У любого бизнеса есть данные, потеря которых может дорого обойтись, если они попадут в плохие руки. Именно поэтому компании, которые заботятся о собственной безопасности, часто прибегают к шифрованию. Хотя вокруг этого хватает заблуждений: так ли оно надо, если скрывать вроде бы нечего? Что именно защищает шифрование и с чего руководителю начать проверку цифровой безопасности, объяснил директор S-Crypto Валерий Вижукайло.
S-Crypto – белорусская компания, разрабатывающая средства криптографической защиты информации. На рынке с 2022 года. За это время продала 40 тыс. лицензий и заключила 400 договоров. Среди организаций, с которыми сотрудничает S-Crypto, – структуры Министерства здравоохранения, МЧС и Министерства образования Беларуси. Продажей ее решений также занимаются А1 и МТС.
Не только гостайны: что бизнесу стоит защищать
Люди привыкли защищать то, что можно увидеть и потрогать: квартиру, машину и другое имущество. А вот с информацией, которая существует в цифровом виде, нередко поступают не столь бережно. И зря: утечка данных сотрудников, переписок, финансовых документов и прочего может обернуться серьезными проблемами.
Важные данные есть в любой организации – вне зависимости от ее сферы деятельности и формы собственности. Компания может не работать с гостайнами и другой чувствительной информацией, но это не значит, что защищать нечего, убежден Валерий Вижукайло.
Валерий Вижукайло
– Ценность почти любого бизнеса – это персональные данные: ФИО сотрудников и клиентов, их контакты, адреса. Даже если взять элементарную бухгалтерию, кадровый отдел или систему учета, все эти сведения там присутствуют. Их утечка способна причинить вред как конкретным людям, так и самой организации.
И это только одна часть. Вторая – у организации обычно есть коммерческая информация, которую нужно беречь от конкурентов. Это могут быть финансовые показатели, сведения о контрагентах, условия сделок и другие данные.
Персональные и коммерческие данные – приоритет для шифровки
Разве антивируса и пароля недостаточно?
Нет, потому что средства взлома совершенствуются, отмечает директор S-Crypto.
– Один из наиболее уязвимых элементов любой системы – человек: он может по неосторожности проигнорировать установленные правила безопасности. Технологии могут быть достаточно надежными, но сотрудник способен сам создать уязвимость.
Валерий Вижукайло приводит пример.
– Бухгалтер записывает пароль на стикере и небрежно оставляет на рабочем месте без присмотра. Затем этот стикер попадает в урну, используется в качестве закладки и т.д. Если такая запись попадет к человеку, который понимает, для какой системы предназначен пароль, это может создать дополнительный риск. Другой распространенный сценарий – фишинговая рассылка. Сотруднику приходит письмо с вредоносным вложением, он открывает файл, скачивает его или запускает программу, не проверив источник. В таком случае на компьютер может попасть вредоносное ПО, которое позволит злоумышленникам получить доступ к данным или нарушить работу системы.
Чувствительные данные должны находиться под защитой
Поэтому одной установки антивируса недостаточно. Сотрудников нужно учить распознавать подозрительные письма, проверять адреса отправителей и не открывать сомнительные вложения. Такие навыки должны подкрепляться понятными правилами работы с информацией и технической защитой – межсетевыми экранами, средствами криптографической защиты информации, антивирусами, SIEM и DLP-системами. Важно, чтобы люди не просто проходили формальный инструктаж, а реально понимали, как действовать в подозрительных ситуациях. Иначе даже дорогостоящие средства защиты могут оказаться малоэффективными. Очень важно, чтобы в организациях были разработаны и соблюдались политики информационной безопасности.
А если данные перехватят?
Шифрование нужно, чтобы посторонний не смог прочитать информацию, даже если ему удалось ее перехватить.
– Криптографические методы основаны на математических алгоритмах. При шифровании используются ключи, необходимые для защиты и последующего восстановления исходной информации. Если данные перехватят, без необходимых ключей посторонний не сможет получить из них исходный документ или файлы.
Надежнее криптографических методов защиты пока нет
Правда, здесь важно учитывать условия применения таких средств, продолжает Валерий Вижукайло.
– Криптография не решает все вопросы информационной безопасности. Если злоумышленник получил доступ к устройству сотрудника или завладел ключом, риски возрастают. Поэтому необходимо, с одной стороны, использовать средства шифрования, а с другой – правильно организовать работу всей системы.
Кто должен отвечать за безопасность – и сколько это стоит
По словам директора S-Crypto, в организациях должен быть сотрудник, отвечающий за информационную безопасность.
– В небольшой компании это может быть один специалист, тогда как крупные предприятия создают даже собственные центры кибербезопасности. Руководителю при этом не обязательно самостоятельно разбираться во всех технических деталях. И все же он должен понимать, кто отвечает за защиту данных и соответствует ли используемая система требованиям, в том числе – требованиям законодательства.
Логичный вопрос: так какой штат нужно содержать? И сколько вообще должна стоить хорошая защита? Универсального ответа, отмечает собеседник, нет.
– Затраты зависят от масштаба бизнеса, характера данных и последствий возможной утечки или остановки систем. Один из способов оценить риски – представить, сколько компания потеряет, если не сможет работать несколько дней. Если возможный ущерб небольшой, то и средства защиты могут быть простыми. Если же потеря данных ставит под угрозу работу крупного холдинга, и убытки могут исчисляться миллионами долларов, подход и цена будут другими.
Потенциальные риски компания оценивает сама
Криптографическая защита нужна не только крупному бизнесу
Потребность в защите определяется не столько размером организации, сколько тем, какие данные она передает и с какими системами взаимодействует. Защищенные каналы связи могут быть нужны как компаниям с сетью филиалов, так и небольшим фирмам, которые подключаются к, например, удаленным государственным системам либо корпоративным инфраструктурам.
– Наши средства криптографической защиты информации применяются, в частности, для организации защищенной связи между распределенными офисами, филиалами, магазинами и складами. Еще один сценарий – удаленный доступ: когда сотруднику нужно подключиться к корпоративной сети с рабочего места или телефона/планшета. Для решения таких задач криптографическая защита остается важным инструментом, – отмечает собеседник.
В офисе S-Crypto
Такие задачи возникают и у мелкого бизнеса. Например, индивидуальному предпринимателю может потребоваться передать налоговую декларацию.
– Первый шаг к защите данных – не покупка определенного продукта. Это ответ на вопрос: какая информация есть у моей компании, и что произойдет, если она окажется в чужих руках? – резюмирует Валерий Вижукайло.
Автор: Григорий Трофименков, фото: Елена Таборко
*Партнерский материал
*Использование и цитирование данной статьи допускается в объеме, не превышающем 20% при наличии гиперссылки. Более 20% – только с разрешения редакции.
