Жұмыс берушіге не істеу қажет?
Ең алдымен, пайдаланушылар қолданатын барлық техниканы қауіпсіздіктің минималды стандарттарына сәйкес келтіру қажет. Ол үшін келесіні қамтамасыз ету керек:
- операциялық жүйені тиісті баптау: дербес компьютердің құпиясөзі мен бұғаттау саясатын жүзеге асыру, пайдаланушылардың қол жеткізу деңгейлерін бөлу;
- зарарлы бағдарламалық жасақтамадан соңғы нүктелерді (яғни қашықтықтан әрекет ететін құрылғыларды) қорғау: антивирустық бағдарламалар сигнатураларын жаңарту, параметр қатарын белсендіру, атап айтқанда, нақты уақыт режимінде қорғау, кесте бойынша жүйені толық сканерлеу, антивирустық БЖ-ны баптауларға пайдаланушының қол жеткізуін бұғаттау;
- USB арқылы қосылатын сыртқы құрылғыларды қосуды бақылау;
- веб-бақылау: сайттардың жеке санаттарын, сонымен бірге зарарлы сайттарды бұғаттау;
- операциялық жүйені және қолданбалы БЖ-ны жаңарту;
- қатқыл дисктер (егер ноутбуктер туралы айтсақ) жоғалған немесе ұрланған жағдайда, дисктерді толық шифрлау.
Екіншіден,VPN-қосындыны ұйымдастыру қажет. Осы арқылы қызметкерлердің кеңседегі қол жеткізуімен бірдей корпоративтік IT-жүйелерге қашықтықтан қол жеткізуді қамтамасыз етуге болады.
VPN-шлюз қорғалған туннельді қалыптастырады және деректерді шифрланған түрде береді, алайда мұндай арнаға қол жеткізуде қорғалған болуы өте маңызды. Стандартты практикаға көпфакторлық аутентификацияны пайдалану жатады, яғни пайдаланушының «жеке басын куәландыру» үрдісі бірнеше кезеңде өтеді. Корпоративтік сегментте кеңінен біржолғы құпиясөздер (Google Authenticator) немесе пайдаланушы кіру талпынысын растауы немесе мақұлдамауы тиіс мобильді қосымшаның push-хабарламасы аса танымал.
Мұндай жағдайда техникалық шешімдер ішкі, сонымен қатар сыртқы болуы тиіс. Мысалы, компания өзінің жеке VPN-шлюзін пайдаланса, алайда пайдаланушылардың аутентификациясы үшін OKTA, Duo Security Service және т.с.с. сыртқы ресустарды пайдаланады. Коронавирус пандемиясы кезінде кейбір ұқсас сервистер тегін лицензияларды ұсынатындығына назар аудару қажет.
Адами фактор
Құпиясөздерді ашық түрде, мысалы, жұмыс үстеліндегі мәтіндік құжатта сақтауға тыйым салу қажет. Ол үшін құпиясөздерді қауіпсіз сақтаудың арнайы бағдарламалары бар. Пошта немесе мессенджер бойынша құпиясөзді таратуға қатаң тыйым салынады. Корпоративтік және жеке пошта бойынша орнатылатын құпиясөздер күрделі болуы тиіс.
Қылмыскерлер компанияның сыртқы сервистеріне (VPN-шлюздеріне, веб-сайтқа) шабуылдан басқа пайдаланушылар арқылы банктің жүйесіне «кіруге» талпыныс жасауы да ықтимал. Сол себептен қызметкерлер келесі әрекеттерді жеке бақылауы қажет:
- егер жылдам әрекет жасау (мысалы, сілтеме бойынша өту, қоса берілген құжатты жүктеу және т.с.с.) туралы өтініші бар хабарлама келсе, мұндай хабарлама жіберушінің байланысын тексеру. Алаяқтар компания қызметкерлерінің аты-жөнін біліп, солардың атынан әрекет етуі мүмкін. Мұндай жағдайда, байланыстың басқа тәсілдерін, мысалы, электрондық поштаны, телефонды және т.с.с. тәсілдерді пайдалана отырып, өтінішті растауды сұрау қажет. Бұған қоса сұрау салынған әрекеттерді орындауға тікелей жетекшіден рұқсат сұрау керек;
- егер хатта өту қажет делінген сілтеме болса, тінтуір арқылы сілтеменің қайда алып баратындығын мұқит тексеру қажет. Оның мекенжайы қауіпсіз сайттың деректеріне ұқсас болуы мүмкін. Мысалы, google.com орнына gogle.com көрсетілуі мүмкін;
- әлеуетті қауіпті болып хатқа қоса берілген файлдар саналады. Көптеген пайдаланушылар зарарлы файл әдеттегі нысан секілді болатындығын білмеуі ықтимал. Мысалы, .pdf кеңейтуінде деп көрсетілсе, ал шын мәнінде құжат .exe файл үрінде болуы мүмкін. Мұндай файл pdf түрінде көрсетілуі, ал атауында .pdf.exe деп көрсетілуі де ықтимал. Microsoft Office қарапайым құжатына ұқсас болады. Екі жағдайда да файлы ашу зарарлы құжатты іске қосуға алып келуі мүмкін.
IT-қауіпсіздік қазір бұрынғыдан қарағанда маңыздырақ
Қызметкерлердің қашықтықтан қол жеткізуін қорғауды қамтамасыз етуге жұмсалатын нақты уақыт пен қаржылық шығындарды есептеу өте күрделі. Алайда кейбір компаниялар бұлтты шешімдерді (SaaS) және мобильді құрылғыларды іске қосады. Басқа компаниялар жеке IT-инфрақұрылымын және стационарлық ДК-ны пайдаланғанды жөн санайды. Әрине бірінші компаниялар жаңа жағдайларға тез бейімделеді, себебі қашықтықтан жұмыс қауіпсіздігінің көптеген аспектілері мұндай модельде алдымен салынған.
Ең бастысы, қызметкерлердің және жұмыс берушінің қауіпсіздігін қамтамасыз етуге қажетті іс-шараларды жиынтық түрінде ұстану қажет екендігін есте сақтаңыз. Қазіргі сәтте ағымдағы жағдайлар өз шарттарын көрсетсе, ақпараттық қауіпсіздікке қызмет түріне, персонал санына және жұмыс масштабына қарамастан барлық компаниялар үлкен назар аударғаны жөн.
Просмотров материала: 0