Евгений Шустов: «Информационная безопасность — не паранойя, а гигиена»

По данным кибер-аналитиков, только за 2024 по России прокатилось более 250 тыс. кибератак — будто хакеры решили заменить скучных ботов в СS на живых айтишников. По официальным данным в Красноярском крае ежегодно «под прицелом» оказывается свыше 1000 компаний. Но стоит учесть: на порядок больше атак вообще не попадает в статистику — кто-то не заметил, кто-то не афиширует, кто-то не верит. И если вы думаете, что речь только о крупных корпорациях, то напрасно. У них есть отдельный штат «параноиков с бейджиками» — их службы безопасности. А вот средний бизнес и растущий малый чаще всего становятся жертвами кибермошенников: шуму меньше, а профит зачастую не хуже.

Сегодня компания — это не только офис, но еще и сайты, облака, чат-боты, удаленка и фрилансеры со всех городов. А еще персональные данные клиентов, которые вы храните «для маркетинга». В целом риски в XXI веке весьма материальны, и, к сожалению, антивирус для человеческой головы пока не выпустили.

Для начала разберем главные угрозы и обсудим, как их избежать.

Итак, первая — взлом сайта. Думаете, ваш маленький сайт хакерам не интересен? Увы! Он для них, как минимум, отличный тренажер. Страховка: сложные пароли, регулярные обновления, только корпоративные устройства, никакой магии с домашними ПК. Касательно обработки персональных данных клиентов и посетителей — проверьте, кому реально доступна эта информация и где она «оседает». Уверяю, вы очень удивитесь.

Второе: вирусы и вредоносное ПО. Письма со ссылками, QR коды от непроверенных отправителей и прочее подобное, это еще не повод сразу реагировать на них, в итоге отсылая мошенникам свои данные. Бэкапы, обновление ПО и часы обучения внутри коллектива обязательны: расскажите своим сотрудникам про вредоносные вложения, ссылочки и «мутные» QR — сегодня это, пожалуй, ТОП любимых затей мошенников.

Третье. Потеря или утечка данных. В облаке «надежно, как в банке» только до первого взлома. Создавайте резервные копии (только, пожалуйста, изолированными от корпоративной сети), доступы уволенным сотрудникам закрывайте быстрее, чем они могут пожаловаться в отдел кадров. Все данные клиентов — с шифрованием и согласиями на хранение, иначе штрафы и скандалы обеспечены.

Четвертым пунктом пойдут фишинг и поддельные сайты. Это не только сериальная история — в реальной жизни ими пользуются очень часто. Браузерные расширения, IP-фильтрация, внимание к мелочам (и никакой рассылки паспортов клиентов в рабочих чатах) — к сожалению, все это наша реальность.

Идем дальше. Хакерские атаки. Пароль «12345» годится только для анекдота на корпоративе. Брутфорс, DDoS, школьники и просто находчивые соседи по Wi-Fi — реальны. Нет бэкапов — ловите встречу с разгневанными клиентами и Роскомнадзором на десерт.

Не добавляют оптимизма и столь любимые сегодня аутсорсеры или просто сотрудники на удаленке. Небрежность в этом поле — самый простой способ отдать ваш бизнес на конкурс «Кто быстрее взломает». Внешние исполнители должны быть только с необходимыми правами и временными учетными записями, а расставаться после проектов нужно по строгому чек-листу. Корпоративные задачи — только для корпоративных ИТ-решений. Открытые боты и публичные языковые модели годятся для личных писем, забавных рассылок и создания шуток в семейном чате, но никак не для ввода реальных бизнес-документов, договоров и клиентской информации. Все, что вы загружаете в сторонние открытые ИИ, очень быстро может оказаться чьей-то будущей презентацией или темой на конференции по утечкам.

И под занавес:

Пусть у вас трехуровневая защита, фильтры по IP и заклинание на двухфакторную аутентификацию — иногда хватает одного недовольного менеджера или «засланного казачка» с флэшкой. Если у вас открытые порты на рабочей станции, бардак в настройках прав, вольготно «гуляют» вирусы, то добро пожаловать в свободный доступ. Внутренний контроль, обучение и здоровый скепсис к новичкам — это обязательное условие, ведь даже золотой ключик бессилен, если дверь подперли табуреточкой.

Пойдя еще дальше, нужно непременно отметить, что самая большая уязвимость — это собственник или руководитель. То есть вы! Один телефон для всего (мама пишет, сотрудники шутят, бизнес-коммуникации тут же) — мечта киберпреступника. Необходимы раздельные устройства, почты, пароли (уникальные!), двухфакторка — и не путайте семейные фото и корпоративные финансы. Но все это полбеды. Главное — то, что в голове. А там нередко нет понимания реальности киберугроз. А меж тем они могут исходить от соседа, живущего у вас за стенкой.

В общем, порядок должен быть везде. И смиритесь: расходы на информационную безопасность — это постоянная статья в бюджете вашей компании (если, конечно, вы хотите, чтобы она продолжала жить). Успокаивает то, что, по крайней мере в первом приближении, это не так дорого. Вот примерная стоимость «малого джентльменского набора ИБ» для организации из 10 сотрудников (на год):

• Двухфакторная аутентификация — 6 000 ₽
• Резервное копирование (100 ГБ) — 12 000 ₽
• Анти DDoS (базовая) — 15 000 ₽
• Антивирус — 15 000 ₽
• Защищенный браузер для бизнеса — 15 000 ₽
• Менеджер паролей KeePass — 0 ₽ (если внедряете сами)

ИТОГО: 63 000 ₽ в год.

Не знаю как вам, по-моему, это куда меньше, чем можно потерять на утечке, например, клиентской базы. А уж ваше время как собственника — и вовсе бесценно.

Резюмируя: информационная безопасность для современного бизнеса — это не паранойя, а гигиена. Иначе слезы придется лить чаще, чем получать смс о приходе денег на расчетный счет, а новости о вашей компании будут куда «интереснее», чем хотелось бы вам.

Читайте по теме:

«Орион» затянет пояс: не обернется ли атака на красноярского провайдера потерей бизнеса?

Отток клиентов, усиление безопасности и напрасные хлопоты — DK.RU поинтересовался у игроков красноярского ИТ-рынка, как может сказаться кибератака на «Орион телеком» на положении компании на рынке.

Как защитить компанию от кибератак

Современные промышленные предприятия — это не только цеха, станки и люди. Это еще и развитая IT-инфраструктура. И ее нужно защищать. Особенно от внешних атак.

Красноярские металлурги подключатся к разработке систем киберзащиты

Это сотрудничество поможет разработчикам учесть в своих проекты отраслевую специфику и ведущие мировые тренды в сфере информационной безопасности промышленности.