Почему защита от утечек данных важна
Утечка данных способна нанести бизнесу многомиллионный ущерб. Например, если менеджер, увольняясь, заберет базу клиентов, компания может столкнуться с их оттоком к конкурентам. А если раскроются внутренние разработки, конкуренты могут первыми выпустить продукт и получить всю прибыль.
Многие представители малого бизнеса недооценивают риски. «Кому мы вообще нужны? С сотрудниками заключаем договор, а на почту и CRM устанавливаем пароли», — такова распространенная точка зрения.
Такая позиция — опасное русское «авось». Это надежда, что небольшая компания никому не интересна. Когда данные все же крадут, что-либо исправлять бывает поздно.
Распространен сценарий фишинга. Злоумышленники взламывают CRM, копируют сайт компании и рассылают клиентам письма с фальшивыми сверхскидками. Клиенты оплачивают товары, но деньги уходят мошенникам. Компания же получает волну негатива.
Другой вариант — рассылка ссылок на вредоносные сайты. Взломав CRM, злоумышленники рассылают от имени компании письма со ссылками, которые крадут пароли пользователей. В результате страдают клиенты, а репутация бизнеса оказывается под ударом.
Статистика подтверждает серьезность угроз. Cybersecurity Ventures отмечает, что кибератаки происходят каждые 14 секунд, а к 2021 году этот интервал сократится до 11 секунд. Годовой ущерб от киберпреступности достигнет 6 триллионов долларов.
InfoWatch сообщает, что за прошлый год в сеть утекло свыше 14 млрд конфиденциальных записей. В России число утечек выросло на 40%, тогда как в мире — лишь на 10%.
В прошлом году в РФ произошли масштабные утечки: данные 30 млн автовладельцев, 20 млн налоговых деклараций, 9 млн абонентов «Билайна». Защита информации становится обязательной мерой.
Как предотвратить утечку коммерческих данных
Профилактика — основа защиты. Грамотные меры помогают избежать последствий, которые вредят клиентам и репутации компании.
Предотвращение внутренних утечек Внутренняя утечка происходит, когда сотрудники передают информацию конкурентам или забирают данные при увольнении.
- Используйте NDA (соглашение о неразглашении). Введите режим коммерческой тайны, четко определите, что к ней относится, и подпишите с каждым сотрудником договор с условием о материальной ответственности.
- Установите DLP-систему. Это программное обеспечение отслеживает и блокирует попытки передачи конфиденциальных данных вовне, например, отправку файла с корпоративной почты на личную.
- Разграничьте доступ. Сотрудники должны получать только ту информацию, которая необходима для их работы. Например, менеджеру — только контакты его клиентов.
- Контролируйте деятельность. Установка систем видеонаблюдения и программ для записи действий с экрана может служить психологическим барьером, хотя этот метод требует ресурсов.
- Мотивируйте персонал. Достойная оплата, комфортные условия и карьерные перспективы снижают вероятность намеренного вреда компании.
Эти меры наиболее эффективны при комплексном применении.
Предотвращение внешних утечек Внешние утечки происходят, когда информацию крадут извне, без участия сотрудников (взлом почты, CRM, кража документов).
- Используйте сложные пароли, сгенерированные специальными программами, и храните их в надежном месте.
- Откажитесь от бесплатной почты в пользу корпоративной с защищенным доменом.
- Включите двухфакторную аутентификацию везде, где это возможно.
- Установите надежный антивирус на все офисные компьютеры.
- Уничтожайте ненужные документы: электронные — с серверов, бумажные — с помощью шредера.
- Внедрите СКУД (системы контроля доступа) и видеонаблюдение на территории офиса.
- Используйте средства сетевой защиты: межсетевые экраны, WAF, системы контроля трафика.
- Рассмотрите внедрение IRM (защиты информации от несанкционированного доступа) для шифрования отдельных документов.
- Используйте полное шифрование дисков (FDE) на ноутбуках сотрудников для защиты данных в случае утери устройства.
Для надежной защиты необходим комплексный подход.
Что делать, если утечка уже произошла
Если данные украдены, возможности ограничены. При внутренней утечке можно подать в суд на бывшего сотрудника. При грамотно составленном NDA есть шанс взыскать ущерб.
В случае внешней утечки или если виновный неизвестен, эффективных мер почти нет. Крупные компании иногда пытаются манипулировать информацией в СМИ или вести переговоры с похитителями. Однако для малого бизнеса такие действия часто неоправданно дороги, и приходится смиряться с произошедшим.
Что о защите коммерческих данных говорят предприниматели
Галина Камышанская, руководитель 42Clouds, рекомендует тщательно выбирать провайдера для хранения данных: «Есть три нюанса, на которые надо обращать внимание. Тестовый период должен быть не менее недели. Техническая поддержка должна отвечать быстро — первый ответ за 60 секунд, работа — круглосуточно, а решение задачи — в течение суток. Также важна система бекапирования. Попросите копию вашей базы за позапрошлый день, чтобы проверить ее работоспособность».
Илья Горбаров, СЕО digital-агентства «Атвинта», отмечает, что слабым звеном часто являются люди и базовые меры безопасности: «Начинать нужно с простого — это пароли. Если у руководителя отдела продаж пароль «qwe123asd», то подобрать его нетруда. Важно лишать доступа уволенных сотрудников и не хранить базу в открытом доступе. Люди должны обладать грамотностью, чтобы не открывать фишинговые письма».
