Um das Thema Datensicherheit in einem Unternehmen weiterzuentwickeln, sprechen wir heute darüber, wie die Geheimhaltung von Geschäftsgeheimnissen sichergestellt werden kann. Nämlich, was getan werden muss, um das Durchsickern von Informationen zu verhindern.
Wir können die Gesamtarbeit zur Erhaltung von Informationen in zwei Bereiche unterteilen:
- Schutz vor externem Eindringen, um Informationen zu stehlen.
- Schutz vor internem Diebstahl, der von einem Mitarbeiter des Unternehmens zum persönlichen Vorteil begangen wird.
Unterschätzen Sie externe Bedrohungen nicht, auch wenn das Unternehmen Ihrer Meinung nach klein ist und den Angreifern keine großen Gewinne verspricht. Die Position „Wer braucht uns?!“ führt oft zu Nachlässigkeit in Sicherheitsfragen und zu durchaus logischen Konsequenzen.
Empfehlungen zur Abwehr externer Bedrohungen:
- Gewähren Sie keinen Zugriff auf BackOffice von der Außenwelt ohne Passwort. Der Zugang ohne Passwort soll für jeden unmöglich sein und die Unternehmensführung in dieser Angelegenheit keine Ausnahme, sondern ein Vorbild für andere Mitarbeiter sein.
- Gewähren Sie keinen Zugriff von außen auf BackOffice-Anwendungen, die nicht ausreichend auf Sicherheit getestet wurden (z. B. 1C). Schließen Sie solche Verbindungen mit VPNs oder anderen Arten von Verbindungen, die die Server- und Clientseite authentifizieren, vorzugsweise unter Verwendung von Kryptosystemen, die auf asynchroner Verschlüsselung basieren.
- Beachten Sie die oben beschriebenen Virenschutzregeln Artikel
Empfehlungen zur Verhinderung von Informationsdiebstahl durch Mitarbeiter des Unternehmens:
- Zugang zum BackOffice nur mit Autorisierung nutzen, dafür sorgen, dass keine anonymen Zugriffsmöglichkeiten bestehen (dieser Punkt wird leider sehr oft vernachlässigt).
- Verwenden Sie eine BackOffice-Software, mit der Sie alle Vorgänge aller Benutzer protokollieren und den Zugriff auf Datensätze in der Datenbank auf der Ebene der Zugriffsrechte differenzieren können. Es wird nicht empfohlen, Schnittstellenbeschränkungen zu verwenden, da sie eigentlich nur eine Verteidigung gegen einen faulen Dummkopf sind. Wenn der Mitarbeiter kein Dummkopf oder faul ist und die Absicht hat zu stehlen, werden solche Beschränkungen das Durchsickern von Informationen nicht verhindern.
- Setzen Sie an Arbeitsplätzen zusätzliche Software ein, mit der Sie alle Benutzeraktionen kontrollieren und wiederum protokollieren können. Einschließlich Aufträge an den Drucker, kopierte Dateien von Wechselmedien und kopiert auf Wechselmedien, kopierte Daten über das Netzwerk (um Kopien von Dateien zu behalten). Dies sind ziemlich spezifische Programme, und sie werden bezahlt.
- Entziehen Sie dem lokalen Administrator die Rechte auf dem Betriebssystem, auf dem der Mitarbeiter arbeitet, damit er die Aktivitätskontrollsysteme nicht ausschalten kann.
- Wenn ein Mitarbeiter zum BackOffice zugelassen wird, schließen Sie eine Geheimhaltungsvereinbarung für Geschäftsgeheimnisse ab, die er im Rahmen der Erfüllung seiner beruflichen Pflichten erlangt hat. Das wird nicht sicher retten, aber es wird die meisten Angreifer stoppen, da die Verantwortung nach dem Zivilgesetzbuch der Russischen Föderation enorm ist, was auch in dem zu unterzeichnenden Dokument in Erinnerung gerufen werden sollte.
Wie Sie sehen, ist der Schutz vor externen Bedrohungen tatsächlich weniger arbeitsintensiv und viel einfacher aufzubauen. Es ist jedoch viel schwieriger und teurer, sich vor der böswilligen Absicht eines Mitarbeiters zu schützen, der im Dienst Zugriff auf Daten hat. In Unternehmen, die 30-50 Mitarbeiter beschäftigen, sollte es für diese Zwecke bereits einen dedizierten Mitarbeiter geben, der die Position eines IT-Sicherheitsspezialisten innehat oder diese Position mit der Position eines IT-Spezialisten kombiniert. Er muss über nicht triviale Kenntnisse und ausreichend Zeit verfügen, um die Kontrollsysteme funktionsfähig zu halten und (selbstverständlich selektiv) zu überwachen, was geschieht. Und auch hier gibt es ein „schwaches Glied“ – den IT-Sicherheitsbeauftragten selbst. Deshalb dürfen wir nicht vergessen, dass der Schlüssel zum Erfolg eines Unternehmens, sein wichtigstes Kapital, qualifizierte Mitarbeiter sind.
System Administrator LLC bietet seinen Kunden den Sicherheitsadministrator-Service an, um zu verhindern, dass Informationen aus dem Unternehmen dringen.
Mit besten Grüßen
Das Team von System Administrator LLC