Экспертная правовая
поддержка бизнеса с 2002 года

Электронный документооборот: уязвимости и как их избежать

машинка

Проблема киберпреступности как таковая становится всё более и более актуальна с каждым годом. Количество окружающих нас гаджетов и других электронных устройств растёт с чрезвычайно высокой скоростью. При этом парадигма использования устройств в последние годы ощутимо поменялась – если раньше большая часть пользовательских данных хранилась и использовалась локально, на самих устройствах, то с развитием интернета и сетевых технологий информация всё больше хранится удалённо – в сетях и на серверах различных организаций. Все мы незаметно для самих себя адаптировались к таким переменам. Однако к переменам адаптировались и злоумышленники.

Количество кибератак ежегодно растёт с впечатляющей динамикой – согласно статистике аудиторской компании PricewaterhouseCoopers за 2016 год, 23% опрошенных Российских компаний тем или иным образом пострадали от кибератак, при этом только у 26% опрошенных есть действительный план реагирования на киберпреступления, который, к слову, зачастую недостаточен.

По данным агентства сетевой безопасности Positive Technologies, рост атак на все финансовые системы (SWIFT, межбанковские переводы, процессинг, ДБО, АБС, банкоматы, платёжные терминалы, мобильные платёжные системы) за последние пару лет был весьма внушительным, и в 2017 году составит не менее 30%. При этом ситуация с отслеживанием и установлением факта атаки осложняется множеством серьёзных факторов: от недальновидных решений руководства до банальной технической неграмотности сотрудников. И наоборот – злоумышленники, как правило, специалисты и большинство спланированных атак строят на давно известных уязвимостях систем при управлении обыкновенным системным ПО, поэтому отследить подозрительную активность получается редко. Тем важнее привлечь квалифицированного специалиста, который сможет обнаружить следы несанкционированного доступа к информации и предоставит эти данные правоохранительным органам для надлежащей квалификации деяния.

Киберпреступления, особенно в крупных компаниях – одна из самых сложных проблем, с которой может столкнуться компания. Но зачастую, руководители компаний упускают ключевой момент: для принятия эффективных мер реагирования недостаточно только IT-специалистов, необходим гораздо более комплексный подход различных служб.

В первую очередь, представляется необходимым IT-аудит технологической инфраструктуры компании: без глубокого анализа системных уязвимостей сети компании невозможна качественная проработка политики безопасности. Только зная слабые места инфраструктуры можно предлагать их решения – как технические (обновление парка техники, установка актуальных версий ПО и т.п.), так и управленческие (обучение персонала с последующей аттестацией, введение обязательных регламентов и локальных актов, регулирующих политику внутренней безопасности).

Для чёткого осознания ответственности сотрудниками, юридической службе в плотном сотрудничестве с IT-отделом и службой внутренней безопасности необходимо регламентировать действия сотрудников в инфраструктуре компании, в том числе и в случае подозрительной активности. Не лишним будет и регламентирование действий PR-службы в таких ситуациях, поскольку никто не отменяет репутационные риски, которые могут нанести не меньший ущерб компании, чем кража персональных данных или средств со счетов.

Учитывая сложность такого явления как киберпреступность, мы можем сделать несколько рекомендаций, которые помогут в организации политик безопасности вашего бизнеса:

 

  • Используйте в работе только лицензионные версии операционных систем и прикладного программного обеспечения;
  • Если это необходимо, то применяйте сертифицированные средства криптографической защиты информации (СКЗИ);
  • Если вы используете антивирусную защиту, то необходимо регулярное и своевременное обновление антивирусных баз – иначе её эффективность стремится к нулю;
  • Своевременно устанавливайте обновления безопасности для используемого программного обеспечения;

 

Как мы упоминали выше, выработка политик безопасности на предприятии – это не только выработка мер правового воздействия юристами, это комплексная трудоёмкая работа всех отделов, которые имеют доступ к значимой электронной информации. Поэтому квалифицированный IT-отдел должен регулярно проводить обучение и аттестацию сотрудников с целью повышения их грамотности в области защиты информации.

Перечисленный нами комплекс мер — как организационных, так и технических, отнюдь не является исчерпывающим. Тем не менее, он позволит вам существенно обезопасить вашу информацию.