Кибербезопасность для компаний: как защитить данные в условиях удаленной работы

Сотрудники, переведенные на удаленную работу, не торопятся возвращаться в офисы и снова использовать корпоративные компьютеры, а все больше компаний сталкиваются с угрозами, такими как атаки шифровальщиков и утечки данных. В этой статье рассмотрим, как бизнесу эффективно защищаться от рисков, связанных с удаленным или гибридным режимом работы.

Удаленная работа традиционно считается менее безопасной по сравнению с обычным офисным форматом. Это неудивительно: сотрудники подключаются к корпоративным системам через личные устройства и неподконтрольные компании сети, что открывает потенциальные уязвимости в IT-инфраструктуре, которыми могут воспользоваться киберпреступники.

Как развитие удаленной работы влияет на кибербезопасность

На сегодняшний день 59% руководителей по информационной безопасности (ИБ) выражают позитивное отношение к удаленному формату работы, тогда как весной 2020 года 61% руководителей российских организаций считали «удаленку» небезопасной.

При этом нельзя утверждать, что смена настроения руководителей произошла из-за исчезновения угроз — количество кибератак продолжает расти. Согласно данным центра мониторинга внешних цифровых угроз ГК «Солар», в 2023 году в публичный доступ утекли данные почти 400 российских организаций, что означает, что в прошлом году в России происходила как минимум одна утечка данных в день.

На теневых ресурсах регулярно появляются предложения по продаже архивов внутренней документации: сканов документов, информации с рабочих компьютеров, исходного кода программных продуктов. Объем таких утечек увеличивается с каждым годом: по данным другого исследования, в 2023 году число таких предложений выросло на 42% по сравнению с 2022 годом. Более того, за первые месяцы 2024 года в даркнет утекли данные 170 компаний — это 40% от общего числа инцидентов в 2023 году. Согласно исследованию Positive Technologies, чаще всего объектами кражи становятся персональные данные, и в 2023 году их процент значительно возрос по сравнению с предыдущим годом.

Согласно данным компании Kaspersky, 70% утечек данных происходят через ноутбуки, планшеты и мобильные телефоны — те устройства, с которых сотрудники подключаются из дома, кафе и других мест, где они привыкли работать в последние годы. Это создает ситуацию, в которой компании не могут отказаться от удаленной работы, если хотят привлекать и удерживать сотрудников, и им приходится разрабатывать стратегии с учетом постоянной угрозы кибератак.

Зачем хакеры атакуют компании

Исследования ГК «Солар» показывают, что основная цель современных киберпреступников — заражение компаний шифровальщиками, которые превращают данные на корпоративных серверах и компьютерах в недоступный для использования мусор. Злоумышленники пытаются заработать на выкупе данных — некоторые организации готовы заплатить десятки и даже сотни миллионов рублей, чтобы восстановить информацию. Например, одна из хакерских групп, атакующих российские компании, требует от своих жертв до 10% их годового дохода, а рекордная сумма выкупа за всю историю кибератак в России составила 1 миллиард рублей.

Это интересно — Как защититься от фишинга?

На втором месте среди целей киберпреступников находятся политические мотивы (хактивизм). В таких случаях хакеры не пытаются заработать деньги, а стремятся нанести как можно больший ущерб. Одним из самых громких примеров такого хактивизма стала утечка данных из сервиса Яндекс.Еда в 2022 году, когда в сеть попали данные заказов миллионов пользователей.

Третью позицию среди целей преступников занимают целенаправленные атаки, организуемые профессиональными группировками, известными как APT (advanced persistent threat). Такие хакеры составляют примерно 20% от общего числа атакующих российские компании.

Низкий порог входа в мир киберпреступности — одна из главных причин роста числа кибератак, которые наблюдаются в последние годы. На теневых форумах можно арендовать шифровальщик, купить информацию о взломанной корпоративной системе, заказать рассылку фишинговых писем и провести вредоносную кампанию в полуавтоматическом режиме.

Распространение удаленной работы еще больше облегчает задачу хакерам. Бизнесам стоит подготовиться к худшему: рано или поздно киберпреступники могут обратиться и к вам. Поэтому инвестиции в информационную безопасность становятся критически важной статьей бюджета, особенно если в компании много удаленных сотрудников.

Какие киберугрозы возникают при удаленной работе

Сотрудники используют для работы собственные устройства: ноутбуки, смартфоны, планшеты. Компания не может быть уверена, что эти устройства защищены от киберугроз должным образом. При подключении к корпоративным системам через домашние или общественные сети хакеры могут перехватить данные, включая пароли для доступа в защищенные сегменты.

Если злоумышленники получат учетные данные сотрудников, они смогут подключаться к инфраструктуре от их имени. При удаленном доступе обнаружить такого самозванца гораздо сложнее. В этом случае киберпреступники могут действовать от имени компании или ее руководства, поручая сотрудникам выполнять опасные действия, такие как перевод денег, отключение системы безопасности или передача конфиденциальных данных. Благодаря нейросетям сегодня можно не только подделывать сообщения, но и воспроизводить голос или даже выдавать себя за другого человека через видеосвязь с помощью дипфейков.

Это интересно — Как придумать надежный пароль?

Перечислить все угрозы безопасности, направленные на компании, можно было бы в целой серии статей. Однако мы рассмотрим основные риски, актуальные для удаленной работы. Эти угрозы связаны с вмешательством в каналы коммуникации, проникновением в корпоративную инфраструктуру и воздействием на IT-сервисы:

• Внедрение вредоносного ПО для перехвата закрытых данных.
• Проведение DDoS-атак для нарушения работы сайтов, веб-приложений и корпоративных систем.
• Организация фишинговых рассылок для получения логинов и паролей к IT-системам, обходя средства безопасности.
• Применение социальной инженерии для проникновения в закрытые инфраструктуры и установки сторонних приложений.
• Атаки на веб-сервисы с использованием уязвимостей ПО или манипуляций с веб-запросами для вмешательства в работу сайтов и IT-сервисов.
• Атаки ботнетов — сетей зараженных устройств, которые рассылают спам, подбирают пароли или внедряют вредоносные приложения.

Три направления, о которых компаниям стоит позаботиться в первую очередь, чтобы снизить эти риски

Совет №1: обеспечьте защищенное подключение к корпоративным ресурсам

Первое, что необходимо сделать, — это обеспечить безопасный доступ сотрудников к рабочим системам и хранилищам данных, с которыми они взаимодействуют в удаленном режиме. Корпоративные IT-сервисы не должны быть доступны из открытого интернета, как обычный сайт. Также сотрудники не должны подключаться к ним через общие каналы связи, которые могут быть подвержены вмешательству третьих лиц.

Используйте корпоративный VPN

Виртуальная частная сеть (VPN) создает защищенный канал связи поверх обычного интернета, что позволяет избежать перехвата данных. С помощью VPN доступ к корпоративной инфраструктуре будет закрыт для посторонних пользователей, а сотрудник сможет подключаться из любой точки, не подвергая данные риску.

Компании часто выбирают корпоративные решения от известных разработчиков, таких как «С-Терра», «Инфотекс» или «Код безопасности». Такие продукты часто включают в себя несколько систем безопасности, таких как антивирус, межсетевой экран и средства мониторинга и контроля доступа для централизованного управления политиками безопасности.

Другим вариантом является использование открытого кода. Преимущество таких систем заключается в возможности гибкой доработки под нужды компании. Популярные решения с открытым кодом — OpenVPN Access Server и Wireguard VPN.

Внедрите многофакторную аутентификацию (MFA)

Системы многофакторной аутентификации добавляют дополнительный слой безопасности, требуя от пользователя не только пароля, но и ввода кода, отправленного через SMS или на электронную почту. Этот метод помогает сохранить конфиденциальность даже в случае, если злоумышленник получит пароль от аккаунта сотрудника.

На рынке представлено множество решений для многофакторной аутентификации, которые можно интегрировать в корпоративные системы. Основные критерии выбора включают доступные методы аутентификации, возможность интеграции с корпоративными системами, централизованное управление безопасностью и масштабируемость решения.

Организуйте IAM — централизованное управление доступом к инфраструктуре

Системы управления доступом (Identity and Access Management, IAM) позволяют контролировать, кто и как может работать с корпоративными ресурсами. Внедрение IAM начинается с аудита текущих систем и процессов управления доступом. Компания должна выявить слабые места, уязвимости и риски, а затем создать политику управления доступом, установив четкие правила для предоставления, изменения и отзыва прав доступа.

Следуя принципам минимального доступа (Least Privilege) и необходимости знаний (Need-to-Know), компания должна избегать предоставления сотрудникам лишних прав, не требующихся для выполнения их работы.

На рынке есть множество решений IAM, таких как Microsoft Azure AD, Google Identity, IBM Security и Oracle Access Management. Важно убедиться, что выбранное решение поддерживает интеграцию с другими используемыми в компании системами.

Внедрение IAM откроет возможности для безопасной и удобной работы с корпоративной инфраструктурой, включая централизованный доступ, автоматическое управление правами, регулярный аудит и соблюдение регуляторных требований.

Совет №2: следите за событиями в корпоративной сети

Безопасность компании невозможна, если она не отслеживает происходящее в своей инфраструктуре. Ранее сотрудникам IT-отделов приходилось вручную анализировать логи событий, искать признаки подозрительной активности и принимать решения о блокировке действий. Сейчас же эту работу в значительной степени выполняют автоматизированные системы.
Выбор средств контроля зависит от бюджета и размера организации. Если в компании работает около сотни сотрудников или меньше, ей может подойти небольшая система мониторинга и антивирусное ПО на рабочих устройствах. Для крупных холдингов с дочерними предприятиями по всей стране часто функции безопасности передаются внешним компаниям, но принцип защиты остается единым.

Проконтролируйте рабочие компьютеры сотрудников

Компания должна иметь возможность вовремя заблокировать подозрительные программы или отследить попытки копирования конфиденциальных документов. В качестве решения подойдут антивирусы или более сложные системы, которые предотвращают вторжения.

Антивирусы

Корпоративные антивирусы предлагают более широкий функционал по сравнению с программами для частных пользователей. Продукты, такие как Kaspersky Endpoint Security for Business, Symantec Endpoint Protection, ESET Endpoint Security и другие, обеспечивают многоуровневую защиту от угроз. Они включают антиспам, противодействие фишингу, базовую защиту от угроз нулевого дня с применением технологий машинного обучения, анализ поведения и базы данных для обнаружения вредоносной активности.

IDS-системы

Для средних и крупных компаний одного антивируса недостаточно. Здесь требуется использовать IDS/IPS — системы обнаружения и предотвращения вторжений. IDS-системы могут обнаружить вторжение в сеть еще до того, как злоумышленник нанесет ущерб, причем это происходит в реальном времени.
Существует два основных типа таких систем:

Системы на основе сигнатур: они распознают шаблоны атак, и если система находит код, похожий на вредоносный, она помечает его как подозрительный для дальнейшей проверки.

Системы на основе аномалий: эти системы фиксируют базовый профиль действий, например, нормальный объем использования интернет-канала. Если действия отклоняются от нормы, IDS-система бьет тревогу.

Используйте отечественные решения от зарекомендовавших себя разработчиков

Обеспечьте мониторинг корпоративной сети

Для этого компании используют решения, которые входят в состав центра мониторинга событий кибербезопасности (Security Operations Center). Эти системы отслеживают попытки сканирования инфраструктуры, несанкционированный доступ к данным, загрузку сторонних программ, включая шифровальщики.

Заботьтесь о резервном копировании

Необходимо внедрить системы резервного копирования, которые будут регулярно сохранять информацию. Современные решения практически не нагружают инфраструктуру и каналы передачи данных, защищая информацию от потерь и шифрования. Например, такие системы как Veritas Backup Exec, Veeam Backup & Replication, Commvault, NetBackup.

Это интересно — Может ли Интернет вещей нанести вред вашему предприятию

Резервные копии могут храниться как на локальных серверах, так и в облаке или гибридных системах, объединяющих оба варианта. Технологии дедупликации, отслеживания изменений и сжатия данных помогают снизить объем хранимой информации и ускорить процесс копирования. Данные защищаются шифрованием и ограничением доступа. В случае потери информации можно быстро восстановить данные из резервных копий с помощью заранее подготовленных планов восстановления.

Продумайте план действий на случай кибератаки

Если злоумышленник все же проникнет в систему, все ответственные лица должны четко понимать свои действия:

• IT-специалисты — должны изолировать угрозу, отключив пораженные компьютеры и сегменты сети.
• Юристы — должны оценить необходимость сообщения о происшествии регуляторам и правоохранительным органам.
• Руководители — должны определить, как минимизировать ущерб для репутации компании.
  После каждой атаки следует провести расследование (постинцидентный анализ) и сделать выводы, чтобы предотвратить повторение ситуации.
  Краткий план анализа:

Запланируйте регулярные проверки систем безопасности и обучение сотрудников с проверкой их знаний.

Совет №3: повышайте осведомленность сотрудников

Один из самых эффективных способов защиты — это развитие осведомленности сотрудников, чтобы они могли распознавать мошеннические схемы и не попадаться на уловки злоумышленников.

Исследования компании Positive Technologies показали, что более половины атак на компании начинаются с социальной инженерии, включая фишинговые письма и звонки от «службы безопасности банка», а в последнее время — поддельные голосовые сообщения.

Центробанк сообщил о росте мошенничества, когда преступники, получив доступ к переписке жертвы, используют синтезированные голосовые сообщения, чтобы выдать себя за знакомого. Мошенники могут даже имитировать видеозвонки, используя фотографии и нейросети.

Эти методы могут обойти даже системы безопасности стоимостью в миллионы рублей, если сотрудник отключит защиту на своем компьютере. Чтобы этого не случилось, важно обучить персонал распознавать угрозы и знать, как действовать в случае атаки.

Проводите регулярное обучение сотрудников правилам кибербезопасности

Целью атак может стать любой сотрудник, поэтому обучаться должны все работники, а не только те, кто имеет доступ к закрытым данным или финансовым системам. Обычно такие курсы состоят из теории и упражнений, проводятся с участием экспертов или через специальные обучающие платформы. Главное — делать обучение регулярным и адаптировать материалы под специфические риски вашей компании.

Периодически стоит проводить тестовые кибератаки, чтобы оценить, кто из сотрудников нуждается в дополнительном обучении.

На российском рынке доступны решения для обучения кибербезопасности, такие как Phishman, Kaspersky Security Awareness Platform, Solar Dozor и другие. Они помогают сотрудникам выявлять фишинг и мошенничество, а также развивать критическое мышление в области киберугроз.

Внедрите эффективные политики безопасности

Сотрудники IT-отдела должны вовремя деактивировать учетные записи увольняющихся сотрудников и следовать модели нулевого доверия, предоставляя пользователю только те права, которые ему необходимы для работы.

Автоматическая смена паролей каждые несколько месяцев и блокировка простых паролей, таких как «qwerty123», помогут повысить безопасность. На 2022 год, например, эти пароли были одними из самых популярных среди россиян.

Проводите аудит безопасности и тестирование на проникновение

Регулярные аудиты помогут выявить слабые места в системе безопасности и позволят моделировать кибератаки, не нарушая работу инфраструктуры.

Примером такой проверки может служить случай с регистратором доменов GoDaddy. Все сотрудники получили фальшивое письмо с предложением бонуса за отмененный корпоратив, в котором нужно было заполнить форму с личными данными. Почти все сотрудники передали свои данные. Впоследствии служба безопасности направила их на повторный курс обучения по безопасности.

Хочешь безопасности — готовься к кибератаке

Исследования осени 2024 года показали, что компании, в отличие от своих сотрудников, все больше возвращаются к привычному формату работы, что связано с угрозами, возникающими при удаленной работе. Однако гибридная рабочая реальность, которая стала нормой в IT-секторе, продолжит влиять на выбор работодателя.

Киберугрозы могут затронуть любой бизнес, независимо от того, работают ли ваши сотрудники в офисе или удаленно. Важно инвестировать в безопасность и быть готовыми к непредсказуемым сценариям, чтобы обезопасить вашу компанию.

• Соберите информацию: логи серверов, сетевых устройств, систем безопасности и приложений, снимки пострадавших систем, опросы сотрудников.
• Оцените ущерб: определите, какие данные были утрачены, и оцените финансовые и репутационные потери.
• Выясните, как злоумышленники проникли в систему, какие уязвимости они использовали, как они вошли и вышли из системы.
• Составьте план восстановления и устранения уязвимостей, обновления компонентов и принятия мер безопасности, чтобы избежать повторения инцидента.
• Подготовьте PR-стратегию для восстановления репутации.