Информационная безопасность для малого бизнеса

Во многих компаниях малого и среднего бизнеса практически отсутствует система информационной безопасности.

На это есть несколько причин:

Финансовая. Продукты для ИБ дорогие, их внедрение тоже может влететь в копеечку, так что можно обойтись антивирусом.

Организационная. В компании нет постоянного системного администратора. Скорей всего это приходящий сотрудник, который помимо работы по настройке оборудования занимается ещё и 1С, сайтом. Нагружать его вопросами информационной безопасности не имеет смысла, он и без того загружен.

Психологическая. Мы небольшая компания. Кому мы нужны? Да у нас 10 человек в штате, всех видно.

По большей части эти причины скорей заблуждения. Согласно одному из отчетов Microsoft за 2019 год, 76% предприятий малого и среднего бизнеса сталкивались с угрозами. Около половины атак как раз совершаются на компании этого сегмента.

Почему так происходит? Большие компании могут позволить себе дорогие продукты и отдельный штат сотрудников, которые будут заниматься защитой компании от атак. Поэтому для киберпреступников они почти неприступная крепость. И, чтобы войти в неё, нужно проводить многомесячные операции.

Да, потенциальная прибыль велика. Как и последствия, вплоть до тюремного заключения.

Поэтому гораздо проще и быстрей обработать десяток небольших компаний: защиты нет, средств слежения тоже — считай все двери открыты.

А с переходом на удаленную работу количество подобных атак только выросло.

Что грозит небольшим и средним компаниям?

То же самое, что и крупным:

Хищение данных, в том числе персональных. А также технологии, договоры, базы клиентов, информация о текущих сделках.

Взлом или хищение сайта. Может быть очень чувствительно для компаний, которые привлекают основной поток клиентов именно через интернет.

Фишинг, благодаря котором можно получить доступ к банковскому счету или корпоративной банковской карте.

Вирусы-вымогатели и шифровальщики не только требуют денег, но и тормозят все рабочие процессы.

Небольшие компании наиболее подвержены киберугрозам и по ряду внутренних причин:

Нет настроенной системы резервного копирования и восстановления данных.
Нет системы мониторинга оборудования. Точнее есть инвентаризация и все ноутбуки переписаны, на всех проставлен номер. Но появление нового сетевого устройства может пройти незамеченным.
Нет системы инвентаризации программного обеспечения.
Отсутствуют политики безопасности: любой сотрудник может поставить любую программу и получить доступ к любым документам.
Wi-Fi без пароля.
Почтовые сервисы на общедоступных ресурсах.

Поэтому нет ничего удивительного, что небольшие компании становятся легкой добычей злоумышленников.

И если у крупной компании есть ресурсы для защиты и восстановления, то небольшая или средня организация может понести огромные убытки. Порой несовместимые с жизнью компании.

Как защитить свою компанию?

Большая часть советов исходит от проблем, которые мы описали выше.

Определить ценность информации и распределить её по отдельным сетевым папкам и настроить к ним доступ. Должен ли ваш маркетолог видеть иметь доступ к счетам и договорам? Должны ли менеджеры по продажам иметь доступ ко всей отчетности? Скорей всего нет.
Настроить на каждом рабочем устройстве доступ по логину и сложному паролю. В идеале пароли надо менять раз в три месяца.
Провести полную инвентаризацию оборудования. Всё, что вызывает подозрения должно быть изолировано и проверено.
Провести полную инвентаризацию программного обеспечения. Удалить всё, что не касается конкретных задач сотрудника.
Запретить сотрудникам устанавливать любое программное обеспечение.
Настроить систему двойного резервного копирования критически важных данных: одна копия должна храниться на физическом носителе в недоступном для сотрудников месте, а вторая в защищённом облаке.
При возможности заблокируйте пользователям соцсети и файлообменные сети, в том числе облачные.

Но это только первые шаги. Защита должна быть постоянной, а для этого потребуется специализированное программное обеспечение. Среди них DLP (защита от утечек), ПО для мониторинга работы сотрудников, межсетевые экраны.

Вот, что мы рекомендуем:

Антивирус	Скорей всего у вас уже стоит “Доктор Веб” или “Касперский”. Главное, чтобы они регулярно обновлялись.
Межсетевой экран	Бывает программным, бывает в виде отдельного устройства, которое фильтрует трафик. Здесь подойдет Traffic Inspector Next Generation. У него есть версия для малого и среднего бизнеса. Проверяет трафик, блокирует подключения, сайты и отдельные протоколы (чтобы сотрудники не качали торренты). Имеет собственный антивирус, который может дополнительно усилить возможности “Касперского”.
Дополнительная аутентификация	Прежде, чем войти в рабочий компьютер сотруднику надо будет получить СМС с проверочным кодом. Особенно актуально для защиты рабочих маши бухгалтера, директора или ключевых сотрудников. Простое решение есть у компании ESET.
Мониторинг работы сотрудников	Может работать и как DLP. Программа постоянно следит за устройствами сотрудников: сайты, открытые документы, продуктивность, копирование файлов. Всё собирается в удобные отчеты. Таким образом можно отследить сотрудников, которые готовы увольняться. А за ними нужен особый контроль. Есть несколько предложений, в том числе “Стахановец”.
Комплексные решения	И отдельно стоит рассказать о Small Office Security и Dr.Web Enterprise Security Suite. Это довольно похожие продукты, которые работают как антивирус, мониторы трафика, помогают с управлением рабочими машинами. Но у “Касперского” есть дополнительные возможности: Шифрование данных и резервное копирование файлов Защита платежей Защита бизнес-приложений

Конечно, есть и другие продукты для защиты вашей компании. Ведь не бывает универсальных решений, а значит к каждой задаче нужно подойти индивидуально.

Мы готовы защитить вашу компанию. Провести мониторинг текущих угроз, поставить необходимое ПО и оборудование. При необходимости обучить системного администратора.

Главное помнить, что средства, которые вы отдадите сегодня на защиту компании — это инвестиции. В том числе в спокойную и продуктивную работу.