Нарушения правил в инфобезопасности: как отследить и исправить

Несоблюдение регламентов ведет к печальным последствиям — от штрафов регуляторов до полной остановки бизнес-процессов. Решение проблемы включает три задачи: понимать типы нарушений, внедрять мониторинг и создавать систему реагирования. Разберем из них подробнее.

Типы нарушений: что угрожает вашей безопасности изнутри

Нарушения политик инфобезопасности разнообразны, и чтобы эффективно с ними бороться, важно понимать их природу.

Преднамеренные нарушения

Эта категория включает осознанные действия сотрудников — обход правил безопасности для личного удобства или чтобы упростить рабочие процессы. Что делают чаще всего:

• Отключают антивирусное ПО, чтобы ускорить работу компьютера
• Передают учетные данные коллегам для выполнения своих задач
• Выносят конфиденциальную информацию за пределы защищенного периметра
• Устанавливают несанкционированное ПО на корпоративные устройства

В IT-компании ведущий разработчик испытывал неудобства из-за ограничений корпоративного ноутбука. Обойдя защиту, он установил неавторизованную программу для удаленного доступа, чтобы работать из дома. Через месяц эта программа стала точкой входа для хакеров, которые похитили исходный код ключевого продукта. 

Теневая IТ-инфраструктура

В отличие от отдельных нарушений, теневая инфраструктура представляет собой целую параллельную экосистему неавторизованных технологий, которые сотрудники используют без ведома IТ-отдела:

• Подключают личные облачных хранилищ для рабочих документов
• Скачивают сторонние мессенджеры для обсуждения рабочих вопросов
• Разворачивают неодобренные сервисы для управления проектами

Маркетинговый отдел крупной компании, недовольный скоростью согласования внутренних IT-решений, начал использовать облачный сервис для совместной работы над маркетинговыми материалами. Через полгода конкурент запустил подозрительно похожую рекламную кампанию. Расследование выявило, что настройки доступа в облачном сервисе позволяли просматривать документы без аутентификации. База клиентов, финансовые показатели и стратегия продвижения хранились в открытом доступе почти четыре месяца.

Устаревшие политики безопасности

Нередко нарушения происходят из-за того, что действующие правила:

• Не соответствуют современным бизнес-требованиям
• Создают избыточные барьеры для выполнения рабочих задач
• Не учитывают новые технологические реалии
• Противоречат друг другу

Поиск нарушений требует комплексного подхода, которые сочетают  технические средства и организационные меры.

Как отследить нарушения правил: мониторинг и автоматическая аналитика

Современные системы мониторинга позволяют в реальном времени отслеживать события безопасности и выявлять аномалии. Рассмотрим самые эффективные инструменты:

SIEM-системы (Security Information and Event Management). Собирают и анализируют данные из различных источников, выявляя подозрительную активность. Для максимальной эффективности SIEM необходимо:

• Определить критичные активы и процессы, которые требуют особого внимания
• Настроить правила для выявления сложных сценариев атак
• Адаптировать систему к особенностям вашей инфраструктуры
• Регулярно обновлять базы знаний о угрозах и тактиках нарушителей

DLP-решения (Data Loss Prevention). Контролируют информационные потоки внутри организации и за ее пределами. Они позволяют:

• Классифицировать данные по уровню конфиденциальности
• Отслеживать передачу чувствительной информации по всем каналам
• Блокировать несанкционированные попытки экспорта данных
• Создавать детальные отчеты о перемещении информации

Поведенческая аналитика (UEBA). Такие программы строят профили нормального поведения пользователей и выявляют отклонения, которые могут указывать на нарушения:

• Доступ к системам в нетипичное время
• Необычные паттерны работы с данными
• Аномальный объем передаваемой информации
• Подозрительные последовательности действий

Реклама 16+

Расследуйте инциденты со Staffcop

Выявляйте и расследуйте утечки, мошенничество и другие инциденты, происходящие по вине сотрудников.

Оставить заявку

Аудиты: преимущества разных видов

Регулярные проверки помогают найти уязвимости и нарушения правил безопасности, которые не видны в ежедневной работе. Разные виды аудита дополняют друг друга и помогают с высокой степенью достоверности понять, насколько хорошо защищена ваша система. 

Внутренние аудиты: контроль изнутри

Внутренние аудиты проводятся собственными специалистами по ИБ и позволяют оценивать соответствие принятым политикам и стандартам.

Когда и как проводить:

• Планируйте внутренние аудиты ежеквартально
• Используйте заранее подготовленные чек-листы, основанные на внутренних политиках и отраслевых стандартах
• Чередуйте плановые и внезапные проверки для получения более объективной картины

Ключевое преимущество: вы проводите их сами, когда нужно, без долгих согласований с руководителями и подрядчиками. Нашли проблему? Тут же её исправили, не дожидаясь формальных отчетов и рекомендаций. И самое ценное — вы поддерживаете свои политики безопасности в актуальном состоянии постоянно.

Внешние аудиты: взгляд со стороны

Внешние аудиты выполняются независимыми экспертами, а это обеспечивает объективность оценки и соответствие актуальным требованиям:

Основные типы внешних аудитов:

• Аудит на соответствие нормативным требованиям (152-ФЗ, GDPR, PCI DSS)
• Аудит на соответствие международным стандартам (ISO 27001, NIST)
• Оценка уровня зрелости процессов ИБ

Ключевое преимущество: внешние аудиты дают компании непредвзятый взгляд специалистов, непогруженных в ежедневную операционную деятельность. Вы получаете доступ к экспертизе и опыту аудиторов из разных отраслей, что обогащает ваши подходы к безопасности. А еще важный бонус — значительно снижаются риски санкций и штрафов от регуляторов.

Тесты на проникновение: проверка боем

Тесты на проникновение (пентесты) имитируют действия злоумышленников и позволяют выявить уязвимости в защите, которые могут остаться незамеченными при обычном аудите:

Основные виды пентестов:

• Тестирование внешнего периметра (веб-приложения, публичные сервисы)
• Тестирование внутренней инфраструктуры
• Тестирование социальной инженерии (фишинг, претекстинг)
• Тестирование физической безопасности

Ключевое преимущество: вы проверяете, насколько эффективно работают ваши системы обнаружения и реагирования на инциденты — в боевых условиях, а не в теории. А когда директор видит, как легко злоумышленник получает доступ к критичным данным, вопросы о бюджете на безопасность решаются быстрее.

Проводите короткие внутренние проверки каждый месяц, тематические — раз в квартал, а полный внешний аудит — раз в год. Главное — не теряйте найденные проблемы из виду: заносите их в общую базу и проверяйте, что они действительно исправлены, а не просто зафиксированы в отчете.

Чтобы понять, насколько защита данных в вашей компании соответствует требованиям законодательства, обратитесь в «Безопасность» от Контур.Эгиды.
Эксперт проведут аудит и дадут рекомендации по организации ИБ в вашей компании.

Оставить заявку

Как расследовать инциденты, чтобы они не повторились

Если случился инцидент (утекли данные, взломали сервер, словили шифровальщик), важно не просто «потушить пожар», а понять, почему это произошло.

Соберите улики, пока не остыли

Первым делом сохраните всё, что поможет в расследовании:

• Логи с серверов и сетевого оборудования
• Скриншоты странной активности
• Образы зараженных систем

Не откладывайте — данные быстро исчезают. Просто скопировать логи за последние сутки будет мало, нужна полная картина минимум за неделю до инцидента.

Копайте глубоко, а не быстро

Сотрудник слил базу клиентов. Почему? Потому что мог. А почему мог? У него был доступ к полной базе, хотя для работы нужны были только контакты из его региона.

Используйте метод «5 почему»:

1. Почему утекли данные? — Сотрудник скопировал их на флешку.
2. Почему он смог это сделать? — У него был полный доступ к базе.
3. Почему у него был полный доступ? — Потому что так проще настраивать права.
4. Почему не разграничили права? — Никто не провел анализ рисков.
5. Почему не провели анализ? — Нет процесса оценки рисков при выдаче доступов.

Вот она — настоящая причина. Не злой сотрудник, а несовершенная система доступов.

Ищите слабые места в защите

Почему ваши защитные системы не сработали? Часто проблема банальна: DLP-система была настроена, но с огромными исключениями, чтобы «не мешала работать».

Проверьте:

• Какие системы защиты должны были сработать, но не сработали
• Отключал ли кто-то контроли «временно»
• Обходят ли сотрудники защиту в повседневной работе

Спросите у обычных пользователей: «Какие системы защиты мешают вам работать?» Узнаете много интересного.

Учитесь на ошибках — по-настоящему

Не пишите формальные отчеты, которые никто не читает. Сделайте простую базу инцидентов с реальными выводами:

• Что конкретно произошло (простым языком)
• Почему наши защитные меры не сработали
• Что мы меняем, чтобы это не повторилось
• Кто отвечает за изменения и когда проверим результат

Раз в квартал собирайтесь с командой и смотрите, какие атаки повторяются. Это ваши системные проблемы. Выявили проблему — сразу внедряйте изменения:

• Простые и дешевые — делайте немедленно
• Сложные или дорогие — разбейте на этапы, но начните сейчас

Не увлекайтесь бюрократией. Лучше быстро закрыть три ключевые дыры, чем полгода писать план по закрытию всех двадцати.

И главное — проверяйте, работают ли ваши улучшения. Если устранили причину утечки данных, попробуйте сами «слить» тестовую базу тем же способом. Не получается? Вот тогда инцидент действительно закрыт.

Создавайте культуру кибербезопасности

Технические меры эффективны только в сочетании с правильной корпоративной культурой:

• Регулярно обучайте сотрудников принципам информационной безопасности. Вместо формальных тренингов используйте интерактивные форматы: симуляции фишинговых атак, геймифицированные курсы по кибербезопасности, короткие информационные рассылки о новых угрозах.
• Создайте анонимные защищенные каналы, по которым сотрудники могут сообщать о замеченных проблемах без страха наказания.
• Вовлекайте руководство в вопросы информационной безопасности. Когда топ-менеджмент сам демонстрирует приверженность правилам ИБ, это значительно повышает мотивацию всех сотрудников.

Вместо вывода: баланс безопасности и удобства

Нарушения политик информационной безопасности неизбежны в любой организации, важно своевременно их выявлять и правильно реагировать. Ключевой фактор успеха — найти баланс между безопасностью и удобством работы:

• Регулярно пересматривайте политики безопасности, убирая избыточные ограничения
• Автоматизируйте рутинные процедуры безопасности
• Предоставляйте безопасные альтернативы популярным, но небезопасным инструментам
• Собирайте обратную связь от пользователей о проблемах с соблюдением требований ИБ

Информационная безопасность бизнеса

Контур.Эгида — сервисы информационной безопасности: уменьшение рисков внутренних угроз и утечек конфиденциальных данных, предотвращение атак злоумышленников.

Оставить заявку