Вход
Получайте программное обеспечение в течение нескольких минут с момента размещения заказа! Автоматическая система работает круглосуточно 24/7


Skype: softlist_ru

sales@softlist.biz
Работаем с 09:20 до 18:00 (МСК)
c понедельника по пятницу


Skype: softlist_ru

sales@softlist.biz
Работаем с 09:20 до 18:00 (МСК)
c понедельника по пятницу
Получайте программное обеспечение в течение нескольких минут с момента размещения заказа! Автоматическая система работает круглосуточно 24/7
Информационная безопасность Малых и Средних предприятий
Информационная безопасность Малых и Средних предприятий

Информационная безопасность Малых и Средних предприятий

В нескольких странах попали в сеть номера банковских счетов клиентов известных компаний, в США разгорается скандал из-за кражи конфиденциальных и интеллектуальных данных известного холдинга, по всему миру происходят новые и новые атаки криптошифраторов (WannaCry, Petya и т. д.), постоянно обнаруживаются грубые нарушения и бреши в системах безопасности — все это уже давно стало обыденностью. И никто не застрахован на все 100% от подобного, то есть, какой бы большой, защищенной и важной ни была IT-структура, она все равно может в определенной степени быть уязвимой, в том числе: информационные системы правительства, популярные торговые сети, банковские учреждения, а также сами компании разработчиков антивирусного ПО. Сколько бы денег ни выделялось на IT-защиту компании, это вовсе не гарантирует, что она сможет уберечь данные даже от самой элементарной атаки. Большую часть таких неприятностей было возможно предупредить благодаря соблюдению простейших правил информационной защиты: своевременной загрузке обновлений ПО и конфигурирование, отвечающее основам IT-безопасности.

Но что делать российскому среднему и малому бизнесу, в частности тем, кто не может себе позволить организацию и поддержку обширного штата сотрудников, обеспечивающих ИТ-безопасность? Как уберечь бизнес от, неумолимо растущего количества хакерских атак? Эта статья создавалась специально для того, чтобы любой бизнесмен смог понять, как правильно воспользоваться доступными ему SMB-инструментами для улучшения своей системы IT-безопасности.

Основные виды опасностей для малого и среднего бизнеса:

Хищение данных — кража отдельных сведений или документов, которые важны для работы компании, при проникновении в систему, совершаемом хакером или сотрудником.

Защита сайта — обычный внешний вид сайта компании злоумышленники заменяют другой веб-страницей, которая может отображать рекламу, требования хакеров и т. д..

Фишинг — способ получения конфиденциальных сведений (логины и пароли, банковские счета), при котором подделывается вид письма от проверенного отправителя (хакер отправляет письмо с вредоносной ссылкой, которое очень похоже на настоящее, и жертва спокойно проходит по данной ссылке, давая возможность шпионскому ПО проникнуть на ПК).

Вирус-вымогатель — после проникновения на компьютер такая программа блокирует доступ к какой-либо информации, находящейся на устройстве. Это позволяет хакерам потребовать выкуп за разблокировку данных.

Надежность IT-защиты напрямую зависит от того, как управляется система безопасности. Если информационная структура управляется достаточно хорошо, то и хакерам придется приложить достаточно много усилий и времени, чтобы проникнуть в нее. Но как понять, насколько хорошо ваша компания защищает свои данные? Попробуйте задать себе такие вопросы:

  • Известно ли вам, какие устройства специалисты могут подключать к рабочим ПК? Что может использовать возможности вашей локальной сети и непосредственно находиться в ней?
  • Какое ПО установлено на устройствах вашей компании?
  • Как настраивались рабочие компьютеры и сети? Были ли при этом учтены требования IT-безопасности?
  • Можете ли вы контролировать доступность критических данных компании, в том числе в отношении тех сотрудников, которые имеют соответствующие права для доступа к ним?
  • Осознают ли ваши работники свое значение в поддержании IT-безопасности компании?

Далее мы расскажем о разнообразных средствах, которые не стоят заоблачных денег, и методах, способных помочь вам дать ответ на вышеприведенные вопросы и улучшить защиту своей информации. Представленные нами средства не могут всецело охватить проблемы IT-безопасности. Однако спектр проблем, которые они помогут разрешить, достаточно обширен, и в большинстве случаев этого бывает вполне достаточно для заметного увеличения надежности IT-защиты SMB.

Мы выбрали систему пошагового построения структуры защиты информации:

Шаг 1: вы сможете определить, что (какие устройства) используют ваши сети, и понять основные правила IT-безопасности.

Шаг 2: обеспечьте выполнение данных мер и обучите своих работников соблюдать номы информационной безопасности.

Шаг 3: подготовьте свою компанию к возможным хакерским атакам и прочим неприятностям, связанным с сохранностью данных.

На каждом шаге вы встретите определенные вопросы, которые нельзя оставить без конкретного ответа.

Шаг 1: Узнайте свою IT-инфраструктуру

Для начала нужно получше узнать свою сеть, находящиеся в ней устройства, используемое ПО и понять, какую информацию необходимо особо надежно защитить. Если вы не будете точно разбираться в том, что именно требует особого внимания, вы не сможете с уверенностью говорить о хорошем уровне защиты своих данных.

Основные вопросы, на которые нужно всегда знать ответ:

  • Какие данные более всего важны для вашей компании? Вы можете точно сказать, где они хранятся в вашей информационной системе?
  • Вы можете быть уверены в том, что в вашей сети находятся только доверенные устройства?
  • Какое ПО использует ваша компания?
  • Насколько надежными паролями пользуются ваши специалисты и рядовые сотрудники?
  • Могут ли сотрудники использовать посторонние интернет-ресурсы в свое рабочее время (то есть, например, общаться в соцсетях или играть вместо выполнения работы)? 

Одна из основных причин краха, казалось бы, успешных компаний — это потеря, кража или повреждение особо конфиденциальной или другой важной информации. Кофе, случайно пролитый на сервер вашего главного сайта, или неожиданный обрыв электрических линий, и, как итог, отключение электричества по всем вашим офисам — все это может привести к очень печальным последствиям. Но в таком случае вы не обязательно потеряете особо важные данные. А с умышленными действиями все иначе. Преступники нацелены, как правило, на кражу какой-либо критической информации о вашей компании, которую они смогут использовать в своих целях. Причем преступником может оказаться не только хакер, но и сотрудник вашей же компании. В любом случае, перед тем, как пользоваться информацией, нужно ее для начала получить, а именно — обрести к ней доступ. И ваша локальная сеть в этом отлично им поможет.

Чтобы эффективно защищать свою компанию, нужно четко понимать важность вашей информации и то, что вообще можно делать с такими данными. Мы в свою очередь расскажем, какие данные необходимо защитить по закону. Все они должны пройти идентификацию и инвентаризацию.

  • Платежные карты, данные, связанные с банкингом и другой финансовой деятельностью.
  • Конфиденциальная информация.
  • Базы, в которых содержатся клиентские данные, бюджетные сведения компании.
  • Коммерческие тайны, формулы, методы, схемы, интеллектуальное имущество.
  • Защищать подобную информацию нужно согласно определенным правилам (имеющим отношение к SMB), которые представлены в соответствующих законах.

Какие устройства могут использовать вашу сеть

Если вам точно известно, какие устройства находятся в вашей IT-инфраструктуре, то управлять ею гораздо легче, и вы быстро сможете определить ряд особо важных устройств, которые нуждаются в усиленной защите. Ниже мы расскажем о том, что вы можете предпринять, чтобы найти такие устройства.

Приемы:

  • Есть ли у вас беспроводные устройства? При помощи маршрутизирующего устройства вы можете увидеть список подключенных устройств. Также нелишним будет проверить надежность уровня шифрования (уровень WPA2 — наиболее современен и надежен).
  • Для средних компаний рекомендуется использование сканеров сети для поиска всех подключенных устройств.
  • Создайте журнал действий, где будут появляться соответствующие записи при подключении сетевых устройств, получающих свой IP по протоколу DHCP. Так вы сможете легко отслеживать, какие устройства и когда получали доступ к вашей сети.
  • Составьте удобную инвентарную таблицу. Если у вас небольшой бизнес, то таблица отлично подойдет для того, чтобы занести в нее все рабочие устройства (принтеры, сканеры, стационарные компьютеры, ноутбуки и т. д.). Аналогичным образом можно сделать и реестр критически важной информации. Главное, не забывать об обновлении таблицы при изменениях.

Решения, которые можно использовать:

Nessus Professionalидеальное решение для мониторинга и обеспечения безопасности. Однако подойдет не всем в виду своей стоимости.

XSpider – хорошее решение от российских разработчиков для обеспечения безопасности компании.

10-Strike LANState – решение для мониторинга состояния сети компании.

ПО, которое используют сотрудники

Чтобы эффективно управлять IT-инфраструктурой и защищать ее, необходимо постоянно контролировать используемое в работе программное обеспечение. Ненадежные программы или нелицензионное ПО могут обернуться большими проблемами, причем не только трудностями с защитой данных, но и с законом. Также нельзя пренебрегать своевременными обновлениями. Вирус, попавший на компьютер с неактуальной версией ПО, легко распространится и на другие такие же устройства, находящиеся с ним в одной сети. Узнав, какое ПО используется в вашей компании, как оно обновляется и как защищены профили с правами администратора, вы сможете быстро отладить свою систему и заметно снизить вероятность возникновения серьезных проблем с IT-безопасностью.

Приемы:

  • Занесите в реестр программы, web-сервисы и «облака», используемые вашей компанией.
  • Помните о том, что чем меньше сотрудников имеют привилегированные права, тем меньше риски, связанные с информационной безопасностью. И вовсе недопустимо, чтобы рядовые работники имели администраторский доступ.
  • Следите за тем, какие пароли используют администраторы. Имея в своем распоряжении такой доступ, преступник может легко отключить защиту, получить конфиденциальные данные и изменять систему по своему желанию. Научите своих сотрудников составлять защищенные пароли.
  • Какой учетной записью администраторы пользуются для проверки электронного почтового ящика, написания отчетов и поиска информации в Интернете? Это должен быть профиль без подключенных прав администратора.
  • Займитесь разработкой процесса своевременного обновления, существующего и установки нового ПО, а также не разрешайте сотрудникам устанавливать стороннее ПО которое не было одобрено.

Решения, которые можно использовать:

AIDA64 Business Edition - обеспечит администратора подробной информацией о установленном программном обеспечении.

10-Страйк - Инвентаризация Компьютеров - поможет администратору сетей создать и вести базу данных инвентаризации и учета компьютеров, комплектующих, программ и лицензий

Шаг 2. Защита ресурсов компании

Один из самых важных и основополагающих ресурсов в любом бизнесе — это те люди, которые работают в вашей компании. Но он имеет огромное значение как для бизнеса, так и для IT-защиты. Технологии бесполезны, если человек не умеет правильно их применять. Здесь мы будем рассматривать не только методы защиты ваших устройств, но и способы подготовки ваших сотрудников.

Основные вопросы, на которые нужно всегда знать ответ:

  • Как настраивались рабочие компьютеры? Были ли при этом учтены требования IT-безопасности?
  • Используете ли вы в своей IT-инфраструктуре антивирус? Как часто он обновляется и обновляется ли вообще?
  • Известны ли вашим работникам новые и эффективные способы IT-защиты?

Основные правила защиты информации

Чтобы обойти систему защиты вирусы и хакеры обычно пользуются либо изначально уязвимыми, либо неправильно настроенными установленными программами. Убедитесь, что используемые ОС, программы и в особенности браузеры верно конфигурированы и обновлены до последней актуальной версии. 

Приемы:

  • Прибегайте к помощи сканера, который покажет неустановленные обновления для ОС Windows и где требуется переконфигурирование.
  • Браузеры, как и связанные с ними плагины, должны быть обновленными до последней актуальной версии. Существует ряд браузеров, которые самостоятельно загружают обновления для своих элементов (Google Chrome или отечественный Яндекс.Браузер).
  • Базы данных антивирусного средства должны быть всегда обновлены до последней версии.
  • Запретите подключать съемные накопители (USB-, CD- и DVD-диски) тем, кому нет необходимости использовать данные устройства на рабочем месте.
  • Воспользуйтесь специальным программным средством Windows, чтобы защитить компьютеры своей компании от хакерских проникновений, связанных с уязвимым кодом программ.
  • Практикуйте аутентификацию сотрудников по нескольким факторам (помимо основных реквизитов логин/пароль). Это особо актуально при использовании удаленного доступа к внутренней IT-структуре и email’у. Вам помогут защищенные токены и системы дополнительной аутентификации, например, по СМС-коду.
  • По умолчанию установите новые пароли и коды доступа для программ, ОС, маршрутизирующих устройств, фаерволов, LAN и WLAN сетей, офисных устройств (факсов, принтеров), которые добавляются в вашу инфраструктуру.
  • При использовании удаленного доступа к вашим компьютерам и сетям, а также при передаче критически важных данных применяйте надежное шифрование.
  • Если ваши конфиденциальные данные хранятся на физических накопителях в ноутбуках или смартфонах, то шифрование накопителя также необходимо.

Решения, которые можно использовать:

Kaspersky Endpoint Security для бизнеса – обеспечит надежную защиту информации в вашей компании.

Kaspersky Small Office Security – идеальное решение для небольшой фирмы.

Что обязательно должен знать каждый сотрудник

  • Вам необходимо определить тех специалистов в вашей компании, которым доступна критически важная информация или которые занимаются ее обработкой, и убедитесь, что они осознают, насколько их действия влияют на состояние системы IT-защиты.
  • Наиболее опасный и часто встречаемый вид атак — фишинг и через email, и через телефон. Узнайте, знают ваши подчиненные характерные особенности подобных атак, и смогут ли они выявить их на практике. Чтобы получить от вашей компании необходимую информацию, злоумышленник, скорее всего, будет упоминать о неотложности дела или игнорировании вами основных правил информационной безопасности, а также может вводить в заблуждение при помощи сложной терминологии.
  • Главное в успешной защите данных — это осторожность и внимательность. Если в системе начинают происходить несвойственные ей процессы, появляться ошибки или, наоборот, без особых причин все идет слишком гладко по сравнению с тем, что было раньше, то обратите на это внимание. Возможно, кто-то пытается проникнуть в вашу систему.
  • Не оставляйте без поощрения действия сотрудников, которые заботятся о безопасности вашей компании, то есть, используют разные пароли для своих учетных записей и аутентификацию по нескольким факторам.
  • Объясните своим подчиненным, что им необходимо включить блокировку экрана на своих смартфонах и планшетах.
  • Регулярно проверяйте, обновляется ли ПО и ОС на гаджетах и компьютерах ваших сотрудников.

Поддержите осведомленность своих сотрудников

  • Объясняйте людям, в чем состоит защита вашей компании, как они могут поддерживать достаточный уровень безопасности не только на рабочем месте, но и у себя дома. Добейтесь того, чтобы каждый понял это.
  • Каждый подчиненный должен понимать, что IT-безопасность зависит не только от действий других, и что соблюдение ее основных правил — его работа тоже.
  • Предлагайте коллегам ознакомиться с дополнительной информацией о проблемах и методах IT-защиты.
  • Пользуйтесь интернет-источниками.

Шаг 3: Подготовьте компанию к возможным трудностям

Когда у вас уже есть подходящая основа для создания эффективной системы IT-безопасности, необходимо заняться разработкой схемы реагирования на происшествия. Это значит, что в данном разделе вы познакомитесь со способами решения проблем безопасности и восстановления нормальной деятельности вашей организации.

Основные вопросы, на которые нужно всегда знать ответ:

  • Можете ли вы сказать, как часто делаются резервные копии ваших критически важных данных?
  • С какой регулярностью происходит проверка актуальности данных копий?
  • К кому из своих сотрудников вы будете обращаться в первую очередь в случае возникновения трудностей? 

Администрирование резервных копий

Создавать и управлять данными резервного копирования — занятие рутинное и не самое интересное. Однако копирование данных — самый практичный и удобный метод защиты информации, который позволит быстро вернуть вашу систему в рабочее состояние после ее выхода из строя. Криптошифраторы зачастую шифруют ваши данные так, что их невозможно восстановить без уплаты выкупа хакерам. Проработанная схема реагирования, подкрепленная актуальными и обновляемыми копиями важных данных, - это наиболее надежный вариант защиты вашего бизнеса от проблем с IT-защитой.

Приемы:

  • Автоматизация процесса создания резервных копий всех накопителей в системе, на которых находятся критические данные.
  • Регулярно перепроверяйте работоспособность сохранных копий через восстановление системы при помощи последней копии.
  • Сделайте так, чтобы одна или несколько копий находились отдельно от сети. Так действие вируса не затронет данную копию, и вы сможете быстро восстановить работу компании.

Решения, которые можно использовать:

Handy Backup – обеспечит создание бэкапов информации.

Hetman Data Recovery – решение для восстановления файлов.

Подготовьте компанию к атакам и проникновениям 

То, как быстро вы сможете возобновить работу после неприятной ситуации, связанной с безопасностью инфраструктуры, зависит от уровня вашей подготовки к подобным событиям. Инциденты IT-безопасности разделяются на несколько типов: нарушение доступности ваших web-сайтов, блокировка или шифрование всей сети или отдельной информации (криптошифраторы), утеря личной информации клиентов или подчиненных (вирус), воровство накопителей или устройств, информация на которых не была зашифрована.

Вы должны четко знать того, кто сможет вам помочь при возникновении трудностей с IT-безопасностью: штатные специалисты вашей компании, сторонняя фирма, предлагающая свои IT-услуги или кто-либо еще. Как бы то ни было, назначать ответственного необходимо заблаговременно.

Приемы:

  • Назначьте тех, кто сможет контролировать работу специалистов во время атаки или проникновения в систему.
  • Обменяйтесь контактными данными с вашими IT-специлистами/доверенной организацией.
  • Присоединитесь к объединениям, сосредоточенным на использовании и защите данных.
  • Важные контактные данные должны быть одним из элементов схемы реагирования. Это могут быть контакты юридических и IT-консультантов, страховой службы (если есть страховка на случай инцидентов информационной безопасности).
  • Изучите разделы своего законодательства, которые связаны с IT-преступлениями.

Первое, что необходимо предпринять при возникновении нарушений вашей IT-защиты

  • Обратитесь к IT-консультанту, если вы самостоятельно не можете определить тип и масштаб происшествия.
  • Обратитесь к юридическому консультанту, если будут похищены данные, которые могут негативно повлиять на репутацию третьего лица.
  • Задумайтесь о том, как сообщить о произошедшем всем, чьи данные пострадали или оказались раскрыты при инциденте.
  • Если это необходимо, обратитесь в соответствующие органы.