Кибербезопасность на предприятии: политики, доступы и обучение

На предприятии с несколькими отделами, филиалами и десятками сотрудников кибербезопасность не может быть делом одного системного администратора. Нужна система: кто отвечает, какие правила действуют, как выдаются и отзываются доступы, что делать при инциденте. Технические средства важны, но без организационной основы они работают вполсилы.

Ответственный и полномочия

Первое решение — назначить ответственного за информационную безопасность. Это может быть отдельный специалист, руководитель IT или внешний подрядчик в связке с внутренним координатором. Важно, чтобы у него были:

• Полномочия: право требовать соблюдения правил от всех отделов
• Прямой доступ к руководству для решения спорных вопросов
• Ресурсы: время и бюджет на работу

Без полномочий ответственный будет писать рекомендации, которые никто не выполняет.

Инвентаризация

Невозможно защитить то, о чём не знаешь. Составляется перечень:

• Серверы, рабочие станции, ноутбуки, телефоны с доступом к рабочим системам
• Сетевое оборудование: маршрутизаторы, точки доступа, коммутаторы
• Программы и сервисы: 1С, CRM, почта, облачные хранилища, сайт
• Учётные записи администраторов и сервисные учётные записи
• Места хранения важных данных

Перечень обновляется при любых изменениях. Часто именно при инвентаризации обнаруживаются забытые серверы, старые учётные записи и сервисы, оплачиваемые с личной карты бывшего сотрудника.

Политики

Политика безопасности — набор документов, которые описывают правила. Базовый комплект:

1. Общая политика — цели, ответственность, принципы
2. Правила использования IT-ресурсов — что разрешено сотрудникам на рабочих устройствах
3. Парольная политика и аутентификация
4. Управление доступами — порядок выдачи и отзыва
5. Резервное копирование — что, как часто, где хранится, как проверяется
6. Реагирование на инциденты
7. Работа с подрядчиками — доступы, конфиденциальность

Документы должны быть короткими и понятными. Многостраничная политика, которую никто не прочитал, не работает.

Управление доступами

• Доступ выдаётся по заявке руководителя с указанием необходимых систем и прав
• Права соответствуют должности, а не «как у коллеги»
• При переводе в другой отдел старые права отзываются
• При увольнении все доступы отключаются в последний рабочий день
• Раз в квартал проводится пересмотр: у кого какие права и нужны ли они
• Учётные записи администраторов отделены от повседневных

Связь с кадровой службой обязательна: IT должен узнавать об увольнениях и переводах сразу, а не через месяц.

Техническая основа

• Сегментация сети: гостевой Wi-Fi отделён от рабочей сети, серверы — от пользователей
• Централизованное управление обновлениями
• Средства защиты на рабочих станциях и серверах
• Двухфакторная аутентификация для удалённого доступа, почты и критичных систем
• Защищённый удалённый доступ через VPN
• Сбор журналов событий с ключевых систем
• Резервное копирование с хранением копий вне основной инфраструктуры

Обучение персонала

Многие успешные атаки начинаются с действий сотрудника: открыл вложение, ввёл пароль на поддельной странице, подключил найденную флешку. Обучение должно быть регулярным и практичным:

• Короткий инструктаж при приёме на работу
• Периодические занятия с разбором реальных примеров
• Учебные фишинговые рассылки с разбором результатов без наказаний
• Понятный канал, куда сообщать о подозрительных письмах и сообщениях

План реагирования на инциденты

Когда инцидент уже произошёл, времени на раздумья нет. План заранее отвечает на вопросы:

• Кто принимает решения
• Кого и как оповещать: руководство, подрядчиков, при необходимости — клиентов и органы
• Как изолировать заражённые системы
• В каком порядке восстанавливать работу
• Как сохранить следы для расследования

План стоит хотя бы раз отработать на учебном сценарии.

Типичные ошибки

• Безопасность как разовый проект, а не постоянный процесс
• Политики написаны, но не доведены до сотрудников
• Все сотрудники — администраторы своих компьютеров
• Резервные копии делаются, но восстановление ни разу не проверялось
• Нет связи между кадровой службой и IT при увольнениях

Если вы хотите выстроить систему безопасности на своём предприятии, начните с инвентаризации и аудита — поможем провести их и составить план.