения корпоративной сети вредоносным ПО злоумышленники успешно используют фишинг, вводя работников в заблуждение.
— Какие именно ограничения и правила целесообразно вводить?
— Спектр угроз довольно широк. Поэтому я бы говорил не об ограничении в использовании компьютеров, а о комплексе мер. Каждой компании необходимы аппаратные и программные средства защиты. Кроме того, сотрудников важно обучать.
Например, для предотвращения утечек информации требуются продукты, блокирующие копирование и перенос данных за пределы сети компании. Использование флешек и других внешних носителей крайне нежелательно.
Запуск сторонних программ в идеале возможен только для обладателей прав администратора (т. е. для сотрудников IT-отдела компании).
Важно контролировать и удаленный доступ к рабочей почте, использование личных устройств сотрудников. Один из проверенных инструментов — решения для двухфакторной аутентификации, в частности ESET Secure Authentication.
— Есть ли средства защиты от промышленного шпионажа?
— Для этого предназначены специализированные программные продукты — DLP-системы (Data Loss Prevention). В основе систем — анализ потоков данных внутри компании и за периметром.
Тем не менее одного DLP недостаточно, требуется комплекс решений для информационной безопасности, который должна выбрать соответствующая служба внутри компании.
Поскольку мы говорим о человеческом факторе, после настройки и интеграции продуктов информационной безопасности рекомендую заказать услугу аудита в независимой сторонней организации. Это позволит снизить риск осознанных или случайных недоработок сотрудников компании.
— Как найти тонкую грань между тотальным контролем за сотрудниками и разумными правилами безопасности?
— Ее определяют сотрудники департамента информационной безопасности (или IT-службы) компании.
Архитектура комплекса информационной безопасности зависит от масштаба и структуры организации, формата взаимодействия сотрудников, работы с конфиденциальными данными, другой политики компании, IT-бюджета и целого ряда иных факторов. На практике бывает, что эта грань обнаруживается уже в ходе внедрения различных средств информационной безопасности.
