Обеспечение безопасности информации и защита данных становятся ключевыми аспектами успешного функционирования любого предприятия, в свете непрерывных атак и угроз со стороны злоумышленников. Именно поэтому становится популярным обучение сотрудников информационной безопасности. Мы проводим такие мероприятия и на примере одного расскажем, как это может проходить и какие темы важно поднять среди сотрудников.

Основные нюансы обучения сотрудников основам ИБ

Цель такой лекции — донести до сотрудников важность информационной безопасности, ознакомить с основными схемами мошенничества и рассказать о правилах информационной гигиены.

Наша компания совместно с ООО «Код Безопасности» проводили такой образовательный семинар по теме информационной безопасности для сотрудников Южного МТУ Росавиации.

В выступлении были затронуты важные вопросы:

• • социальная инженерия, её методы и статистические данные
  • виды атак на организации и частных лиц
  • знакомство сотрудников с правилами информационной гигиены

Главное, что нужно донести до сотрудников — важность информационной безопасности

Соблюдение информационной безопасности необходимо в следующих случаях:
Для соответствия требованиям законодательства. Многие законы и нормативные акты требуют от организаций принимать меры по защите информации.

Для защиты конкурентных преимуществ и интеллектуальной собственности. Утечка конфиденциальной информации может нанести ущерб конкурентоспособности и прибыльности предприятия. К ним можно отнести репутационные риски – утечка данных происходит из-за негативного отношения клиентов и партнеров к организации, а так же сами сотрудники могут распространять конфиденциальную информацию.

Для защиты персональных данных клиентов. Защита персональных данных является важным требованием, предъявляемым к организациям, работающим с персональными данными.

Сотрудники должны знать о самых частых способах проникновения в сеть организации

Злоумышленники используют множество методов для проникновения в сети организаций.
Наиболее распространенные:

1. Использование уязвимостей в программном обеспечении. Злоумышленники могут использовать известные уязвимости в программном обеспечении для получения доступа к инфраструктуре.
2. Использование методов социальной инженерии. Методы социальной инженерии направлены на то, чтобы обманом или хитростью заставить человека раскрыть конфиденциальную информацию или выполнить действия, которые могут привести к проникновению злоумышленника в сеть.
3. Использование вредоносного программного обеспечения. Вредоносное программное обеспечение (ПО) может быть использовано для получения доступа к системе или для кражи данных.

Защита от фейков

Рассказывая о методах атак нельзя упускать информационные. Фейки — один из распространенных видов социального воздействия и очень важно уметь отличить достоверную информацию от ложной.

Обнаружение и опровержение фейков — важная задача для обеспечения общественной безопасности и поддержания доверия к официальным источникам информации. Создание информационных площадок и оперативное взаимодействие между органами власти позволяет значительно сократить время реакции на недостоверную информацию. Защита официальных площадок от взлома и маскировки помогает предотвратить быстрое распространение фейков и сохранить доверие к информации, размещенной официальными лицами.

Данные о раскрытии сети ЦИПсОшных тг-каналов, о зафиксированнных тг-каналах в Ростовской области, мимикрирующих под публичные, указывают на активность хакерских групп и их попытки использовать сеть коммуникации для распространения фейков. Это подчеркивает необходимость улучшения защиты информационных платформ от хакерских атак и принятия мер по предотвращению распространения недостоверной информации.

В нашем блоге мы освещали доклад на тему фейков Центра управления регионом Ростовской области «Безопасность в социальных сетях».

Защита от методов социальной инженерии

Социальная инженерия (СИ) является одним из самых опасных видов атак на организации. Методы СИ обходят аналитические инструменты разума и направлены на эмоции. Поэтому, приемы СИ в большинстве случаев, оказываются успешными.

Создание дефицита времени является одним из основных приемов СИ. В условиях нехватки достоверной информации, срочные решения становятся сложными. В таких ситуациях жертва начинает действовать, руководствуясь эмоциями: стремлением помочь, желанием получить признание или избавиться от проблемы.

Злоумышленники также могут использовать:

• • жажду легкой наживы
  • страх потерять деньги
  • работу или репутацию для достижения своих целей

 
К распространенным методам социальной инженерии относятся:

1. Оставление карт памяти с привлекательной пометкой в общедоступных местах компании. Сотрудник, обнаруживший флешку, может подключить ее к компьютеру, что позволит вредоносному ПО проникнуть в систему.
2. Проникновение в здание с использованием ключа или с действующим сотрудником (мошенником может использоваться форма одежды, установленная на предприятии). Под видом работников организации, злоумышленники могут украсть информацию, не привлекая к себе внимания.
4. Получение доступа через зараженные сайты, которыми пользуется сотрудник. Преступники могут подделывать ссылки с похожими настоящими доменными именами.
5. Звонок от мошенников с целью завладеть конфиденциальной информацией.

Правила информационной гигиены

Правила информационной гигиены важно соблюдать в каждой организации. Иногда сотрудники, сами не осознавая, могут совершать действия, заведомо угрожающие информационной безопасности.

Базовый минимум, который мы рекомендуем знать:

1. Парольная политика должна предусматривать:

• • использование разных паролей для разных учетных записей
  • регулярную смену паролей
  • создание сложных паролей без комбинаций последовательных символов и личной информации
  • сохранность паролей от посторонних лиц

 
2. Использование многофакторной аутентификации. Позволяет обеспечить легитимный доступ к важной информации.

3. Резервное копирование. Помогает в защите критичных данных и их восстановлении в случае случайной или преднамеренной утере.

4. Обеспечение конфиденциальности личных данных, достигаемое благодаря:

• • ограничению публикации личной информации
  • соблюдению бдительности при предоставлении разрешений для используемых приложений
  • осторожности при использовании общедоступных сетей Wi-Fi

 
5. Использование программного обеспечения актуальных версий. Как правило разработчики исправляют и находят уязвимости предыдущих версий ПО регулярно. Соответственно отслеживание обновлений является превентивной мерой.

6. Обеспечение безопасности беспроводных маршрутизаторов и точек доступа, достигаемое благодаря:

• • сменой данных для авторизации в сети Wi-Fi с варианта «по-умолчанию»
  • обновлением прошивки устройства
  • созданием отдельную сети для посетителей
  • отключенным удаленным доступом и настройкой защищенного Wi-Fi

 
7. Защита от социальной инженерии:

• • быть осторожным при открытии подозрительных ссылок, вложений в электронных письмах и сообщениях
  • распознавать звонки от мошенников. Чаще всего они:
  — говорят о деньгах (что на ваше имя взят кредит на крупную сумму, кто-то хотел списать средства с вашего счета);
  — просят сообщить ваши личные данные с целью предупреждения действий несуществующих мошенников;
  — пытаются вывести из равновесия.

В заключение

Если вы руководитель или собственник организации, то отвечаете за цифровую безопасность среди сотрудников. Ведь случаи утечки важной информации из-за неосторожности сотрудников происходят регулярно, и зачастую от незнания базовых правил безопасности.