5 способов защитить малый бизнес от кибератак в 2020 году

5 способов защитить малый бизнес от кибератак в 2020 году

В этой статье мы обсудим 5 способов предотвращения угрозы кибербезопасности для малого бизнеса в 2020 году.

До недавнего времени кибермошенники не особо жаловали малый бизнес. Ведь они предпочитали более крупные и “маститые” компании, потому что у таких игроков, понятно, больше денег и конфиденциальной информации, которая так ценна для хакеров.

Но судя по громким заголовкам о скандальных взломах и кражах личных данных, не покидающих новостные СМИ, злоумышленники облюбовали малый и средний бизнес, поскольку их гораздо проще взломать, чем основательные решения безопасности корпоративного уровня.

Провайдеры сообщают, что за последние два года 85% их клиентов из сектора малого бизнеса были атакованы вымогателями, и большинство экспертов склоняются к увеличению частоты таких атак в будущем.

К сожалению, кибератаки могут иметь разрушительные последствия для малого и среднего бизнеса. Ведь они приводят к значительному простою, потере производительности и даже уничтожению ключевых бизнес-данных.

Таким образом, 60% малых и средних компаний, которые взломали злоумышленники, закрываются в течение 6 месяцев, согласно статистике.

Вот почему все компании, независимо от их размера, должны серьезно заняться вопросами кибербезопасности в 2020 году. Угрозы, скорее всего, станут более активными и мощными, и при слабой защите их будет труднее предотвратить.

К счастью, есть ряд решений, которые управленцы малого бизнеса могут осуществить, чтобы защитить свои компании от злоумышленников. Вот 5 способов, с помощью которых вы улучшите свою кибербезопасность в этом году.

Обзор

Безопасность тесно связана с управлением ИТ-инфраструктурой: хорошо управляемую сеть сложнее взломать, чем плохо управляемую. Чтобы понять, насколько хорошо ваша организация обеспечивает защиту информации, задайте себе следующие вопросы:

• Знаете ли вы, что ваши сотрудники подключают к своим компьютерам? Какие устройства подключены внутри локальной сети?
• Знаете ли вы, какое программное обеспечение используется в ваших информационных системах?
• Вы настраивали компьютеры с учетом требований по информационной безопасности?
• Вы контролируете доступ сотрудников к конфиденциальной информации или тех, у кого есть повышенные права доступа в системах?
• Ваши сотрудники хорошо понимают свою роль в защите вашей организации от угроз информационной безопасности?

Ниже перечислены различные бесплатные или недорогие инструменты, а также процедуры, которые помогут вам ответить на перечисленные вопросы и повысить уровень безопасности в организации. Перечисленные инструменты не является исчерпывающими, но они отражают широкий спектр доступных бесплатных или недорогих инструментов, которые любой SMB может использовать для повышения своего уровня информационной безопасности.
В данных Рекомендациях предлагается использовать поэтапный подход к построению системы защиты информации:

• Этап 1 позволяет понять, что находится в вашей сети, и определяет базовые требования по информационной безопасности;
• Этап 2 уделяет основное внимание обеспечению базовых требований безопасности и обучению сотрудников вопросам информационной безопасности.
• Этап 3 помогает вашей организации подготовиться к инцидентам по информационной безопасности.

На каждом этапе вам будут представлены вопросы, на которые необходимо ответить, а также действия и инструменты, которые помогут достичь ваших целей.

Что может произойти в результате атаки?

Кибератака может существенно повлиять на ваш бизнес. 60% малых предприятий, ставших жертвами атаки, закрываются в течение шести месяцев после инцидента. Это, конечно, самый разрушительный результат атаки, но у вашего бизнеса могут быть и другие последствия, например:

• финансовые потери от кражи банковской информации
• финансовые потери от остановки работы компании
• Большие затраты на восстановление вашей сети
• Репутационный ущерб после уведомления клиентов о том, что их информация была скомпрометирована

Проблемы информационной безопасности в организациях СМБ

Если говорить о государственных малых и средних организациях, вопросы ИБ для них входят в число приоритетных, и в целом требования законодательства по защите информации ими выполняются. Тем не менее, попробуем вычленить некоторые проблемы в этой области, характерные для текущего времени.

Одной из самых актуальных проблем указанных организаций является низкая квалификация кадров в сфере информационных технологий и особенно в части ИБ. Зачастую системный администратор находится не в штате организации, при этом основные требования к его работе заключаются в обеспечении работоспособности системного и прикладного программного обеспечения, тогда как на изучение и настройки даже приобретенных СЗИ у него не хватает ни времени, ни знаний. Специалист по ИБ в таких организациях — весьма редкое явление. При этом часто его знания ограничиваются нормативно-правовой базой в рамках необходимого. Другой опасной тенденцией последних лет является развитый «бизнес» консультантов, чьи услуги направлены не на защиту информации, а на преодоление проверок со стороны регуляторов.

Весьма непросто складывается ситуация с обеспечением ИБ в негосударственных предприятиях малого и среднего бизнеса. Главным образом это вызвано нацеленностью собственников на решение вопросов, непосредственно связанных с существованием и развитием бизнеса, а также с недопониманием руководством предприятий важности проблем ИБ даже для организаций с высоким уровнем информатизации. Обычно малый и средний бизнес характеризуется быстрым принятием решений по инвестированию в наиболее выгодные в данный момент виды деятельности. В условиях кризиса и отсутствия дешёвых кредитов проблемы ИБ зачастую не рассматриваются даже по остаточному принципу. Для частных предприятий, как и для государственных, также характерна низкая квалификация соответствующих кадров. При этом недостаточность финансирования, неустойчивость бизнеса и текучка кадров приводят владельцев к необходимости скрывать коммерческую информацию от своих сотрудников. Чаще всего с этой целью приобретаются антивирусные программы и средства шифрования серверов класса Secret Disk Server [12] и персональных компьютеров класса Secret Disk [13].

В условиях недостатка квалифицированных кадров и политик безопасности в виде тенденций стали проявляться две противоположные крайности: приобретение сертифицированных свободно распространяемых решений ИБ, с одной стороны, и наиболее надежных СЗИ (как для упоминавшейся выше сдачи отчётности в государственные органы) — с другой.

4. Используйте более сложные учетные данные

Говоря об учетных данных, вам также следует подумать о надежности комбинаций логина и пароля для всех входов в систему. Для малого и среднего бизнеса довольно распространено использование тех же облачных приложений, поскольку это многофункционально и легко доступно. Они даже имеют функции совместной работы, которые позволяют нескольким пользователям работать с одними и теми же файлами и информацией.

Однако, сотрудники часто используют очень простые учетные данные и повторно используют их для всех своих учетных записей. Следовательно, злоумышленники могут иметь доступ к огромный базе информации путем ранее скомпрометированных учетных данных, и как следствие — использовать их для взлома других учетных записей пользователей.

Чтобы убедиться, что сотрудники используют сложные учетные данные, вы можете предложить такие менеджеры паролей, как например облачный LastPass, что генерируют надежные и уникальные пароли для каждой используемой вами службы и управлять ими в одном месте.

KeePass также является альтернативным решением. В качестве дополнительной меры безопасности вы можете включить двухфакторную аутентификацию для приложений и служб, поддерживающих эту функцию.

Этап 1. Знай свою инфраструктуру

В самом начале, чтобы продвинуться в вопросе информационной безопасности, необходимо разобраться с локальной сетью, подключенными устройствами, критически важными данными и программным обеспечением. Без четкого понимания того, что вам нужно защитить, вам будет трудно убедиться в том, что вы обеспечиваете приемлемый уровень информационной безопасности.

Ключевые вопросы, которые необходимо держать в голове:

• Знаете ли вы, какую информацию необходимо защищать? Где в вашей сети хранится самая важная информация?
• Знаете ли вы, какие устройства подключены к вашей сети?
• Знаете ли вы, какое программное обеспечение установлено на компьютерах сотрудников?
• Используют ли ваши системные администраторы и пользователи надежные пароли?
• Знаете ли вы, какие онлайн-ресурсы используют ваши сотрудники (т. е. работают или сидят в социальных сетях)?

Какую информацию необходимо защищать. Где в вашей сети хранится самая важная информация

Вы можете потерять свой бизнес, если критически важные данные вашей компании будут потеряны, украдены или повреждены. Случайные события и природные катаклизмы также потенциально могут нанести непоправимый ущерб. Кроме того, потенциальные злоумышленники нацелены на данные, которые могут иметь ценность для них. Этими злоумышленниками могут быть как хакеры, так и сотрудники вашей компании, которые хотят украсть ваших клиентов, финансовую информацию или интеллектуальную собственность. Чтобы использовать ценную информацию, они должны получить к ней доступ, а доступ, как правило, они получают через локальную сеть организации.

Чтобы защитить свой бизнес, вам нужно понимать ценность ваших данных и как их можно использовать. Также необходимо определить, какую информацию требуется защищать в рамках законодательства, например, платежная информация или персональные данные. Ниже представлены примеры данных, которые вам необходимо идентифицировать и инвентаризировать:

• Кредитные карты, банковская и финансовая информация;
• Персональные данные;
• Базы данных клиентов, цены на закупку/поставку;
• Коммерческие секреты компании, формулы, методологии, модели, интеллектуальная собственность.

Также представлены основные федеральные законы, которые определяют требования по защите информации (которые могут относиться к SMB) [от переводчика: документы вставлены с учетом Российского законодательства]:

• Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.06.2011 N 161-ФЗ «О национальной платежной системе»;
• Федеральный закон от 21.11.2011 N 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
• Федеральный закон от 29.11.2010 N 326-ФЗ («Об обязательном медицинском страховании в Российской Федерации»;
• Федеральный закон от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон от 29.07.2004 N 98-ФЗ «О коммерческой тайне».

Какие устройства подключены к вашей сети

Если вы знаете какие устройства подключены к вашей сети, то ваша инфраструктура становится проще в управлении, и вы понимаете, какие устройства необходимо защищать. Ниже описаны действия, которые вы можете сделать, чтобы узнать об устройствах в вашей сети.

Действия:

• Если у вас есть беспроводная сеть, проверьте на своем маршрутизаторе (контроллере беспроводного доступа) какие устройства подключены, и применяется ли надежное шифрование (WPA2).
• Для более крупных организаций предлагается применение сетевого сканера (коммерческий или бесплатный) для идентификации всех устройств в вашей сети.
• Включите логирование событий, связанных с подключением сетевых устройств, которые получают ip-адрес по протоколу DHCP. Логирование таких событий обеспечит удобное отслеживание всех устройств, которые были в вашей сети. (Если вам нужна помощь, обратитесь к вашим ИТ-специалистам.)
• В небольших организациях можно хранить список вашего оборудования (компьютеры, серверы, ноутбуки, принтеры, телефоны и т. д.) и перечень защищаемой информации в электронной таблице, которую необходимо обновлять при появлении нового оборудования или данных.

Инструменты:

• Nmap: известный многоцелевой сетевой сканер, используемый системными администраторами и хакерами по всему миру, чтобы определить, какие устройства подключены к вашей сети
• ZenMap: удобный графический интерфейс для Nmap
• Spiceworks: бесплатное программное обеспечение инвентаризации и управления ресурсами (устройства и установленное программное обеспечение) вашей сети

Какое программное обеспечение установлено на компьютерах сотрудников

Контроль установленного программного обеспечения является ключевым компонентом как хорошего управления ИТ, так и эффективной защиты информации. Вредоносное программное обеспечение в вашей сети может создавать риски, которые необходимо минимизировать, сюда же можно отнести юридическую ответственность за использование нелицензионного программного обеспечения. Необновленное программное обеспечение является распространенной причиной проникновения вредоносного ПО, которое приводит к атакам на ваши информационные системы. Если вы понимаете, какое программное обеспечение установлено в вашей сети, контролируете устанавливаемое программное обеспечение и защищаете учетные записи с правами администратора, то вы уменьшаете вероятность и влияние инцидентов информационной безопасности.

Действия:

Инструменты:

Компания, занимающаяся обеспечением кибербезопасности, может произвести на вас впечатление умными техническими терминами и впечатляющей маркетинговой кампанией, но посмотрите на результаты независимых тестов и обзоров. Лучшие компании, работающие в области кибербезопасности, всегда с готовностью участвуют в тестированиях своих продуктов и рады поделиться результатами.

Вам не нужна компания, которая приходит, устанавливает какое-то программное обеспечение и исчезает. Компания, претендующая на специализацию в одной областей, но не предоставляющая дополнительных продуктов или поддержки, не может обеспечить необходимую защиту.