Как бизнесу защититься от утечек и не нарваться на штраф
Взломать данные организации стремятся не только хакеры. Можно нарваться на мошенников даже при закупках для офиса.
Если соблюдать правила цифровой безопасности, можно предотвратить утечку данных и ее последствия. В статье расскажем, как это сделать.
Содержание
Как часто мошенники атакуют бизнес
Атакам мошенников подвергаются все виды бизнеса. Злоумышленники получают доступ не только к данным клиентов, но и инфраструктуре организации, а также к аккаунтам в соцсетях.
Не имеет значения масштаб бизнеса: пострадать может как маленький салон красоты, так и крупный банк. Целью злоумышленников может быть компьютер или любое другое устройство, используемое в бизнесе.
Интерес злоумышленников даже к небольшому бизнесу объясняется легкой доступностью платежных данных клиентов. С ростом аудитории онлайн-магазинов увеличивается число атак.
В 2022 году в мире каждые десять секунд программы-вымогатели наносили удар по безопасности сайтов и приложений. 71% случаев имели финансовую мотивацию.
По прогнозам компании Swordfish Security, в 2023 году в России число атак увеличится минимум на 50%.
Какая информация интересна мошенникам
Любой бизнес собирает пользовательские данные. Поисковые сайты анализируют геолокацию и ключевые слова. Службы доставки еды спрашивают адрес и номер телефона.
Многие приложения хранят данные банковских карт для автоматического заполнения. Соцсети имеют подробное досье на каждого пользователя. Чем больше персональной информации известно одному источнику, тем выше риск утечки.
По подсчетам компании InfoWatch, в первом полугодии 2022 утекло более 100 млн записей, содержащих персональные данные россиян. Чаще всего в этом виноваты сотрудники компаний, ответственные за сбор информации.
При атаке на сервера компаний хакеры интересуются финансовыми операциями и документами. Под угрозой номера банковских счетов, конфиденциальные договоры и аналитика.
Как распознать попытку украсть данные
В «Лаборатории Касперского» сообщили, что в России компании чаще страдают от вредоносного программного обеспечения (ПО), спама и фишинга.
Встречаются также уязвимости в установленном ПО и случайные утечки по вине сотрудников. Кроме того, злоумышленники могут использовать программы сканирования сети и перебора паролей.
Встречаются также уязвимости в установленном ПО и случайные утечки по вине сотрудников. Кроме того, злоумышленники могут использовать программы сканирования сети и перебора паролей.
Многие популярные схемы мошенничеств связаны с рассылкой фишинговых писем. Они ведут на вредоносный сайт, крадущий пользовательские пароли, или на поддельную страницу с дизайном и URL как у знакомого сервиса.
Частая уловка мошенников — скопировать дизайн известной компании: почты, налоговой, «Госуслуг»
Существует целая группа методов, связанных с вредоносным кодом.
Хакеры встраивают его, например, на страницу оплаты интернет-магазина. Это может быть скрипт для кражи файлов cookies, инфицирование cookies, вставка фейкового кода для копирования данных. Пострадать может как личный компьютер пользователя, так и корпоративная сеть работодателя.
Хакеры встраивают его, например, на страницу оплаты интернет-магазина. Это может быть скрипт для кражи файлов cookies, инфицирование cookies, вставка фейкового кода для копирования данных. Пострадать может как личный компьютер пользователя, так и корпоративная сеть работодателя.
Еще одна распространенная схема — Man in the Middle — атака посредника. Мошенник встраивается в взаимодействия клиента и поставщика услуг, подменяя обе стороны сделки. Клиенту он представляется продавцом, а продавцу — клиентом.
Чтобы минимизировать кибератаку, необходимо:
- своевременно устанавливать обновления операционной системы своих устройств;
- установить коммерческий антивирус на личный компьютер и на компьютеры в корпоративной сети, отслеживать что антивирус получает регулярные обновления;
- установить сложные отличающиеся пароли в разных системах и не раскрывать свои логины и пароли;
- проверять адрес отправителей писем;
- не открывать сомнительные вложения и не переходить по подозрительным ссылкам;
- не работать в финансовых сервисах и системах с компьютеров, не заслуживающих доверия, и не использовать общественные Wi-Fi каналы связи;
- не устанавливать на компьютер программы для удаленного доступа и иные программы из непроверенных источников.
Как защитить данные от мошенников
Специалисты делят утечки данных на две группы: внутренние и внешние. Первые происходят по вине сотрудников компании. Они продают информацию конкурентам или забирают с собой базы данных при увольнении.
Для защиты от подобных угроз используются следующие методы:
- Подписать NDA — договор о неразглашении коммерческой тайны. В нем прописываются все важные сведения и ответственность работников за нарушения.
- Установить DLP-систему (Data Leak Prevention — предотвращение утечки данных). Это специальное ПО для отслеживания попыток передачи данных посторонним. Система не только предотвратит несанкционированную отправку данных, но и сообщит о нарушении.
- Разграничить доступ. Сотрудники будут иметь доступ только к тому объем данных, с которым непосредственно работают. Дополнительно поможет настройка уровней доступа к документам.
- Мотивировать сотрудников. Это могут быть премии, комфортные условия, перспективы карьерного роста. Сотрудники сами не захотят навредить компании, если довольны работой в ней.
Виктор Чащин
операционный директор ООО «Мультифактор»
«Мошенники давят на три проблемы: невнимательность, жадность и страх. Соответственно, защищаться нужно, не позволяя сотрудникам торопиться или выискивать моментальной выгоды из тех или иных решений.
Список конкретных действий или решений будет сильно разниться в зависимости от профиля компании или должности сотрудника. Нужно соблюдать правило выдачи доступов не больше необходимых для работы».
Список конкретных действий или решений будет сильно разниться в зависимости от профиля компании или должности сотрудника. Нужно соблюдать правило выдачи доступов не больше необходимых для работы».
Внешние утечки — воровство данных извне, без посредничества сотрудников. Это может быть взлом корпоративной почты или базы данных, кража документов из офиса.
Сергей Нейронов
IT-директор компании Atreidea
«Для защиты бизнеса от кибермошенников рекомендую сделать следующие шаги.
Реализовать системы управления информацией и событиями безопасности — SIEM. Проводить на регулярной основе аудит безопасности. Обучить сотрудников вопросам безопасности информации и правилам поведения в интернете.
Создать резервную копию данных. Использовать мультифакторную аутентификацию и защиту сети с использованием фаерволов и VPN. Использовать криптографические методов защиты данных и коммуникаций.
Работать с квалифицированными компаниями-партнерами и поставщиками в области кибербезопасности. Следить за последними угрозами и тенденциями в области кибербезопасности.
Это не полный список защитных мер, их нужно адаптировать к потребностям компании. Кибербезопасность — постоянный процесс. Он требует регулярного обновления и улучшения защитных мер. Бизнес должен понимать, что киберугрозы меняются и развиваются».
Реализовать системы управления информацией и событиями безопасности — SIEM. Проводить на регулярной основе аудит безопасности. Обучить сотрудников вопросам безопасности информации и правилам поведения в интернете.
Создать резервную копию данных. Использовать мультифакторную аутентификацию и защиту сети с использованием фаерволов и VPN. Использовать криптографические методов защиты данных и коммуникаций.
Работать с квалифицированными компаниями-партнерами и поставщиками в области кибербезопасности. Следить за последними угрозами и тенденциями в области кибербезопасности.
Это не полный список защитных мер, их нужно адаптировать к потребностям компании. Кибербезопасность — постоянный процесс. Он требует регулярного обновления и улучшения защитных мер. Бизнес должен понимать, что киберугрозы меняются и развиваются».
Что делать, если данные угодили к злоумышленникам
Согласно 152-ФЗ «О персональных данных», операторы обязаны сразу сообщать о случаях кибератак и утечки пользовательской информации. Компании в любом случае придется столкнуться с последствиями.
Когда информация находится в руках злоумышленника, ущерб уже нанесен. Но можно попытаться компенсировать убытки и позаботиться о безопасности данных в будущем.
В Ак Барс Банке владельцы малого бизнеса могут воспользоваться системой дистанционного обслуживания счетов.
ЭП хранится на сертифицированном устройстве, а одноразовые пароли защищают бухгалтерские документы от утечки.
ЭП хранится на сертифицированном устройстве, а одноразовые пароли защищают бухгалтерские документы от утечки.
Лучший из возможных вариантов для компенсации потерь — сценарий внутренней утечки данных, при котором известен виновник и есть доказательства его причастности. Тогда можно подать на него в суд для взыскания ущерба.
Сначала истцу предложат мирно урегулировать спор, направив претензию виновнику. Для запуска судебного процесса нужно написать заявление в полицию.
Доказательства кражи данных следует заверить у нотариуса: это могут быть переписки с предложением продать базу данных.
Сначала истцу предложат мирно урегулировать спор, направив претензию виновнику. Для запуска судебного процесса нужно написать заявление в полицию.
Доказательства кражи данных следует заверить у нотариуса: это могут быть переписки с предложением продать базу данных.
Евгений Кравцов
старший фронтенд-разработчик одного из крупнейших банков
«В 2022 году крупные утечки персональных данных клиентов случались у сервисов «Яндекс Еда» и Delivery Club.
Это лишь некоторые из множества примеров кибератак, что демонстрирует важность для организаций иметь системы защиты и процедуры для обнаружения и реагирования на киберугрозы, чтобы защитить данные и активы от кражи или ущерба.
Кроме того, компании должны иметь план действий для обработки и восстановления после кибератаки, чтобы минимизировать последствия для клиентов и бизнеса».
Это лишь некоторые из множества примеров кибератак, что демонстрирует важность для организаций иметь системы защиты и процедуры для обнаружения и реагирования на киберугрозы, чтобы защитить данные и активы от кражи или ущерба.
Кроме того, компании должны иметь план действий для обработки и восстановления после кибератаки, чтобы минимизировать последствия для клиентов и бизнеса».
В случае внешней утечки с потерями придется серьезно поработать над репутацией.
По словам экспертов, в первую очередь нужно обратиться в Роскомнадзор и другие компетентные органы. Вторым шагом следует грамотно представить ситуацию в СМИ. В-третьих, выявить ошибки и восстановить данные после кибератаки.
Евгений Царев
управляющий RTM Group, эксперт в области кибербезопасности и права в IT
«При любом инциденте нужно собрать максимум информации о произошедшем. Это логи серверов и сетевого оборудования, записи камер наблюдения, образы дисков зараженных компьютеров. Делать это следует в составе комиссии, а не силами сисадмина. Также желательно пригласить независимого эксперта.
Утечки персональных данных, в первую очередь, клиентской базы, были и остаются основным вектором атаки.
Трудно сказать однозначно, как справляться с последствиями. Все зависит от характера ущерба. При потере клиентской базы одно из решений — обзвонить всех и заручиться лояльностью. Когда украли деньги, кроме заявления в полицию, можно обратиться в детективное агентство».
Утечки персональных данных, в первую очередь, клиентской базы, были и остаются основным вектором атаки.
Трудно сказать однозначно, как справляться с последствиями. Все зависит от характера ущерба. При потере клиентской базы одно из решений — обзвонить всех и заручиться лояльностью. Когда украли деньги, кроме заявления в полицию, можно обратиться в детективное агентство».
Коротко, увлекательно и с пользой о деньгах — в нашем телеграм-канале @life_profit. Присоединяйтесь!
Поделиться
0 комментариев