Роман Масленников, Андрей Нефедьев, Виктор Фидосов, Seelaton Hodkevich 100 советов по информационной безопасности малого бизнеса и предпринимателя лично
Предисловие
Книга адресована собственникам и первым лицам малого и среднего бизнеса, самозанятым людям, профессионалам и мастерам своего дела, а также всем, кто, «не вникая в технические детали», хочет максимально обезопасить себя, свой бизнес и свой ближний круг.
Практическое пособие представляет собой простые и эффективные советы от квалифицированных профессионалов в области ИТ-безопасности с многолетним опытом работы в бизнесе и лично с владельцами.
Книга для вас, если вы хотите знать, как исключить такие точки уязвимости вас и вашего бизнеса, как:
– смартфон,
– онлайн-банкинг,
– пластиковые карты,
– партнеры, коллеги, персонал,
– офис и дом,
– и даже автомобиль,
– а также, как повлияет на ваш бизнес «Пакет Яровой».
В книге полно настоящих лайфхаков и инсайтов, а также полезных сведений для роста самосознания и расширения познаний в области информационной безопасности.
Вся информация преподнесена в легкой доступной форме.
Отзывы VIP-читателей
Информация – критически важный ресурс для любого предпринимателя.
Именно поэтому необходимо тщательно соблюдать правила информационной безопасности как в рамках организации так и лично для владельца бизнеса и всех его сотрудников.
Настоятельно рекомендую внимательно ознакомиться с правилами, изложенными в этой книге, и постоянно им следовать.
Алексей Федоров, глава представительства Avast в России и СНГУровень обеспечения нашей безопасности в информационном пространстве сейчас уже настолько высок, что вполне сопоставим с физической безопасностью.
Угрозы и мошенники нас подстерегают на каждом шагу, и важно обеспечивать реальную защиту персональных данных. Этот вопрос касается как нас самих, так и наших работодателей.
Если же следовать описанным в книге рекомендациям, то, безусловно, при их качественном (а не формальном) исполнении уровень защищенности персональных данных повысится.
Антон Карданов, руководитель сектора ИБ компании AT Consulting11 советов по безопасности в смартфоне
1. Не используйте телефон в качестве «носителя информации». Этот инструмент слишком легко потерять, в таком случае в чужие руки попадут все ваши материалы: документы, данные, а также фотографии и видео.
2. Защитите телефон с помощью пароля. Ваш пароль должен быть достаточно длинным, но легким для запоминания. Хорошо, если вы придумаете словосочетание, заменив некоторые буквы на символы или смешав русские буквы с латинскими. Например, пароль «ёк@рныйбабай» взломать будет очень сложно, а запомнить его будет достаточно легко.
3. Если вы опасаетесь слежки конкурентов, разумнее будет отказаться от смартфона в пользу обычного телефона, имеющего в своей памяти лишь список контактов. Обычный телефон, без выхода в интернет, на котором нет возможности делать фотографии и видео.
4. Для звонков со смартфона лучше использовать Whatsapp, Viber, Telegram, они перешли на шифрование своего трафика.
5. Не берите телефон на важные переговоры. Выключить его или включить «авиа-режим» будет недостаточно, поэтому просто оставьте телефон в машине.
6. Синхронизируя гаджеты между собой, помните, что данные, передающиеся по сети, находятся в абсолютно открытом доступе и их может прочитать любой замотивированный на это человек.
Да, синхронизация очень удобна, но удобство и безопасность – противоположные понятия, если говорить о безопасности данных.
7. Антивирусы на системе андроид (да и на IOS) – малоэффективная вещь.
8. Никогда не переходите по ссылкам в SMS, вотсап, вайбер, особенно распространено сейчас нечто вроде " привет, возможен обмен? #ссылка. apk#" – где *.apk – ссылка сразу на приложение, которое устанавливается в телефон и сходу залезает в банковские программы, пересылает деньги на такие системы, как киви (у которых сложно определить владельца), отправляет дорогостоящие смс и заражает кучей рекламы, как нецензурного содержания, так и просто спама.
9. Рут (Root). Многие понятия не имеют, что это такое, но слово красивое, и многие себе ставят рут-права. Это полный доступ к изменению содержимого системных файлов. Не зря, например, "Сбербанк" отключает большинство функций при обнаружении рута на смартфоне (примечание – Root на Android, на IOS – Jailbreak – джейлбрейк).
10. Хотя большинство сборок на андроиде проверены, рекомендуется все-таки пользоваться прошивками от производителя, а именно – "стоковыми". Неоригинальная прошивка подписывается как "кастомная", их лучше избегать.
11. Покупайте только новые телефоны и только у официальных дилеров.
Купленные смартфоны не в официальном магазине могут иметь шпионское и рекламное ПО даже в родной прошивке, (таким примером стал смартфон HOMTOM HT3).
Тоже самое относится и к сим-картам. В нехорошую ситуацию попал предприниматель Чермен Дзотов, однажды приобретя симкарту не в офисе оператора[1].
13 советов по защите личных счетов на картах и в онлайн-банках
1. Расплачиваясь банковской картой в магазинах, не передавайте ее в руки продавцу. На лицевой стороне карты находится длинный идентификационный код, а на задней стороне три цифры СVV (или CVV2). Эти данные должны храниться в секрете.
2. По той же причине не фотографируйте свою карту, в том числе и ее лицевую сторону. Тем более, не выкладывайте ее в соцсетях. Храните карту в закрытом месте и не передавайте третьим лицам.
3. Пин-код карты должен быть такой, чтобы его было легко запомнить и сложно подобрать. Это не должны быть цифры по порядку и, конечно же, это не должна быть дата вашего рождения, последние 4 цифры в паспорте, размер обуви и т. д.
4. Передавать данные карты в интернете можно только через зашифрованный канал. На сайтах это отмечается специальным значком в строке браузера.
Чтобы проверить надежность сайта, нужно в браузерной строке кликнуть на «i» и получить необходимые сведения:
5. Чтобы избежать опасности оказаться на подставном (фишинговом[2]) сайте (например, на сайте, полностью внешне повторяющим «Сбербанк-онлайн»), никогда не переходите по внешним ссылкам, которые Вам прислали по почте, даже если это кажется проверенным ресурсом.
6. Чтобы не стать жертвой скрининга банковской карты, всегда обращайте внимание на внешний вид банкомата. Первое, на что нужно обратить внимание – отверстие, в которое вставляется карта. Например, банкоматы Сбербанка принимают карты через небольшие прозрачные выступы – «уточки», и мы сразу можем заметить, что ни под ними, ни внутри нет никаких считывающих устройств[3].
Примеры считывающих устройств:
7. Наиболее безопасны банкоматы, находящиеся в здании банка.
8. Расплачиваясь с помощью карты за рубежом, придерживайтесь тех же простых правил: не передавайте карту в чужие руки, самостоятельно вводите пин-код и пользуйтесь закрытым терминалом банкомата. Лучше всего позвонить на «горячую линию» банка перед поездкой и проконсультироваться со специалистами по поводу использования карты за рубежом. Предупредите вашего персонального менеджера в банке, если таковой есть, о том, что вы будете в определенный период за границей.
9. Небезопасно использовать любые мобильные приложения для проведения денежных операций. Если вы потеряли телефон, на котором был установлен «Мобильный банк», сразу же звоните на «горячую линию» банка.
10. Если вы часто переводите деньги в интернет-банке, совершайте операции только через VPN-соединение – частную виртуальную сеть, избегая подключение к публичным Wi-Fi точкам. Так ваш трафик будет проходить через сеть как будто в плаще-невидимке, а значит, раскрыть его будет очень сложно.
Подписка на такую услугу обычно не превышает 300 рублей в месяц – намного меньше, чем потенциальные потери. Кроме того, есть бесплатные решения, например, HotSpot Shield или ProXPN. Эти же меры предосторожности, кстати, рекомендуется соблюдать, если вы часто ездите в командировки или работаете не из офиса, а в кафе или коворкинге (Антон Карданов, руководитель сектора ИБ компании AT Consulting).
11. Лучше не держать все деньги или крупные суммы на одной карте, которой вы расплачиваетесь в магазинах и интернете.
Заведите себе специальную карту для этих целей, на которой будете держать небольшую сумму, достаточную для оплаты покупки или услуги.
Это позволит минимизировать потери, если кража данных карты все же произойдет. (Алексей Федоров, глава представительства Avast в России и СНГ).
12. Подключите услугу sms-оповещения или подпишитесь на push уведомления о проведённых транзакциях по карте.
Многие банки дают возможность заблокировать транзакции не из страны резидента, а также осуществить ряд гибких настроек по сумме покупок. Разумная предосторожность позволит вам быть всегда в курсе всех возможных движений денежных средств. (Исполнительный директор Robokassa Татьяна Глазачева).
13. Не приобретайте товары в сомнительных онлайн-магазинах. Совокупность признаков, которая вас должна заставить задуматься о совершении покупки:
– Сокрытие магазином контактов для обратной связи (указан только мобильный телефон);
– Отсутствие адреса (наличие офиса – хороший знак);
– Не указаны реквизиты компании (банковские реквизиты, юридический адрес);
– Очень низкая стоимость товара относительно других предложений на рынке;
– К оплате принимаются только банковские карты или другие способы онлайн-оплаты, без возможности оплаты наличными курьеру.
Добросовестные магазины предлагают несколько вариантов оплаты (наложенный платёж, оплата курьеру, оплата при самовывозе, полная или частичная предоплата);
– Качество сайта (слишком простой сайт, наличие грамматических ошибок, неработающий поиск) – это говорит о том, что магазин не настроен на качественное ведение бизнеса;
– Отсутствие условий доставки и возврата товара. (Исполнительный директор Robokassa Татьяна Глазачева).
7 советов по безопасности электронной почты
1. Если ваш бизнес вырос и появился бюджет на ИТ-безопасность, стоит задуматься о создании собственного почтового сервера, на котором будут храниться все ваши конфиденциальные данные. Сам же сервер должен храниться в сейфе, к которому получит доступ только один человек с ключами и паролем.
Стоимость оборудования и консалтинга по внедрению собственного сервера для компании из 5 человек начинается от 150 000 рублей и обслуживание в месяц от 30 000 рублей.
2. Покидая офис, сотрудники должны обязательно выключать свои компьютеры, так как к включенным устройствам при желании всегда можно подключиться.
3. Если есть вероятность того, что корпоративный гаджет сотрудника может потеряться или уже потерялся, и кто-то может зайти на корпоративную почту, то администратор в компании, имеющей собственный почтовый сервер, может просто перенастроить доступ с помощью зашифрованного соединения. Тогда потерянное устройство просто потеряет свою ценность.
4. Обязательно все пользователи почты должны обращать внимание на содержимое полученного письма:
– если Вы уверены, что это спам, или другая нежелательная почта, то необходимо сразу добавить письмо в спам, а затем удалить его, не открывая содержимого;
– никогда не переходить по ссылкам, которые Вам присылают. Исключением может быть письмо от вашего коллеги, родственника, друга, и только когда Вы точно ожидаете этого письма;
– всегда обращать внимание на то, есть ли вложение в письме (обычно, это текстовые фалы, картинки и пр.). Прежде чем открывать полученный файл, надо убедиться, что он не имеет следующих расширений: htm, html, exe, com, js;
– пользоваться правилом: «если Вы не уверены в письме или отправителе, перезвоните ему или свяжитесь любым другим удобным способом, и выясните, присылал ли он Вам это письмо». Это убережет Вас от потери всех документов на компьютере.
5. Отключите на смартфоне или ноутбуке функцию автоматического подключения к Wi-Fi-сети.
Так вы снизите свои риски нарваться на фейковую точку доступа – так называемый клон, созданный хакерами – и подцепить вредоносное ПО (Антон Карданов, руководитель сектора ИБ компании AT Consulting).
6. Не используйте функцию браузеров по автоматическому запоминанию паролей, особенно если вы заходите в почту не со своего компьютера (Виктория Носова, консультант по безопасности Check Point Software Technologies).
7. Для работы с мобильных устройств лучше всего использовать решения, которые позволяют разделять личные и корпоративные файлы и приложения.
Такие решения представляют собой контейнер, внутри которого пользователь может работать с корпоративной почтой, приложениями, файлами и данными.
Этот контейнер имеет дополнительные инструменты защиты, и если телефон попадет не в те руки, бизнес-данные просмотреть не смогут, а ИТ-служба сможет удаленно стереть все данные или заблокировать доступ к контейнеру (Виктория Носова, консультант по безопасности Check Point Software Technologies).
7 советов по безопасной работе в социальных сетях
1. Не выкладывайте фото в то время, пока вы еще находитесь в отпуске.
Обратите внимание, что многие крупные бизнесмены и чиновники делают именно так, не давая понять злоумышленникам о своем отсутствии по месту обычного местонахождения – дома или на работе.
2. Выкладывайте как можно меньше личной информации. По записям в профиле злоумышленники постараются вычислить информацию о том, какими гаджетами вы пользуетесь, где регулярно бываете и какой пароль можете выбрать. После этого выкрасть ваше устройство будет уже несложно.
3. Главная ошибка многих пользователей – использовать на всех сайтах один и тот же пароль. Если вы допустите эту ошибку и ваш профиль в Фейсбуке взломают с помощью фишинговой атаки или простого перебора, то, как «бонус» злоумышленники могут получить и доступ к почте.
4. Еще раз предупреждаем. Не соглашайтесь на предложение любого браузера запомнить пароль.
Во-первых, так вы его сами легко забудете, а во-вторых, неизвестно, каким образом будет храниться эта информация.
5. Не переходите по ссылкам, которые Вам присылают люди в соцсетях.
Если Вам прислал ссылку Ваш знакомый, друг или родственник, то прежде чем переходить по этой ссылке убедитесь, что ее прислал именно он.
Для этого достаточно написать ему, позвонить или другим способом убедиться, что это сознательно сделал именно Ваш знакомый.
6. Не открывайте файлы и картинки, которые вам присылают незнакомые собеседники в мессенджерах, социальных сетях и по почте.
Даже в безобидных картинках котят или поздравительной открытке может быть вшит вредоносный код, который использует уязвимость платформы ОС, браузера или мессенджера, и ваше устройство окажется зараженным (Виктория Носова, консультант по безопасности Check Point Software Technologies).
7. Немедленно поставьте в известность своих друзей и коллег, если узнали, что кто-то от вашего имени выкладывает и рассылает информацию в социальных сетях. Это может произойти, если злоумышленники получат незаконный доступ к вашему аккаунту. (Алексей Федоров, глава представительства Avast в России и СНГ)
9 советов по «бекапам»
1. Бекапы (в пер. с англ. «backup» – резервная копия, резервирование), то есть дублирование информации, обязательно нужно делать. В этом плане компания Apple пошла дальше всех, она выпустила очень красивый инструмент, которым приятно пользоваться – Time Machine.
2. Если нет возможности делать регулярные бэкапы, то хорошо, если есть возможность создавать RAID-1 массивы, т. е. писать информацию на несколько жёстких дисках одновременно, прямо в реальном времени. Это больше подходит для стационарных компьютеров и серверов.
3. В офисе лучше использовать для бекапов инструменты избыточного хранения данных. Практически во всех серверных системах используется избыточная запись информации.
4. Если у вас не слишком большие обороты и нет конфиденциальной информации, то используйте для хранения данных Яндекс Диск, Гугл Драйв и Dropbox – открытые, бесплатные и простые в использовании средства.
Эти системы на данный момент себя ничем не дискредитировали, их пароли не появлялись в открытом доступе.
«Яндекс. Диск», например, сейчас предлагает хорошие условия по объёму хранения[4]. Dropbox предлагает в бесплатном варианте гораздо меньше, но за плату можно получить дополнительное расширение[5].
5. Для хранения семейных фото можно использовать синхронизацию фотоленты смартфона и Яндекс Диск.
6. Для личного использования используйте съемные жесткие диски, которые подключаются к компьютеру только для бэкапа информации.
7. Ни в коем случае не держите жесткие диски для бэкапа постоянно подключенными к компьютеру с выходом в сеть.
Если вдруг данные на основном компьютере будут потеряны в результате действия вредоносных программ или хакеров, сбоя в системе и т. п., после восстановления работоспособности системы и очистки компьютера от вирусов, основные данные будет легко восстановить со съемного диска.
8. Делайте бэкап регулярно. Минимум – 1 раз в неделю. А лучше – каждый день.
9. Перед каждым бэкапом просканируйте компьютер и съемный диск антивирусной программой. (Алексей Федоров, глава представительства Avast в России и СНГ)
5 советов по созданию «тревожных кнопок»
1. Создание кнопок “все удалить” и “все восстановить” – это крайне эффективное, но дорогое удовольствие по индивидуальному заказу.
На рынке существуют такие устройства, которые позволяют хранить информацию на сервере в зашифрованном виде, плюс специальное устройство дистанционного блокирования этих данных – два дистанционных брелка со специальными кнопками, подключенными к серверу. При нажатии на брелок происходит автоматическая блокировка всех данных.
2. Восстановить заблокированные данные можно точно так же, с помощью отдельно хранящихся устройств, например специальной пластиковой карты-ключа.
3. Если есть реальная опасность, что ваше устройство заберут, а у вас там важные данные, сделайте систему “два человека – два пароля”.
Два человека, владеющие РАЗНЫМИ паролями, не будут знать друг про друга.
Один человек может после каких-либо операций спокойно разблокировать зашифрованные данные на сервере, и сервер будет работать без проблем.
Второму человеку объясняют, что вводить свой пароль нужно лишь в самом серьезном случае, например, когда кто-то захватил вас или другого сотрудника и угрожает физической расправой.
Когда этот человек вводит пароль, с устройства полностью уничтожается вся информация.
4. Храните информацию на отдельном носителе – флэшке или дополнительном жестком диске. Но этот носитель обязательно нужно зашифровать, сделать информацию, имеющуюся на ней, недоступной для посторонних.
5. На телефоне лучше вообще ничего не хранить, так как при изъятии его сразу же выключают.
Чтобы не допустить того, что вы удаленно будете воздействовать на свой телефон, злоумышленники включат его только в том месте, где нет связи и возможности подключиться к нему.
7 маленьких «шпионских хитростей»
1. Во время важных переговоров не держите рядом с собой смартфон, планшет или ноутбук, так как гипотетически к этим устройствам можно подключиться и прослушать через микрофон, посмотреть через камеру.
2. Если есть серьезные опасения, то ноутбук можно разобрать и вынуть из материнской платы разъемы для микрофона и камеры (в этом смысле смешно выглядят люди, заклеивающие камеры и микрофоны изолентой на своем ноутбуке).
3. Если есть необходимость пользоваться микрофоном и камерой, то можно купить USB-устройства, которые по завершению разговора или записи легко отключить от ноутбука.
4. Google близко приблизилась к шпионским хитростям, когда выпустила Google Glass – очки, позволяющие одновременно писать видео и звук.
Представьте, что Вы в таких очках разговариваете с сотрудником ДПС и одновременно разговор записывается от первого лица.
5. И в Apple Store и в Google Play есть мобильные приложения, позволяющие записывать телефонные разговоры. Эти приложения нужно тестировать перед применением: слышно ли собеседника, достаточное ли качество звучания и т. п.
6. Если мобильное приложение начинает запрашивать доступ к функциям, необходимость которых для его работы неочевидна, ни в коем случае нельзя его разрешать. Оно может содержать вредоносный код, который, получив доступ, например, к камере или микрофону, может собирать информацию и передавать ее злоумышленникам (Виктория Носова, консультант по безопасности Check Point Software Technologies).
7. Если вы нашли флешку или карту памяти, не спешите вставлять ее в свой компьютер – даже если она окажется пустой, ее подключение может активировать вредоносный код, и ваш ПК окажется зараженным (Виктория Носова, консультант по безопасности Check Point Software Technologies).
11 советов по безопасности коллег, друзей, родственников, членов семьи
1. Не подключайте банковские карты всех членов семьи к основному счету.
2. Заведите основной и дополнительный банковские счета.
3. Основной счет не привязывайте к банковской карте. Если чью-то карту украдут, то пусть пропадет только та небольшая сумма, которая была переведена с основного счета на дополнительный.
4. На основном счете управляйте деньгами через интернет-банк по защищенному каналу.
5. Введите строгие правила по безопасности для всех своих сотрудников, подразумевающие штрафы и увольнения за их несоблюдение.
6. Наймите в штат или на аутсорсинг специального человека, который будет заниматься системой безопасности.
7. Обязательно проведите инструктаж для всех своих сотрудников по правилам безопасности, в том числе компьютерной. (Алексей Федоров, глава представительства Avast в России и СНГ)
8. Делитесь с коллегами, родственниками, знакомыми и френдами историями, «как вас развели», как это сделал редактор книги[6]. Обмен полезной информацией увеличит шансы на то, что методы мошенников станут неэффективными.
10 дополнительных источников по информации по ИТ-безопасности вас и вашего бизнеса
1. Habrahabr.ru – здесь довольно часто появляются статьи о том, как защититься от взломов и соблюдать технику безопасности.
2. Spy-Soft.Net – Разведка. Безопасность. Шпионские штучки.
3. aferizm.ru – подборка информации: способы афер и обмана, признаки подделки; экономическая безопасность жизни. Дайджесты наиболее интересных статей об аферах, преступлениях и «чудесах».
4. blog.checkpoint.com/ – блог исследователей по безопасности Check Point Software Technologies, в котором публикуют отчеты и исследования вирусов, вредоносных кампаний, рейтинги наиболее активных вредоносных программ за каждый месяц и информацию об обнаруженных уязвимостях в ОС, мессенджерах, мобильных платформах и т. д. (Виктория Носова, консультант по безопасности Check Point Software Technologies).
5. blog.group-ib.ru – здесь можно первым увидеть отчеты[7] о расследованиях российской компании Group IB, которая входит в топ-7 в мире в своем секторе.
6. Сериал «Мистер Робот». История программиста, который решил, что единственный приемлемый для него способ взаимодействия с людьми – это профессия хакера. Для расширения кругозора, что называется.
7. Леха Андреев и книга «Сядьте на пол: руководство по дзену для родителей»[8]. Раздел “Сеть” рассказывает о неоднозначном влиянии Интернета, а также о правильных способах его использования. IT-индустрия, а вслед за ней и школа, упорно навязывают детям цифровую жизнь как новый эффективный способ обучения. Но научные исследования, собранные в этом разделе, показывают совершенно иную картину. Автор знает, о чем пишет, так как является экспертом в информационной безопасности и владеет слогом[9].
8. Запрещенные в России сайты, где торгуют информацией после взлома почт, айфонов и айпадов чиновников, мы не будем рекомендовать.
9. tjournal.ru – просто интересный ресурс с актуальными и в том числе, развлекательными новостями, годными лонгридами про кибер-преступления, «достижения» хакеров[10] и личными фотографиями из взломанных личных аккаунтов знаменитостей[11], которые дополняются не менее откровенными комментариями[12].
[13]
10. securitylab.ru – информационный портал, оперативно и ежедневно рассказывающий о событиях в области защиты информации, интернет права и новых технологиях
11 советов по интернет-безопасности для стартаперов, и не только
1. Используйте режим «инкогнито» в браузере Chrome, чтобы не светиться на сайте конкурентов.
Кликните правой кнопки мышки на значок браузера.
Далее у вас должно получиться так:
2. Имеет смысл подчищать сookie или вообще блокировать их хранение на Вашем компьютере.
Также, желательно использовать браузеры, которые блокируют выполнение Java-скриптов, всплывающие окна и сохранение сookie. Но не все сайты при этом корректно работают.
3. Wi-Fi – это публичная сеть, подключаясь к ней в кафе, вы делаете свою информацию доступной для всех тех, кто в этот момент времени находится в сети.
4. Если есть необходимость передать по публичной сети что-то важное, воспользуйтесь архиватором для создания архива со стойким паролем.
5. Настраивая Wi-Fi, ставьте WPA2 аутентификацию, в которой пароль хотя бы зашифрован.
6. Самые важные сервисы защищайте одноразовыми паролями: с этим помогут приложения-диспетчеры, как раз они на этом специализируются – KeePass и 1Password. Как вариант, можно еще использовать двухфакторную аутентификацию, при этом каждый вход в аккаунт необходимо будет подтвердить одноразовым кодом из SMS (Антон Карданов, руководитель сектора ИБ компании AT Consulting).
7. Если вдруг ваш компьютер оказался заражен, например, «зловредом-вымогателем», который заблокировал все ваши файлы и требует выкуп, не стоит сразу переводить деньги на счет злоумышленников.
Во-первых, нет гарантий, что ваши файлы действительно к вам вернутся.
Во-вторых, платя выкуп, вы поощряете преступников продолжать свои злодеяния.
Это черствые и безжалостные люди, не щадящие ни девушек, ни студентов, ни девушек-студенток[14] (прим. авт.).
Лучше сразу обратиться к специалистам по безопасности, которые смогут оказать квалифицированную помощь (Виктория Носова, консультант по безопасности Check Point Software Technologies).
8. Тщательно подходите к выбору хостинга для ресурсов вашего проекта, на которых будут хранится данные пользователей.
Лучше всего использовать выделенные серверы, собственные или арендованные, либо виртуальные, но от известных провайдеров такой услуги, которые дорожат своей репутацией.
9. Всё, что можно закрыть файрволом, нужно закрыть.
Если ваш ресурс относительно популярен, обязательно сделайте программу Bug Bounty.
Суть её заключается в том, что если кто-то нашёл уязвимость, он может рассказать о ней и получить за это деньги. Обязательно делайте правила программы понятными и прозрачными, и не скупитесь на вознаграждение за найденную уязвимость; цените то, что она оказалась не в публичном, или что еще хуже, в узком использовании, а у вас. (Владислав, IT-консультант ФБК[15])
10. Если необходима защита информации на сервисах, то самый лучший способ – использовать логины и адреса почтовых ящиков, которые не будут известны злоумышленникам.
Например, не регистрировать iCloud на ваш публичный почтовый ящик. Такая мера позволит не дать злоумышленникам первой зацепки, чтобы начать взлом[16].
11. Включите генерацию кода пароля через приложение Google Authenticator на телефоне, а также сгенерируйте и распечатайте резервный список кодов и положите его в надёжное место, отключив при этом получение пароля по SMS, если сервис позволяет это сделать[17].
9 разных советов по ИТ-безопасности бизнеса
1. У телефона, планшета, ноутбука должно быть своё место, удобное для вас и незаметное для окружающих. Например, внутренний карман сумки.
2. Телефон не должен быть доступен для взгляда других людей. Встречаясь в кафе, не кладите устройство на столик.
3. Блокируйте и разблокируете Ваш автомобиль с максимально близкого к нему расстояния. На парковке с помощью дополнительного оборудования можно отсканировать код, который передаёт сигнализация.
4. В магазинах, бутиках и супермаркетах не кладите карты на магнитную ленту, они могут размагнититься.
5. Банковские пластиковые карты лучше использовать чиповые, они не размагничиваются. Справедливости ради, отметим, что практически все банковские карты сейчас чиповые, кроме временных.
6. Немного о «пакете Яровой» в плане обеспечения конфиденциальности и безопасной передачи данных. На что нельзя повлиять:
– Голосовые сообщения по телефону, SMS, MMS. Любая GSM связь легко прослушивается.
– Скачиваемые данные из интернета «напрямую», любая просматриваемая информация.
Что можно сделать для обеспечения конфиденциальности:
– Настройка защищенных каналов SSH, OpenVPN и т. п. для передачи файлов, соединения с серверами компаний, удаленного доступа к компьютерам.
Для взлома спецслужбам понадобится много миллионов лет.
– Настройка собственного сервера VoIP телефонии для звонков через защищенный канал.
– Пока нет данных о надежности шифрования голосовых сообщений и файлов у Viber, WhatsApp, Telegram.
7. Проверить, сколько времени понадобится хакерам для взлома вашего пароля, можно на сайте howsecureismypassword.net. (Антон Карданов, руководитель сектора ИБ компании AT Consulting).
8. Сотрудничайте с кибердружинами.
МГУТУ им. К.Г. Разумовского разработал методику обучения участников кибердружин, так называемых, «кибер-казаков».
Первый шаг – сбор "словаря". Студентам дают список ключевых и сленговых слов, которые помогают выйти на нужную страницу.
Затем волонтеры анализируют сайт, вызывающий у них подозрение, обрабатывают информацию и посылают на специальную почту kiberkazak@mgutm.ru
Информация проходит через различные фильтры, ее проверяют эксперты Лиги безопасного интернета и юристы. После этого данные уходят в Роскомнадзор.
На основе найденной информации кибердружинники расширяют словарь поисковых слов[18].
9. Если вас «взломали», постарайтесь обыграть это так, чтобы обесценить «достижения» хакеров. Скажите, что вы допустили это намеренно, что вы «тестируете систему», что вы «проверяете хакеров на оперативность, и вообще – устроили между ними соревнование», иными словами – доведите ситуацию до абсурда.
В крайнем случае – устройте новую PR-акцию для отвлечения внимания.
Делать всё это нужно только в том случае, если вы понимаете, что «взлом» – реально влияет на ваш бизнес, репутацию, у вас падают продажи, вам в тревоге звонят деловые партнеры и проч. В иных случаях лучше просто факт взлома проигнорировать в публичном поле.
Совет о том, что можно иногда «самому себя взломать» и даже «умертвить»[19] в данной книге мы не будем
Об авторах
Алексей Нефедьев – инженер, IT-специалист, имеет опыт работы 27 лет в сфере IT-консультирования. На данный момент времени я занимаюсь следующими областями: сетевая и компьютерная безопасность, серверные решения в сфере 1С, сборка, настройка и тестирование компьютерной техники, настройка программного обеспечения. Ведет свой канал на YouTube – IT-консультант Алексей Нефедьев.
Виктор Фидосов – руководитель ИТ-департамента ММА, окончил РГУНиГ им. Губкина по специальности «Прикладная математика»
Роман Масленников – директор PR-агентства «Простор Пиар и Консалтинг», кандидат философских наук, автор книг о PR («Раскрутка СуперФирмы», «101 совет по PR», «99 законов взрывного пиара» и др.).
Благодарности
Редактор книги выражает благодарность Инне Алексеевой и Ирине Кузьминой (PR Partner[20]), а также Яну Удрасу (Otter & Gitberg[21]) за ценные дополнения для книги от клиентов их PR-агентств.
Обратная связь
Если у вас есть замечания, предложения или дополнения к книге, пишите на адрес RM@msk-pr.ru с пометкой «Кибер-безопасность».
Примечания
1
Симка с деньгами. Как грабят по телефону.
(обратно)2
Фишинг (англ. phishing, от fishing – рыбная ловля, выуживание) – вид интернет-мошенничества, целью которого является получение доступа к конфиденциальным данным пользователей – логинам и паролям. Подробнее
(обратно)3
Посмотрите, как выглядят мошеннические устройства, в Гугл. Картинках по запросу «скиммер для банкомата».
(обратно)4
/
(обратно)5
(обратно)6
(обратно)7
Как правило, посты из блога компании Ильи Сачкова вскоре становятся основой больших публикаций в СМИ. Например, про Lazarus на основании поста blog.group-ib.ru/lazarus написали в РБК
(обратно)8
-nik.ru/kick.jsp?id=lexa
(обратно)9
/
(обратно)10
Хакер показала, как можно «угнать» чужой аккаунт с помощью звонка по телефону -hackerman-f-society
(обратно)11
Прокуроры не нашли вины Google и Apple в утечке интимных фото знаменитостей -prokurori-ne-nashli-vini-google-i-apple-v-utechke-intimnih-foto-znamenitostei
(обратно)12
Коментарии
(обратно)13
Хакеры устроили масштабный «слив» интимных фото со смартфонов звёзд -photos
(обратно)14
«Как у меня взломали iCloud», рассказ Юлии Сараевой -apple-block
(обратно)15
-vsyo-chto-mozhno-zakrit-faervolom-nuzhno-zakrit-devyat-kiberprestuplenii-dlya-nachinaushih
(обратно)16
-vsyo-chto-mozhno-zakrit-faervolom-nuzhno-zakrit-devyat-kiberprestuplenii-dlya-nachinaushih
(обратно)17
-vsyo-chto-mozhno-zakrit-faervolom-nuzhno-zakrit-devyat-kiberprestuplenii-dlya-nachinaushih
(обратно)18
«Когда в школах появятся курсы кибербезопасности» -v-shkolah-poiaviatsia-kursy-kiberbezopasnosti.html
(обратно)19
«Официальный аккаунт группы Tenacious D сообщил о смерти Джека Блэка, а затем опроверг её» -oficialnii-akkaunt-gruppi-tenacious-d-soobshil-o-smerti-dzheka-bleka-a-zatem-oproverg-eyo
(обратно)20
prpartner.ru
(обратно)21
otters.ru
(обратно)
Комментарии к книге «100 советов по информационной безопасности малого бизнеса и предпринимателя лично», Seelaton Hodkevich
Всего 0 комментариев