Захист бізнесу: актуальні чинники безпеки для технічних засобів та комп’ютерних систем

Вкрай важливим аспектом, що має бути врахований при функціонуванні бізнесу, є забезпечення мінімізації ризиків доступу сторонніх осіб до внутрішніх баз даних компанії. Мова не лише про інсайдерів, зацікавлених у комерційному шпигунстві, але й про доступ до інформації з боку правоохоронців. 

Для отримання санкціонованого доступу необхідна достатня база доказів. У зв’язку з цим, для підтвердження наявності доказів винуватості особи при вилученні телефонів, комп’ютерів, ноутбуків, почастішали випадки здійснення доступу до месенджерів віддалено. Як правило, це месенджери, якими зазвичай користується визначена особа: Viber, WhatsApp, Telegram. Якщо номер мобільного телефону не зареєстрований і не прив’язаний до ID-картки особи, такий доступ легше здійснити за допомогою віртуальної SIM-картки (так званої eSIM).

На практиці це виглядає так, наче до месенджера намагались отримати доступ віддалено з іншого пристрою, який ідентифікується за іншою геолокацією, яка переважно обирається з-за кордону. З цієї ж причини важливо дотримуватись правил двофакторної автентифікації, коли пароль надсилають у окремий застосунок та, при можливості, у випадку сумнівів, що до месенджерів здатні отримати доступ сторонні, закріпити дані SIM-картки за визначеною особою або користувачем телефону.

Іноді SIM-картки реєструють за юридичною компанією, тоді встановити власника телефону складніше. Рекомендується здебільшого користуватись застосунками, створеними для захисту дзвінків та повідомлень, що використовують end-to-end encryption (передбачає чітко визначений, захищений доступ до повідомлень виключно відправником і отримувачем). Це безперечно зручніше та безпечніше, і якщо віддалений доступ до месенджерів отримають треті особи, то зазначені повідомлення матимуть зашифрований характер.

Під час обшуку телефон може бути вилучений, однак розблокуванням месенджерів займатимуться фахівці та експерти у галузі спеціальних знань. Наразі з будь-якого мобільного телефона можливо скачати файли, навіть прихованого характеру, водночас це зробити важче за наявності PIN-коду. 

Отже, потрібно налаштувати захист даних за допомогою пароля як у месенджері, так і в налаштуваннях мобільного пристрою.

Аналогічним чином можливо отримати доступ до файлів, розміщених на технічних пристроях, відновити втрачені чи видалені файли. З цієї причини компанії прагнуть впровадити практику захисту даних.

У випадку роботи з даними, розміщеними на технічному обладнанні, варто розглянути модель захисту, розроблену для контролю доступу до баз даних. Однією з таких варіацій захисту є модель Брюера-Неша (Brewer-Nash model), де певне визначене коло користувачів вправі отримати доступ лише до одного домену.

Наприклад, якщо це великий бізнес, що має кілька напрямків, члени команди поділені на групи, які виконують різноманітні, не пов’язані між собою обов’язки, кожній групі надається доступ до призначеного каталогу.

Таку модель використовують фінансові установи, консалтингові компанії, IT-компанії, наукові та дослідницькі організації.

Використовуючи модель Take-Grand, користувачі можуть передавати права на доступ до інформації між собою, аналогічні моделі використовують відомі аудиторські компанії, компанії – розробники операційних систем. 

Водночас обмежити суб’єкта у здійсненні подальших дій доцільно, впровадивши модель Information Flow, що передбачає обмеження користувачів нижчого рівня доступу у передачі файлів іншим адресатам. Їх використовують виробники програмного забезпечення, банківські установи, компанії, діяльність яких пов’язана з кібербезпекою.

Також потрібно врахувати, що можна розмежовувати різні рівні секретності, на кшталт використання моделі захисту Бель-ЛаПадули (Bell-LaPadula model), де кожен наступний рівень конфіденційної інформації має вищий ступінь захисту, а попередні рівні доступу користувачів не вправі зчитувати та записувати інформацію з вищим доступом конфіденційності. Ця система безпеки використовується в урядових організаціях, військових установах, організаціях в сфері безпеки та оборони, правоохоронних органах.

Загалом зазначені концепції захисту органічні у використанні з величезними об’ємами інформації, що мають різні рівні секретності, та є незамінними під час впровадження обмеження доступу сторонніх осіб до зазначених відомостей.

Водночас, навіть використовуючи багаторівневий захист даних, який поширюється на вищезазначених суб’єктів, неможливо виключити зовнішні фактори загрози: шкідливі вірусні атаки, spywire, ransomware, що блокують роботу комп’ютерних систем, а також потенційний доступ правоохоронців під час процесуальних заходів.

Тому, навіть при достатньому рівні захисту технічних пристроїв чи комп’ютерних систем, слід врахувати рівень зовнішньої загрози.

Ризик отримання даних під час прямого доступу до технічних носіїв можна уникнути, використовуючи virtual private server чи virtual dedicated server, що мають власну операційну систему та розміщені віддалено.

Окрім впровадження системи безпеки від зовнішньої загрози, доцільно здійснювати контроль за підключенням до Wi-Fi мереж. 

Великим мінусом Wi-Fi мереж із відкритим доступом є те, що останні не застосовують шифрування і можуть бути перехоплені зловмисниками, внаслідок чого активуються кібератаки на незахищені, вразливі чи застарілі операційні системи, здійснюється доступ до логінів, паролів, конфіденційної інформації.

Разом з тим, потрібно враховувати, що навіть під час підключення до корпоративної Wi-Fi мережі, якою користуються співробітники, може бути використана ідентична назва, внаслідок чого усі дані з технічного пристрою проходять через прилад зловмисника, який, за необхідності, зчитує й записує необхідну інформацію.

Найкраще мінімізувати використання відкритих Wi-Fi мереж, відвідувати сайти, що мають шифрування HTTPS (HyperText Transfer Protocol Secure), які підтверджують справжність сайту і захищають дані від перехоплення зловмисниками, а також використовувати VPN під час підключення до мереж з вільним доступом.

В інших країнах, таких як Канада та США, визначено можливість здійснення страхування від кібератак (cyber insurance policy), що передбачає вартість послуг спеціаліста з IT-сфери, оплату спеціалізованих консультантів з викупів у випадку вимагання коштів зловмисниками, оплату PR-спеціаліста у випадку настання репутаційних втрат внаслідок кібератак, витрати на судовий супровід у випадку розповсюдження персональних даних осіб чи порушення прав інтелектуальної власності.

У разі несанкціонованого втручання в роботу інформаційних (автоматизованих), електронних комунікаційних, інформаційно-комунікаційних систем, електронних комунікаційних мереж; несанкціонованого збуту або розповсюдження інформації з обмеженим доступом, яка зберігається в електронно-обчислювальних машинах (комп’ютерах), автоматизованих системах, комп’ютерних мережах або на носіях такої інформації; протиправного використання, розповсюдження або збуту шкідливих програмних чи технічних засобів, а також їх розповсюдження або збуту потрібно виявляти та запобігати вказаним злочинам, долучати юристів, що здійснюють правовий супровід і допомагають зменшити втрати внаслідок кіберінциденту. 

Жоден бізнес не застрахований від несанкціонованого контакту, а тому потрібно дотримуватись наступних ключових рекомендацій:

• використовувати різні складні комбінації паролів;
• застосовувати багатофакторну автентифікацію (multi-factor authentication);
• розглядати варіант підключення до віддаленого серверу;
• блокувати phishing emails;
• не практикувати підключення до відкритих Wi-Fi мереж.

Безпека технічних засобів вкрай важлива і необхідна для належного функціонування власної справи, нехтування зазначеними чинниками створює передумови для безперешкодного доступу до бізнесу зацікавленими особами. 

Потрібно розуміти: кожен, хто прагне дотримання безпеки інформації, файлів, системних засобів, які містяться на технічних пристроях, належного функціонування комп’ютерних мереж, має пам’ятати, що краще заздалегідь подбати про захист свого бізнесу.