Сегодня инфобезопасность пронизывает все аспекты деятельности компании — от организации бизнес-процессов до выбора приложений для повседневных задач. Крайне важен правильный выбор инструментов для групповой работы и коммуникаций сотрудников, и в первую очередь это касается мессенджеров.
- Введение
- О каких рисках поговорим
- Утечки приносят большие убытки
- Как снизить риск инцидентов с участием мессенджеров
- Выводы
Введение
Основной источник рисков в информационной безопасности — человеческий фактор, а именно сотрудники компании, действия которых по незнанию, невнимательности или по злому умыслу приводят к утечке данных или успешным хакерским атакам на ИТ-инфраструктуру. Соблюдение норм кибергигиены и корпоративной этики должно изменить ситуацию, но с этим дела пока обстоят не очень хорошо.
Уровень кибергигиены сотрудников постепенно повышают — регулярными курсами, тренингами, семинарами и т. д., — но с корпоративной этикой дела обстоят иначе. Например, каждый второй россиянин не расскажет руководству о коллеге, который «сливает» информацию конкурентам — такие результаты принёс недавний опрос, проведённый порталом Superjob. Только 54 % поставят компанию в известность о факте промышленного шпионажа, а остальные или «затруднились с ответом», или поступят по принципу «это не моё дело».
О каких рисках поговорим
Как показывает опыт, один из источников потенциальных угроз — мессенджеры. Сегодня это — наиболее популярные инструменты как личных, так и рабочих коммуникаций.
Часто для корпоративного общения сотрудники используют бесплатные решения, не предназначенные для работы, например популярные WhatsApp и Telegram. Полностью исключить их из общения сотрудников трудно, а встроить их в ИТ-ландшафт компании невозможно. Возникает брешь в безопасности, сквозь которую могут проникать вредоносные файлы, фишинговые ссылки и прочие угрозы; также это может привести к бесконтрольным утечкам данных.
Утечки приносят большие убытки
Вред от утечек для бизнеса может быть огромным. Для иллюстрации: если особенности тендерного предложения попадают к конкурентам, очевидно, компания проигрывает тендер и упускает выгоду. Размер убытков оценить просто: это средняя стоимость контракта.
Есть и другие схемы, способные привести к проблемам как экономического, так и юридического характера. Ещё один пример — утечка персональных данных клиентов. Для этого не обязательно взламывать CRM или воровать базу контрагентов: сотрудник может намеренно или случайно, просто промахнувшись при выборе адресата в Telegram, отправить выгрузку из системы человеку снаружи. Потенциально это приводит в лучшем случае к штрафам, но может вылиться и в судебные разбирательства и репутационный ущерб. Сумма убытков в итоге многократно превысит размер штрафов.
Любой документ компании в руках хакеров упрощает проведение целевой атаки. Сотрудник с большей вероятностью станет жертвой целенаправленного фишинга, если в письме от злоумышленника указаны реальные данные — детали активного проекта, адреса настоящих клиентов, упоминание о контракте или тендере и т. д. Если он откроет заражённый документ или перейдёт по фишинговой ссылке, путь в информационные системы для хакеров окажется открыт. Последствия для бизнеса — печальные.
Компании по понятным причинам не стремятся раскрывать подробности таких инцидентов. Один из недавних — утечка данных Reddit. Сотрудник нажал на «правдоподобно звучащее приглашение», после чего ввёл свои данные на фейковом сайте. Результат — слитые гигабайты конфиденциальных данных.
Бизнес находится под пристальным вниманием хакеров, а также аналитиков конкурентов. Они многое узнают о компании даже по отдельным фрагментам данных, попавшим «не в те руки».
Как снизить риск инцидентов с участием мессенджеров
Для рабочих коммуникаций в корпорациях следует использовать корпоративные мессенджеры. В отличие от потребительских приложений, они лучше защищают информацию, так как сфокусированы именно на рабочей коммуникации. Баланс личного / рабочего и разделение инструментов для повседневного и корпоративного общения — это прекрасно.
Но существуют ключевые факторы, которые минимизируют риск утечек информации:
- Локальная установка. Корпоративные платформы устанавливаются на серверы компании. Сообщения и файлы не покидают информационный контур и не попадают в открытый доступ. Серверы популярных Telegram и WhatsApp находятся за рубежом, и компания не видит, что происходит с данными. Это небезопасно.
- Инструменты защиты данных корпоративного (enterprise) класса. Мессенджеры для бизнеса изначально разрабатываются с учётом высоких требований к информационной безопасности. В них реализованы инструменты контейнеризации, ролевые политики и модели, передовое E2E-шифрование (в том числе ГОСТ), безопасные пуш-уведомления и др.
Ключевая возможность криптоконтейнера: администратор мессенджера дистанционно запрещает сохранение данных, их передачу в другие приложения, копирование в буфер обмена и даже снятие снимков или запись экрана. Ролевые политики при этом определяют, какие файлы можно обрабатывать на смартфонах.
Набор этих возможностей минимизирует риск утечек по вине внутреннего злоумышленника, как намеренных, так и случайных. Если на уровне сервиса отключена отправка файлов пользователям в Telegram или WhatsApp, то даже по неосторожности сделать это не получится.
- Интеграция с корпоративными системами информационной безопасности. Важно, что корпоративные мессенджеры взаимодействуют с ИБ-инструментами компании: антивирусами для предварительной проверки файлов перед их обработкой на устройстве, DLP- и SIEM-системами. Всё это позволяет компаниям контролировать, куда уходит корпоративная информация, и снизить риск инцидентов в безопасности.
- Сертификация ФСТЭК и ФСБ России, аудиты безопасности. На сертификаты корпоративного мессенджера внутренние или внешние злоумышленники внимания не обратят. Но сертификация говорит о том, что продукт прошёл все необходимые проверки и соответствует стандартам защиты информации.
Выводы
Использование корпоративного мессенджера без дополнительных инструментов ИБ не сокращает риск инцидентов. Все средства обязательно должны работать в комплексе. Кроме того, важно регулярно тренировать сотрудников. Люди, которые знают об угрозах и о том, как от них защититься, — это основа корпоративной безопасности.
