Управление рисками

Однако иногда бывает непросто защитить сотрудников компании от упорного чужака. В апреле 2013 года французская многонациональная компания стала мишенью продуманной атаки. Одна из помощниц вице-президента по административным вопросам получила по электронной почте письмо со ссылкой на счет в облачном файлообменном сервисе. Она не собиралась открывать этот файл, но через несколько минут раздался звонок. Собеседник убедительно заявил, что он другой вице-президент компании, и распорядился, чтобы сотрудница скачала и обработала присланный счет. Она подчинилась. Документ содержал троянскую программу, которая позволила преступному предприятию – судя по всему, украинскому – удаленно взять под контроль ее компьютер, фиксировать нажатия клавиш и воровать интеллектуальную собственность компании.

Поощряйте сотрудников сообщать о нестандартных или запрещенных технологиях (например, использование внешнего жесткого диска в офисе с сетевым доступом к данным и программному обеспечению) и подозрительном поведении (поставщики или сотрудники без допуска, которые запрашивают файлы с конфиденциальными данными) – точно так же, как они сообщали бы о наличии бесхозного багажа в зале вылета аэропорта.

Быть внимательней при приеме на работу новых сотрудников

Сейчас как никогда важно задействовать технологии отбора и методы проведения собеседований, разработанные для оценки честности соискателей. Взять, к примеру, проверку наличия судимостей, выявление ложных сведений в резюме, а также вопросы на собеседовании, непосредственно раскрывающие моральные ориентиры кандидата. Наша команда разрабатывает тесты, которые позволят работодателям выяснять, обладают ли предполагаемые работники опасными чертами личности, схожими с теми, о которых говорится в исследовании CPNI.

Во время собеседования следует также оценить степень осведомленности соискателя в вопросах кибербезопасности. Знает ли он, что такое инсайдерская угроза? В каких случаях он способен передать пароли коллегам? При каких обстоятельствах он может позволить коллеге воспользоваться своим компьютером? Если соискатель силен во всех остальных отношениях, вы можете нанять его, но проследите, чтобы он сразу же прошел обучение правилам безопасности вашей организации и связанным с ними процедурам. Но если этому кандидату предстоит работать в уязвимой среде, хорошенько подумайте, стоит ли брать его на работу.

Внедрить жесткие требования к субподрядным процессам

Как показывает инцидент с Target, важно следить, чтобы поставщики или дистрибьюторы не подвергали вас риску: например, следует свести к минимуму вероятность, что внешние IT-провайдеры найдут «черный ход» к вашим системам. Если риск подвергнуться кибератаке у поставщика значительно ниже, чем у вас, он может и не применять мер контроля, которые требуются вам. Ищите партнеров и поставщиков с тем же отношением к риску и той же культурой, что и в вашей организации, – в этом случае вам будет гораздо легче выработать общий подход к кибербезопасности.

В ходе предварительных обсуждений условий договоров поинтересуйтесь у потенциальных подрядчиков, как они решают вопросы, связанные с инсайдерским риском. Если вы привлекаете их к работе, регулярно проводите проверки, чтобы убедиться, что они придерживаются установленных правил. Дайте недвусмысленно понять, что вы будете проводить такие проверки, и оговорите, в чем они будут заключаться. Компания может потребовать от подрядчиков тех же мер контроля, которые применяет сама: проверку сотрудников на наличие судимостей, отслеживание достоверности данных кандидатов о предыдущих местах работы, контроль доступа к своим данным и рабочим приложениям с целью выявления несанкционированной деятельности, а также предотвращение физического проникновения злоумышленников в служебные помещения, где работают с конфиденциальной информацией.

Наблюдать за сотрудниками

Дайте сотрудникам понять, что у вас есть возможность контролировать их сетевую активность и что вы будете это делать – в той мере, в какой это разрешено законом. Нельзя полностью оставлять вопросы кибербезопасности на усмотрение экспертов, вы должны ежедневно следить, какая информация исходит из вашей компьютерной системы, а какая поступает к вам. Это означает, что службы безопасности или поставщики услуг должны регулярно проводить оценку рисков: анализ источников угроз, уязвимых сотрудников и сетей, а также возможных последствий в случае, если риск выльется в настоящую атаку. Следует также отслеживать действия, направленные на снижение риска, в частности время реагирования на оповещения.