5 ключевых вопросов вашему кибербезопасному специалисту

Почти еженедельно слышим о другой компании или организации, ставшей жертвой кибератаки. Знаем, что киберпреступники настойчивее, и нам нужно быть более внимательными к защите информации.

Думаю, в личной жизни большинство из нас пытается быть осторожнее. Надеемся, ушли дни, когда каждый наш личный пароль был 123456. Но в офис мы не несем тот же уровень озабоченности. Раз наш IT-специалист наверняка держит кибербезопасность под контролем, мне не о чем волноваться… верно?

Факт в том, что мы как сотрудники играем жизненно важную роль в защите компании, где работаем, и достаточно одного неверного клика, чтобы скомпрометировать бизнес. Недавнее исследование Willis Towers Watson показало, что 90% претензий по киберинцидентам результат какой-то человеческой ошибки или поведения. Вот пять вопросов и ответов, чтобы проложить путь к большей безопасности вашей компании.

1. Каковы главные киберриски моей компании?

Риск компании сильно варьируется в зависимости от уникальной операционной среды, так что есть много чего оценивать и учитывать.

У вас много сотрудников, использующих email? Spear phishing (таргетрованный фишинг) может быть топ-риском для вас. Каждое устройство с IP-адресом на цехе защищено? Если нет — вредоносный код, несанкционированный доступ и использование или эксфильтрация данных могут быть топ-рисками.

Проведение оценок киберрисков должно быть ключевой частью программы управления информационной безопасностью вашей организации. Все знают, что есть какой-то уровень риска для критических и безопасных данных, информационных активов и объектов компании. Но как kvantифицировать и подготовиться к этому киберриску? Цель IT-оценки рисков безопасности — определить, каким рискам безопасности подвержены критические активы вашей компании, и знать, сколько финансирования и усилий следует уделить их защите.

NIST Risk Management Framework (RMF) — отличный ресурс для старта. RMF дает структурированный, но гибкий подход для управления частью риска, возникающей из систем, которыми ваша компания может управлять, и бизнес-процессов вашей организации.

2. Нормально ли использовать менеджер паролей?

Хотя использование менеджера паролей для личных онлайн-аккаунтов — отличный способ оставаться в безопасности, помните проверить политики компании перед использованием любого софта на работе.

Менеджеры паролей помогают хранить пароли и генерировать уникальные для каждого сайта. Однако хранение всех паролей в одном месте рискованно. Важно понимать, как ваши пароли защищены и зашифрованы ли они. Есть различные коммерческие продукты, работающие с множеством устройств и браузеров, так что исследуйте, чтобы найти подходящий.

3. Соответствует ли моя компания ведущим фреймворкам или стандартам информационной безопасности и нужно ли это?

Защита вашей интеллектуальной собственности и конфиденциальной информации клиентов и сотрудников дает вам и клиентам спокойствие. Это также здельная бизнес-практика, глядя на финансовое влияние, снижение продуктивности и потерю доверия от кибератаки.

Для компаний в цепочке поставок Департамента обороны (DoD) такая защита — абсолютная необходимость. Им требуется соответствовать минимальным стандартам безопасности Defense Federal Acquisition Regulation Supplement (DFARS) или рисковать потерей контрактов DoD.

Вот несколько примеров фреймворков или стандартов безопасности, помогающих понять и смягчить риск: NIST Cybersecurity Framework, NIST SP 800-53 — Security and Privacy Controls for Information Systems and Organizations, NIST MEP Cybersecurity Self-Assessment Handbook, и Payment Card Industry Data Security Standard (PCI DSS). Легко запутаться, какой документ референсить, так что немного больше о каждом:

• Framework более высокоуровневый (и лаконичный) по сравнению с NIST SP 800-53, который — каталог контролов безопасности и приватности. Framework более управляем для исполнителей и принятия решений, у которых может не быть технического бэкграунда. Также фокусируется на том, как оценивать и приоритизировать функции безопасности и референсирует существующие документы вроде NIST SP 800-53, который лучше для технических сотрудников, внедряющих безопасность и понимающих детальную информацию о выборе и внедрении контролов.
• NIST MEP Cybersecurity Self-Assessment Handbook поможет вашей компании соответствовать NIST SP 800-171 Security Requirements in Response to DFARS Cybersecurity Requirements. Руководство дает пошаговый гайд к оценке информационных систем малого производителя против требований безопасности в NIST SP 800-171 rev 1, «Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations».

• Payment Card Industry Data Security Standard (PCI DSS) — широко принятый набор политик и процедур для оптимизации безопасности транзакций кредитных, дебетовых и наличных карт. PCI DSS создан в 2004 году Visa, MasterCard, Discover и American Express. Поддержка платежной безопасности требуется для всех компаний, хранящих, обрабатывающих или передающих данные держателей карт. Нарушение или кража данных держателей карт влияет на всю платежную экосистему. Примеры влияний на вашу компанию: потеря доверия клиентов, снижение продаж, потери от мошенничества, юридические издержки, штрафы, прекращение возможности принимать платежные карты. Поддержка соответствия PCI DSS жизненно важна для долгосрочного успеха компании, обрабатывающей платежи карт, и держащей киберзащиту готовой к атакам на кражу данных держателей карт. Большинство малых компаний могут использовать инструмент само валидации для оценки уровня безопасности данных держателей карт.

4. Что такое двухфакторная аутентификация и как её включить? Почему паролей недостаточно?

Двухфакторная аутентификация (2FA) — дополнительный слой безопасности для уверенности, что вы — это вы. Проблема: логины и пароли легко угадываются, и люди используют одни пароли для множества сайтов. Публично раскрытые инциденты показывают: 5 518 записей утекают каждую минуту.

2FA останавливает других от легкого получения доступа к вашим аккаунтам. Когда 2FA включена, вы вводите логин и пароль на странице входа. Затем, вместо немедленного доступа, вас просят предоставить еще один кусок информации. Этот второй фактор может быть одним из:

• Что вы знаете — личный идентификационный номер (PIN), парольная фраза или ответы на секретные вопросы.
• Что у вас есть — кредитная карта, ключ-карта, смартфон, аппаратный или программный токен или уведомление от сайта.
• Что вы есть — биометрический паттерн отпечатка пальца, скан радужки или голосовой отпечаток.

Если не уверены, есть ли 2FA на ваших сайтах или приложениях, посетите TwoFactorAuth.org для проверки.

Включите 2FA для всех аккаунтов. Смотрите пошаговые инструкции Telesign для включения 2FA: https://www.turnon2FA.com.

5. Есть ли процесс утверждения для покупки приложений, которые я нахожу полезными для работы?

Большинство компаний имеют политики о том, как закупать софт (коробочный/онлайн или внешне хостящийся в облаке). Важно знать, какие приложения можно использовать сразу, а какие могут потребовать дальнейшего расследования для уверенности, что они достаточно безопасны для вашего использования и данных, которые будут обработаны и/или сохранены в них. Знайте, что требуется, и работайте со своим кибербезопасным специалистом через необходимые процессы для обеспечения правильной защиты информации.

Если хотите лучше понять свой киберриск, можете использовать инструмент самооценки кибербезопасности национальной сети MEP™. Если есть вопросы или хотите поговорить с кибербезопасным специалистом, свяжитесь с вашим локальным центром национальной сети MEP.