🛡Как повысить уровень защищенности без отдела ИБ: практические рекомендации ITG Security

В последние несколько лет сфера информационной безопасности претерпевает беспрецедентные по своему масштабу изменения: многократно возрастает разнообразие и масштаб киберрисков, возникают новые стратегии и тактики кибератак, совершенствуется инструментарий злоумышленников, вместе с этим развиваются и механизмы противодействия им. Но, несмотря на такие масштабные перемены, неизменным остается главное — ключевой катализатор инцидентов ИБ по-прежнему человеческий фактор.

По данным Verizon, более 80% инцидентов стали возможны из-за человеческого фактора: слабые пароли, фишинг, недостаточный уровень киберграмотности и т.д. Поэтому мы уверены — результативная кибербезопасность начинается с человека, с его отношения к защите информации. Одно только внедрение полезных практик и привычек способно значительно снизить риски ИБ для подавляющего большинства компаний. Причем, для этого не нужны самые дорогие СЗИ или большие инвестиции в inhouse-команды ИБ.

Ниже собрали для вас самые важные рекомендации, которые реально работают:

— многофакторная аутентификация

Используйте менеджер паролей и внедрите многофакторную аутентификацию во всех (хотя бы в критичных сервисах).

— контроль ролей и доступов

Назначьте владельцев систем, опишите типовые роли и уровни доступов, проводите ежеквартальные аудиты на предмет соответствия роли реальным должностным обязанностям.

Не наделяйте сотрудников чрезмерными правами, которые не нужны им для выполнения своих задач.

— secret-scanning

Внедрите его в CI/CD, чтобы доступы не оказались в коде.

— регулярные фишинг-тренинги

Проинформируйте сотрудников об опасности фишинга и мерах предосторожности. Периодически проводите "учения" для контроля усвоения знаний.

— резервное копирование

Настройте регулярные бэкапы критичных данных и убедитесь, что их можно восстановить. Храните их в изолированных от основной инфраструктуры контурах, чтобы они остались в безопасности в случае компрометации.

— регулярные обновления

Обновления ПО устраняют новые выявляемые уязвимости. Следите за актуальной версией сервисов, которыми пользуетесь. Если версия устарела — у вас есть уязвимость, которой могут воспользоваться.

— рабочее отдельно от личного

Никакие рабочие учетные записи, устройства и информация не должны соприкасаться с личными. Без исключений.

Как внедрить эти практики без отдела ИБ

— назначьте ответственного за направление

Для их реализации в небольшой компании не нужна полноценная команда. Определите того, кто будет контролировать выполнение рекомендаций. Это может быть текущий сотрудник ИТ-отдела компании. Важно помнить про принцип "не проверяй свою же работу": постарайтесь назначить такого сотрудника ИТ-отдела, который меньше всего задействован в администрировании систем и рабочих мест. Если такого человека не окажется, придется поискать в других смежных областях или задуматься о ставке специалиста по ИБ на аутсорсе.

— расставьте приоритеты

Не стремитесь сделать все и сразу. Начните с наиболее критичных систем и публичных сервисов. Отточите подход и постепенно масштабируйте.

— распределите зоны ответственности

ИТ-команда — технические обновления и сегментация, бизнес-руководители — политика, обучение, ответственность сотрудников, сами сотрудники — соблюдение базовых правил.

— внедрите цикл PDCA

Plan (выработать политику и процедуру), Do (внедрить инициативы: обучение, обновления), Check (проверять: контроль процесса, фишинг-тесты, есть ли незакрытые уязвимости и тд), Act (корректировать, улучшать).

Внедрить и придерживаться этих советов вполне реально и без штатной команды. Главное — системность и ответственность на всех уровнях. Начинайте с небольших шагов, но делайте их регулярно, и тогда информационная безопасность из дополнительной статьи расходов и головной боли трансформируется в неотъемлемую полезную часть корпоративной культуры.

@finance_ciso