Внедряем СМИБ без паники: 4 шага к надежной защите

Вы уже поняли, что СМИБ — это не про дорогие технологии, а про систему управления безопасностью. Но как перейти от теории к практике? Многие боятся, что внедрение займет месяцы, потребует больших бюджетов и разработки сложных документов. На самом деле все проще. Разберем 4 практических шага, которые помогут вам выстроить работающую систему безопасности.

Шаг 1. Сначала разберитесь, что защищаете

Не бросайтесь покупать новые средства защиты. Начните с анализа рисков. Выпишите всё, что представляет действительную ценность для вашего бизнеса (так называемые активы): базы клиентов, финансовые отчеты, договоры, ноу-хау. Затем подумайте, что может пойти не так (рассмотрите недопустимые события): сотрудник случайно отправит данные не тому адресату, хакеры взломают почту, уволенный сотрудник скопирует базу клиентов. Так вы поймете, на чем сосредоточиться в первую очередь. Не забудьте про требования закона — если работаете с персональными данными, обязательно учтите 152-ФЗ.

Шаг 2. Создайте понятные правила для всех

Не пишите 50-страничные инструкции, которые никто не будет читать. Сделайте короткие и понятные Регламенты — памятки :

• Как создавать надежные пароли;
  
• Куда следует сохранять рабочие файлы;
  
• Как вести деловую переписку (например, запрет на использование личных почтовых ящиков и мессенджеров);
  
• Что делать с подозрительными письмами (куда пересылать, кому сообщать);
  
• Кто отвечает за безопасность в компании, к кому можно и следует обращаться по возникающим вопросам, связанным с информационной безопасностью.
  

Главное — чтобы эти правила работали на практике, были легкодоступны каждому сотруднику, а в компании были реализованы механизмы обязательного ознакомления с ними каждого сотрудника. И уже следующим этапом внедрять полноценные Регламенты ИБ, ознакамливать с ними сотрудников и проводить мероприятия по контролю соблюдения политик ИБ

Шаг 3. Внедряйте постепенно и учите сотрудников

Техническая часть важна, но не она главная. Настройте доступы к системам по принципу «минимум необходимого», включите шифрование на ноутбуках, настройте резервное копирование. Но основное внимание уделите людям. Проведите периодические 15-минутные ликбезы: покажите примеры фишинговых писем, разберите типичные ошибки.Старайтесь держать сотрудников в информационном тонусе — чем о больших способов атак они будут знать, тем выше шанс на их адекватное реагирование на угрозу. Назначьте ответственных, к кому можно обратиться с вопросами по безопасности. Помните: нельзя перекладывать всю ответственность на IT-отдел (и даже на ИБ подразделение, если оно существует в вашей организации) — безопасность — личная ответственность каждого сотрудника.

Шаг 4. Не забывайте про регулярную проверку

Безопасность — это не «сделал и забыл». Не реже чем раз в квартал выделяйте время на проверку сотрудников:

• Все ли соблюдают правила?
  
• Не осталось ли уволенных сотрудников в доступах?
  
• Не появились ли новых актуальных угроз и недопустимых для бизнеса и компании событий?
  

Не стремитесь к идеалу — охватить необъятное и закрыть все бреши разом — начните с малого и постепенно улучшайте свою систему безопасности.

Реальный пример: как справилась маленькая компания

Онлайн-школа изучения английского языка (30 сотрудников, тысячи учеников) столкнулась с хаосом (настоящим страшным сном безопасника): преподаватели хранили материалы в личных облаках, менеджеры пересылали данные учеников в чатах. Сначала руководство провело аудит рисков и недопустимых событий — выделили главное: необходимо обеспечить защиту базы учеников (клиентов) и учебные материалы (методики и программы обучения, являющиеся интеллектуальной собственностью ). В базе хранятся персональные данные, которые нередко становятся основной целью злоумышленников и конкурентов. Поэтому важно обеспечить их конфиденциальность и защищенность, а так же соответствие Федеральному закону «О персональных данных» от 27.07.2006 N 152-ФЗ. Ведь никому не нужны репутационные риски и тем более штрафы.

Учебные материалы, в свою очередь, представляют собой интеллектуальную собственность компании. Утечка данной информации может привести не только к репутационному ущербу и  серьезным финансовым потерям, но и к полной невозможности предоставления услуг.

Затем ввели простые правила: пароли от 12 символов, все файлы должны храниться только в корпоративном облаке — никаких личных хранилищ или сторонних облачных сервисов, подозрительные письма отправляются сразу директору, сотрудник не принимает по ним никаких решений и не открывает вложения. Провели два обучающих вебинара со своими сотрудниками. По сравнению с предыдущим годом, нарушений в сфере информационной безопасности стало меньше на 80%. Это позволило компании работать эффективнее и больше не бояться проверок.

Что запомнить

Не пытайтесь объять необъятное. Начните с анализа активов, рисков, недопустимых для бизнеса событий и внедрения базовых правил для обеспечения информационной безопасности. Главное — чтобы безопасность работала на бизнес, а не мешала ему. А в следующей статье разберем, чем СМИБ отличается от обычной защиты и почему одного антивируса сегодня недостаточно.