Как защитить бизнес от утечки данных

Опасность может исходить от злоумышленников, которые стремятся дистанционно взломать ресурс, завладеть информацией, перепродать ее или использовать для шантажа. Охотников на ценные сведения масса, поэтому от их владельца зависит, насколько безопасно они будут храниться.

Проблема зреет давно, поэтому защита от утечек данных – задача первостепенной важности.

Что такое утечка данных

Утечкой данных называют доступ к любой личной, секретной, конфиденциальной информации человека, который не имеет на это разрешение. В итоге чувствительные файлы могут быть использованы в различных целях, опубликованы без согласия хозяина.

От такого вмешательства не застрахованы как государственные организации, коммерческие структуры, так и обыкновенные люди. К этому могут привести:

• Технологические «дыры»;
• Злонамеренные действия пользователей.

В чем важность защиты от утечки данных

Владельцу компании может казаться, что утечка данных – это уже не его тема, ведь он контролирует сотрудников, пользуется защищенной CRM, паролит почту. Но по итогу опасность остается, имеет несколько вариантов развития:

• Фишинг. Хакер, взломав CRM-систему, получит дорогу к БД клиентов. Далее он создает сайт, практически схожий со взломанным, размещает там внешне похожий контактный email. Теперь можно делать рассылку с предложениями очень привлекательных скидок. Люди, привыкшие доверять настоящей площадке, попадают на фальшивый ресурс, переводят деньги. Занавес закрывается: хакер – при деньгах, покупатели – при убытках, истинный сайт – с подмоченной репутацией.
• Не менее опасно активирование ссылок, ведущих на вредоносные ресурсы. Мошенники взламывают СРМ компании, добираются до сведений действующих контрагентов, и летят им на почту сообщения с линками на фейковые сайты, крадущие пароли. Здесь появляется угроза кражи средств, потери имиджа.

И немного статистики. Ежегодные финансовые потери в мире от таких действий оцениваются примерно в 6 трлн. долларов США.

Как предотвратить утечку коммерческих данных

Сто процентов гарантий не даст никто, но постоянно проводимая профилактика – важное условие для защиты информации от краж. Она способствует предотвращению негативных ситуаций. Но обеспечение безопасности требует детального, комплексного подхода.

Внутренняя утечка данных

Первое, чем озадачивается руководство компаний – безопасность корпоративной информации. Внутренние утечки – реальная угроза, когда рядом недремлющий конкурент, обиженные сотрудники. Предлагаем рассмотреть несколько способов, направленных на пресечение подобных инцидентов.

Используйте NDA

Для начала определяются критерии коммерческой тайны организации, что к ней относится в локальном значении. Затем с каждым работником подписывается соглашение о запрете на разглашение коммерческой тайны (NDL), включив в документ степень ответственности за нарушение пунктов данного договора. Это возможно охладит пронырливых сотрудников от неблаговидных поступков. Никому не захочется попасть под юридический молох, делать компенсационные выплаты.

Установите DLP-систему

Более современный подход к защите от утечек данных – применение DLP. Это ПО, отслеживающее, блокирующее стремление недобросовестных работников передать информацию за границы корпоративной сети. Если кто-то решит отправить конфиденциальные сведения на личный email, то действие моментально заблокируется, админ будет уведомлен о выявленном нарушении. Контроль эффективен в реальном времени, при условии, что программа установлена на все устройства, даже личные. В реальности это трудновыполнимая задача. Для злоумышленников остается вариант фиксации документов, файлов в качестве видео, фотографий.

Разграничивайте доступ

Способ защиты заключается в предоставлении сотрудникам доступ только к тем сведениям, которые им нужны для выполнения обязанностей. Менеджеру можно предоставлять возможность пользоваться теми контактами клиентов, с которыми он взаимодействует. Это сводит к минимуму риск «поделиться» с кем-то всей БД. Настройки производятся в системах управления данными.

Наблюдайте за сотрудниками

Для эффективного контроля за действиями работников обычно используется видеонаблюдение, ПО для мониторинга компьютерных активностей. Это дает возможность записывать содержание экранов рабочих ПК, аудиофайлы. Подобное «всевидящее око» довольно ресурсозатратное удовольствие, но выступает мощным аргументом при защите от утечек данных. Знания сотрудников о том, что их слышат, видят, делают их более осмотрительными, дисциплинированными.

Мотивация сотрудников на качественную работу

Адекватная, конкурентная заработная плата, премиальные, нормальные условия труда, возможные перспективы – повышают ценность компании в глазах сотрудников. Они начинают жить интересами компании, понимая, что ее успех окажет положительное влияние на всех. В таких условиях сильно понижается риск своеобразного предательства.

Внешняя утечка данных

Под внешними утечками подразумеваются действия непорядочных людей, пытающихся получить доступ к корпоративной информации извне. Такой сценарий может нанести серьезный удар по имиджу компании, финансовые потери.

Устанавливайте сложные пароли

Специалисты констатируют, большинство людей используют логичные, простые пароли, чтобы не забыть, не запутаться. Это наборы символов, включающие дату рождения, номер телефона, другие личные сведения, которые не сложно узнать. Хакеры хорошо знают о таких привычках, поэтому взломать им такую защиту просто. Сложные пароли – первый эффективный шаг в обеспечении безопасности. На помощь приходят генераторы паролей, создающие надежные, алогичные, комбинированные коды. Руководству остается хранить их в надежном месте.

Используйте корпоративную почту

Всем привычные почтовые сервисы, хоть удобные, бесплатные, часто бывают не настолько безопасны для пересылки информации, как хотелось бы. Опытные злоумышленники легко взломают переписку. Решением проблемы может стать приобретение домена, использование корпоративной почты. Повышенную степень защиты могут предложить платные почтовые сервисы.

Включите двухфакторную аутентификацию

Способ предусматривает использование не только кода, но и дополнительного параметра, помогающего идентифицировать входящего в приложение пользователя. Это может быть одноразовый набор символов, присланный по SMS, уведомление. Двухфакторная аутентификация даст дополнительную защиту почты, иной структуры.

Установите антивирус

Проверенная антивирусная программа поможет своевременно находить вредоносный софт, способный воровать пароли, ценные сведения. При выборе антивируса особое внимание должно уделяться не денежной составляющей, а расширенному функционалу, качественности предложенных решений. Экономия здесь неуместна.

Уничтожайте документы

Одним из условий защиты данных от утечек – своевременное утилизация потерявших актуальность документов на различных носителях, в том числе бумажных. Для последних изобретены специальные шредеры, уничтожающие бумажную документацию без вариантов на восстановление. Мусорные контейнеры, корзины – еще одно «тонкое место», которое не стоит использовать для избавления от ненужных бумаг.

Используйте СКУД

Система заточена под контроль, управление доступом. Используется на различных предприятиях, отвечает за физическую безопасность складских, офисных помещений, производственных площадей. Наличие шлагбаума, оформление все работникам именных пропусков – хороший способ контролировать проникновение на территорию чужих людей. Дополнительный эффект даст установка видеонаблюдения.

Подумайте о средствах сетевой защиты

Речь идет о ПО мониторинга трафика, о межсетевых экранах, предназначенных для защиты чувствительной информации online. Подобные подходы способствуют безопасному обмену сведениями в стенах самой компании, защищают информацию от угроз извне.

Используйте IRM

Information Rights Management – своеобразный способ контейнеризации документа, содержащего конфиденциальный материал. IRM дает возможность управлять доступом, предоставить документу собственный ключ шифрования. Если воры смогут украсть материал, то ознакомиться с ним не смогут. Способ защиты считается успешным, но требует определенных денежных вложений.

Внедрите шифрование дисков на ноутбуках и планшетах сотрудников (FDE)

Характеризуется защитой от утечки данных со стороны устройства. Это означает, что при краже мобильного гаджета, ноутбука, сведения на них будут в зашифрованном виде, поэтому недоступны. Это важно при посещении общественных мест, конференций, где устройство может не только быть случайно оставленным, но и целеустремленно украденным.

Какие шаги следует предпринять, если утечка уже произошла

Как не печально звучит, на ум приходит только фраза: «умерла, так умерла». После инцидента назад ничего не вернуть. Но от следующих шагов не отказывайтесь:

• Если ситуация спровоцирована бывшим, обиженным менеджером компании, рекомендуется обратиться в суд. Заявление с продумано подобранными документами помогут отсудить компенсацию.
• При внешнем вмешательстве сразу обращайтесь с подробным заявлением в правоохранительные органы. Ставьте в известность о случившейся утечке данных клиентов, это позволит уберечь их от последующего мошенничества со стороны хакеров.

Примеры крупных утечек информации

Всю серьезность проблемы защиты от утечки данных можно прочувствовать, ознакомившись с несколькими примерами пострадавших организаций.

Robinhood (приложение, осуществляющее инвестиции, торговлю ценными бумагами). Осенью 2021 г. у него в связи со взломом было похищено 5 млн. email-адресов пользователей. Злоумышленнику посчастливилось заполучить фамилии, имена 2 млн. людей. За неразглашение конфиденциальной информации он потребовал деньги.

Сбербанк. Одна из крупных утечек произошла летом 2019. Тогда БД, содержащая сведения о нескольких миллионах владельцев кредитных карт, начала продаваться в интернете. Указывалось, что кража была совершена сотрудником данной организации.

Яндекс.Еда. Зимой 2022 в интернете оказались около 50 млн. данных любителей поесть – ФИО, адреса доставок, контактные номера телефонов, плоть до заплаченных сумм.

Заключение

Степень безопасности чувствительных сведений – серьезный аспект для бизнеса любой направленности. Этот вопрос требует комплексных мер по обеспечению защиты от утечки данных: тренинг сотрудников по соблюдению соответствующих правил, применение DLP, отслеживание новых тенденций.

Автор: Макхост