РБК Компании
Главная ARinteg 7 декабря 2023

Чек-лист: как избежать утечек данных и подружить сотрудников с инфобезом

Утечки данных, по статистике, чаще всего связаны с непониманием сотрудниками возможных последствий нарушений правил информационной безопасности
Чек-лист: как избежать утечек данных и подружить сотрудников с инфобезом
Дмитрий Слободенюк
Дмитрий Слободенюксобственник, коммерческий директор системного интегратора ARinteg

В сфере ИТ — с 1988 года. В 1998-ом основал компанию «Антивирусный Центр», со временем вывел на рынок торговую марку ARinteg.

Подробнее

В декабре в Госдуму внесли пакет поправок, который предусматривает штрафы за повторные нарушения до ₽500 млн и сроки за утечки персональных данных для компаний. Правда, пока остается открытым вопрос относительно снижения ответственности в случае компенсаций пострадавшим и реальных инвестиций в систему инфобеза (ИБ), сейчас методикой расчета оптимальных затрат на цифровую безопасность занимается Минцифры.

Утечки данных, по статистике, чаще всего связаны с непониманием сотрудниками возможных последствий нарушений правил информационной безопасности. Именно человеческий фактор зачастую приводит к распространению конфиденциальной информации.

К сожалению, сотрудник — самое слабое звено в системе защиты информации. По своему незнанию или из корыстных побуждений он может вольно или нет «слить» очень ценную информацию, которая для него кажется «обыкновенной». 

Проводя многочисленные аудиты, внедряя системы обучения по информационной безопасности, наша компания накопила большой опыт по работе с сотрудниками различных организаций. 

Меры для предотвращения утечек должны быть только комплексными. Нельзя шить «лоскутное одеяло», не понимая общей стратегии.

В первую очередь, надо принять политику информационной безопасности. В такой политике, как правило, речь идет о том, что все работники проходят обучение с целью повышения осведомленности в вопросах ИБ, что они осведомлены о своей ответственности за ее обеспечение. Эта ответственность, в свою очередь, определяется в должностных инструкциях, трудовых договорах. В ней отмечается, что работник обязан информировать непосредственного руководителя о нарушениях и недостатках в сфере обеспечения ИБ, которые им обнаружены.

А также написать и запустить в работу локальные нормативные документы, которые необходимо адаптировать к бизнес-процессам конкретной компании. Всех сотрудников при приеме на работу надо с ними знакомить под роспись, иначе их просто пробегают глазами. 

Во-вторых, периодически проводить обучение персонала, и оно должно быть непрерывным. При этом состоять не только из теории и чтения или прослушивания текстов и презентаций. Хорошо, если оно содержит контрольные вопросы для самопроверки и позволяет закреплять полученные знания на практике. 

В-третьих, необходимо устраивать «свои» проверочные фишинговые атаки. И поощрять, например, премированием, сотрудников, которые не попались на уловку. С остальными опять проходить «курсы молодого бойца». Практика показывает, что даже при тестовых фишинговых атаках, о подготовке которых сотрудников заранее предупреждают, не бывает, как правило, 100 % результата, все равно находятся те, кто открывает подобные письма. 

Сегодня на рынке есть как универсальные системы обучения по информационной безопасности, доступные от 10-100 лицензий, так и курсы, которые производитель может адаптировать под конкретные нужды компании, но это доступно, скорее, крупным корпорациям. Если говорить о том, какая доля компаний к ним прибегает, то, по моей оценке, она пока, к сожалению, минимальная — 8-10 %. Многие руководители склонны недооценивать риски информационной безопасности.

И наконец, проводить «полевые занятия». Например, можно разбросать несколько флешек по офису и посмотреть, какой процент сотрудников принесет их в службу безопасности. По нашему опыту, таких единицы — не более 20%. Остальные откроют флешки или дома, или на работе. Если поместить туда «безвредные» вирусы, то статистика будет очень наглядной.

И безусловно, компаниям необходимо внедрять специальные средства контроля за утечками, так называемые DLP-системы. От вредоносов, которые могут проникнуть через сотрудников в корпоративную сеть, тоже необходимо защищаться. Внедрение антивирусов, «песочниц» и т.п. средств позволит обезопасить информацию от атак извне. 

Еще лучше — использовать систему реагирования на инциденты — SOAR. Это системы, которые сейчас набирают популярность и дополняют возможности систем управления информационной безопасности (SIEM).

Интересное:

Новости отрасли:

Все новости:

Достижения

45%динамика выручки 2022/2021
В рейтингах TАdviser и CNewsARinteg среди крупнейших поставщиков решений для защиты информации
Нам доверяют«Алроса», «Морской банк», «Альфа-Банк», банк «ВТБ 24», «Мосгаз», «Гознак» и многие другие
Высшие партнерские статусыроссийских и мировых ИТ/ИБ-вендоров
5 тысячпроектов для 1,2 тыс. компаний реализовали за пять лет

Профиль

Дата регистрации05.03.2015
Уставной капитал10 000,00 ₽
Юридический адрес Г.Москва УЛ. РАДИО Д. 24 К. 1 ПОМЕЩ. IV
ОГРН 1157746165609
ИНН / КПП 7709450637 770901001
Среднесписочная численность66 сотрудников

Контакты

Адрес Россия, г. Москва, БЦ «Яуза-Тауэр», ул. Радио, д. 24, к.1, офис 107
Телефон +79165040916

Социальные сети