Выявление кибербезопасностных рисков: практическое руководство для вашей компании

Эта статья изначально появилась на IndustryWeek. Гостевая публикация Трейси Спенсер, менеджера грантовой программы TechSolve, Inc., юго-западного регионального партнера Ohio MEP, входящей в MEP National Network™.

Эта статья — первая часть в пятичастной серии, описывающей лучшие практики по «Кибербезопасности для производителей». Эти рекомендации следуют фреймворку кибербезопасности Национального института стандартов и технологий (NIST), ставшему стандартом для американского производственного сектора.

Согласно исследованию Ponemon Institute, спонсируемому IBM в 2018 году, глобальная средняя стоимость утечки данных составляет $3,86 млн. Это разбивается на почти $150 за украденную запись. Если вы малый или средний производитель, вы можете думать, что такие статистики не применяются к вам. Но из 17 отраслей, представленных в отчете, наиболее затронутые сектора были финансовые, сервисные и, подождите — производственные.

Поскольку производители часто вкладывают меньше ресурсов в информационную безопасность, они популярная мишень для киберпреступников. И достаточно одной кибератаки, чтобы разорить всю операционную систему меньшего производителя. Сетевое оборудование, поставщики, дистрибьюторы или даже клиенты могут быть взломаны через один компьютер/устройство на производственном объекте.

Другие риски включают:

• Потерю информации, критичной для ведения бизнеса
• Негативное влияние на уверенность клиентов
• Регулятивные штрафы и возникающие юридические издержки
• Сниженную или остановленную производительность

К счастью, вы можете научиться защищать свои операции с помощью Национального института стандартов и технологий (NIST), которое разработало пятиступенчатый фреймворк кибербезопасности, который может быть внедрен бизнесом любого размера. Доступный онлайн, NIST Cybersecurity Framework может быть дополнительно объяснен вашим локальным представителем MEP National Network, экспертами по продвижению американского производства. Вы также можете просмотреть Руководство производителя по кибербезопасности (добавить ссылку, когда узнаем местоположение документа), которое предоставляет производителям базовые практики и инструменты для разработки кибербезопасностной программы.

Готовы сделать первый шаг к безопасности данных? Процесс начинается с выявления ваших рисков.

Контролируйте, кто имеет доступ к вашей информации

Составьте список сотрудников с доступом к компьютерам и включите все ваши бизнес-счета, тип доступа (физический или пароли), и физически защищайте все ноутбуки и мобильные устройства когда не в использовании. Заставьте сотрудников использовать экран конфиденциальности или позиционировать экран компьютера так, чтобы проходящие мимо не могли видеть информацию на дисплее, и заставьте их установить блокировку экрана на активацию когда компьютер не в использовании.

Не разрешайте физический доступ к компьютерам или системам неавторизованному персоналу, такому как:

• Уборочные бригады или обслуживающий персонал
• Неконтролируемый компьютерный или сетевой ремонтный персонал, работающий на системах или устройствах
• Нераспознанные лица, входящие в ваш офис или на заводской пол без вопросов от сотрудника

Занимает секунды для преступника получить доступ к незаблокированной машине. Не делайте легко для них красть вашу чувствительную информацию.

Проводите проверки бэкграунда и безопасности для всех сотрудников

Проверки бэкграунда необходимы для выявления ваших кибербезопасностных рисков. Полные национальные поиски должны проводиться для всех потенциальных сотрудников или других, кто будет иметь доступ к вашим компьютерам и системам и оборудованию компании.

Эти проверки должны включать:

• Проверки криминального бэкграунда
• Проверки реестра половых преступников
• Кредитные проверки, если возможно (некоторые штаты США ограничивают использование кредитных проверок)
• Рекомендации для верификации дат работы у предыдущих работодателей
• Верификацию образования и степеней

Вы также можете рассмотреть проведение проверки бэкграунда на себе, что может быстро предупредить вас, если вы неосознанно стали жертвой кражи личности.

Требуйте индивидуальные учетные записи для каждого сотрудника

Если вы опыт потери данных или неавторизованного манипулирования данными, может быть трудно расследовать без индивидуальных счетов для каждого пользователя. Настройте отдельный аккаунт для каждого сотрудника и подрядчика, которому нужен доступ. Требуйте от них использования сильных, уникальных паролей для каждого аккаунта.

Ограничьте количество сотрудников, имеющих административный доступ, особенно если он не требуется для их ежедневных рабочих обязанностей. Рассмотрите гостевые аккаунты с только интернет-доступом для посетителей или клиентов на вашем объекте.

Создайте политики и процедуры кибербезопасности

Хотя создание вашей первой политики кибербезопасности может показаться пугающей задачей, есть много легко следуемых советов от MEP National Network, которые могут помочь вам начать. Вы также можете захотеть консультироваться с юридическим профессионалом, знакомым с киберзаконом, чтобы просмотреть ваши политики, чтобы убедиться, что вы соответствуете местным законам и регуляциям.

Ваша новая политика кибербезопасности должна включать:

• Ваши ожидания от сотрудников для защиты информации компании
• Необходимые ресурсы, которые нужно защитить и как вы ожидаете, что сотрудники будут защищать эту информацию
• Подписанное соглашение от каждого сотрудника для подтверждения, что они прочитали политику и понимают ее.

Храните подписанное соглашение в HR-файле каждого сотрудника. Пересматривайте политику минимум раз в год и обновляйте когда вы делаете изменения в технологиях компании. Вы можете затем использовать вашу политику кибербезопасности для обучения новых сотрудников их обязанностям по информационной безопасности и установки приемлемых практик для всех ваших бизнес-операций.

Теперь, когда вы научились выявлять свои риски и оценивать ресурсы, время думать о их защите. Во второй части нашей пятичастной серии «Кибербезопасность для производителей» от MEP National Network мы пройдем ключевые шаги для защиты ваших ценных данных и информации от киберугроз.