Итак, ваши сотрудники уже написали заявления на отпуск и активно планируют маршрут путешествия. Ключевые специалисты наверняка возьмут с собой рабочие телефоны и ноутбуки, чтобы закрыть текущие задачи или оставаться на связи с коллегами и клиентами. Никакого простоя. Звучит заманчиво.
Или нет? В этом материале специалисты Falcongaze расскажут, какие риски в области информационной безопасности несет бизнес, отправляя сотрудников в отпуск с перспективой «чуть-чуть поработать».
Конфиденциальные данные отправляются «на пляж»
Если ваши сотрудники берут в путешествие технику, выданную компанией, значит, конфиденциальные данные бизнеса и ваших клиентов покидают домашний или корпоративный офис и отправляются в путешествие.
И «пляжный» трудоголизм и гиперответственные сотрудники здесь – находка для злоумышленников. Как показала общемировая практика, в отпускной период риски утечки конфиденциальных данных значительно растут.
Почему в период отпусков растут риски утечки конфиденциальной информации?
- Специалисты подключаются к корпоративным сетям из мест с небезопасным соединением: в аэропортах, отелях, кафе и ресторанах.
- В путешествиях устройства гораздо чаще похищаются или теряются.
- В отпуске, вдали от офиса, поведение многих пользователей становится беспечным: они могут давать рабочие устройства детям для игр, скачивать торренты с фильмами и музыкой на рабочие компьютеры, отправлять важные документы на личные устройства, чтобы почитать в дороге или у бассейна.
Угроза №1: отели, гостиницы, сервисы бронирования
Сфера гостеприимства давно под прицелом у киберпреступников. Это связно с активным оборотом платежных и персональных данных, нужных для регистрации клиентов. И еще один фактор риска потери охраняемой информации — высокая текучка кадров. Она не позволяет в должной степени обучить обслуживающий персонал правилам безопасного сбора и хранения сведений о клиентах.
Кроме того, среди персонала отелей и гостиниц бывают недобросовестные сотрудники. Они могут как передавать конфиденциальные данные третьим лицам, так и похищать устройства с важной информацией и доступами.
Что еще может произойти на отдыхе?
Заражение вредоносным ПО через Wi-Fi отеля. Подключение по небезопасной сети с рабочего оборудования чревато заражением вредоносными программами. От вирусов и троянов, которые маскируются под легальное ПО, до программ-шпионов, которые записывают всю активность без ведома пользователя: информацию о платежах, пароли, имена, адреса и другие данные.
Так, в 2014 году хакеры из группировки Darkhotel взламывали провайдеров, чтобы получать бесконтрольный доступ к беспроводным сетям крупных отелей. Пользователям, подключавшимся к таким сетям, точечно предлагалось обновить браузер, флэш-плеер или любую другую программу. Вместе с обновлением программ запускался троян — и компьютер переходил под управление злоумышленников со всеми охраняемыми данными.
Фишинговые ссылки на проверенных сайтах, вроде booking.com. С помощью стилера паролей киберпреступники похищают аккаунты отелей на популярных агрегаторах.
Ситуации в отпуске бывают разные. Иногда приходится резко менять локацию: апартаменты, гостиницу и даже курорт. Так, столкнувшись со срочной необходимостью сменить отель, ваш сотрудник может авторизироваться на условно безопасной площадке с рабочего оборудования, начать переписку со злоумышленниками, представляющимися сотрудниками отеля, и перейти по фишинговой ссылке.
Так, в октябре 2023 года портал booking.com подвергся многоступенчатой атаке киберпреступников. С помощью Vidar Infostealer были украдены учетные данные многих отелей, что позволило преступникам получить доступ к информации о предстоящих бронированиях и открыло доступ к перепискам с клиентами.
Важно! Взвесьте все риски, отправляя ключевого сотрудника с доступом к конфиденциальной информации в отпуск с перспективой еще «чуть-чуть поработать». Вполне возможно, что киберпреступники уже знают, когда и в каком отеле остановится ваш специалист.
Потеря/кража оборудования. В отпуске многие ведут себя беспечнее, чем в обычной жизни. Потеря телефона, планшета и даже ноутбука — обычное дело для отпуска, не так ли?
При этом важно понимать: если важная информация сохранена только на одном утерянном носителе, восстанавливать ее придется по памяти, что чревато временными, финансовыми и репутационными издержками для вашего бизнеса.
Нельзя исключать и риски кражи оборудования, которые к вышеупомянутым издержкам могут добавить вероятность утечки конфиденциальных данных клиентов и компании.
История знает много случаев массивных утечек из-за невнимательности. Так, в апреле 2023 года — вследствие потери носителя — более 2,4 миллиона пользователей пострадали от утечки медицинских данных WebTPA Employer Services.
При этом, по сообщению Bloomberg Law, компания уже столкнулась с коллективными исками от пострадавших клиентов. Впереди — финансовые и репутационные издержки для компании.
Методы профилактики угроз ИБ в период отпусков
Теперь, когда вы знаете о потенциальных рисках, связанных с работой прямиком с пляжа или лобби отеля, можно рассмотреть методы профилактики утечки конфиденциальных данных.
1. Соблюдайте баланс work&life. Привычка полностью выключать сотрудников из процессов на время отпусков необходима и исполнителям, и нанимателям. Так, полноценный отдых станет отличной профилактикой от выгорания — для сотрудника, а вас научит не завязывать все процессы на одном человеке.
И существенная польза: так вы значительно сократите риски утечки конфиденциальных данных по упомянутым выше причинам.
Если соблюдать баланс работы и отдыха не получается, придерживайтесь следующих правил безопасности и обучите этому своих сотрудников.
2. Используйте только безопасные сети и подключения. Убедитесь, что сети защищены паролем и используют шифрование WPA3. Никогда не подключайте свои устройства к общедоступным Wi-Fi.
3. Обеспечьте шифрование данных. Обеспечьте полное шифрование диска на корпоративных устройствах.
4. Подключите многофакторную аутентификацию на устройствах, приложениях и учетных записях компании.
5. Ограничьте возможность передачи конфиденциальных файлов. Внедрите решения, которые обеспечивают контролируемый доступ к файлам компании и препятствуют несанкционированным передачам на незарегистрированные носители. Так вы сможете ограничить вывод конфиденциальных файлов на личные устройства, если специалист вдруг решит поработать с ними со своего ноутбука. Как пример, с помощью DLP-системы Secure Tower от Falcongaze можно в принципе ограничить или заблокировать передачу любого файла (-ов) с рабочего оборудования: на носители, через мессенджеры, почту и файлообменники.
6. Не используйте рабочие устройства и учетные записи для организации поездок. Сайты и приложения проверенных агрегаторов, туроператоров, гостиниц, отелей и ресторанов могут быть взломаны киберпреступниками. Простое письмо об отмене или переносе бронирования может содержать фишинговую ссылку.
7. Предупреждайте клиентов и сотрудников о том, что будете недоступны. Так, в случае взлома/кражи оборудования или учетной записи настойчивые просьбы выдать конфиденциальную информацию от обязательно насторожат людей, которым известно, что вы не планировали работать из отпуска.
8. Установите пароли на все устройства. В случае кражи оборудования установленный пароль может как минимум задержать злоумышленников.
9. Инвестируйте в надежное антивирусное ПО. Хороший антивирус — это первая линия защиты информации во время путешествий. Он обеспечивает защиту от вредоносного программного обеспечения, фишинговых атак, шпионского ПО и т. д.
10. Контролируйте сотрудников и подчиненных. Весомая доля утечек конфиденциальных данных приходится на человеческий фактор, когда сотрудники компаний намеренно или по ошибке передавали охраняемую информацию злоумышленникам. Современные DLP-системы позволяют отслеживать любые утечки данных, а также сообщают работодателю или инспектору безопасности об использовании на рабочем оборудовании потенциально опасного ПО или посещении нецелевых веб-ресурсов в рабочее время. Кроме того, DLP-системы могут в автоматическом режиме контролировать «трудоголиков» в отпуске или злоумышленников, выдающих себя за них, и блокировать им доступ к конкретным компонентам системы. В отпуске нужно отдыхать, а не работать, не так ли?
Важно!
Сформируйте алгоритм действий в случае утечки конфиденциальных данных — это минимизирует ущерб для вашего бизнеса.
В заключение
Отправляя сотрудника в отпуск с перспективой включиться в рабочие процессы прямо из отеля, вы не только поступаете неэтично, но и подвергаете свой бизнес экономическим и репутационным рискам в связи с утечкой конфиденциальных данных.
Минимизировать такие риски поможет запрет на использование рабочей техники во время отпуска — в личных или рабочих целях. Еще одна важная мера — обязательный инструктаж по правилам информационной безопасности.
#информационнаябезопасность #бизнес #кибербезопаность