Как самостоятельно защитить свой бизнес от кибератак
Защита собственных информационных ресурсов у предпринимателей зачастую ограничивается стандартным набором противовирусных программ. В особой зоне риска малый и средний бизнес, который считает, что кибермошенников интересуют только банки и крупные корпорации. Давайте посмотрим, как можно обезопасить себя и свой бизнес от кибератак.
Виды кибернетических угроз
Большинство атак связаны с сознательной попыткой кибермошенников нанести вред компании, с целью получения материальной, финансовой или иной выгоды.
Рассмотрим самые распространенные способы кибернетических атак.
Вирус
Специально разработанное вредоносное программное обеспечение (вирус), которое позволяет получить доступ злоумышленникам к конфиденциальной информации. Это может быть информация о производственных процессах, поставщиках, клиентах и сотрудниках и любая другая, имеющая финансовую и материальную ценность. К примеру, данные о взаимосвязях в группе компаний.
Вирус-шифровальщик
Кибервымогательство с помощью вредоносного программного вируса-шифровальщика. Программа-злоумышленник шифрует файлы с полезной для потерпевшей фирмы информацией, компания не может работать.
Кибермошенники требуют вознаграждение в обмен на восстановление зашифрованной информации. При этом гарантий, что вы получите свои данные и допуск нужным файлам никто не дает.
DDoS атаки
DDoS атаки — злоумышленники целенаправленно отправляют большое количество запросов на атакуемый сервер, сайт или другой информационный ресурс, с целью сделать его недоступным или существенно замедлить его работу.
Это может быть критично для работы интернет-магазина — покупатели просто не смогут ничего купить и оплатить товары, — бухгалтерской службы, отдела продаж, которые не смогут оперативно получать доступ к нужным ресурсам и т. д.
Майнеры криптовалют
Вредоносный программный код, который крадет информационные вычислительные мощности компаний и замедляет работу основных программ пользователя.
SQL-инъекции
Этот вид мошенничества получил развитие в последнее время. Мошенники-аналитики с помощью программного кода на языке запросов (SQL) к системе управления базами данных (СУБД) получают доступ к базам данных компании.
Базы данных — это бухгалтерия, аналитика, база клиентов, склад, производство и многое другое. Причем в таких базах могут храниться и данные банковских реквизитов, и персональные данные сотрудников, и секреты производства (например, рецепты) и прочие сведения, использование которых ставит под угрозу будущее не только компании, но и финансы ее контрагентов и сотрудников.
Фишинг
Это социальные методы, позволяющие злоумышленникам обмануть доверчивых пользователей и вынудить сообщить мошенникам конфиденциальную финансовую информацию. Вы наверняка сталкивались с этими приемами, когда некий «менеджер из банка» просил вас назвать «три цифры с оборота карты» или сообщить пришедший на ваш телефон код «для разблокировки».
Что делать малому бизнесу для защиты от киберугроз
Современные операционные системы имеют встроенную защиту от вирусов и прочих информационных угроз. Но развивается и индустрия вредоносного программного обеспечения. Кибермошенников интересует любая информация о владельце гаджета, включая персональные и финансовые данные. Особенно информация, относящаяся к трудовой деятельности владельца.
Как говорят эксперты по кибербезопасности, 70% компаний — жертв кибернетических атак — не боялись кибернетических угроз и не предпринимали никаких мер по информационной безопасности.
Как самостоятельно защитить свой бизнес от кибернетических атак?
Нужно провести аудит существующей информационной системы. Что нужно сделать:
- Проверить, не устарело ли имеющееся компьютерное оборудование и ПО.
- Выявить проблемы интеграции оборудования с сервисами и приложениями, которые использует организация — возможные конфликты увеличивают риск сбоев и, соответственно, уязвимость системы.
- Убедится, что оборудование справляется с нагрузкой и задачами компании (например, что бухгалтерскую базу не сохраняют на некое облако в Гугле, потому что не хватает места на компьютере).
- Выяснить, как на данный момент организована защищена от киберугроз — со стороны сотрудников, руководства, внешних пользователей и т. д. Например, используют ли сотрудники пароли для входа на персональные компьютеры или доступ к данным всегда свободный для любого другого работника.
- Оценить результаты аудита и составить план модернизации оборудования, обеспечения защиты и обучения сотрудников навыкам кибербезопасности.
При необходимости нужно привлечь технических специалистов и разработчиков, но зачастую самые элементарные «дыры» в защите выявляются и без них.
Особого внимания требуют персональные данные сотрудников. Федеральный закон от 27.07.2006 № 152-ФЗ требует обеспечить их конфиденциальность, за незаконное распространение или хранение таких данных компания может получить серьезный штраф.
Результатами правильно проведенного аудита станут:
- организационные мероприятия;
- аппаратные и программные решения;
- обучение сотрудников.
Организационные мероприятия
В свете последних событий стоит подумать об отказе от зарубежных программных решений и перейти на отечественные. Многие из иностранных производителей начали отказываться от поставок на российский рынок. Кроме того, есть риск, что в ближайшем будущем не будет доступа к необходимым обновлениям.
Например, некоторые иностранные компании отзывают у российских клиентов лицензию на использование своих облачных решений для защиты от DDоS-атак. Эксперты рекомендуют перейти на программное обеспечение, развернутое на физических устройствах: маршрутизаторах и локальных серверах. Или перейти на другой, отечественный софт.
Необходимо обеспечить регулярное обновление программного обеспечения, в том числе антивирусов. Причем только из официальных источников. Проводить резервное копирование, которое позволит предотвратить изменение, повреждение или удаление важных информационных данных.
Сами резервные копии так же надо надежно защитить и лучше, если их будет несколько.
Применяйте опыт крупных компаний, которые систематически проводят испытания по копированию и восстановлению критической информации.
Используйте в облаках зашифрованные данные, так как собственником «облачного хранилища» является чужая компания, которая также имеет доступ к вашей информации. Конечно, шифровка данных потребует времени, зато даже при утечке информации, злоумышленники не могут воспользоваться полученными данными. Для шифрования существуют как готовые решения (например, от операторов ЭДО), так и отдельные программы, которые можно приобрести использовать в т. ч. для внутреннего документооборота.
Аппаратные и программные решения
Существует универсальный комплекс аппаратных и программных решений:
- Файерволы — контролируют поступающие и исходящие информационные потоки. Программа — фильтр, отслеживает взаимодействия компьютера, анализирует сетевую активность и дает разрешение на соединение с конкретным сервером.
- Специализированные антивирусные программы.
- Anti-APT — предназначены для борьбы со сложными компьютерными атаками, анализируют информационный трафик и выявляют «железо», зараженное вирусами.
- В связи с развитием удаленного режима работы остро стоит вопрос защиты домашнего рабочего места работника. Так как домашний роутер, компьютер, ноутбук имеют меньшую защищенность по сравнению с офисным оборудованием.
Рекомендуется использовать в компании VPN-сервис, при помощи которого сотрудники выходят на офисную локальную сеть и лишь затем — к своим офисным компьютерам через удалённый рабочий стол.
Обучение сотрудников
Самым слабым звеном любой информационной системы является человек. Необходимо научить работников бороться с фишингом. «Предупрежден — значит вооружен».
Составьте инструкции по технике безопасности при работе с интернетом, электронной почтой, системами ЭДО и т. д. Не обязательно использовать сложные термины и составлять памятку на 100 листов. Просто обозначьте главные правила — не оставлять пароли на видном месте, не сообщать их посторонним, не открывать подозрительные письма и т. п.
Лучше всего подкрепить знания подписями сотрудников об ознакомлении с памяткой. Можно также установить, что за нарушение правил сотрудник может получить дисциплинарное взыскание — выговор. А это один из шагов к увольнению, если нарушения будут систематическими.
Научите сотрудников устанавливать надежные пароли:
- для каждой учетной записи необходимо использовать свой пароль;
- применять двухэтапную верификацию паролей, если пароль будет украден, у злоумышленника не будет доступа к телефону, чтобы войти в информационную систему;
- применять «длинные» пароли, которые состоят минимум из 12-15 знаков, где кроме заглавных и прописных букв имеются цифры и знаки препинания;
- запретите отправку паролей по SMS или электронной почте.
Компания «Asd (Комп-ок!)» обеспечивает защиту компьютерных информационных систем в рамках техподдержки ПО Т. Декларант.