Цепь ошибок, или Почему происходят утечки данных

ФОТО: pixabay.com

Какие последствия для сотрудников имеет утечка данных? Чтобы ответить на этот на вопрос, нужно сначала понять, в чем причина большинства подобных инцидентов. Чаще корнем проблемы является человеческий фактор, а хакеры и инсайдеры просто пользуются возможностью. Опросы менеджемента по всему миру подтверждают это. По данным исследования «Лаборатории Касперского», 52% компаний считают наибольшей угрозой системе корпоративной безопасности самих сотрудников, поскольку их действия могут скомпрометировать корпоративные данные.

Необходимо гарантировать кибербезопасность для врачей

СТЭНФОРД – Пандемия Covid-19 напомнила нам о том, что медсёстры, врачи и др... →

Если спросить у сотрудников: «Какие изменения в рабочем процессе повысили бы вашу продуктивность и удовлетворенность от работы?», можно услышать, что люди хотят удобства, неподотчетности и полной свободы – быть администраторами на своем компьютере, ставить любое ПО, давать доступ к данным и системам своей команды по собственному желанию, приглашать в офис гостей в любое время и т. д.

При этом никто не готов нести ответственность за свои желания, а сами сотрудники верят, что должен существовать волшебник, который убережет от всего. Служба ИБ, конечно, сделает все, чтобы защитить корпоративные ресурсы, но она не всесильна.

Вторая причина инцидентов – действия или бездействие ИБ- и ИТ-персонала, а также проблемы с эффективностью управления бизнес-процессами. В компании, которая серьезно относится к кибербезопасности, ущерб в результате инцидента возникает не от действий одного сотрудника, который вставил флешку с зараженным файлом, – всегда есть цепь ошибок.

• Бизнес-процесс был выстроен с ошибкой.
• Было нарушение политик ИБ.
• Информационные системы или инфраструктурные сервисы содержали не обнаруженные или не исправленные уязвимости.
• Применяемые системы были переусложнены, что привело к недостатку ресурсов на их безопасное конфигурирование, своевременный патч-менеджмент и внедрение мер защиты.
• Служба безопасности не смогла (или не имела возможности) выявить инцидент прежде, чем он привел к ущербу.

Цифровая экология

IT эко – это не только экологичность, но и экономия денег →

Что делать? Прививать сотрудникам уважение к ценностям компании и работе других. Это достигается в том числе и материальной заботой о сотрудниках. Нужно иметь четкие правила, описывающие, что допустимо делать, чего делать нельзя, как нужно поступать, если кто-то все-таки стал причиной киберинцидента (не исправил вовремя уязвимости, не обратил внимания на признаки атаки или даже скрыл их). Если к кому-то придется применить санкции, то важно не допускать дискриминации и сплетен – руководитель должен четко довести до подчиненных информацию о причинах санкций и обстоятельствах ошибки. Это позволит не только поддерживать здоровую атмосферу в коллективе, но и избежать повторения ошибок.

С точки зрения ИБ, чтобы минимизировать влияние инцидентов на мотивацию и обеспечить выживаемость компании, нужно уделять внимание таким факторам, как:

• цифровая грамотность персонала (чтобы не совершать ошибок, человек должен понимать, какие вообще бывают ошибки);
• мотивация сотрудников (люди должны хотеть работать в компании);
• четкая формулировка правил ИБ в компании и строгий контроль их выполнения;
• наличие средств детектирования и реагирования на инциденты;
• системы защиты от ошибок, дураков, разгильдяев и злонамеренных действий инсайдеров;
• непрерывное совершенствование всего вышеперечисленного, чтобы не наступать на грабли снова и снова.

Как инцидент повлияет на мотивацию сотрудников, также во многом зависит от того, какие действия предпримет руководство компании. Иногда случается, что меры по недопущению повторения подобных инцидентов могут нанести ущерб куда больший, чем он сам.