Утечка не всегда выглядит как атака
Когда говорят об утечках данных, представляют хакера в капюшоне. На практике заметная часть инцидентов в российских компаниях исходит от собственных сотрудников: кто-то уносит клиентскую базу при увольнении, кто-то отправляет файл с персональными данными не тому адресату, у кого-то пароль от корпоративного диска уехал в облачную синхронизацию на личный ноутбук.
Хорошая новость: большинство таких утечек предотвращается организационными мерами и порядком в доступах. Плохая: этим почти никто не занимается, пока не случится.
Типичные сценарии
Уходящий сотрудник. За две недели до увольнения копирует контакты, базы, переписку. Не обязательно со злым умыслом — «пригодится». Подробнее о порядке действий в первый день после ухода сисадмина мы разбирали в отдельной статье.
Избыточные права. Практически в любой компании у половины сотрудников доступ «на всякий случай» к папкам, которые им не нужны. Чем шире права, тем больше поверхность риска.
Ошибочная рассылка. Файл с зарплатами или клиентами уходит в общий чат или в письмо внешнему контрагенту. Технически это не атака, но последствия — репутационные и юридические — те же.
Личные облака и мессенджеры. Рабочие документы перекидываются в личный диск «поработать дома», а дальше живут там годами вне какого-либо контроля.
Базовый контур защиты
Принцип минимальных прав. У каждого сотрудника — доступ только к тому, что нужно для работы. Права пересматриваются при смене роли, а не раз в пять лет.
Отзыв доступов в день увольнения. Аккаунты отключаются, пароли администраторов меняются, оборудование сдается. Это должно быть регламентом, а не решением по настроению.
Журналирование. Кто, когда и что скачивал с критичных ресурсов. Сам факт ведения журналов дисциплинирует, а после инцидента позволяет понять масштаб.
Разделение сетей. Гостевой Wi-Fi и корпоративная сеть изолированы друг от друга. Личные устройства сотрудников — вне доступа к серверам и общим папкам.
Обучение. Короткий регламент «как нельзя передавать рабочие файлы» экономит больше, чем половина технических средств. Персональные данные под 152-ФЗ требуют осознанности от каждого, кто их обрабатывает.
Что смотреть раз в квартал
- Список сотрудников с правами администратора: все ли еще работают и всем ли это нужно.
- Неразделенные общие папки с доступом «для всех».
- Действующие VPN-ключи и внешние доступы — особенно выданные подрядчикам.
- Отчеты о массовых скачиваниях и выгрузках за период.
Если компания выросла
Когда сотрудников больше нескольких десятков, ручной контроль перестает работать: нужны системы класса DLP, контроль теневых облаков и формальный регламент доступа. Начать стоит с аудита прав: кто и к чему имеет доступ сейчас. Эта работа делается за несколько дней и сразу показывает самые опасные места.
Нужна помощь экспертов?
Проведём бесплатную консультацию и поможем с вашей ИТ-инфраструктурой.