Continuando a sviluppare il tema della sicurezza dei dati in un'azienda, oggi parleremo di come garantire la non divulgazione dei segreti commerciali. Vale a dire, cosa è necessario fare per prevenire la fuga di informazioni.
Possiamo dividere il lavoro complessivo sulla conservazione delle informazioni in due aree:
- Protezione contro intrusioni esterne per rubare informazioni.
- Protezione contro il furto interno commesso da un dipendente aziendale per tornaconto personale.
Non sottovalutare le minacce esterne, anche se l'azienda, secondo te, è piccola e non promette grandi profitti agli aggressori. Posizione "Chi ha bisogno di noi?!" spesso porta a negligenza in materia di sicurezza e conseguenze abbastanza logiche.
Raccomandazioni per respingere le minacce esterne:
- Non fornire l'accesso a BackOffice dal mondo esterno senza una password. L'accesso senza password dovrebbe essere impossibile per tutti e la direzione dell'azienda in questa materia non dovrebbe essere un'eccezione, ma un esempio per gli altri dipendenti.
- Non fornire l'accesso dal mondo esterno alle applicazioni BackOffice che non sono sufficientemente testate per la sicurezza (ad esempio, 1C). Chiudere tali connessioni con VPN o altri tipi di connessioni che autenticano il lato server e client, preferibilmente utilizzando sistemi crittografici basati su crittografia asincrona.
- Rispettare le regole di protezione antivirus descritte in precedenza Articolo
Raccomandazioni per prevenire il furto di informazioni da parte dei dipendenti dell'azienda:
- Utilizzare l'accesso al BackOffice solo con autorizzazione, prevedere l'assenza della possibilità di qualsiasi accesso anonimo (purtroppo questo punto viene trascurato molto spesso).
- Utilizzare un software di BackOffice che consente di registrare tutte le operazioni di tutti gli utenti, nonché di differenziare l'accesso ai record nel database a livello di diritti di accesso. Non è consigliabile utilizzare le restrizioni dell'interfaccia, perché in realtà sono solo una difesa contro un pigro sciocco. Se il dipendente non è uno sciocco o pigro e ha l'intenzione di rubare, tali restrizioni non impediranno la fuga di informazioni.
- Utilizzare software aggiuntivo nei luoghi di lavoro che consente di controllare tutte le azioni dell'utente e, di nuovo, registrarle. Compresi lavori alla stampante, file copiati da supporti rimovibili e copiati su supporti rimovibili, dati copiati in rete (per conservare copie dei file). Questi sono programmi abbastanza specifici e sono pagati.
- Togliere i diritti dell'amministratore locale sul sistema operativo in cui lavora il dipendente in modo che non possa disattivare i sistemi di controllo delle attività.
- Quando un dipendente viene ammesso al BackOffice, stipula un accordo di non divulgazione per i segreti commerciali ottenuti durante lo svolgimento delle mansioni lavorative. Ciò non salverà di sicuro, ma fermerà la maggior parte degli aggressori, poiché la responsabilità ai sensi del codice civile della Federazione Russa è enorme, cosa che dovrebbe essere ricordata anche nel documento firmato.
Come puoi vedere, la protezione contro le minacce esterne richiede molto meno tempo ed è molto più facile da costruire. Ma proteggersi dall'intento dannoso di un dipendente che ha accesso ai dati in servizio è molto più difficile e costoso. Nelle aziende che impiegano 30-50 persone, per questi scopi dovrebbe già esserci un dipendente dedicato che ricopre la posizione di responsabile della sicurezza informatica o combina questa posizione con la posizione di specialista IT. Deve avere conoscenze non banali e tempo sufficiente per mantenere funzionanti i sistemi di controllo e per monitorare (in modo selettivo, ovviamente) ciò che sta accadendo. E anche qui c'è un "anello debole": lo stesso responsabile della sicurezza IT. Pertanto, non dobbiamo dimenticare che la chiave del successo dell'azienda, la sua risorsa principale sono i dipendenti qualificati.
System Administrator LLC offre ai propri clienti il servizio di Security Administrator per prevenire fughe di informazioni dall'azienda.
Con i migliori saluti
Il team di System Administrator LLC