Утечки данных: реагирование на инциденты в малом бизнесе

Технологии

• Регулярно обновляйте программное обеспечение и системы: обеспечьте регулярное обновление всего программного обеспечения, особенно программного обеспечения для обеспечения безопасности, чтобы защититься от новейших уязвимостей.
• Внедрите многофакторную аутентификацию (МФА): используйте МФА везде, где это возможно, для повышения уровня безопасности, особенно при доступе к конфиденциальным данным.
• Используйте безопасные и зашифрованные каналы связи: поощряйте использование зашифрованных методов связи для обмена конфиденциальной информацией внутри и вне организации.
• Мониторинг сетей и использование систем обнаружения вторжений: Постоянно отслеживайте активность в сетях на предмет необычных действий и используйте системы обнаружения вторжений для выявления потенциальных угроз.
• Внедрите систему контроля доступа по принципу «минимальных привилегий»: обеспечьте сотрудникам доступ только к тем данным и ресурсам, которые необходимы для выполнения их должностных обязанностей, снизив риск внутренних утечек данных.
• Использование межсетевых экранов и средств сетевой безопасности: Применяйте межсетевые экраны и другие средства сетевой безопасности для защиты от внешних атак.
• Безопасная утилизация устаревшего оборудования: Убедитесь, что данные со старых компьютеров и оборудования должным образом удалены перед утилизацией или переработкой.
• Внедрите защиту конечных точек: используйте программное обеспечение для защиты конечных точек, чтобы обеспечить безопасность всех конечных устройств, подключающихся к сети, включая мобильные устройства.
• Персональные данные:  Не используйте номера социального страхования в качестве идентификационных номеров сотрудников или номеров клиентских счетов. Если вы это делаете, разработайте другую систему идентификации уже сейчас.
• Внедрите систему управления паролями:  Для всех сотрудников или временных работников, имеющих доступ к корпоративным ресурсам, должна быть разработана политика паролей. Как правило, сложность паролей должна определяться в соответствии с должностными обязанностями и требованиями к безопасности данных. Пароли ни в коем случае нельзя передавать другим лицам.
• Обеспечьте безопасность всех компьютеров:  внедрите защиту паролем и требуйте повторного входа в систему после периода бездействия. Обучите сотрудников никогда не оставлять ноутбуки или КПК без присмотра. Ограничьте удаленную работу компьютерами, принадлежащими компании, и требуйте использования надежных паролей, которые регулярно меняются.
• Контроль за использованием компьютеров:  Ограничьте использование сотрудниками компьютеров в служебных целях. Не разрешайте использование сайтов для обмена файлами по принципу P2P. Блокируйте доступ к неподходящим веб-сайтам и запрещайте использование неутвержденного программного обеспечения.
• Поддерживайте программное обеспечение безопасности в актуальном состоянии:  регулярно устанавливайте обновления безопасности для своих компьютеров. Используйте брандмауэры, антивирусное и антишпионское программное обеспечение; ежедневно обновляйте базы данных вирусов и шпионских программ.
• Шифрование передачи данных:  Обязательно шифруйте все передаваемые данные. Избегайте использования сетей Wi-Fi; они могут допускать перехват данных.

Подробная структура реагирования на утечку данных

• Проверка: Подтверждение факта утечки данных.
• Требования к устранению нарушений: Определение необходимых действий, включая соблюдение различных законов об уведомлении о нарушениях.
• Расследование: Тщательное изучение утечки данных и документирование результатов.
• Внутренняя координация: общение внутри организации и с соответствующими внешними органами власти или юристами.
• Уведомление: Информирование заинтересованных лиц в соответствии с требованиями законодательства.

Сторонние поставщики

• Изучите потенциальных поставщиков, чтобы понять их политику и практику в области безопасности.
• Проанализируйте их историю утечек данных или инцидентов в сфере безопасности.

• Установите четкие критерии безопасности и требования к поставщикам.
• Включите требования к регулярным проверкам безопасности, соответствию отраслевым стандартам (например, ISO 27001, SOC 2) и соблюдению законов о защите данных (например, GDPR, CCPA).

• Запросите подробную информацию об инфраструктуре безопасности, политиках и процедурах поставщика.
• Проверьте, используют ли они шифрование, межсетевые экраны, контроль доступа и другие меры кибербезопасности.

• Включите в договоры пункты, определяющие соответствие вашим требованиям безопасности.
• Необходимо незамедлительно уведомлять о любых нарушениях безопасности или инцидентах.

• Планируйте и проводите регулярные проверки безопасности систем и методов работы поставщиков.
• Для объективной оценки безопасности используйте сторонних аудиторов.

• Внедрите процессы для непрерывного мониторинга соответствия поставщиков вашим стандартам безопасности.
• Установите ключевые показатели эффективности (KPI) для измерения уровня соответствия требованиям.

• Убедитесь, что у поставщиков есть планы реагирования на инциденты, которые соответствуют вашим собственным.
• Координировать стратегии реагирования на утечки данных или кибератаки.

• Обучите свой персонал важности соблюдения требований безопасности поставщиков.
• Обучите их тому, как выявлять и снижать риски, связанные с сторонними поставщиками.

• Необходимо иметь план безопасного перехода на новые услуги в случае прекращения или изменения отношений с поставщиком.
• Обеспечьте безопасный возврат или уничтожение данных в соответствии с договорными обязательствами.

Процессы и управление

• Регулярно пересматривайте и обновляйте планы реагирования на инциденты: имейте четкий, актуальный план реагирования на инциденты, в котором изложены шаги, которые необходимо предпринять в случае утечки данных.
• Проводите регулярные аудиты безопасности и оценки рисков: периодически пересматривайте и оценивайте свою систему безопасности и методы работы для выявления и устранения уязвимостей.
• Программы обучения и повышения осведомленности сотрудников: Регулярно обучайте сотрудников передовым методам обеспечения безопасности, потенциальным угрозам, таким как фишинговые атаки, и важности соблюдения корпоративных правил.
• Разрабатывайте и внедряйте надежные политики безопасности: создавайте комплексные политики безопасности, охватывающие такие аспекты, как допустимое использование ресурсов компании, доступ к данным и процедуры сообщения о нарушениях.
• Регулярное резервное копирование и планы восстановления данных: Регулярно создавайте резервные копии важных данных и имейте надежный план аварийного восстановления, чтобы минимизировать потери данных в случае утечки информации.
• Внедрите процедуру утверждения доступа к мобильным устройствам, принадлежащим сотрудникам.  Благодаря расширению возможностей потребительских устройств, таких как смартфоны и планшеты, стало легко подключать эти устройства к корпоративным приложениям и инфраструктуре. Использование этих устройств для подключения к корпоративной электронной почте, календарю и другим сервисам может размывать границы между контролем со стороны компании и контролем со стороны потребителей. Сотрудники, запрашивающие и получающие разрешение на доступ к корпоративной информации через свои личные устройства, должны понимать и принимать налагаемые ограничения и меры контроля.
• Регулирование использования интернета:  Большинство людей используют интернет, не задумываясь о вреде, который это может причинить. Злоупотребление интернетом со стороны сотрудников может поставить вашу компанию в неловкое или даже противозаконное положение. Установление ограничений на использование интернета сотрудниками на рабочем месте может помочь избежать таких ситуаций. Каждая организация должна определить, как сотрудники могут и должны получать доступ к сети. Вы хотите, чтобы сотрудники были продуктивны, и это может быть главной причиной ограничения использования интернета, но вопросы безопасности также должны определять, как формулируются правила использования интернета.
• Управление использованием электронной почты:  Многие утечки данных происходят из-за неправильного использования электронной почты сотрудниками, что может привести к потере или краже данных, а также к случайной загрузке вирусов или другого вредоносного программного обеспечения. Необходимо установить четкие стандарты в отношении использования электронной почты, содержимого сообщений, шифрования и хранения файлов.
• Регулирование использования социальных сетей:  Все пользователи социальных сетей должны осознавать риски, связанные с их использованием. Надежная политика в отношении социальных сетей имеет решающее значение для любого бизнеса, стремящегося использовать социальные сети для продвижения своей деятельности и общения с клиентами. Активное управление может помочь гарантировать, что сотрудники будут высказываться в рамках установленных компанией правил и соблюдать лучшие практики защиты данных.
• Контроль за соблюдением авторских прав и лицензированием программного обеспечения:  существует множество веских причин для того, чтобы сотрудники соблюдали соглашения об авторских правах и лицензировании программного обеспечения. Организации обязаны придерживаться условий соглашений об использовании программного обеспечения, и сотрудники должны быть осведомлены о любых ограничениях на использование. Кроме того, сотрудники не должны загружать и использовать программное обеспечение, которое не было проверено и одобрено компанией.
• Обеспечение безопасного физического доступа на территорию компании: Внедрите такие меры, как доступ по электронным ключам, журналы посещений и видеонаблюдение, чтобы обеспечить безопасный физический доступ на территорию вашего предприятия.
• Контролируйте использование портативных носителей:  портативные носители, такие как DVD, CD и USB-накопители, более подвержены потере или краже. Разрешайте загрузку на портативные устройства хранения только зашифрованных данных.