Информационная безопасность офиса

Информационная безопасность офиса имеет решающее значение для будущего любого бизнеса. Узнайте, насколько важны меры защиты данных на рабочем месте в этом материале. 

В статье мы рассмотрим:

1. Какие данные нуждаются в защите?

2. Угрозы информационной безопасности в офисе

3. Меры по защите данных в офисе

4. Управление инцидентами информационной безопасности

5. Комплексный подход к обеспечению ИБ в офисе

6. Карта офиса от Falcongaze

Введение

По данным Forbes Media LLC, ожидается, что мировые расходы на ликвидацию последствий киберинцидентов и утечек данных будут только расти, достигнув беспрецедентных 10,5 триллионов долларов уже в 2025 году. Эти деньги можно было бы направить на внедрение инноваций, оптимизацию бизнес-процессов и создание условий для устойчивого развития компаний, их сотрудников и клиентов. Злоумышленники диверсифицируют тактики, совершенствуют схемы кибератак, расширяют ландшафты киберугроз — ни один сектор экономики не остается невредимым. 

Следующие факты подчеркивают тревожность ситуации.

• Согласно данным опроса Allianz за 2023 год, 45% экспертов считают ИБ-инциденты самой опасной причиной перебоев в работе предприятий, превосходящей стихийные бедствия или проблемы с энергоснабжением.
• В последние годы крупные предприятия и корпорации увеличивают бюджеты на информационную безопасность (далее — ИБ), и неожиданным следствием этой тенденции является всплеск интереса киберкриминальных группировок в сторону небольших и средних организаций, у которых значительно меньше ресурсов для обеспечения защиты данных.
• Малый бизнес особенно сильно страдает от утечек информации. До 60% небольших компаний закроются в течение 6 месяцев после кибератаки, не справившись с финансовым и репутационным ущербом. 
• Согласно исследованию IBM, действия человека являются причиной большинства утечек данных. До 95% всех инцидентов происходят вследствие ошибки пользователя — переходу по фишинговой ссылке, скачиванию вредоносного программного обеспечения, разглашению конфиденциальной информации и проч.  
• В мире наблюдается нехватка специалистов по обеспечению информационной безопасности.  По данным Cybersecurity Ventures, количество открытых вакансий в сфере кибербезопасности во всем мире выросло на 350% в период с 2013 по 2021 год. Высокий спрос на квалифицированных специалистов провоцирует значительное увеличение стоимости их услуг. В конечном итоге, такие обстоятельства приведут к неспособности некоторых компаний внедрять меры защиты или эффективно реагировать на ИБ-инциденты.
• Сегодня мы можем наблюдать тенденцию к серьезному ужесточению штрафных санкций со стороны регуляторов за утечки персональных данных граждан. Так, 30 ноября 2024 года в России был принят Федеральный закон № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях (КоАП)», который значительно увеличивает размер штрафов, а также предусматривает оборотные штрафы при повторении инцидентов.

Важно понимать: большая часть всех данных организаций и предприятий сосредоточена в офисах и административных зданиях — на рабочих станциях, серверах, цифровых и бумажных носителях. Для защиты этих данных от несанкционированного распространения, изменения или уничтожения необходимо обеспечить информационную безопасность офиса и персонала организации. 

Информационная безопасность в офисе: какие данные нуждаются в защите?

В офисах обрабатывают огромный массив данных, включая персональные данные граждан, сведения о сотрудниках и клиентах, финансовую и операционную информацию, интеллектуальную собственность, бизнес-стратегии, операционные, сетевые и инфраструктурные данные. Это подчеркивает острую необходимость в надежных методах обеспечения безопасности.

И поэтому первый шаг на пути обеспечения ИБ в компании — разобраться в том, какие данные находятся в ее распоряжении, какая информация может быть общедоступной, а какая нуждается в защите. Для этого необходимо провести инвентаризацию и категоризацию информационных активов по степени конфиденциальности и критичности потери.

Информацию, которую необходимо защищать, можно классифицировать следующим образом.

1. Конфиденциальная информация, доступ к которой ограничен законодательством или внутренними правилами организации. К ней относятся персональные данные сотрудников и клиентов, коммерческая тайна, служебная тайна и т. д. 
2. Государственная тайна и сведения, которые могут нанести ущерб безопасности страны и ее граждан. Доступ к такой информации строго контролируется государством.
3. Профессиональная тайна, то есть информация, которая относится к профессиональной деятельности и может быть использована в корыстных целях. Например, врачебная, адвокатская, нотариальная тайна.
4. Интеллектуальная собственность: авторские права на произведения искусства, изобретения, товарные знаки и другие объекты интеллектуальной собственности.
5. Финансовая информация: сведения о финансовых операциях, счетах, доходах и расходах.
6. Информация о безопасности: данные об уязвимостях системы, мерах безопасности и других аспектах, связанных с защитой информации.

Это лишь некоторые виды информации, которые требуют защиты. В зависимости от законодательства и внутренних правил организации этот список может меняться.

Почему важно защищать данные?

Несанкционированный доступ к информационным активам, стратегическим планам и другой «чувствительной» информации может повлечь серьезный финансовый ущерб и потерю конкурентного преимущества на рынке.

Более того, сегодня последствия нарушения безопасности данных выходят за рамки финансовых потерь, влияя на репутацию организации, ее отношения с клиентами и общую устойчивость. 

Организации должны быть бдительными и постоянно обновлять свои меры безопасности, чтобы защититься от утечек данных и штрафов от регуляторов. 

Угрозы информационной безопасности в офисе

Угрозы информационной безопасности традиционно разделяют на внутренние и внешние.

Внешние угрозы

Внешние угрозы, как правило, возникают за пределами офиса и могут быть связаны с действиями злоумышленников, конкурентов или вследствие внешних факторов.

Вредоносное ПО и программы-вымогатели продолжают представлять значительную угрозу информационной безопасности. Так, в период с 2018 по 2023 год 72,7% всех организаций стали жертвами атак программ-вымогателей.

DoS- и DDoS-атаки — это мощное воздействие на информационную систему офиса с целью перегрузить серверы компании, что может привести к нарушению целостности и доступности данных.

Фишинг и социальная инженерия — еще одна серьезная угроза для целостности и конфиденциальности данных. Киберпреступники имеют бесконечный арсенал методов проникновения за периметр ИБ организаций с использованием фишинговых ссылок, сайтов, приложений и проч. 

Важно понимать: компания может вложить огромные средства в обеспечение безопасности ИТ-инфраструктуры, но в конечном итоге ее информационная система будет защищена ровно настолько, насколько ее сотрудники осведомлены в вопросах кибергигиены и безопасного поведения в сети.

Поскольку злоумышленники используют все более изощренные тактики для эксплуатации уязвимостей, ИТ-отделам необходимо оценивать потенциальные риски и управлять ими. Этот вопрос мы рассмотрим ниже.

Кража или уничтожение физических носителей информации, а также уничтожение коммуникационных каналов — еще одна категория угроз, особенно актуальная для так называемых фронт-офисов.

Стихийные бедствия, аварии, пожары. Стихийные бедствия могут быть опасны не только для ваших сотрудников — но и для рабочих станций и другого оборудования. И хотя эти нежелательные события невозможно контролировать или предсказать, компании могут подготовиться к тому, чтобы минимизировать возможный ущерб.

Внутренние угрозы

Как уже говорилось выше, почти 95% всех нарушений ИБ происходят по вине пользователей. Действия, которые приводят к нарушениям, бывают как преднамеренными, так и непреднамеренными. Как правило, внутренние угрозы информационной безопасности исходят от персонала компании.

Выделяют следующие типы внутренних угроз. 

Нарушение правил использования информационных систем. Сотрудники могут нарушать правила работы с ИС, например, использовать личное устройство для работы или передавать конфиденциальные сведения через незащищенные каналы связи.

Воровство, мошенничество и злоупотребление полномочиями. Персонал, имеющий привилегии или доступ к конфиденциальным данным, может использовать их в личных целях. Помимо этого, при недостатке контроля сотрудники могут похищать оборудование или менять его конфигурацию, что может привести к потере устойчивости информационной системы в целом.

Халатность. Недостаточная осведомленность в сфере информационной безопасности часто становится причиной халатного поведения персонала: переходы по фишинговым ссылкам, намеренная или случайная передача конфиденциальных данных, повторное использование паролей на рабочих и домашних учетных записях и проч.

Слив данных конкурентам. Сотрудники могут передать чувствительную информацию конкурентам как намеренно, так и по ошибке.

Саботаж. Речь идет о преднамеренном создании условий, при которых будет нарушена доступность и целостность информации, например, перегрузка сервера, отключение или уничтожение критически важного оборудования и проч.

На заметку!

В условиях роста популярности удаленного и гибридного формата работы появились и новые уязвимости в информационных системах. Среди прочих можно выделить следующие уязвимости:

• сотрудники могут использовать незащищенные личные устройства для доступа к корпоративной сети и данным, что часто приводит к утечке информации или заражению устройств вредоносным ПО;
• обеспечение контроля над распределенной средой усложняется, проблематично мониторить события ИБ и выявлять нарушителей;
• удаленные сотрудники могут подключаться к незащищенным общественным и домашним сетям и проч.

Узнайте, как правильно переводить сотрудников на удаленку, в нашей статье. 

Меры по защите данных в офисе

Существует несколько проверенных способов, с помощью которых организации могут создать надежную структуру информационной безопасности, обеспечивающую защиту данных и устойчивость к кибератакам в офисах.

Начните с оценки рисков и управления ими

Оценка рисков безопасности — это процесс выявления уязвимостей в ИТ-экосистеме и анализ угроз, которые они представляют для организации: от простоев и связанной с ними потери прибыли до штрафов от регуляторов за несоблюдение требований.

Некоторые стратегии эффективной оценки риска включают в себя:

• выявление и идентификацию информационных активов, которые необходимо защитить;
• анализ потенциальных угроз для каждого актива;
• выявление и анализ текущих уязвимостей информационной системы;
• регулярный аудит IT-инфраструктуры предприятия;
• изучение актуальных угроз ИБ, своевременное информирование персонала о них и мерах безопасности.

Это помогает организациям заблаговременно защищать свои активы и поддерживать непрерывность работы.

Изучите тему подробнее в нашем материале: «Управление рисками».

Разработайте и внедрите политику безопасности

Разработка политики безопасности с полным перечнем действующих правил и процедур помогает существенно минимизировать риски реализации внутренних и внешних угроз. Документ служит своего рода дорожной картой, описывающей особенности эксплуатации информационной системы, внедренные средства и меры обеспечения защиты данных. 

Сотрудников офиса необходимо под подпись информировать о принятых в компании правилах безопасности, а также о любых изменениях в действующих политиках.

Политику безопасности предприятия вводят в действие отдельным приказом.

Изучите тему подробнее в нашем материале: «Политика информационной безопасности».

Используйте NDA и Положение о коммерческой тайне

Мер, принятых на законодательном уровне, бывает недостаточно для защиты коммерчески ценной информации. Поэтому следующий шаг — создание соглашения о неразглашении (NDA) и Положения о коммерческой тайне. 

Для того чтобы соглашение о неразглашении было эффективным, оно должно содержать следующую информацию.

1. Перечень данных, которые считаются конфиденциальными. Это могут быть сведения о процессах и ресурсах компании, ее сотрудниках и клиентах, планах развития и т. д.
2. Подробное описание ситуаций, которые будут считаться утечкой конфиденциальной информации. Это может быть ведение аналогичного бизнеса, публикация данных в СМИ, передача коммерчески ценных сведений в рамках устной беседы и т. п.
3. Меры ответственности за нарушение NDA. Они должны быть четко прописаны в соглашении.
4. Срок действия соглашения.

Условия использования конфиденциальной информации можно дополнительно указать в должностной инструкции. Подписывать NDA следует вместе с основным договором.

Также необходимо отдельным приказом ввести Положение о коммерческой тайне с полным перечнем сведений, в отношении которых введен режим конфиденциальности.

Использование программных и технических средств защиты

Технические средства защиты информации — это устройства, приспособления и системы, предназначенные для обеспечения безопасности данных в компании. К техническим средствам защиты относятся:

• межсетевые экраны (файрволы);
• системы обнаружения вторжений;
• камеры видеонаблюдения;
• датчики движения;
• источники бесперебойного питания;
• криптошлюзы и проч.

Программные средства защиты информации — это утилиты и приложения, предназначенные для защиты информации от несанкционированного доступа, вирусов и других угроз. К ним относятся:

• антивирусы;
• файерволы;
• антишпионы;
• VPN-сервисы;
• сервисы для шифрования данных;
• SIEM- и DLP-системы;
• ПО для защиты от DDoS-атак.

Помимо этого, для защиты данных необходимо регулярно проводить процедуру резервного копирования.

Система контроля и управления доступом (СКУД)

Речь идет о совокупности программно-аппаратных технических средств для контроля и физического ограничения доступа на определенные территории и в помещения.

Основные функции СКУД:

• идентификация пользователей;
• проверка прав доступа;
• регистрация событий (проходы через точки контроля, тревоги и т. д.);
• хранение данных о событиях;
• управление доступом (открытие/закрытие дверей, турникетов и других точек прохода).

СКУД широко используются в современных офисах с ограниченным доступом. Помимо прочего, в систему контроля и управления доступом входят:

• различные идентификаторы;
• считыватели пин-кода и штрих-кода, считыватели биометрических данных;
• контроллеры;
• различное ПО и компьютеры для управления системой;
• электронные замки, приводы дверей, турникеты, шлагбаумы и проч. 

Контроль доступа и аутентификация

Контроль доступа и аутентификация — неотъемлемый компонент надежной стратегии ИБ. Механизмы контроля доступа определяют, кто может получить допуск к определенным информационным ресурсам, в то время как методы аутентификации устанавливают личность пользователей, запрашивающих доступ. 

Как правило, управления доступом пользователей к конфиденциальной информации включает: 

• регулярные проверки и обновления разрешений на доступ; 
• оперативный отзыв доступа для сотрудников, которые покидают организацию;
• применение принципов наименьших привилегий и нулевого доверия для минимизации потенциальных рисков. 

Принцип нулевого доверия подразумевает, что ни один пользователь или система внутри или за пределами периметра сети не являются изначально доверенными. Это значит, каждый пользователь и устройство постоянно проверяются и аутентифицируются, независимо от их местоположения или факта предыдущего доступа. Использование этой модели позволяет гарантировать, что пользователи и системы будут иметь доступ только к тем ресурсам, которые необходимы для их конкретных задач, что значительно снижает риски возникновения потенциальных нарушений безопасности.

Изучите тему подробнее тут.

Шифрование данных

Шифрование — это преобразование информации в нечитаемый формат, что делает ее понятной только авторизованным пользователям с соответствующим ключом дешифрования. Внедряя шифрование, организации могут защитить конфиденциальные данные во время передачи и хранения. Это не только служит превентивной мерой против киберугроз, но и помогает организациям соблюдать требования регуляторов, касающиеся защиты данных и конфиденциальности.

Обучение персонала и повышение осведомленности в области ИБ 

Самые продвинутые меры ИБ будут неэффективными, если персонал компании не осведомлен о правилах кибергигиены и безопасного поведения в Сети. 

Обученный персонал, как правило, лучше распознает угрозы, число которых растет день ото дня. Так, по данным журнала Security Magazine, ежедневно совершается около 2200 кибератак — и противодействовать им должны в первую очередь рядовые сотрудники офисов.

Для обучения персонала противодействию современным угрозам ИБ целесообразно:

• регулярно проводить лекции, семинары и тренинги по теме;
• информировать о новых актуальных угрозах ИБ в почтовых рассылках;
• использовать раздаточный материал (буклеты, брошюры и проч.).

Процесс обучения сотрудников основам ИБ также принято называть «секьюритизацией». 

Управление инцидентами информационной безопасности

Несмотря на рост числа кибератак, многие компании до сих пор не имеют эффективного плана реагирования на инциденты ИТ-безопасности. При этом, если компания подверглась утечке данных и у нее нет надежной стратегии по устранению последствий, ущерб может быть катастрофическим.

Процесс включает непрерывный мониторинг событий ИБ, их регистрацию и анализ собранных данных на предмет нарушений и аномалий. В случае выявления инцидента необходимо своевременно принять меры.

Непрерывно мониторить события ИБ можно с использованием DLP-системы Falcongaze SecureTower. Система в автоматическом режиме отслеживает активность сотрудников за рабочими станциями, анализирует собранные данные на предмет нарушений или аномального поведения и мгновенно оповещает офицера безопасности в случае обнаружения инцидентов — для оперативного реагирования.

Как реагировать на инциденты?

Алгоритм реагирования будет идентичным для любого бизнеса и может выглядеть следующим образом.

• Локализация. На первом этапе выявляют виновных в инциденте, а также определяют территорию нежелательного события.
• Оценка ущерба. На этапе оценки уточняют масштаб происшествия, то есть последствия для организации, к которым привела его реализация. Последствиями инцидента может быть изменение эталонных настроек ИС, уничтожение или разглашение чувствительной информации и проч.
• Устранение последствий. На этом этапе необходимо устранить последствия от инцидента, например, восстановить удаленные файлы.
• Анализ инцидента. На финальном этапе реагирования необходимо проанализировать данные о нежелательном событии и зафиксировать их любым удобным способом, принятым в компании. На основе информации об инциденте следует подготовить отчет, проанализировать его, а затем разработать и внедрить меры для профилактики его повторения.

На заметку! План реагирования должен быть адаптирован к уникальному ландшафту рисков, актуальных для конкретной организации.

Важно регулярно тестировать и обновлять план в соответствии с новыми потенциальными рисками и угрозами. Кроме того, проведение так называемых киберучений и тестирования устойчивости ИС гарантирует, что выбранный в компании план позволит своевременно отреагировать на инцидент и быстро устранить последствия от его реализации. 

Тема «Управление инцидентами информационной безопасности в компании» подробно раскрыта в нашей статье. 

Комплексный подход к обеспечению ИБ в офисе

Для обеспечения ИБ офиса необходимо использовать комплексный подход, включающий как технические, так и программные средства. Выбор конкретных мер зависит от специфики деятельности компании, ее бюджета и требований к уровню защиты. 

Карта офиса от Falcongaze

В последней версии SecureTower 7 Helium мы добавили новый модуль Карта офиса. Это удобный инструмент, который позволяет разместить компьютеры, ноутбуки и другие устройства вашего офиса на плане помещений в соответствии с его фактическим расположением. 

Информацию о расположении устройств на карте можно экспортировать в форматах XLSX и PDF. 

В верхней части рабочего окна вы можете увидеть количество рабочих станций с отклонениями, общее число компьютеров и число компьютеров с отклонениями. 

В правой части рабочего окна размещены основные сведения об интересующем вас оборудовании, подключенных устройствах, его конфигурации, активных пользователях и ответственном сотруднике.

SecureTower оповестит вас, если обнаружит отклонения от заданной конфигурации. Например, при отключении офисного оборудования или подключении нового, не зарегистрированного в системе. Оборудование с отклонениями будет отмечено оранжевым кружочком.

Более того, благодаря карте вы сможете быстро определить, на какой именно рабочей станции произошел инцидент ИБ и где она расположена. Затем, перейдя в модуль «Аудио/Видеомониторинг», вы получите доступ к микрофону, веб-камере или видео с монитора этой станции. Это позволит выяснить, кто именно находился около компьютера во время инцидента.

Исследовать уязвимости вашего бизнеса вы можете бесплатно, попробовав триальную 30-дневную версию DLP-системы SecureTower — без ограничений!

В заключение

Угрозы ИБ становятся все более изощренными, сложными, многоступенчатыми. Определите данные, которые нуждаются в защите, и внедрите соответствующие меры информационной безопасности, отвечающие возможностям и потребностям вашего бизнеса.