В современных условиях, когда постоянно нарастающий масштаб киберугроз может стать одной из наиболее критических опасностей для мировой экономики, в построении системы управления информационной безопасностью на предприятии не могут принимать участие только сотрудники СБ и ИТ-подразделений. Все сотрудники должны знать о наличии актуальных рисков и уметь оперативно и грамотно противостоять им.

Основные принципы управления системами ИБ

Создание системы управления информационной безопасностью начинается с разработки актуальной модели угроз. Составления этого документа потребует регулятор, если компания является оператором персональных данных. Но и в ином случае его подготовка позволит систематизировать работу по управлению процессами защиты данных и избежать необоснованных расходов на программное обеспечение и оборудование, не нужное в конкретных ситуациях.

По мнению экспертов, в первой половине 2020 года сформировалась следующая система ранжирования угроз информационной безопасности по значимости:

• целевые атаки. Они направлены на компании и корпорации, большая часть сотрудников которых работает удаленно, на системы управления производством (АСУ) на организации, хранящие данные в облаке, на банки, широко использующие мобильные приложения для управления счетами и вкладами. Трафик перехватывается, в мобильных приложениях могут оказаться незадекларированные возможности, поэтому процесс обмена данными на расстоянии должен быть максимально защищенным;
• шпионаж, конкурентная разведка и использование хакерских технологий. Их актуальность возрастает в ситуации, когда существенная часть ресурсов, связанных с обеспечением работы системы защиты информации, переносится на контроль за удаленными специалистами. Если в компании не настроен процесс контроля, системы мониторинга угроз информационных рисков с автоматическими реакциями или DLP-системы, данные компании могут стать легкой добычей злоумышленников;
• мошенничество. С переносом активности сотрудников из офиса в коворкинги или домой увеличивается их интерес к развлекательным, игровым ресурсам, способам быстрого заработка, и эти проявление не может пресечь отдел управления персоналом. Эти порталы часто бывают заражены вредоносными программами, сотрудник рискует не только потерять свои средства в результате мошенничества или фишинга, но и заразить информационную систему компании вирусами, если для работы и развлечений используется одно устройство;
• вредоносные рассылки. В начале 2020 года в связи с растущей в обществе паникой из-за пандемии коронавируса злоумышленники создали новые email-кампании. Пользователям рассылают сообщения с вложенными PDF-файлами. В ряде случаев это вредоносное программное обеспечение, зашифровывающее данные на компьютере. В теме письма при этом пишут «Советы, как не заболеть коронавирусом, в копии для отвлечения внимания указывают адреса реальных компаний. Под похожим «соусом» от имени UNICEF фишеры рассылают шпионскую программу HawkEye. Во вложение злоумышленники могут прикрепить и троян Netwire, который собирает данные о системе и компьютере, загружает и запускает файлы, делает скриншоты, управляет клавиатурой и мышью, похищает логины, пароли и данные банковских карт.

С учетом названных угроз все бизнес-процессы компании выстраиваются так, чтобы содержать элементы системы обеспечения информационной безопасности. В современных условиях некоторые элементы безопасности должны получить приоритет над бизнес-интересами из масштабирования угроз, поэтому основными задачами выстраивания процесса управления информационной безопасностью становятся:

• обновления политик защиты данных, сдвигающих фокус управления защитой информационных систем в сторону контроля удаленного доступа;
• пересмотр системы управления рисками с учетом изменения законодательства и структуры работы экономики на среднесрочный и долгосрочный периоды;
• видоизменение организационной структуры компании с учетом перевода сотрудников на удаленную работу, усиления роли служб безопасности и ИТ-подразделений.

Реализация этой стратегии в опережающем режиме, ускоренная настройка процессов повышения уровня информационной защиты позволит завоевать конкурентные преимущества.

Практические формы управления ИБ

Управление защитой информации на предприятии должно происходить на двух уровнях:

• в офисе;
• на удаленном доступе.

Сейчас бизнес все чаще использует модель удаленной работы, облачные технологии. Управление процессами создания продуктов осуществляется на расстоянии. Материалы находятся на удаленном ресурсе, а специалисты подключаются к ним из разных точек земного шара. Это создает необходимость сделать работу на удаленном подключении максимально безопасной. 

Первым этапом новой модели управления информационной безопасностью становится создание подразделения или рабочей группы, ответственной за выработку стратегии работы с рисками, возникающими в связи с обменом данными с удаленными сотрудниками. 

В задачи подразделения по управлению защитой от киберрисков входят:

• перестройка информационной системы таким образом, чтобы обеспечить безопасность удаленных подключений, создать гарантированно защищенный процесс работы;
• обучение сотрудников основам безопасной работы с оборудованием и данными;
• обновление и перенастройка программного обеспечения, отвечающего за мониторинг киберугроз;
• разработка и утверждение новых регламентов работы в информационной системе;
• контроль за соответствием новой модели безопасности требованиям регулятора и действующего законодательства;
• мониторинг новых угроз, обеспечение адекватной реакции на них;
• внедрение современных стандартов информационной безопасности, например, ISO 27001, их адаптация к удаленной модели организации бизнес-процессов, получение сертификации для новой конфигурации;
• создание информационного ресурса на корпоративном сайте, посвященного исключительно вопросам информационной безопасности.  Сотрудников нужно информировать о новых угрозах и рисках, модернизации фишинговых рассылок и вредоносных программ. На ресурсе необходимо создать механизм обратной связи.

При выборе технических и программных решений, связанных с обеспечением новой модели защиты данных, не мешающей нормальному протеканию бизнес-процессов, упор нужно делать на:

• межсетевые экраны;
• программы, позволяющие производить запуск процессов и приложений в выделенной среде;
• VPN-технологии;
• усложнение маршрутизации трафика;
• обеспечение двухфакторной идентификации сотрудников, при возможности с использованием аппаратных средств – токенов;
• широкое использование средств криптографической защиты.

В качестве критериев оценки процесса и результата своей деятельности служба безопасности может использовать снижение общего числа инцидентов кибербезопасности, утечек данных, заражений вредоносными программами. В рамках подразделения необходимо создать систему, подразумевающую дежурство одного из специалистов сети для контроля действий удаленных сотрудников и ответов на их вопросы.

Что сотрудник офиса должен знать о кибербезопасности

Обучение сотрудников является важной задачей компании, ее реализация защищает от 80-90% угроз и рисков. Простая памятка, разосланная сотрудникам офиса, сделает их поведение при работе с оборудованием и данными более осознанным. 

Ключевые правила информационной безопасности, которым необходимо обучать персонал:

• необходимо максимально разделять личное и рабочее информационное пространство, не использовать рабочий компьютер для личных целей, развлекательного серфинга в Сети и скачивания сомнительных программ;
• необходимо постоянно обновлять знания о текущих рисках и угрозах, заходя на ресурс компании, посвященный этой проблеме;
• надо знать, к кому из сотрудников ИТ-подразделения можно обратиться в случае возникновения нештатной ситуации, например, заражения устройства вирусом-шифровальщиком, и по какому каналу связи осуществляется такое взаимодействие;
• необходимо ограничить использование мессенджеров на корпоративных мобильных устройствах для взаимодействия сотрудников. Перечень разрешенных мессенджеров должен быть указан в регламентирующих документах;
• надо соблюдать правила безопасности дома, своевременно обновляя пароли на всех устройствах и в сервисах, используемых в корпоративных целях;
• нужно полностью исключить работу в общедоступных Wi-Fi-сетях;
• необходимо максимально осторожно обсуждать вопросы компьютерной безопасности корпоративной сети на профессиональных форумах.

Обучение сотрудников этим правилам поможет сделать работу более эффективной, а управление компьютерной безопасностью перестанет быть задачей только специализированных служб, став общей целью всей организации.

28.04.2020