Все мы привыкли, что понятие «информационной безопасности» связано с киберпреступниками, взломом сети и компьютеров и другим. Однако не стоит забывать и о человеческом факторе. Даже такой бизнес-процесс, как увольнение сотрудника, может поставить под угрозу безопасность всей компании.
Если не относиться к данному процессу с полной серьезностью, это может повлечь за собой сопутствующие риски, например – разглашение технической или конфиденциальной информации, коммерческой тайны.
Для начала нужно разобраться, какие проблемы могут возникнуть для компании.
Кража личных данных сотрудников
Такая информация может использоваться для «буллинга» или «моббинга» с целью снижения морального состояния сотрудников.
Присвоение «личной» информации
С сотрудниками заключают соглашения, что «продукты интеллектуального труда, которые были произведены во время работы в компании, являются собственностью компании, и за эту работу была выплачена денежная сумма». Однако случаются ситуации, в которых сотрудник оспаривает такое решение, что грозит судебными процессами и формированием негативного мнения о компании.
Утечка конфиденциальных данных о привилегированных учетных записях
Источником таких утечек в большинстве случаев являются системные администраторы, разработчики и подрядчики, которые в силу своих профессиональных обязанностей имели доступ к ключевым системам компании. Несвоевременный контроль за действиями пользователей и отсутствие политик смены паролей часто становятся следствием успешных кибератак.
Фальсификация данных
Эта проблема возникает в отсутствии контроля над уровнями и правами доступа к активам, что приводит к возможности нарушения непрерывности бизнеса. Для предотвращения рисков, связанных с информационной безопасностью, и обеспечения конфиденциальности данных в компаниях технические средства сочетают с мерами правовой защиты, организационными и социально-психологическими инструментами.
Компания Softline Belarus рекомендует руководителям подразделений информационной безопасности предпринять несколько простых, но эффективных шагов:
Организовать взаимодействие с непосредственными начальниками различных подразделений, а также кадровой службой для оперативного уведомления о смене сотрудников.
Договориться с руководством компании о возможности общаться с персоналом при его уходе. Беседовать нужно лично, в случае негативного настроя – постараться создать нейтральное отношение к компании. Также следует взять у сотрудника соглашение о неразглашении информации, которой он обладал в силу должностных обязанностей.
Контролировать данные, которыми владеет сотрудник, для чего необходимо понимать его должностные обязанности, права доступа к активам и особенности взаимодействия внутри команды. Пользуйтесь политикой смены паролей и контролируйте круг лиц, которые могут передать обновленную информацию бывшему коллеге. Настройте правила в SIEM и DLPсистемах для противодействия попыткам доступа к данным и инфраструктуре.
Проводите проверку всех активов на наличие уязвимостей и несовпадение конфигурации со стандартной при уходе сотрудников, которые работали в информационных системах с правами привилегированных учетных записей. Если была проведена переконфигурация оборудования или иных объектов локальной сети, проведите внутреннюю проверку с целью узнать, на основании чего были внесены изменения. Сотрудники, работающие с уровнем доступа «Администратор» должны контролироваться PAM-системами.
Еще больше про информационную безопасность бизнеса мы рассказываем в нашей группе в Facebook. Кроме того, там публикуем анонсы мероприятий и экспертные интервью. Подписывайтесь!
DDoS-атаки – одна из самых опасных угроз для компаний, которые предоставляют услуги в интернете. Их легко организовать, они недорого стоят и могут длиться несколько дней (или даже недель), полностью блокируя пользователям доступ к сайту. О том, что представляют собой DDoS-атаки и как с ними бороться, нам рассказал руководитель отдела информационной безопасности компании Softline Belarus Александр Дубина.
Руководитель отдела информационной безопасности компании Softline Belarus Александр Дубина рассказал, какие опасности из киберпространства следует ожидать белорусскому бизнесу в ближайшее время.
Компания Positive Technologies разработала продукт MaxPatrol VM, способный выдавать актуальную картину уязвимостей системы, выбирать из них наиболее критичные. Он может даже прекратить извечное противостояние департамента ИБ с ИТ-отделом.
Самое важное, что нужно знать про "Закон о защите персональных данных" - что такое "персональные данные", как получать разрешение на их обработку и как защитить персональные данные своих сотрудников и клиентов.
Статья подготовлена с помощью специалистов компании Softline в области права и информационной безопасности.