Взломай меня, если сможешь. Как не сделать человеческий фактор главной угрозой информационной безопасности
С каждым годом для предприятия любой сферы данные становятся всё более ценным ресурсом. Утечка чувствительной информации грозит организации не только серьезным материальным ущербом, но и потерей репутации. При этом умышленные или непреднамеренные действия внутренних сотрудников являются для компаний не меньшим фактором риска ИБ, чем атаки злоумышленников.
Руководители многих компаний стремятся создать для своих сотрудников в офисе максимально комфортные условия: плавающий график, современная концепция пространства Open Space, возможность удаленной или гибридной работы. Но с точки зрения информационной безопасности — нельзя забывать о разумном компромиссе между комфортом и надежной защитой от киберугроз. Все ли помнят о том, что, подключаясь к публичному Wi-Fi, можно наткнуться на фальшивую сеть и «подарить» свои логины-пароли злоумышленникам? А открытое пространство в офисе как будто создано для того, чтобы подсмотреть конфиденциальную информацию у коллеги или сфотографировать экран его компьютера?
При удаленной работе, в свою очередь, сотрудникам безопасности труднее отслеживать все риски, которым подвергаются данные компании на личном компьютере сотрудника. Заразив машину удаленного пользователя, например с помощью фишинга, хакер может через нее проникнуть и в корпоративную сеть — конечно, если она ненадлежащим образом защищена.
Сотрудники — козырь в рукаве мошенников
Сотрудники — это действительно мощнейший внутренний фактор риска для компаний. Согласно исследованию Positive Technologies, доля массовых кибератак с использованием социальной инженерии в 2022 году постоянно росла: в 3 квартале 2022 года для организаций она составила 46% от общего числа атак (во 2 квартале — 43%). Главным источником угроз традиционно является корпоративный почтовый сервис, но под прицелом злоумышленников находятся также используемые сотрудниками веб-сайты, мессенджеры, социальные сети и телефония.
Последний отчет об исследовании утечек информации InfoWatch также свидетельствует о том, что, несмотря на активизацию хакеров, в 2022 году количество нарушений ИБ внутреннего характера осталось на высоком уровне. При этом велика доля умышленных нарушений: более 75%.
К традиционным лидерам по количеству утечек аналитики относят финансовый сектор и ретейл. Кроме того, в последнее время в этот перечень входят ИТ-компании и государственные организации.
Чем опасны утечки информации
Весной 2022 года суд оштрафовал компанию «Яндекс. Еда» на 60 000 рублей за то, что данные клиентов этого сервиса оказались по вине недобросовестного сотрудника в открытом доступе. В том же году утечки произошли в Delivery Club, РЖД, авиакомпании «Победа» и других крупных компаниях. И если для них штраф в десятки тысяч рублей — капля в море, то для бюджета некоторых малых предприятий это критическая сумма. Тем более что законодательство в отношении ответственности за утечку данных постоянно ужесточается.
Помимо штрафа за недобросовестные или просто неразумные действия сотрудника, компании грозят и другие неприятности. В первую очередь это вред деловой репутации, отмена сделок, разрыв партнерских отношений. Кроме того, компенсация ущерба третьим лицам, затраты на судопроизводство и многое другое.
Итак, что же предпринять, чтобы минимизировать человеческий фактор в обеспечении информационной безопасности компании? Рассмотрим основные каналы проникновения злоумышленников и методы социальной инженерии.
Перед прочтением сжечь! Как распознать фишинговое письмо
Открывая утром почтовый сервис, далеко не каждый офисный работник подозревает, что среди входящих электронных писем его может поджидать «письмо счастья». Фишинговое письмо обычно имеет такие тему и содержание, которые побуждают пользователя не задумываясь совершить нужные хакеру действия: например, «Срочно! Каждому сотруднику в течение часа отметиться в списке отпусков».
Такое послание может содержать несколько опасных компонентов: например, вложение с вредоносным файлом, открытие которого приведет к заражению ПК. Или ссылку на поддельный ресурс, откуда может начаться автоматическая загрузка вредоноса на машину. Ссылка также может вести на поддельный сайт, маскирующийся под официальный интернет-ресурс (например, банковский или внутрикорпоративный) и предлагающий пользователю заполнить веб-форму конфиденциальными данными. Несколько кликов — и чувствительная информация достанется мошенникам. Проблема в том, что даже при наличии на ПК сотрудника современных средств защиты информации (СЗИ) не все из них могут распознать фишинговые рассылки и предупредить сотрудника об опасности.
Что делать администратору ИБ
Антивирусы сами по себе — давно не панацея. Необходимо комплексно защитить почтовый сервер и точку входа в Интернет (роутер): Грамотно настроенный антиспам, почтовые шлюзы — лучшие средства для борьбы с фишерами. Не лишней будет блокировка некоторых видов вложений, таких как исполняемые или системные файлы. Для развития цифровой культуры сотрудников необходимо систематически проводить тренинги и проверки. Кстати, такие услуги предоставляют многие аутсорсинговые ИБ-компании и операторы SOC (Security Operations Center).
Что делать сотруднику
Надеясь на автоматизированные средства мониторинга ИБ, нужно и самим сохранять бдительность: например, замечать подозрительные имена и адреса отправителей электронных писем, проверять ссылки, по которым предлагается перейти — не перепутаны ли буквы в названии сайта? Как правило, мошенники регистрируют схожие с оригинальными домены, рассчитывая на невнимательность пользователей. В частности, под сайт online.sberbank.ru могут маскироваться такие сайты, как online.sber.ru, onllinesberbank.ru и другие. Помните, что даже сообщение якобы от вашего руководителя или лучшего друга может быть фишинговым и выглядеть очень достоверно. Сомнительное вложение из письма стоит оценить по степени важности, и если оно действительно выглядит нужным — прогнать через антивирус.
Звонит техподдержка — что может пойти не так?
Попытки мошенников обманом выведать у жертвы конфиденциальные сведения по телефону затрагивают не только пользователей-физлиц. Например, сотруднику компании может позвонить домой «специалист технической поддержки» работодателя с просьбой предоставить логин-пароль от рабочего компьютера для «неотложных работ». Или использовать удаленный доступ для неких манипуляций в корпоративной сети, перейти по определенной ссылке, раскрыть другие важные сведения. Контактные данные жертвы злоумышленники чаще всего узнают из предварительной переписки с ней. Проблема таких звонков в том, что их невозможно отследить системами мониторинга, если они поступают на личный телефон сотрудника, не оборудованный MDM-системой.
Что делать администратору ИБ
Как и в предыдущем сценарии, ключевую роль играет повышение цифровой культуры сотрудников.
Что делать сотруднику
Проявлять бдительность и помнить о правилах безопасности, которые, вероятно, прописаны в корпоративных документах. Например, не сообщать данные своей учетной записи третьим лицам, даже если они сильно об этом просят.
Флеш-бэк из 2010-х
Около десяти лет назад флешки являлись настоящим кошмаром для служб безопасности. Сотрудники приносили на них из дома простенькие, непонятно откуда скачанные игрушки типа «Куриной мести» — и заодно заражали вредоносами целые отделы. Есть и другие способы использовать USB-накопитель с исполняемым вредоносным кодом в корыстных целях: например, «случайно оставить» в переговорной комнате.
Сегодня в большинстве крупных организаций запрет на использование флеш-накопителей на рабочих станциях распространяется по умолчанию. Однако настольные ПК часто заменяются нпортативными ноутбуками, и в этом случае пользователь сам волен решать, что ему втыкать в свои порты.
Что делать администратору ИБ
Рекомендовать пользователям не передавать через флеш-накопители файлы на рабочие устройства — для этого можно использовать, например, проверенные облачные хранилища. Отключить автозапуск флешек на рабочих машинах.
Что делать сотруднику
Подозрительную флешку следует отдать коллегам из отдела безопасности, а не проверять самому.
Внутренний враг
Как мы уже упоминали вначале, часто причиной утечек и распространения компрометирующей информации становятся сами сотрудники компании. Это люди, которые по какой-то причине утратили лояльность к работодателю, преследуют личные цели. Зачастую сотрудник просто старается навредить руководству: например, удалить или присвоить клиентскую базу. Но есть и более опасные вредители — в том числе, те, кто периодически сливает информацию конкурентам или продает персональные данные. Типичный пример — «мобильный пробив», когда сотрудник оператора связи предоставляет злоумышленникам сведения о номере телефона абонента по ФИО, детализацию звонков и т. д.
Что делать администратору ИБ
Современные средства мониторинга и предотвращения внутренних угроз (DLP), грамотно настроенные, позволяют предотвратить большинство сценариев утечек. Труднее всего бороться с тем, что не фиксируется в периметре безопасности, — с фотографированием экрана на смартфон. В ряде случаев единственный выход — установить над рабочим местом сотрудника видеокамеру.
Что делать сотруднику
В большинстве случаев внутренние нарушители рано или поздно попадаются, и стоит ли оно того — большой вопрос.
Безопасность на "удалёнке"
Горящие дедлайны крупных проектов, гибридный режим, сверхурочная работа сотрудника из дома — многие компании поощряют это, даже с учетом повышенных рисков безопасности. Ведь на личном компьютере сотрудника, который он использует для общения в соцсетях, скачивания с торрентов и других целей, может скопиться целый ряд угроз. Проблем добавляют и злоумышленники. После массового распространения дистанционного формата работы очень популярной стала атака протоколов для подключения к удаленным рабочим столам RDP. Используя уязвимости этого протокола, хакер способен получить полный доступ к одному компьютеру или серверу, а затем через него проникнуть в корпоративную сеть, получив все необходимые права.
Что делать администратору ИБ
Сегодня в арсенале безопасников обширный инструментарий СЗИ, начиная с двухфакторной аутентификации при удаленном доступе пользователя к корпоративным ресурсам и упомянутой выше DLP-системы.
Что делать сотруднику
Элементарные правила цифровой гигиены позволят сохранить в безопасности и корпоративные, и личные данные. К таким правилам относятся, например, использование антивирусной защиты с актуальными базами, регулярное обновление ПО, частая смена сложных паролей, неразглашение личной информации в соцсетях. В некоторых случаях может потребоваться VPN и система резервного копирования.
Опубликовано 27.01.2023
