Эксперты Инфозонта поделились тремя самыми распространенными проблемами в защите компаний.
Главная проблема каждой компании — люди.
Безответственность, невнимательность и пренебрежение простейшими правилами приводит к самым сокрушительным нарушениям процессов. Легкомысленное отношение к приложениям устанавливаемым на компьютер или смартфон становится причиной утечек информации. А использование одного пароля для разных учетных записей является одной из главных угроз ИБ: взломав один пароль, злоумышленник получает доступ к нескольким базам данных.
Show must go on.
В компаниях нет политики управления резервными копиями с регулярным тестированием планов и процедур восстановления. Это приводит к тому, что в случае инцидента информационной безопасности они надолго выпадают из гонки на рынке услуг ввиду долгого восстановления процессов «с нуля». Но даже если компания никуда не торопится, то это не гарантирует полного восстановления данных и настроек ит-систем, в крупной компании это просто невозможно.
Антивирус — не панацея.
Применение пассивных инструментов информационной безопасности в виде установки антивируса эффективны на коротком промежутке времени. Антивирус решает задачу сохранения целостности данных, но требует постоянного внимания и отлаженных процессов поддержки. Для его эффективной работы нужен специалист, который сможет раскрыть весь его потенциал через управление обновлениями, базами правил и мониторингом событий, а построение процессов компании с учетом целей ИБ поможет в оптимальном использовании ресурсов и покажет лучшую результативность при отражении атак.
Чек-лист поможет оценить защищенность компании.
Нормативное соответствие:
- Разработана и утверждена политика по информационной безопасности?
- Имеется независимое от ИТ подразделение или должностное лицо, отвечающее за вопросы информационной безопасности?
- Разработана модель угроз и модель нарушителя ИБ в Компании?
- Организован контроль за соблюдением нормативных правовых актов в области ИБ?
Внешняя защита:
- Есть понимание какие ресурсы выходят в интернет?
- Есть полный список сервисов опубликованных в интернет?
- Ведется ли пересмотр правил межсетевого экранирования?
- Сформулирован перечень недопустимых событий информационной безопасности?
Внутренняя защита:
- Проводится тестирование планов, процедур восстановления в случае сбоев и анализ их эффективности ?
- Ведется учет цифровых активов?
- Ведется мониторинг и анализ событий ИБ?
- Ведется инцидент менеджмент?
- Есть сегментация сети?
- Существует процесс устранения уязвимостей и установки патчей?
- Проводится инвентаризация ИТ-инфраструктуры?
Культура и осведомленность:
- Проводится регулярное обучение?
- Есть сформированная программа обучения?
- Программа обучения обновляется ежегодно?
- Проводятся регулярные практические учения по противодействию компьютерным атакам (киберучения)?
Соответствие Указу Президента РФ №250 «О дополнительных мерах по обеспечению
информационной безопасности Российской Федерации»:
- Вы являетесь объектом Критической информационной инфраструктуры?
- Имеется выделенное подразделение или ответственное должностное лицо, отвечающее за вопросы информационной безопасности?
- Есть подключение к ГосСОПКА для передачи информации по инцидентам информационной безопасности?
- Разработана стратегия по импортозамещению иностранных средств защиты информации, произведенных в недружественных государствах либо организациями под их юрисдикции?
- Проводился анализ системы на наличие уязвимостей, компанией сертифицированной ФСТЭК?
- Выстроен непрерывный процесс обнаружения, предотвращения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты?
Соответствие 152-ФЗ «О персональных данных»:
- Разработана и утверждена политика по обработке персональных данных?
- Сведения об операторе персональных данных поданы в Роскомнадзор?
- Определены информационные системы, обрабатывающие персональные данные?
- Сформирована модель угроз безопасности в информационных системах, обрабатывающих персональные данные?
- Организованы работы по формированию осведомленности работников организации по работе с персональными данными субъектов ПДн?
Соответствие требованиям 63-ФЗ «Об электронной подписи»:
- Ведется ли учет средств криптографической защиты информации?
- Организован контроль пользователей организации в части соблюдения ими конфиденциальности информации и правил работы с средствами криптографической защиты информации?
- Внедрен ли процесс уничтожений средств криптографической защиты информации при компрометации ключа?
- Хранятся ли средства криптографической защиты информации в защищенном сейфе или другом защищенном месте?
- Соблюдаются требования по парольной защите к средствам криптографической защиты информации?
Присылайте свои ответы и мы проведем диагностику вашего бизнеса.