Разрушайте мифы: ваши сотрудники — первая линия киберзащиты

Мы все знаем Смоуки-Медведя и лозунг «Только ты можешь предотвратить лесной пожар». В 2015 году Смоуки обновился: новые рекламы «Получи обнимашки от медведя» пошли по всей стране. В ролике Смоуки выбегает из леса и крепко обнимает кемпинговца за правильную проверку угарев костра. Новый, более дружелюбный Смоуки поощряет за ответственные решения, а не ругает за неосторожность. Страх и тревога не всегда лучшие мотиваторы — многие люди лучше реагируют на позитивную мотивацию через осознанность.

Октябрь — Национальный месяц осведомленности о кибербезопасности. Создан в 2003 году, чтобы американцы имели ресурсы для безопасности в сети. Октябрь — отличное время для малых и средних производителей (СМП) обучать сотрудников их ключевой роли в защите бизнеса от кибератак, передавая позитивное сообщение. Хороший способ — создать План реагирования на киберинциденты и донести до каждого сотрудника его критически важную роль в предотвращении и реагировании.

Киберинцидент — это «событие, фактически или потенциально угрожающее конфиденциальности, целостности или доступности информационной системы или обрабатываемой ею информации, либо составляющее нарушение или неминуемую угрозу нарушения политик безопасности, процедур или правил допустимого использования». Примеры:

• Попытки несанкционированного доступа к системам или данным.
• Неплановое нарушение сервиса или отказ в обслуживании.
• Несанкционированная обработка или хранение данных.
• Несанкционированные изменения в аппаратном, программном обеспечении или прошивке.

План реагирования на инциденты — это набор письменных инструкций для обнаружения, реагирования и ограничения последствий вредоносной кибератаки. План включает подготовку, обнаружение и анализ, сдерживание, устранение и восстановление. План должен быть внедрен до атаки, чтобы ограничить ущерб и сократить время и стоимость восстановления.

1. Подготовка

Хорошее правило: планируй худшее. Количество кибератак растет, а СМП — главные цели злоумышленников, так как у многих нет адекватных превентивных мер.

Способность быстро (и адекватно) реагировать помогает смягчить ущерб. Нужно заранее определить ключевых лиц для уведомления, и каждый должен понимать и быть обучен своим ролям и обязанностям при инциденте.

Также создайте и ведите реестр активов — людей, процессов и технологий, обеспечивающих повседневную работу компании.

2. Обнаружение и анализ

Важно устанавливать и регулярно обновлять антивирусы, антишпионское ПО и другие средства защиты от вредоносного ПО, так как компьютеры постоянно подвергаются угрозам от новых вирусов и тактик киберпреступников.

Также нужно вести и мониторить логи — они автоматически фиксируют операции компьютера и пользователя: посещение сайтов, создание и изменение файлов. Логи дают детальную запись активностей для реконструкции последовательности событий при компрометации сети или системы. Временная шкала, источник заражения и зараженные устройства или серверы можно проследить и проанализировать по логам. Это не только помогает обнаружить инцидент, но и выявить потенциальные уязвимости и устранить их.

3. Сдерживание

Используя собранную информацию, нужно локализовать и подавлить инцидент. Кому-то нужно дать полномочия для быстрых решений по сдерживанию. Это проще, если заранее определены ключевые лица для уведомления. Регулярно обновляйте контактные данные и делайте их доступными для нужных сотрудников. Нормальная операционная деятельность может быть временно приостановлена до разрешения инцидента.

4. Устранение и восстановление

После сдерживания нужно устранить причину и восстановить нормальную работу систем. Это может быть просто удаление вируса с сервера или устройства, либо восстановление данных из бэкапа. Системы могут выводиться в онлайн поэтапно. Поэтому важно планировать инкрементные бэкапы — инцидент может произойти в любой момент.

Также извлекайте уроки после инцидента и улучшайте процессы, процедуры или технологии.

План реагирования в действии

Недавно одно СМП подверглось атаке «spear phishing» (таргетрованная фишинговая атака). Цель — кража конфиденциальных данных (финансовых) или доступ к сети через письмо, выглядящее безобидным.

Сотрудник получил письмо от поставщика с вредоносным кодом в PDF. Письмо выглядело легитимно — ответ на реальные письма сотрудника накануне. Злоумышленники использовали социальную инженерию, адаптировав письмо под сотрудника бухгалтерии, отвечавшего за оплату счетов. При открытии PDF вредоносный код попал в сеть компании.

К счастью, производитель недавно работал с локальным центром MEP по улучшению кибербезопасности. Компания разработала и внедрила План реагирования, обучала сотрудников распознавать фишинг и действовать при инциденте. Угроза была обнаружена, и с планом в руках сотрудники сразу действовали. Заражен был только один компьютер — IT-команда изолировала его от сети, и вредоносный код был остановлен.

Критическая роль сотрудников

Ваши сотрудники — первая линия защиты от кибератак. Наличие Плана реагирования и обучение сотрудников — позитивный подход к кибербезопасности. Многие СМП до сих пор не осознают свои киберриски.

34% всех задокументированных атак направлены на производителей, а СМП особенно уязвимы. Киберпреступники видят в них легкий вход в цепочку поставок. Более 90% вредоносного ПО доставляется по email — одного неверного клика достаточно, чтобы скомпрометировать бизнес. Преступники знают: взломав вашу систему, они получат доступ к сети и конфиденциальной информации о ваших клиентах и их клиентах.

Хотя вы можете думать, что преступникам не до ваших данных, они заинтересованы в конфиденциальной информации о ваших клиентах. Статистика и события, подчеркивающие угрозы, могут вызвать страх, но не всегда приводят к действию. Нужно перейти к более позитивному сообщению о кибербезопасности для сотрудников. Как со Смоуки — уйти от страшного медведя к большим обнимашкам.

Подробнее на странице ресурсов NIST MEP по кибербезопасности или обратитесь в ваш локальный центр национальной сети MEP™ за вопросами или поддержкой.