Сегодня инфобезопасность пронизывает все аспекты деятельности компании — от организации бизнес-процессов до выбора приложений для повседневных задач.
Крайне важен правильный выбор инструментов для групповой работы и коммуникаций сотрудников, и в первую очередь это касается мессенджеров.
Введение
Основной источник рисков в информационной безопасности — человеческий фактор, а именно сотрудники компании, действия которых по незнанию, невнимательности или по злому умыслу приводят к утечке данных или успешным хакерским атакам на ИТ-инфраструктуру.
Соблюдение норм кибергигиены и корпоративной этики должно изменить ситуацию, но с этим дела пока обстоят не очень хорошо. Уровень кибергигиены сотрудников постепенно повышают — регулярными курсами, тренингами, семинарами и т. д., — но с корпоративной этикой дела обстоят иначе. Например, каждый второй россиянин не расскажет руководству о коллеге, который «сливает» информацию конкурентам — такие результаты принёс недавний опрос, проведённый порталом Superjob.
О каких рисках поговорим
Как показывает опыт, один из источников потенциальных угроз — мессенджеры. Сегодня это — наиболее популярные инструменты как личных, так и рабочих коммуникаций. Часто для корпоративного общения сотрудники используют бесплатные решения, не предназначенные для работы, например популярные WhatsApp и Telegram. Полностью исключить их из общения сотрудников трудно, а встроить их в ИТ-ландшафт компании невозможно.
Возникает брешь в безопасности, сквозь которую могут проникать вредоносные файлы, фишинговые ссылки и прочие угрозы; также это может привести к бесконтрольным утечкам данных.
Утечки приносят большие убытки Вред от утечек для бизнеса может быть огромным. Для иллюстрации: если особенности тендерного предложения попадают к конкурентам, очевидно, компания проигрывает тендер и упускает выгоду. Размер убытков оценить просто: это средняя стоимость контракта. Есть и другие схемы, способные привести к проблемам как экономического, так и юридического характера.
Ещё один пример — утечка персональных данных клиентов. Для этого не обязательно взламывать CRM или воровать базу контрагентов: сотрудник может намеренно или случайно, просто промахнувшись при выборе адресата в Telegram, отправить выгрузку из системы человеку снаружи. Потенциально это приводит в лучшем случае к штрафам, но может вылиться и в судебные разбирательства и репутационный ущерб. Сумма убытков в итоге многократно превысит размер штрафов.
Если он откроет заражённый документ или перейдёт по фишинговой ссылке, путь в информационные системы для хакеров окажется открыт. Последствия для бизнеса — печальные. Компании по понятным причинам не стремятся раскрывать подробности таких инцидентов. Один из недавних — утечка данных Reddit. Сотрудник нажал на «правдоподобно звучащее приглашение», после чего ввёл свои данные на фейковом сайте.
Результат — слитые гигабайты конфиденциальных данных. Бизнес находится под пристальным вниманием хакеров, а также аналитиков конкурентов. Они многое узнают о компании даже по отдельным фрагментам данных, попавшим «не в те руки».
Как снизить риск инцидентов с участием мессенджеров
Для рабочих коммуникаций в корпорациях следует использовать корпоративные мессенджеры. В отличие от потребительских приложений, они лучше защищают информацию, так как сфокусированы именно на рабочей коммуникации. Баланс личного / рабочего и разделение инструментов для повседневного и корпоративного общения — это прекрасно.
Но существуют ключевые факторы, которые минимизируют риск утечек информации:
1. Локальная установка. Корпоративные платформы устанавливаются на серверы компании. Сообщения и файлы не покидают информационный контур и не попадают в открытый доступ. Серверы популярных Telegram и WhatsApp находятся за рубежом, и компания не видит, что происходит с данными. Это небезопасно.
2. Инструменты защиты данных корпоративного (enterprise) класса. Мессенджеры для бизнеса изначально разрабатываются с учётом высоких требований к информационной безопасности. В них реализованы инструменты контейнеризации, ролевые политики и модели, передовое E2E-шифрование (в том числе ГОСТ), безопасные пуш-уведомления и др.
Ключевая возможность криптоконтейнера: администратор мессенджера дистанционно запрещает сохранение данных, их передачу в другие приложения, копирование в буфер обмена и даже снятие снимков или запись экрана. Ролевые политики при этом определяют, какие файлы можно обрабатывать на смартфонах.
3. Интеграция с корпоративными системами информационной безопасности. Важно, что корпоративные мессенджеры взаимодействуют с ИБ-инструментами компании: антивирусами для предварительной проверки файлов перед их обработкой на устройстве, DLP- и SIEM-системами. Всё это позволяет компаниям контролировать, куда уходит корпоративная информация, и снизить риск инцидентов в безопасности.
4. Сертификация ФСТЭК и ФСБ России, аудиты безопасности. На сертификаты корпоративного мессенджера внутренние или внешние злоумышленники внимания не обратят. Но сертификация говорит о том, что продукт прошёл все необходимые проверки и соответствует стандартам защиты информации.
Выводы
Использование корпоративного мессенджера без дополнительных инструментов ИБ не сокращает риск инцидентов. Все средства обязательно должны работать в комплексе. Кроме того, важно регулярно тренировать сотрудников. Люди, которые знают об угрозах и о том, как от них защититься, — это основа корпоративной безопасности.
Крайне важен правильный выбор инструментов для групповой работы и коммуникаций сотрудников, и в первую очередь это касается мессенджеров.
Введение
Основной источник рисков в информационной безопасности — человеческий фактор, а именно сотрудники компании, действия которых по незнанию, невнимательности или по злому умыслу приводят к утечке данных или успешным хакерским атакам на ИТ-инфраструктуру.
Соблюдение норм кибергигиены и корпоративной этики должно изменить ситуацию, но с этим дела пока обстоят не очень хорошо. Уровень кибергигиены сотрудников постепенно повышают — регулярными курсами, тренингами, семинарами и т. д., — но с корпоративной этикой дела обстоят иначе. Например, каждый второй россиянин не расскажет руководству о коллеге, который «сливает» информацию конкурентам — такие результаты принёс недавний опрос, проведённый порталом Superjob.
О каких рисках поговорим
Как показывает опыт, один из источников потенциальных угроз — мессенджеры. Сегодня это — наиболее популярные инструменты как личных, так и рабочих коммуникаций. Часто для корпоративного общения сотрудники используют бесплатные решения, не предназначенные для работы, например популярные WhatsApp и Telegram. Полностью исключить их из общения сотрудников трудно, а встроить их в ИТ-ландшафт компании невозможно.
Возникает брешь в безопасности, сквозь которую могут проникать вредоносные файлы, фишинговые ссылки и прочие угрозы; также это может привести к бесконтрольным утечкам данных.
Утечки приносят большие убытки Вред от утечек для бизнеса может быть огромным. Для иллюстрации: если особенности тендерного предложения попадают к конкурентам, очевидно, компания проигрывает тендер и упускает выгоду. Размер убытков оценить просто: это средняя стоимость контракта. Есть и другие схемы, способные привести к проблемам как экономического, так и юридического характера.
Ещё один пример — утечка персональных данных клиентов. Для этого не обязательно взламывать CRM или воровать базу контрагентов: сотрудник может намеренно или случайно, просто промахнувшись при выборе адресата в Telegram, отправить выгрузку из системы человеку снаружи. Потенциально это приводит в лучшем случае к штрафам, но может вылиться и в судебные разбирательства и репутационный ущерб. Сумма убытков в итоге многократно превысит размер штрафов.
Если он откроет заражённый документ или перейдёт по фишинговой ссылке, путь в информационные системы для хакеров окажется открыт. Последствия для бизнеса — печальные. Компании по понятным причинам не стремятся раскрывать подробности таких инцидентов. Один из недавних — утечка данных Reddit. Сотрудник нажал на «правдоподобно звучащее приглашение», после чего ввёл свои данные на фейковом сайте.
Результат — слитые гигабайты конфиденциальных данных. Бизнес находится под пристальным вниманием хакеров, а также аналитиков конкурентов. Они многое узнают о компании даже по отдельным фрагментам данных, попавшим «не в те руки».
Как снизить риск инцидентов с участием мессенджеров
Для рабочих коммуникаций в корпорациях следует использовать корпоративные мессенджеры. В отличие от потребительских приложений, они лучше защищают информацию, так как сфокусированы именно на рабочей коммуникации. Баланс личного / рабочего и разделение инструментов для повседневного и корпоративного общения — это прекрасно.
Но существуют ключевые факторы, которые минимизируют риск утечек информации:
1. Локальная установка. Корпоративные платформы устанавливаются на серверы компании. Сообщения и файлы не покидают информационный контур и не попадают в открытый доступ. Серверы популярных Telegram и WhatsApp находятся за рубежом, и компания не видит, что происходит с данными. Это небезопасно.
2. Инструменты защиты данных корпоративного (enterprise) класса. Мессенджеры для бизнеса изначально разрабатываются с учётом высоких требований к информационной безопасности. В них реализованы инструменты контейнеризации, ролевые политики и модели, передовое E2E-шифрование (в том числе ГОСТ), безопасные пуш-уведомления и др.
Ключевая возможность криптоконтейнера: администратор мессенджера дистанционно запрещает сохранение данных, их передачу в другие приложения, копирование в буфер обмена и даже снятие снимков или запись экрана. Ролевые политики при этом определяют, какие файлы можно обрабатывать на смартфонах.
3. Интеграция с корпоративными системами информационной безопасности. Важно, что корпоративные мессенджеры взаимодействуют с ИБ-инструментами компании: антивирусами для предварительной проверки файлов перед их обработкой на устройстве, DLP- и SIEM-системами. Всё это позволяет компаниям контролировать, куда уходит корпоративная информация, и снизить риск инцидентов в безопасности.
4. Сертификация ФСТЭК и ФСБ России, аудиты безопасности. На сертификаты корпоративного мессенджера внутренние или внешние злоумышленники внимания не обратят. Но сертификация говорит о том, что продукт прошёл все необходимые проверки и соответствует стандартам защиты информации.
Выводы
Использование корпоративного мессенджера без дополнительных инструментов ИБ не сокращает риск инцидентов. Все средства обязательно должны работать в комплексе. Кроме того, важно регулярно тренировать сотрудников. Люди, которые знают об угрозах и о том, как от них защититься, — это основа корпоративной безопасности.
