После событий с аэрофлотом в крупных компаниях особенно рядом с гос сектором закручивают гайки. Тем временем в компаниях менее авторитарных остаются нелепые недосмотры в информационной безопасности.
Только в двух компаниях в моей жизни инфобез был настроен хорошо. В остальных компаниях, к сожалению про информационную безопасность, если и думают, то только на бумаге. Кажется, что слишком много заморочек, и взламывают только крупные компании. Я работала в разных компаниях - и услуги, и производство, и IT. Не могу сказать, что есть взаимосвязь сферы деятельности и уровня инфобеза. Может быть в списке ниже вы найдете себя и задумаетесь над последствиями. Если так, то это уже будет хорошо)
Мой рейтинг «забытых» дыр в процессах, угрожающих безопасности:
- Старые всеми забытые доступы в админ часть или к базам данных. Да-да. Если вам кажется это нелепо, проверьте свои криденшелы. Если есть хотя бы одна запись в базе непонятно кому принадлежавшая или принадлежавшая нескольким людям - это именно она. В моей практике была IT компания, которая не удалила доступ в админ часть и не поменяла пароль спустя несколько лет после увольнения одного из ключевых сотрудников. Повезло, что этим никто не воспользовался.
- Старые учетки уволенных сотрудников не удаляются или не закрывается доступ. Если у вас нет процесса увольнения, где отдельным пунктом с отдельным ответственным лицом не происходит закрытие аккаунтов, то стоит пересмотреть все учетки. Кстати, если у вас практикуется, что сотрудник доделывает дела или остается на полставки после увольнения, риск забыть про удаление его доступов возрастает в несколько раз.
- Использование личных учеток для доступа к корпоративным данным. Это супер распространенная вещь. Кроме как жестким администрированием в ПО решить это практически нереально. Так как если сотрудник имеет возможность, то в какой-то момент будет необходимость доступа с личной почты или личного Гугл аккаунта и тп и доступ будет дан.
- Использование мессенджеров в деловой переписке и для отправки документов. Мессенджеры зачастую используются с личными аккаунтами. Поэтому все, что пересылается через них автоматически становится доступным без какого либо управления. Тут возможны разные решения, в том числе с использованием ботов для администрирования чатов. Не панацея, но помогают.
- Доступ к корпоративным данным через сайты компаний. Не поверите, но я несколько раз встречала непродуманные решения с точки зрения архитектуры, которые в отдельных случаях позволяли даже добраться до данных в 1С предприятия через открытый сайт для клиентов, как правило это был какой-то сервис торчащий наружу.
Кому реально стоит задуматься и в какой момент времени?
Я не специалист по информационной безопасности, но элементарные «дыры» видно даже мне. Давайте поговорим о том, когда надо заняться безопасностью.
Когда стоит задуматься над информационной безопасностью?
Я сейчас не буду говорить о финтехе или стратегически важных объектах или услугах, как жд и авиа перевозки и тп.
- Если у вас бизнес зависит от технологии. Например, вы оказываете услуги онлайн, это самый простой пример. Если вы производите товар, неотъемлемой частью которого в поставке является специализированное ПО. Если ваше оборудование автоматизировано. В общем, представьте, что у вас технический сбой и ничего электронного не работает. Как быстро вы восстановите работу?
- Если ваш бизнес зависит от данных, таких, как база клиентов и или персональные данные. Диагностика такая же - представьте что вашу базу украли, что сломается? Например, медицинские центры, даже по закону должны серьезно относиться к данным пациента, на деле это не всегда так. А ведь для них это в том числе вопрос репутации!
Логика простая - ищем место, которое серьезно навредит бизнесу. И неважно, какова вероятность события на ваш взгляд. В первую очередь важно влияние.
Кстати, сейчас есть возможность сделать аудит внешними силами или взять на проектную работу специалиста по инфобезу, который поможет увидеть ваши потенциально опасные места. Поэтому не пренебрегайте аутстафом. Информационная безопасность это на самом деле не супер дорогая вещь, но зато высокорисковая.