Безопасный бизнес: все что нужно знать об информационной безопасности в Интернете
Сегодня во всем мире проходит день Безопасного Интернета. Это лишний повод напомнить всем, кто пользуется всемирной сетью, о том, что Интернет порой – не самая безопасная среда для хранения личных данных, и пользоваться им надо с умом, будь вы пятиклассник или предприниматель.
Для начала немного терминов. Информационная безопасность бизнеса – не только про Интернет. Это касается и бумажных носителей. Например, из вашего офиса пропала папка с важными документами или скрин рабочей переписки был выложен в социальные сети. Все, что может навредить компании, любые данные о клиентах, партнерах, даже конкурентах являются маркерами информационной безопасности. Кибербезопасность – вид информационной безопасности, имеющий отношение только к безопасности работы компании в Интернете. Это защита технических систем от взлома, блокировки и кражи данных.
Какие компании подвержены кибератакам, спросите вы? Ответ: все. И малый бизнес не исключение. Он привлекает мошенников низким уровнем информационной защиты, а также объемом средств на счетах, большем нежели у физических лиц. Все это связано с целью незаконно получить данные бизнеса, доступ к счетам или просто навредить своему конкуренту. Иван Шумилов, основатель и CEO ABIVEE | No-code конструктор рабочих кабинетов, член Клуба молодых предпринимателей Росмолодёжь.Бизнес, победитель хакатона «Цифровой прорыв» (2019г.) считает, что у киберпреступлений есть идеологический и финансовый мотив: «Любые преступления совершаются людьми или группой лиц, у которых есть мотив и цель. Тоже самое касается киберпреступников в отношении представителей малого и среднего бизнеса. Обычно киберпреступление совершается с целью испортить репутацию или завладеть данными предприятия. Мотив можно разделить на идеологический и/или финансовый». А Сергей Гребенников, директор РАЭК, выделил и приоритетные для мошенников области для атак: «Среди видов киберпреступлений: DDoS-атаки, фишинг, программы-вымогатели. Можно классифицировать киберпреступления по целям преступников: финансовая выгода, данные пользователей, перебои в деятельности компаний. Что касается категорий компаний, то в 2022 году киберпреступников интересовали все ключевые отрасли экономики. По данным Positive Technologies, кибератакам подвергались государственные учреждения, промышленные предприятия, медицинские организации. Хотя финансовые и IT-компании лучше подготовлены к атакам, их уровень защиты также часто бывает недостаточным. Чаще всего киберпреступники ориентированы на крупный бизнес, но малый и средний бизнес тоже не может чувствовать себя в безопасности».
Итак, с какими основными вызовами необходимо бороться малому бизнесу:
Утечка данных. Главная цель мошенника – получить доступ к вашим базам данных для дальнейших действий. Например, залезть в базу клиентов, посмотреть сделки, опубликовать в Интернете секретные документы и пр. Сергей Гребенников считает эту проблему одной из самых сложно решаемых для безопасности бизнеса: «Не новый, но один из основных негативных трендов — это утечки данных. Данные уже на протяжении нескольких лет остаются одним из основных мотивов киберпреступлений. В основную «зону риска» входят персональные данные, учетные данные, медицинская информация, данные платежных карт».
Поломка работы бизнеса. Иногда целью мошенников может быть не получение данных, а простая поломка вашего сайта, интернет-магазина, CRM-системы.
Доступ к данным третьих лиц. Это тот случай, когда мошенникам нужны не ваши данные, а данные ваших клиентов. В результате ваша система заражена вирусом или вообще сломана, а данные клиентов в руках недоброжелателей. Иван Шумилов добавил еще один относительно новый, но важный вызов для безопасности бизнеса в Интернете: «Одной из самых новых сфер кибербезопасности является борьба с DeapFake — это методика синтеза изображения, аудио или видео при помощи искусственного интеллекта, благодаря которой злоумышленник может совершать видео- и аудио- звонки своим жертвам, выдавая себя за близкого родственника, и данная возможность дает возможность киберпреступникам обманом получать необходимую информацию для доступа к необходимым сервисам».
Что нужно делать, чтобы свести вероятность кибератаки к нулю.Наши эксперты выделили несколько основных правил. По мнению Сергея Гребенникова, необходимо: «Базово предпринимателям нужно соблюдать основные правила: использовать надёжные пароли, делать резервное копирование данных, использовать антивирусное ПО, обновлять все системы, учить сотрудников цифровой безопасности. Более серьёзный уровень: нанять специалистов по информационной безопасности, подключить сервис мониторинга трафика и защиты от DDoS-атак. Важны и технические средства защиты, например, внедрение DLP-систем, и юридические, такие как разработка всех необходимых документов для обработки персональных данных, корректное их размещение на сайте компании. И наконец, не формальное, а реальное соблюдение всеми сотрудниками политики информационной безопасности, то есть важна ещё и корпоративная культура, которая мотивирует вести себя осмотрительно». Иван Шумилов считает, что хранить данные нужно в нескольких источниках хранения и шифрования данных: «Максимально стремиться хранить данные децентрализовано в разных источниках хранения. В одной базе данных хранить минимум параметров. Использовать сервисы децентрализованного хранения и сквозного шифрования данных. Если МСБ создают собственные сервисы, то реализовывать их с использованием технологий и философии WEb3-проектов».
От себя добавим еще несколько пунктов:
Проводить аудит технических и электронных систем. Делать это нужно минимум раз в год, даже при наличии в штате специалиста по кибербезопасности. Для решения этой задачи у штатного разработчика или системного администратора не всегда может быть достаточно навыков. Лучше нанять специалиста на аутсорсинг или пригласить специалиста из специализированной компании. Он сможет провести качественную оценку угроз вашего бизнеса и дать рекомендации по их устранению.
Использовать пакетные решения для хранения данных. Сегодня существуют готовые решения для надежного хранения конфиденциальной информации и документов и защиты от сетевых угроз. И мы не только про пакеты антивирусов. Например, вы можете хранить данные в облачных хранилищах, таких как DataFort и McAfee Web Gateway Cloud Setvice.
Шифровать данные. Чтобы защитить данные банковских карт, счетов и иной важной информации, лучше установить программу, которая эти данные зашифрует. Суть в том, что данные устройства меняются на нечитаемый код. Мошенникам потребуются ключи для расшифровки, чтобы извлечь выгоду из этих документов.
И помните, что главный источник для кибератак вашего бизнеса – ваши сотрудники. Открытое письмо и переход по странной ссылке, установка сомнительных программ и приложений – и доступ к данным мошенникам обеспечен. Начните с обучения коллег правилам безопасной работы в Интернете. И про специальное ПО тоже не забывайте.
