ГК Softline: четыре мифа о кибербезопасности могут поставить бизнес под удар
Контрагент с избыточным доступом или менеджер, который пересылает себе отчеты на личную почту и даже родственник сотрудника, обсуждающий работу в мессенджере, – все это может стать причиной утечки важных данных.
Опыт работы Softline с компаниями по всей стране показывает, что в бизнес-среде устойчив ряд мифов в сфере ИБ.
Миф первый: лишь штатные сотрудники могут навредить безопасности. Практика подтверждает, что угроза может исходить от подрядчиков, партнеров, бывших сотрудников и даже их родственников. Любой, кто имеет легальный доступ к вашим системам, – потенциальный инсайдер. И часто внешних игроков проверяют меньше, чем внутренних. Например, это может быть бывший сотрудник, чья учетка осталась активной после ухода из компании, или субподрядчик с NDA, получивший доступ ко всем проектным данным и способный отдать их конкуренту.
Еще хуже, что в даркнете ищут «людей изнутри» за вознаграждение. Чаще всего идет поиск сотрудников банков или сотовых операторов. Их доступ к базам данных ценится на черном рынке. Чтобы компаниям обезопасить себя, важно контролировать не только технические уязвимости, но и человеческий фактор.
Миф второй: утечка – это всегда предательство. Но примерно в 50% случаев виновата банальная неосторожность: слабые пароли, клик по фишинговой ссылке, файлы на личном облачном диске. Мы в Softline знаем ситуацию, в которой один из клиентов столкнулся с шантажом: злоумышленник заявил, что взломал системы компании, а в подтверждение прислал скриншоты внутренних договоров. Он требовал выкуп в размере $30 тыс., угрожая публикацией данных. Чтобы выиграть время и оценить реальность угрозы, служба ИБ начала переговоры с мошенником. Переписка продолжалась несколько дней.
В ходе расследования выяснилось, что взлома не было. Данные попали в сеть из-за незащищенного FTP-сервера, который временно оказался открытым. Так как боты поисковика автоматически проиндексировали все файлы, информация стала доступной прямо из браузера. Далее мошеннику не составило труда найти эту уязвимость через специальные запросы. Когда у преступника запросили доказательства (50 случайных файлов из 75 тыс.), он исчез. Это подтвердило, что угрозы были блефом.
А в одной из медорганизаций открытая уязвимость в 1С позволяла без авторизации получать доступ к диагнозам, рецептам и всей истории пациентов. Просто потому, что никто не настроил ограничения. Утечка была обнаружена специалистами по ИБ в ходе плановой проверки. Администрация клиники оперативно заблокировала систему, однако если бы уязвимость нашли злоумышленники, могла бы произойти масштабная утечка медицинской тайны.
Миф третий: опасны только топ-менеджеры с доступом к важным данным. Нет, обычные сотрудники – главная уязвимость. Например, в одной из госкомпаний мошенники скомпрометировали почту инженера по техническому обслуживанию и оснащению подразделений. Неизвестно, был ли это целенаправленный взлом или случайная утечка, но преступники получили доступ к переписке и узнали, что инженер часто взаимодействует с локальным администратором, который обладает максимальными привилегиями. Они изучили стиль их общения и от имени сотрудника написали что-то вроде: «Дружище, нам нужно развернуть кое-что новое для тестов, выручай». По регламенту администратор должен был запросить официальное подтверждение, но, решив не усложнять процесс бюрократией, выдал доступ.
Дальше злоумышленники установили майнинговое ПО и вежливо отписались: «Спасибо, доступ можно закрывать», удалив переписку. Майнер был запрограммирован на «спящий режим» и активировался только через два месяца. Когда серверы внезапно начали грузиться на 80% (вместо обычных 20%), администраторы забили тревогу. Инцидент устранили, но последствия могли быть куда более серьезные. Поэтому мониторинг нужен не выборочно, а системно. Любой вход в систему, любое атипичное поведение должно вызывать внимание ИБ-отдела.
Миф четвертый: дорогие технологии защитят от человеческого фактора. Даже самый продвинутый софт не защитит, если вы не прописали регламенты, не обучили персонал и не синхронизировали ИБ с HR. А еще часто компании переплачивают за «премиальные» решения, которые на деле оказываются бесполезны. Компании ждут защиты, а при первом же инциденте слышат: «По договору мы вам ничего не должны».
Руководителям в сфере ИБ мы в Softline рекомендуем перед подбором решений задать себе три вопроса: решает ли продукт ваши задачи здесь и сейчас, соответствует ли цена реальной пользе и готов ли вендор отвечать за свои слова при инциденте?
