Кибергигиена: привычки, которые закрывают большинство инцидентов

Почему это важнее дорогих решений

Почти каждый случай в небольшой компании начинается с действия человека: открыл вложение, ввёл пароль на поддельной странице, перевёл деньги по просьбе «руководителя», унёс базу на личную почту.

Ни одна купленная программа этого не отменяет. Поэтому привычки сотрудников дают больше, чем следующая покупка.

Пароли

Последний пункт закрывает целый класс случаев: именно так угоняют рабочие мессенджеры и почту.

• у каждого своя учётная запись, работа под чужой не допускается;
• пароль от рабочих систем не повторяет личные;
• пароль не передаётся никому, включая руководителя;
• везде, где есть деньги и данные, включена двухфакторная защита;
• код из сообщения не сообщается никому и никогда — ни «поддержке», ни «банку», ни коллеге.

Письма и сообщения

• проверять отправителя до того, как открыть вложение или перейти по ссылке;
• не вводить пароль на странице, открытой по ссылке из письма — заходить в сервис самостоятельно;
• любую просьбу срочно оплатить или сменить реквизиты подтверждать звонком по известному номеру, а не ответом на сообщение;
• служебную переписку вести с рабочих адресов, а не с личных.

Устройства

• обновления системы и средств защиты устанавливаются, а не откладываются месяцами;
• экран блокируется при уходе с рабочего места;
• на ноутбуках, которые выносят из офиса, включено шифрование диска;
• об утере устройства сообщается в тот же день;
• чужие флешки в рабочие компьютеры не вставляются.

Данные

• рабочие файлы хранятся в рабочих системах, а не в личном облаке;
• выгрузки базы на личную почту «чтобы поработать дома» не делаются;
• документы с персональными данными не пересылаются в мессенджерах без защиты;
• при увольнении доступы закрываются в последний рабочий день, а не когда вспомнят.

Как добиться, чтобы это соблюдалось

1. 1Записать правила короткоОдна-две страницы понятным языком. Двадцатистраничный документ не читают.
2. 2Ознакомить под подписьЭто одновременно и обязанность работодателя по Трудовому кодексу, и способ показать, что правила настоящие.
3. 3Объяснить, а не запретитьЧеловек соблюдает правило, когда понимает, от чего оно защищает. «Нельзя» без объяснения обходят.
4. 4Сделать удобной правильную дорогуЕсли рабочее облако неудобное, люди будут пользоваться личным. Запрет тут не поможет.
5. 5Не наказывать за сообщения об ошибкахТот, кто боится сказать, что открыл вложение, стоит компании дороже самого вложения.
6. 6Проверять и записыватьРаз в квартал по чек-листу. Это и есть внутренний контроль, которого требует закон.

На что не стоит тратить силы

Требование менять пароль каждые 30 дней приводит к тому, что пароли начинают отличаться одной цифрой и записываются на бумажке. Длинный уникальный пароль плюс второй фактор надёжнее частой смены.

Частые вопросы