Continuando con el tema de la seguridad de los datos en una empresa, hoy hablaremos sobre cómo garantizar la no divulgación de secretos comerciales. Es decir, qué se debe hacer para evitar la fuga de información.
Podemos dividir el trabajo general sobre la preservación de la información en dos áreas:
- Protección contra la intrusión externa para robar información.
- Protección contra robos internos cometidos por un empleado de la empresa para beneficio personal.
No subestime las amenazas externas, incluso si la empresa, en su opinión, es pequeña y no promete grandes ganancias a los atacantes. La posición “¡¿Quién nos necesita?!” A menudo conduce a negligencias en materia de seguridad y a consecuencias bastante lógicas.
Recomendaciones para repeler amenazas externas:
- No proporcione acceso a BackOffice desde el mundo exterior sin una contraseña. El acceso sin contraseña debe ser imposible para todos, y la gestión de la empresa en esta materia no debe ser una excepción, sino un ejemplo para los demás empleados.
- No proporcione acceso desde el mundo exterior a aplicaciones de BackOffice cuya seguridad no haya sido suficientemente probada (por ejemplo, 1C). Cierre dichas conexiones con VPN u otros tipos de conexiones que autentiquen el lado del servidor y del cliente, preferiblemente utilizando criptosistemas basados en cifrado asíncrono.
- Observe las reglas de protección antivirus descritas en el apartado anterior. статье
Recomendaciones para prevenir el robo de información por parte de los empleados de la empresa:
- Use el acceso a BackOffice solo con autorización, prevea la ausencia de la posibilidad de cualquier acceso anónimo (desafortunadamente, este punto se descuida muy a menudo).
- Utilice un software de BackOffice que le permita registrar todas las operaciones de todos los usuarios, así como diferenciar el acceso a los registros en la base de datos a nivel de derechos de acceso. No se recomienda usar restricciones de interfaz, porque son, de hecho, solo una defensa contra un tonto perezoso. Si el empleado no es tonto ni perezoso y tiene la intención de robar, tales restricciones no evitarán la fuga de información.
- Use software adicional en los lugares de trabajo que le permita controlar todas las acciones de los usuarios y, nuevamente, registrarlas. Incluyendo trabajos a la impresora, archivos copiados desde medios extraíbles y copiados a medios extraíbles, datos copiados a través de la red (para mantener copias de archivos). Son programas bastante específicos, y son de pago.
- Quitar los derechos de administrador local sobre el sistema operativo donde trabaja el empleado para que no pueda apagar los sistemas de control de actividad.
- Cuando un empleado es admitido en BackOffice, tomar un acuerdo de no divulgación de los secretos comerciales obtenidos en el ejercicio de sus funciones laborales. Esto no lo salvará con seguridad, pero detendrá a la mayoría de los atacantes, ya que la responsabilidad según el Código Civil de la Federación Rusa es enorme, lo que también debe recordarse en el documento que se firma.
Como puede ver, la protección contra amenazas externas en realidad requiere menos mano de obra y es mucho más fácil de construir. Pero protegerse de las intenciones maliciosas de un empleado que tiene acceso a los datos de servicio es mucho más difícil y costoso. En las empresas que emplean entre 30 y 50 personas, ya debería haber un empleado dedicado a estos fines, ocupando el puesto de especialista en seguridad informática, o combinando este puesto con el puesto de especialista en informática. Debe tener conocimientos no triviales y tiempo suficiente para mantener los sistemas de control en funcionamiento y monitorear (selectivamente, por supuesto) lo que está sucediendo. E incluso aquí hay un "eslabón débil": el propio responsable de seguridad informática. Por tanto, no debemos olvidar que la clave del éxito de una empresa, su principal activo, son los empleados cualificados.
System Administrator LLC ofrece a sus clientes el servicio de Security Administrator para evitar la fuga de información de la empresa.
Con mis mejores deseos
El equipo de System Administrator LLC