Хакеру не завжди потрібно ламати складний захист, якщо компанія сама залишила йому відчинені двері. Слабкі паролі, зайві доступи та відсутність правил часто створюють небезпечні прогалини. Тому сертифікація стає частиною системного захисту бізнесу, а підготуватися до неї допомагає Альтернатива. Почати ж варто з перевірки власних звичок.
1. Один пароль відкриває половину компанії«12345» на пошту, той самий пароль на Google Drive, і той самий, певно, на Netflix. Питання тут не «чи зламають», а «коли». Стовідсотково, ви прямо зараз можете назвати ім’я колишнього співробітника, який досі пам’ятає цей пароль. І цілком можливо, у нього є причина ним скористатися.
2. Доступ отримують «про всяк випадок»Є улюблена фраза українського бізнесу «на всякий випадок», і в доступах до даних вона працює особливо старанно. Ось типовий склад учасників корпоративного чату, де давно варто було когось видалити:
- бухгалтер, який бачить документи відділу продажів, бо «колись знадобиться»;
- менеджер із доступом до всієї клієнтської бази, хоча веде трьох клієнтів;
- підрядник, який закінчив проєкт ще торік, але досі має пароль від сховища;
- стажер, якому одного разу відкрили «тимчасовий» доступ на два тижні.
Разом вони перетворюють компанію на будинок, де ключі роздали половині району.
3. Кібербезпеку вважають роботою айтішникаНалаштувати антивірус і видихнути не вийде. Айтішник не встигає перевіряти, хто саме зараз відкриває підозрілий лист чи ділиться паролем у чаті. Захист працює лише тоді, коли за нього відповідає вся команда, а не одна людина в сусідньому кабінеті.
4. Співробітників ніхто не готує до атакНайдорожчий антивірус безсилий, якщо хтось у команді відкриє лист про «термінову зміну реквізитів» від «директора». Особливо якщо цей лист прийшов у п’ятницю ввечері, коли всі вже думають про вихідні, а не про підозрілі посилання.
Найпростіший обман працює найкраще, бо грає не на технічних слабкостях, а на людській звичці довіряти й поспішати. Саме такі ситуації і закриває сертифікація ISO 27001, а дізнатися, як її отримати, можна тут:https://alternatyva.org.ua/sertyfikat-iso-27001/.
5. План дій з’являється вже після атакиПід час інциденту не повинно виникати питання «кому тепер телефонувати». Але саме це питання зазвичай і звучить першим, бо до нього ще ніхто не готувався.
Що насправді змінює сертифікаціяП’ять звичок вище рідко виправляють окремо одна від одної. Пароль полагодили, а доступи так і лишились роздані «про всяк випадок». Сертифікація ISO 27001 працює якраз тому, що змушує подивитися на всі ці звички разом, а не латати діри по одній після кожного нового інциденту. Захист бізнесу коштує дешевше, ніж наслідки одного інциденту. Питання лише в тому, до чи після інциденту ви це зробите.
