Если вы подумали «ой, кибератаки – это что-то из параллельной вселенной, нам такое не грозит», то у нас плохие новости.
Каждое четвёртое преступление в Беларуси — киберпреступление. В 2024 году их доля выросла до 27,9% от всей преступности, и число атак только увеличивается. В зоне риска уже не только клиенты банков — под прицелом любой бизнес. Мошенники взламывают корпоративное ПО, крадут данные и используют методы социальной инженерии. Один взлом может обернуться утечкой данных, существенными убытками, штрафами и даже остановкой работы компании.
Кто отвечает за безопасность корпоративного портала? Вендор, интегратор или сама компания? Ответ — все трое. Важно правильно выбрать поставщика, внедрить систему по всем стандартам безопасности и поддерживать её в актуальном состоянии. Вместе с онлайн-сервисом Битрикс24 разберём, какие меры важны на каждом этапе.
Как выбрать безопасного вендора?
При выборе корпоративного портала важно учитывать разницу между коробочными и облачными решением. «Коробка» позволяет размещать данные внутри собственной инфраструктуры, что даёт полный контроль над безопасностью, но требует ресурсов для администрирования, настройки и обновлений.
Если данные хранятся в облаке, то это упрощает управление системой – все обновления и безопасность обеспечиваются вендором. Однако важно убедиться, что поставщик соблюдает строгие стандарты безопасности и защиты данных.
Проверьте следующие критерии:
- Наличие процесса безопасной разработки. Убедитесь, что вендор применяет Secure Software Development Life Cycle (SSDLC) — это процесс безопасной разработки программного обеспечения. В него входят меры по выявлению и устранению уязвимостей на всех этапах жизненного цикла продукта. Он помогает минимизировать риски взломов и утечек данных за счёт интеграции механизмов безопасности в сам процесс разработки.
- Сертификация по стандартам безопасности. Надёжные поставщики следуют стандартам СТБ ISO/IEC 27005, СТБ 34.101.1-2017, СТБ 34.101.2-201 и государственным стандартам Республики Беларусь ГОСТ РБ ISO/IEC 27001, ГОСТ РБ ISO/IEC 27002, ГОСТ РБ ISO/IEC 27017.
- Система обновлений и устранения уязвимостей. Вендор должен оперативно выпускать обновления и уведомлять клиентов о важных изменениях.
- Документация по безопасности. В комплекте с продуктом должны быть инструкции по безопасной установке, настройке и эксплуатации.
- Линии поддержки. Оперативная техподдержка и консультации по вопросам безопасности могут спасти бизнес в критический момент и помочь с профилактикой.
- Политика резервного копирования и восстановления. Убедитесь, что вендор предоставляет возможность автоматизированного резервного копирования и быстрой реставрации данных в случае инцидента.
- Прозрачность в обработке данных. Важно, чтобы вендор чётко определял, какие данные он собирает, как они обрабатываются и хранятся.
- Наличие системы мониторинга безопасности. Вендор должен предоставлять встроенные механизмы обнаружения вторжений и защиту от несанкционированного доступа.
Как проверить, что интегратор учитывает вопросы безопасности?
Правильная установка и настройка корпоративного портала не менее важны, чем его разработка. Проверяя работу интегратора, убедитесь в следующем:
- Настройка всех функций безопасности. Шифрование, управление доступом, мониторинг событий должны быть включены по умолчанию.
- Соответствие стандартам. Интегратор обязан работать в рамках рекомендаций вендора и учитывать современные стандарты безопасности.
- Защита от человеческого фактора. Настройка двухфакторной аутентификации и ограничение ролевых доступов для сотрудников к разным частям системы значительно снижают риски атак. Сотрудники должны получать доступ только к той функциональности, которая нужна им для работы.
- Обучение сотрудников. После внедрения необходимо провести тренинг для пользователей по правилам безопасной работы с системой. Все новые сотрудники должны получать эту информацию в момент онбординга.
- Опыт работы и сертификация. Убедитесь, что интегратор имеет подтвержденную экспертизу, сертифицированных специалистов и успешные кейсы внедрений.
- Тестирование безопасности после установки. Интегратор должен провести аудит настроек.
- Постгарантийная поддержка. Наличие плана поддержки после завершения внедрения, включая обновления системы.
Какие меры предпринять внутри компании?
Даже идеально установленный и безопасный продукт может быть взломан из-за недостаточного внимания компании к вопросам информационной безопасности. Чаще всего взломы случаются из-за отсутствия компетенции сотрудников в этом вопросе.
Вот базовый чек-лист:
- Чёткие регламенты работы с системой. Каждый сотрудник должен знать, как безопасно использовать корпоративный портал.
- Регулярные обновления ПО. Старые версии программ могут содержать уязвимости, поэтому важно их своевременно обновлять.
- Ограничение доступа. Давайте пользователям минимально необходимые права для выполнения их обязанностей. Получение доступов должно происходить по четкому регламенту через отдел безопасности или ответственного сотрудника.
- Мониторинг событий информационной безопасности. Среднее время обнаружения взлома — 37 дней. За это время хакер может сильно навредить компании, поэтому стоит использовать инструменты для профилактики атак. Системы SIEM (Security Information and Event Management) помогают централизованно анализировать события безопасности и выявлять аномалии, а логирование позволяет сохранять и отслеживать все критические действия в системе. Это упрощает расследование инцидентов, повышает уровень контроля и помогает вовремя заметить подозрительную активность.
- Фишинг-тренинги. До 80% атак связаны с человеческим фактором. Обучите сотрудников выявлять фишинговые письма (мошеннические электронные сообщения, замаскированные под официальные, с целью кражи данных) и избегать ловушек злоумышленников.
- Наличие специалистов по кибербезопасности. Выделенный специалист или внешняя компания должны регулярно проверять инфраструктуру и проводить тесты на проникновение.
Важно: не существует каких-то мер, которые можно один раз предпринять и забыть. Если у вас всё под контролем, можно спать спокойно, но установленным правилам безопасности следовать нужно всегда.
Защита на максималках: что еще сделать, чтобы можно было говорить «мы учли вообще всё»
Жёсткая политика паролей – просите сотрудников использовать сложные пароли, регулярно их менять и не использовать старые пароли повторно.
Многофакторная аутентификация (MFA) везде – не только на вход в систему, но и на критические операции.
Мониторинг активности пользователей – автоматическое отслеживание аномального поведения, например, вход с необычного IP или скачивание больших объемов данных.
Ограничение доступа по геолокации и устройствам – запрет на вход в корпоративный портал из незнакомых стран и с неавторизованных устройств.
Шифрование данных на всех уровнях – как в передаче, так и в хранении.
Регулярные тестирования на проникновение (пентесты) – хотя бы раз в год проводить имитационные атаки, чтобы выявлять слабые места.
Журналирование и логирование с уведомлениями о подозрительных действиях – настроить автоматические оповещения при попытках входа с неизвестных IP-адресов или при множественных неудачных попытках входа.
Песочница для подозрительных файлов и ссылок – автоматическая проверка всех загружаемых файлов и ссылок перед их открытием сотрудниками.
Сегментация сети – минимизировать потенциальный ущерб в случае взлома, разделяя системы и ограничивая доступ.
Обучение персонала не только фишингу, но и социальным атакам – защита от звонков мошенников, манипуляций и поддельных запросов.
Резервное копирование с защитой от шифровальщиков – использование immutable backup (неизменяемых резервных копий), чтобы предотвратить их удаление или изменение атакующими.
Нужно ли настолько заморачиваться? Зависит от конкретного бизнеса, его величины и важности защиты данных.
Заключение
Кибербезопасность — это совместная ответственность вендора, интегратора и компании.
- Вендор отвечает за разработку безопасного продукта и регулярные обновления.
- Интегратор обязан правильно настроить систему и минимизировать риски на этапе внедрения.
- Компания должна обеспечивать контроль, мониторинг и обучение персонала.
При соблюдении всех мер защиты корпоративный портал будет устойчив к атакам, а бизнес — защищён от финансовых и репутационных потерь.
С помощью онлайн-сервиса Битрикс24 все необходимые меры безопасности внедряются на уровне платформы: встроенные инструменты для разграничения прав, журнал действий сотрудников и автоматические обновления обеспечивают защиту корпоративного портала от киберугроз и минимизируют риски финансовых и репутационных потерь.
*Партнерский материал. ИУП «1С-Битрикс», УНП 192042385