Как самостоятельно защитить свой бизнес от кибератак

Виды кибернетических угроз

Большинство атак связаны с сознательной попыткой кибермошенников нанести вред компании, с целью получения материальной, финансовой или иной выгоды.

Рассмотрим самые распространенные способы кибернетических атак.

Вирус

Специально разработанное вредоносное программное обеспечение (вирус), которое позволяет получить доступ злоумышленникам к конфиденциальной информации. Это может быть информация о производственных процессах, поставщиках, клиентах и сотрудниках и любая другая, имеющая финансовую и материальную ценность. К примеру, данные о взаимосвязях в группе компаний.

Вирус-шифровальщик

Кибервымогательство с помощью вредоносного программного вируса-шифровальщика. Программа-злоумышленник шифрует файлы с полезной для потерпевшей фирмы информацией, компания не может работать.

Кибермошенники требуют вознаграждение в обмен на восстановление зашифрованной информации. При этом гарантий, что вы получите свои данные и допуск нужным файлам никто не дает.

DDoS атаки

DDoS атаки — злоумышленники целенаправленно отправляют большое количество запросов на атакуемый сервер, сайт или другой информационный ресурс, с целью сделать его недоступным или существенно замедлить его работу.

Это может быть критично для работы интернет-магазина — покупатели просто не смогут ничего купить и оплатить товары, — бухгалтерской службы, отдела продаж, которые не смогут оперативно получать доступ к нужным ресурсам и т. д.

Майнеры криптовалют

Вредоносный программный код, который крадет информационные вычислительные мощности компаний и замедляет работу основных программ пользователя.

SQL-инъекции

Этот вид мошенничества получил развитие в последнее время. Мошенники-аналитики с помощью программного кода на языке запросов (SQL) к системе управления базами данных (СУБД) получают доступ к базам данных компании.

Базы данных — это бухгалтерия, аналитика, база клиентов, склад, производство и многое другое. Причем в таких базах могут храниться и данные банковских реквизитов, и персональные данные сотрудников, и секреты производства (например, рецепты) и прочие сведения, использование которых ставит под угрозу будущее не только компании, но и финансы ее контрагентов и сотрудников.

Фишинг

Это социальные методы, позволяющие злоумышленникам обмануть доверчивых пользователей и вынудить сообщить мошенникам конфиденциальную финансовую информацию. Вы наверняка сталкивались с этими приемами, когда некий «менеджер из банка» просил вас назвать «три цифры с оборота карты» или сообщить пришедший на ваш телефон код «для разблокировки».

Что делать малому бизнесу для защиты от киберугроз

Современные операционные системы имеют встроенную защиту от вирусов и прочих информационных угроз. Но развивается и индустрия вредоносного программного обеспечения. Кибермошенников интересует любая информация о владельце гаджета, включая персональные и финансовые данные. Особенно информация, относящаяся к трудовой деятельности владельца.

Как говорят эксперты по кибербезопасности, 70% компаний — жертв кибернетических атак — не боялись кибернетических угроз и не предпринимали никаких мер по информационной безопасности.

Также эксперты советуют защищать свои информационные риски не только стандартными способами, а также используя современные страховые продукты.

Например, Компания «Ингосстрах» предлагает страхование информационных рисков юридических лиц от целенаправленной кибернетической атакой, внедрением вредоносных вирусов, внезапных и непредвиденных технических сбоев в работе программного обеспечения и вычислительной техники. Такой страховой полис можно оформить на сайте компании, что в последствии поможет вам компенсировать расходы на восстановление данных.

Как самостоятельно защитить свой бизнес от кибернетических атак?

Нужно провести аудит существующей информационной системы. Что нужно сделать:

• Проверить, не устарело ли имеющееся компьютерное оборудование и ПО.
• Выявить проблемы интеграции оборудования с сервисами и приложениями, которые использует организация — возможные конфликты увеличивают риск сбоев и, соответственно, уязвимость системы.
• Убедится, что оборудование справляется с нагрузкой и задачами компании (например, что бухгалтерскую базу не сохраняют на некое облако в Гугле, потому что не хватает места на компьютере).
• Выяснить, как на данный момент организована защищена от киберугроз — со стороны сотрудников, руководства, внешних пользователей и т. д. Например, используют ли сотрудники пароли для входа на персональные компьютеры или доступ к данным всегда свободный для любого другого работника.
• Оценить результаты аудита и составить план модернизации оборудования, обеспечения защиты и обучения сотрудников навыкам кибербезопасности.

При необходимости нужно привлечь технических специалистов и разработчиков, но зачастую самые элементарные «дыры» в защите выявляются и без них.

Особого внимания требуют персональные данные сотрудников. Федеральный закон от 27.07.2006 № 152-ФЗ требует обеспечить их конфиденциальность, за незаконное распространение или хранение таких данных компания может получить серьезный штраф.

Результатами правильно проведенного аудита станут:

• организационные мероприятия;
• аппаратные и программные решения;
• обучение сотрудников.

Организационные мероприятия

В свете последних событий стоит подумать об отказе от зарубежных программных решений и перейти на отечественные. Многие из иностранных производителей начали отказываться от поставок на российский рынок. Кроме того, есть риск, что в ближайшем будущем не будет доступа к необходимым обновлениям.

Например, некоторые иностранные компании отзывают у российских клиентов лицензию на использование своих облачных решений для защиты от DDоS-атак. Эксперты рекомендуют перейти на программное обеспечение, развернутое на физических устройствах: маршрутизаторах и локальных серверах. Или перейти на другой, отечественный софт.

Необходимо обеспечить регулярное обновление программного обеспечения, в том числе антивирусов. Причем только из официальных источников. Проводить резервное копирование, которое позволит предотвратить изменение, повреждение или удаление важных информационных данных.

Сами резервные копии так же надо надежно защитить и лучше, если их будет несколько.

Применяйте опыт крупных компаний, которые систематически проводят испытания по копированию и восстановлению критической информации.

Используйте в облаках зашифрованные данные, так как собственником «облачного хранилища» является чужая компания, которая также имеет доступ к вашей информации. Конечно, шифровка данных потребует времени, зато даже при утечке информации, злоумышленники не могут воспользоваться полученными данными. Для шифрования существуют как готовые решения (например, от операторов ЭДО), так и отдельные программы, которые можно приобрести использовать в т. ч. для внутреннего документооборота.

Аппаратные и программные решения

Существует универсальный комплекс аппаратных и программных решений:

1. Файерволы — контролируют поступающие и исходящие информационные потоки. Программа — фильтр, отслеживает взаимодействия компьютера, анализирует сетевую активность и дает разрешение на соединение с конкретным сервером.
2. Специализированные антивирусные программы.
3. Anti-APT — предназначены для борьбы со сложными компьютерными атаками, анализируют информационный трафик и выявляют «железо», зараженное вирусами.
4. В связи с развитием удаленного режима работы остро стоит вопрос защиты домашнего рабочего места работника. Так как домашний роутер, компьютер, ноутбук имеют меньшую защищенность по сравнению с офисным оборудованием.

Рекомендуется использовать в компании VPN-сервис, при помощи которого сотрудники выходят на офисную локальную сеть и лишь затем — к своим офисным компьютерам через удалённый рабочий стол.

Причем использование таких сервисов не является незаконным (как считают некоторые пользователи). Например, пресс-секретарь президента Дмитрий Песков заявил в начале апреля, что использует VPN-сервисы и пояснил, что это делать не запрещено.

Обучение сотрудников

Самым слабым звеном любой информационной системы является человек. Необходимо научить работников бороться с фишингом. «Предупрежден — значит вооружен».

Составьте инструкции по технике безопасности при работе с интернетом, электронной почтой, системами ЭДО и т. д. Не обязательно использовать сложные термины и составлять памятку на 100 листов. Просто обозначьте главные правила — не оставлять пароли на видном месте, не сообщать их посторонним, не открывать подозрительные письма и т. п.

Лучше всего подкрепить знания подписями сотрудников об ознакомлении с памяткой. Можно также установить, что за нарушение правил сотрудник может получить дисциплинарное взыскание — выговор. А это один из шагов к увольнению, если нарушения будут систематическими.

Научите сотрудников устанавливать надежные пароли:

• для каждой учетной записи необходимо использовать свой пароль;
• применять двухэтапную верификацию паролей, если пароль будет украден, у злоумышленника не будет доступа к телефону, чтобы войти в информационную систему;
• применять «длинные» пароли, которые состоят минимум из 12-15 знаков, где кроме заглавных и прописных букв имеются цифры и знаки препинания;
• запретите отправку паролей по SMS или электронной почте.

Компания «Ингосстрах» обеспечивает страхование от кибератак, в том числе возмещает убытки, вызванные мошенническим вводом данных или команд в компьютерные информационные системы, электронные системы перевода денежных средств.

«Кибер-Инго»

Страхование информационных рисков для юридических лиц

Отправить