Эллисон Сэрра - Кибербезопасность - правила игры. Как руководители и сотрудники влияют на культуру безопасности в компании

Составьте список людей, с которыми вы можете связаться в такой ситуации. Держите их контакты под рукой – там, где вы и ваша команда легко сможете их найти. Эти списки должны быть не только у ваших людей, но и у сотрудников, обслуживающих сайт компании, ее социальные сети, облачное хранилище и так далее.

В чьи-то рабочие обязанности должна быть включена регулярная проверка доступак аккаунту, а помимо этого – удаление из списка администраторов людей, чья работа больше не связана с текущими проектами.

Используйте многофакторную аутентификацию.Некоторые наши системы автоматически определяют, когда пользователи входят в них, а когда выходят – даже если выключение произошло всего на несколько минут, например, для смены компьютера. При работе в системах с меньшим уровнем прямого контроля – таких как облачные сервисы, например, – мы просим сотрудников присылать скриншоты, показывающие, что многофакторная аутентификация включена.

Можете себе представить, как тщательно мы теперь изучаем социальные сети, прежде чем разместить там свою страницу. В дополнение к мерам, описанным выше, мы задаем следующие вопросы:

● Как вы обрабатываете личную информацию?

● Какую технологию вы используете? (На основе ответов мы проводим оценку уязвимости).

● Как работает ваша система управления доступом?

● Какие сторонние инструменты можно подключить к вашей платформе, чтобы автоматизировать откат контента, необходимый после взлома?

● Каков алгоритм возвращения взломанного хакерами аккаунта под контроль?

● Какого соглашения об уровне реагирования на атаку и возвращения клиенту контента в том виде, каким он был до взлома, вы придерживаетесь?

Безусловно, провайдер социальной сети сможет доказать, что мы сами не сделали несколько очевидных шагов – не свели к минимуму количество администраторов, регулярно проверяя их список, не настояли на использовании уникальных надежных паролей и так далее. Но решению проблемы не способствовала и его жесткая политика, в рамках которой очевидно взломанная грубейшим образом страница должна была оставаться неизменной до окончания проверки. И, конечно, сотруднице агентства не стоило использовать одинаковый пароль для нескольких учетных записей.

Но обратите внимание: главу я назвала «Как я испортила Пасху». Нет, я не взламывала корпоративную страницу McAfee. Не я предоставила такую возможность злоумышленнику. И в то пасхальное воскресенье я меньше всего хотела разбираться с ситуацией, возникшей в результате цепи нелепых ошибок. С учетом всего сказанного я могу лишь взять на себя ответственность за все произошедшее. Ведь, в конце концов, эта корпоративная страница находилась в ведении моей команды. И мы не выполнили свой долг – не приняли разумных мер для ее сохранности.

Личная ответственность – вещь неприятная. Немногим из нас доставляет удовольствие обдумывать, что можно было сделать лучше или иначе для предотвращения несчастного случая. Уклонение – гораздо более нормальная человеческая реакция. Тем не менее именно наша тяга к отказу от личной ответственности остается ключевым оружием в арсенале хакерского сообщества.

Слишком долго кибербезопасность была «чьей-то там» проблемой. Слишком многие считают кибербезопасность мутной темой, не заслуживающей их личного времени, не говоря уже об ответственности. Эта книга ставит целью изменить данную парадигму, хотя бы помочь сделать скромный шаг к признанию ответственности, которую мы все разделяем как сотрудники – и, в конечном итоге, защитники – наших организаций. Если наша компания не может рассчитывать, что мы примем разумные меры предосторожности, чтобы уберечь ее драгоценные цифровые активы, то кому она вообще может доверять?

Однако позвольте мне отвлечься от своей «мелодрамы» и обозначить настоящую проблему. Дело не в том, что сотрудники в большинстве своем не хотят поступать правильно. Гораздо чаще они просто не знают, как это делать.

Кибербезопасность – это командный спорт, в котором каждый должен играть на своей позиции в любую минуту. Дополнительные инструменты могут быть чрезвычайно полезными; но только когда люди, программы, процедуры, регулярные проверки и другие факторы работают вместе, они образуют эффективную защиту.

Еще один важный элемент, позволяющий минимизировать киберугрозу, – честность. Я определенно выхожу из зоны комфорта, начиная книгу со своим именем на обложке с описания досадного сбоя в системе безопасности, произошедшего у меня под носом. Могло ли быть хуже? Конечно. Этого никогда не должно было произойти? Конечно.