5 ошибок, которые делают данные вашей компании уязвимыми

Сегодня большинство бизнес-процессов основывается на информации, которая хранится на электронных носителях. Любые данные в цифровом виде подвержены механическим повреждениям меньше, чем бумажные носители, что удобно для компаний. Однако хранение данных в электронном формате создает для компаний ряд проблем, главные из которых — удаление и хищение информации.

Компании, хранящие ценную информацию на цифровых носителях, часто беспечно относятся к выбору паролей. Так, в 2022 году компания NordPass выявила, что в пятерку наиболее частых паролей, которые используют владельцы бизнеса и управленцы по всему миру, входят комбинации «123456», «123456789» и «password». При выборе пароля следует понимать: если сотрудники халатно относятся к защите доступа к секретной информации, компания рискует понести денежные траты на восстановление данных в случае взлома. Также слабые пароли грозят утечкой информации в сеть, а впоследствии — ухудшением репутации компании.

Пользователи должны регулярно обновлять цифровые «ключи» от ценных серверов, на которых хранится информация. Взломать код, который давно не менялся и получить доступ к информации будет несложно. Пользователи также должны применять многофакторную аутентификацию. Она является современной мерой защиты информации. Чтобы управлять доступом, сотрудник подтверждает личность с использованием, как минимум, двух факторов проверки: например, логин и пароль, а затем — код на электронной почте или SMS-сообщение на телефоне. Таким образом подтвердив свою личность, человек получит доступ к информации. Комплексный подход к защите сведений поможет предотвратить взлом доступа к ним.

Сотрудники не всегда продумывают, где хранить рабочие документы. Часто работники ограничиваются тем, что сохраняют файл в память домашнего компьютера, если работают из дома. Такое хранение файлов опасно.

Во-первых, посторонний человек, который имеет доступ к домашнему устройству сотрудника, может по ошибке удалить файл, закрыть документ, не сохранив, или даже намеренно украсть данные. Во-вторых, если домашний компьютер не оборудован мощной антивирусной программой, вредоносный файл, попавший в устройство, может уничтожить ценные для компании документы, хранящиеся на компьютере.

Альтернативный вариант хранения корпоративной информации — использовать внешние жесткие диски и flash-носители. Они недорогие в соотношении цены за мегабайт. Еще одно их преимущество — портативность. Используя внешние носители, можно всегда иметь при себе большие объемы информации и при необходимости открывать портативные хранилища с разных устройств. Но у жестких дисков и flash-носителей есть минус, который перекрывает названные плюсы: сохранность информации зависит от внешних обстоятельств. Механические повреждения могут вывести устройства из строя, тогда информацию будет проблематично восстановить.

У руководителей есть два дополнительных варианта, которые стоит рассматривать для хранения корпоративной информации.

Сотрудники компаний часто хранят файлы на корпоративных устройствах, где над ними и работали. Пользователи сохраняют созданный документ в память компьютера, чтобы сэкономить время и не выгружать его в облачное хранилище или на внешний носитель. Небезопасно так хранить сведения компании: данные легко теряются, так как со временем файлы копятся, и отыскать нужный документ становится сложнее. Кроме того, если сотрудник случайно зальет носитель информации водой или вовсе потеряет, данные пропадут навсегда без шанса на восстановление.

Есть руководители, которые пренебрегают вопросом комплексной сохранности корпоративных сведений. Инструктажи становятся для сотрудников формальностью. Как итог — сотрудники не относятся всерьез к технической безопасности. Если работник не знает, как распознать киберугрозу, то есть вероятность, что у него не получится ее избежать или вовремя ликвидировать.

Сотрудникам необходимо проходить специальное обучение, чтобы помочь защитить компанию от кибератак. Руководителю следует объяснять персоналу важность защиты ценных данных и предупреждать об ущербе, который понесет компания в случае потери сведений. Единичный разговор руководителя с подчиненными по теме кибербезопасности не сможет ничего изменить. Корпоративные тренинги нужно проводить регулярно, потому что их цель — изменение привычек и поведения работников относительно поддержания безопасности корпоративной информации. Соблюдение кибербезопасности должно быть неотъемлемой частью корпоративной культуры, одной из ценностей компании.

Многие компании не используют сложные IT-решения с грамотным разделением доступов сотрудников. Это происходит из-за заблуждений руководителей по поводу безопасности: кто-то не считает эту задачу первостепенной важности, кто-то надеется, что от кражи данных спасет бдительность сотрудников. Но инциденты, в которых секретные данные попадают в открытый доступ становятся частыми новостями. В центре ситуаций с утечками оказываются даже компании, для которых сохранность сведений о пользователях — высшая ценность.

Например, 22 марта 2022 года по Telegram-каналам распространилась ссылка на сайт, где собрана утекшая информация — массив из нескольких миллионов строк — о личных данных пользователей сервиса «Яндекс.Еда». Это произошло из-за недобросовестных действий одного из сотрудников компании, который имел доступ к информации об именах, номерах телефонов и адресах клиентов, а также дате, времени и стоимости их заказов. В итоге компании пришлось сократить число сотрудников, которые имеют доступ к личным данным клиентов, провести комплексный аудит безопасности и увеличить частоту регулярных проверок.

Защищать данные от преднамеренной или случайной утечки — задача каждого из сотрудников. Ответственность и внимательность работников в вопросах кибербезопасности позволит избежать финансовых и репутационных потерь для компании.

Важно знать, что неправильное хранение данных может привести к потере информации, а нерегулярная смена паролей облегчает злоумышленникам задачу взлома доступа к корпоративной информации.

Руководители, в свою очередь, должны регулярно обучать команду технике кибербезопасности и не игнорировать вопросы настройки защиты данных.