Основные правила web-безопасности

На сегодняшний день бизнес любого масштаба и направленности использует в своей деятельности цифровые активы, включая электронную почту, веб-сайты, профили в социальных сетях для маркетинговых стратегий, интернет-приложения и прочее. В связи с этим, веб-безопасность приобретает один из главных приоритетов и становится важной задачей, которую необходимо решить для сохранности корпоративной информации.

К угрозам кибербезопасности относятся:

• Офлайн- и онлайн-фишинг. Неправомерное получение учетных данных с использованием вредоносных программных продуктов, поддельных ссылок и других методов.

• DDoS-атаки. Перегрузка трафиком аппаратных серверов компании, которая способна полностью или частично вывести из строя IT-инфраструктуру; информационная безопасность web-сайта, служб и ПО, в таком случае, оказывается под угрозой.

• Кейлоггинг. Вредоносное ПО, основная функция которого заключается в регистрации нажатых кнопок на клавиатуре с последующей отправкой записанных комбинаций на удаленный компьютер злоумышленника.

• Трояны. Небольшие программные продукты, внедряемые в систему машины, как правило, во время установки пиратского ПО. Они позволяют получить хакеру доступ и контроль над зараженным компьютером.

• Уязвимости cookie. Для простоты использования веб-сайты часто используют файлы cookie, в которые записываются важные данные о посещении и действии пользователя. При получении злоумышленниками доступа к ним, это чревато потерей конфиденциальных данных.

• Аппаратные уязвимости и уязвимости подключения. Использование роутеров и другого оборудования с устаревшей прошивкой в IT-инфраструктуре предприятия либо подключение к общественной беспроводной сети может привести к появлению уязвимостей, что упрощает хакерам задачу по краже информации.

Технологии продолжают развиваться, но средства защиты всегда немного отстают от злоумышленников, которые изобретают все новые способы обмана ради получения доступа к требуемым данным. Последствия потери информации для бизнеса могут быть разными, начиная от небольшого простоя, в случае наличия резервных копий, до существенного ущерба для репутации или даже полного банкротства предприятия.

Дальше рассмотрим принципы организации киберзащиты информационной инфраструктуры предприятия, которые помогут в предотвращении известных способов хищения корпоративной информации. Этот список не является окончательным. Для максимальной защиты рекомендуется на постоянной основе знакомиться с современными трендами информационной безопасности и внедрять новые технологии в IT-инфраструктуру организации.

Практики кибербезопасности для бизнеса

Рекомендуется создать в компании соответствующие политики и правила доступа к рабочим местам. Лица, не имеющие права доступа за рабочий компьютер, не должны быть допущены к рабочему месту. При нахождении в офисе посторонних лиц, партнеров, поставщиков или клиентов, необходимо организовать сопровождение во избежание вредоносных действий с их стороны.

Идеальный вариант — организация конференц-залов и залов ожидания, физически отдаленных от рабочего пространства. Таким образом минимизируется вероятность несанкционированного проникновения лиц в непредусмотренные для этого места, где можно услышать конфиденциальные разговоры или получить доступ к IT-инфраструктуре. 

Все рабочие машины должны быть защищены паролем во избежание беспрепятственного доступа к системе неавторизованных лиц. При отсутствии сотрудника на рабочем месте по какой-либо причине необходимо блокировать экран. Для этого существуют специальные комбинации клавиш на разных системах. Например, Win + L на ОС Windows.

Этому же правилу необходимо следовать со всеми гаджетами, применяемыми на рабочих местах, включая мобильные телефоны, смартфоны и другую технику, где потенциально может находиться конфиденциальная информация. Такая практика должна войти в привычку рабочей команды, поэтому рекомендуется напоминать сотрудникам о блокировке рабочих гаджетов на каждом корпоративном собрании, где оговаривается информационная безопасность.

Часто для упрощения использования онлайн-приложений и служб сотрудники используют идентичные пароли на разных ресурсах и устройствах. Такой подход подвергает риску безопасность файловой системы и всей информационной инфраструктуры. При получении злоумышленником пароля на какой-либо ресурс, опасности подвергнется и вся цифровая система предприятия.

Отдельное внимание стоит обратить на методы сохранения паролей сотрудниками. Частой практикой является их хранение в одном файле, например, в таблице Excel для упрощения доступа. Специалисты рекомендуют избавиться от такой привычки по причине того, что в случае получения злоумышленником физического доступа к машине или в случае заражения вирусными программными продуктами, все пароли станут доступны хакеру для кражи и последующего использования.

Для безопасного хранения паролей существует специализированное программное обеспечение — менеджеры паролей. Для использования доступны разные продукты от различных производителей. Рекомендуется выбрать ПО в соответствии с потребностями и задачами организации и внедрить его на все рабочие машины, где требуется хранить длинные пассворды.

Регулярное обновление корпоративных программных продуктов — залог безопасности работы и хранения информации. Некоторые производители и лицензии позволяют включить автоматическое обновление. Рекомендуется воспользоваться этим вариантом. В новых пакетах обновлений разработчики устраняют найденные уязвимости, что позволяет минимизировать возможность утечек и взломов.

Необходимо выбирать качественное антивирусное ПО, которое обеспечивает защиту в реальном времени, web-безопасность и предоставляет круглосуточную поддержку пользователей. Оно должно быть установлено на каждой машине, вне зависимости от сферы использования и подключения к корпоративной и глобальной сети.

Точная конфигурация информационной инфраструктуры не должна быть известна никому, кроме сотрудников IT-отдела, которые непосредственно работают с аппаратным оборудованием. Точное количество брандмауэров, серверов, роутеров, схема корпоративной сети и прочее может послужить для злоумышленника ценной информацией для планирования и реализации атаки и кражи данных.

Не допускается использование рабочих компьютеров и смартфонов для личного использования сотрудников, в том числе для проверки личной электронной почты, скачивания нелицензионных файлов, просмотров личных страниц в социальных сетях и т.п. Для контроля над использованием рабочих машин существуют специальные средства и инструменты ограничения доступа в браузерах и других программах.

Чтобы предотвратить стороннее вмешательство, преднамеренное или случайное изменение данных, необходимо разграничить доступ к информации по соответствующим отделам. Никто не должен иметь полный доступ ко всей IT-инфраструктуре предприятия, кроме владельца компании. Например, бухгалтерский отдел должен иметь доступ к специализированным программным продуктам, отдел проектирования — к собственному ПО и т.д. Кроме того, рекомендуется определить роли сотрудников, в зависимости от должности и уровня допуска.

Если сфера деятельности компании не связана с продажей товаров и услуг или рекламой, рекомендуется ограничить доступ незнакомцев к страницам в социальных сетях. Для этого в каждой современной соцсети есть соответствующие программные инструменты.

Если бизнес связан с продажами или рекламой, ограничение доступа может повлиять на привлечение потенциальных клиентов, поэтому этот вариант может оказаться неприемлемым. В таком случае необходимо проводить регулярные консультации с сотрудниками для информирования о возможных вариантах фишинга и других уязвимостях, связанных с человеческим фактором.

Безопасность корпоративной информации, в первую очередь, основывается на здравом смысле. Необходимо создать среду, где сотрудники будут открыты к обсуждению этой темы, делиться своими мнениями и слушать остальных. Безопасность web-приложений и всей информационной инфраструктуры зависит от каждого, кто имеет к ней доступ. На регулярных собраниях рекомендуется сообщать о недавних происшествиях в сфере кибербезопасности, чтобы донести опыт других компаний и воспользоваться им во благо собственного бизнеса.

Резюме

Несмотря на соблюдение всех вышеописанных рекомендаций, ни одна компания не застрахована от кибератаки на 100%. Чтобы минимизировать последствия потенциальной атаки, необходимо разработать детальный план реагирования, который позволит поэтапно выполнить соответствующие шаги для сохранения информации и остановке хакерского вмешательства. В план реагирования рекомендуется включить все возможные угрозы, включая DDoS-атаки, переход по фишинговым ссылкам, появления вредоносного программного обеспечения на компьютере и остальные угрозы, упомянутые выше.