Профилактика IT-мошенничества

Защита корпоративных данных. Политика информационной безопасности (ИБ) — это основополагающий документ, который определяет принципы, правила и процедуры защиты информации в организации. Её цель — снизить риски утечки данных, обеспечить соответствие требованиям законодательства и защитить интересы учреждения. К конфиденциальной информации могут относиться: персональные данные сотрудников и клиентов (ФИО, адреса, паспортные данные, сведения об образовании, трудовой деятельности и т. д.); коммерческая тайна (планы развития, инвестиционные программы, данные о закупках и продажах, финансовые отчёты); служебная тайна (документы с пометкой «Для служебного пользования», внутренние регламенты, управленческие отчёты);  профессиональная тайна (врачебная, нотариальная, адвокатская тайна и т. п.);  интеллектуальная собственность (сведения о сущности изобретений, полезных моделях до их официальной публикации). Конфиденциальность документов, составленных на основании материалов из других организаций, определяется степенью конфиденциальности сведений, содержащихся в этих материалах. Риски утечки данных через мессенджеры. Мессенджеры — один из распространённых каналов утечек конфиденциальной информации. Риски связаны с: использованием личных аккаунтов или публичных сервисов, которые не контролируются корпоративной инфраструктурой; отправкой документов в личные чаты; передачей файлов в групповые каналы; пересылкой скриншотов с экрана; обменом ссылками на облачные файлы.  Особенно высок риск, если в организации отсутствует контроль вложений и мониторинг отправки файлов.  Риски утечки данных через облачные хранилища. Облачные сервисы и файлообменники упрощают совместную работу с документами, но при этом создают риски утечки данных.  Типовые сценарии утечек через облачные платформы: загрузка рабочих документов в личные облачные хранилища; создание открытых ссылок на корпоративные документы; синхронизация рабочей папки с личным облачным аккаунтом.  Проблема часто возникает, когда сотрудники пытаются упростить рабочие процессы — например, быстро передать большой файл или получить доступ к документам вне офиса.  Риски утечки данных через съёмные носители. Съёмные носители (USB-накопители, внешние жёсткие диски) остаются одним из самых простых способов вывести данные из корпоративной системы.  Типичные риски: копирование баз клиентов или финансовых документов; перенос служебных файлов на личные устройства; передача данных третьим лицам через внешний носитель.  Без контроля съёмных устройств компания не может отследить, какие именно файлы были скопированы и куда они были переданы дальше. Кроме того, съёмные носители могут использоваться для доставки ПО, которое затем применяется для получения доступа или передачи данных по сети.  Правила работы с документами. Правила работы с документами регламентируются внутренними нормативными актами учреждения (инструкциями по делопроизводству, положениями о документообороте и т. д.).  Основные правила: • содержание служебных документов не подлежит разглашению;  • документы с грифом конфиденциальности (например, «Для служебного пользования», «Коммерческая тайна») должны учитываться поэкземплярно, а на них должны проставляться соответствующие пометки;  • передача документов третьим лицам (включая СМИ) допускается только с разрешения руководителя учреждения или уполномоченного лица;  • при утрате документов необходимо немедленно информировать руководство и организовывать их розыск; если документы не найдены, составляется акт с указанием данных утраченного документа и обстоятельств утраты;  • электронные документы должны создаваться с использованием шаблонов, идентичных бумажным бланкам;  • запрещено вносить исправления или добавления в подписанные (утверждённые) документы;  • при работе с бумажными документами необходимо обеспечивать их физическую сохранность (не оставлять без присмотра, уничтожать черновики и т. п.).  При электронном документообороте важно соблюдать правила работы с системами электронного документооборота (СЭД), не передавать документы через неконтролируемые каналы.  Дополнительные меры защиты. Для минимизации рисков рекомендуется внедрять: • DLP-системы (Data Loss Prevention) для контроля каналов передачи данных и предотвращения утечек;  • системы управления доступом (разграничение прав на основе принципа минимальной достаточности);  • обучение сотрудников в области информационной безопасности (повышение осведомлённости о угрозах, правилах работы с данными, распознавании фишинга и т. п.);  • регулярные аудиты и проверки системы безопасности для оценки её эффективности и своевременного выявления уязвимостей.