Райан Фрэнсис

Фишинговые и прочие атаки влекут за собой риски проникновения злоумышленников в ИТ-системы организации и получения доступа к важным ресурсам компании. Предлагаемые рекомендации помогут вам уменьшить эти риски.

Не используйте в личных целях корпоративный аккаунт

Многие сотрудники, пытаясь оптимизировать свои рабочие процессы, загружают и регистрируют приложения потребительского характера. Причем некоторые делают это с использованием адресов и паролей корпоративной электронной почты. Из-за этого возникают дополнительные риски потенциальных атак на корпоративные ресурсы. Если приложение кажется интересным, но не включено в список одобренных для работы, используйте свои личные учетные данные, а не корпоративные.

Не делитесь паролем, ни в коем случае!

После получения доступа к отличному приложению или сервису может возникнуть соблазн поделиться им с друзьями или родственниками, предоставив им свои учетные данные. Но, открывая такой доступ другим пользователям, вы существенно увеличиваете риски. После передачи пароля тем, кто недостаточно информирован в области безопасности, значительно возрастает опасность его утечки. При получении паролей друзьями или родственниками индивидуальные риски превращаются в общую проблему. Короче говоря, держите свои пароли при себе.

Сотрудник уволился полгода назад. Так отключите же его аккаунт, наконец-то!

Кажется очевидной необходимость отключения доступа уволенных сотрудников к приложениям и учетным записям, но на практике этим требованием зачастую пренебрегают. Руководители подразделений должны своевременно информировать ИТ-службу об отключении бывшим сотрудникам доступа к корпоративной электронной почте и к другим приложениям и системам. А ИТ-службе, в свою очередь, нужно следить за учетными записями, выявлять среди них недействительные и удалять их.

Предоставляйте доступ к конфиденциальным данным только тем, кому это это положено

Помимо проверки логина и пароля, процедура идентификации должна контролировать действия пользователя, подавая сигнал тревоги при обнаружении чего-либо подозрительного. Используя биометрические параметры, двухфакторную аутентификацию и поведенческий анализ, организации смогут сохранить свои сети в безопасности и предупреждать пользователей, если кто-то пытается подключиться к системе от их имени.

Не используйте пароль повторно – никогда!

Конечно, менять пароли и запоминать новые не нравится никому, но такова жизнь – нам часто приходится делать не то, что хочется. И новые пароли должны быть надежными – это значительно уменьшит риск их подбора злоумышленниками. Пароли никогда не следует использовать повторно. Ведь кражи учетных записей распространены достаточно широко, и до поры до времени пользователи даже не догадываются об этом. Вспомните об уязвимостях, обнаруженных в сетях LinkedIn, Yahoo, Twitter и прочих. В некоторых случаях люди годами не знали о том, что их пароли используются злоумышленниками для получения доступа к конфиденциальной информации.

При обнаружении брешей компания должна продолжать работать

В случае выявления уязвимостей необходимо как можно быстрее приступить к их ликвидации, не останавливая при этом бизнес-процессы. Поговорите с сотрудниками и примите дополнительные меры безопасности. Особенно важную роль здесь приобретают технологии двухфакторной или многофакторной аутентификации.

Держите привилегированных пользователей под контролем

Привилегированный доступ повышает риск взлома всей корпоративной сети, поэтому за такими учетными записями нужно следить особенно тщательно: своевременно понижать уровень ненужных привилегий и удалять устаревшие аккаунты. Привилегированные учетные записи имеют особую ценность для хакеров, и таким пользователям необходимо соблюдать особо строгие меры безопасности.

– Ryan Francis. Best practices to fight corporate security risks. CSO. Nov 28, 2016

Службе информационной безопасности приходится выстраивать все новые бастионы между физическими и виртуальными стенами своей организации. И конечные пользователи должны принимать непосредственное участие в обеспечении защиты корпоративных данных и систем. Для того чтобы обезопасить себя и свои организации, аналитики компании Wombat Security Technologies рекомендуют удаленным работникам придерживаться десяти правил.

Старайтесь избегать сетей Wi-Fi с открытым доступом

Незащищенные паролем бесплатные сети Wi-Fi не обеспечивают достаточного уровня безопасности при подключении к закрытым системам и передаче конфиденциальной информации. Для безопасного подключения нужно использовать специальные мобильные точки доступа или соответствующие функции своих мобильных устройств.

Защитите домашнюю сеть

Незащищенная домашняя беспроводная сеть также уязвима. Пользователи должны как минимум защитить свои беспроводные сети паролями и включить шифрование (желательно WPA2). А лучше – разработать для удаленных сотрудников набор правил, регламентирующих настройку их систем.

Подключайте все мобильные устройства через VPN

Большинство организаций, у которых есть удаленные сотрудники, используют виртуальную частную сеть – VPN, которая не только защищает устройства компании, но и помогает при использовании концепции BYOD.

Подберите подходящее приложение VPN, попросите сотрудников установить его на свои устройства и объясните, как им пользоваться.

Не путайте свои персональные данные с деловыми

Корпоративные данные не следует передавать с личных устройств, поскольку возрастает риск их утечки. И большая часть ответственности ляжет на конечного пользователя, который выводит данные за пределы контролируемой зоны. Точно так же не следует размещать личные данные на корпоративных устройствах, ведь доступ к ним могут получить и другие лица.

Не распространяйтесь в социальных сетях о работе

Распространение удаленными сотрудниками сведений о своей работе создает дополнительные проблемы их работодателям. Сотрудникам следует понимать, сколь опасно разглашение в социальных сетях сведений о деловых маршрутах – пребывании в аэропортах, гостиницах, ресторанах; повседневных операциях и прочих деталях ведения бизнеса.

Смените, наконец, пароли, установленные по умолчанию!

Удаленные работники часто подключают корпоративные устройства к своим личным сетям и устройствам. Дайте им указание в обязательном порядке сменить пароли на всех устройствах, особенно на беспроводных маршрутизаторах. Пароли по умолчанию легко найти в Интернете, и хакеры используют эту информацию, чтобы подключиться к ресурсам ничего не подозревающих пользователей.

Обновляйте программы регулярно

Киберпреступники активно эксплуатируют также и известные уязвимости в ПО и плагинах – например, в Adobe Flash, Acrobat Reader и Java. Плагины и программное обеспечение – в том числе мобильную операционную систему и доверенные приложения – необходимо регулярно обновлять на всех используемых устройствах.

Путешествуйте с умом

Отправляясь в деловую поездку, конечные пользователи должны брать с собой только самое необходимое, исключив все ненужные электронные устройства и носители конфиденциальных данных, такие как кредитные карты и т. п.

Берегитесь подслушивающих и подглядывающих!

Каким бы ответственным в отношении безопасности ни был удаленный сотрудник, дома его могут навещать посторонние люди, которых не следует посвящать в подробности своей профессиональной и личной жизни. В поездках угроза, исходящая от случайных попутчиков, возрастает многократно. Следует проявлять осторожность обсуждая рабочие вопросы по телефону при посторонних. Конфиденциальные сведения на мониторе, в распечатанном виде или в виде записей в блокноте не должны видеть те, кто не имеет к ним права доступа.

Держите компьютер «на замке»

Дома ограничьте доступ к компьютеру паролем, а документы, когда они не используются, запирайте на замок. Оставлять телефоны и папки без присмотра в гостиницах или в автомобилях ни в коем случае нельзя.

– Ryan Francis. 10 ways to make sure your remote workers are being safe. CSO. November 1, 2016

Польза DevOps

Культура организаций, происходящие в них процессы и используемые технологии сегодня меняются беспрецедентно быстрыми темпами. Поэтому вряд ли удастся просто переждать, пока пройдет «мода» на DevOps. Это не преходящее увлечение, а новая эволюционная ступень разработки программного обеспечения. Не стоит также откладывать преобразования в области безопасности как нечто слишком сложное. Безопасность тоже должна эволюционировать, плавно переходя в SecDevOps.

Во многих организациях ежедневно выпускают десятки, если не сотни релизов ПО. А при содействии и под руководством специалистов по безопасности разработчики могли бы с первой попытки выпустить защищенный код, сэкономив тем самым массу денег и времени.

Создает культуру единства и взаимодействия

Одна из главных задач DevOps – сформировать культуру, построенную на взаимодействии, позволяющую находить пути повышения качества работы всех участвующих отделов. Разработчикам не всегда удается написать безопасный код, а многие инструменты безопасности отбрасываются, поскольку программистов не проинструктировали о способах их применения или потому что сами инструменты не адаптируются к быстро меняющемуся циклу разработки ПО. DevOps помогает избавиться от разобщенности, позволяет теснее интегрировать безопасность, автоматизировать ее обеспечение, облегчает понимание и совершенствование разработчиками соответствующих процессов.

Помогает координировать обеспечение безопасности с бизнесом

Еще одно преимущество DevOps, помимо улучшения отношений с разработчиками и другими участниками, – координация с бизнесом. Согласно недавнему опросу, проведенному Puppet Labs, высокоэффективные организации тратят на 22% меньше времени на незапланированную работу и устранение дефектов. Интегрированный контроль безопасности позволяет обнаруживать проблемы на гораздо более ранних этапах цикла разработки ПО, благодаря чему на безопасность удается тратить меньше.

Что самое важное, меньше становится брешей безопасности и меньше требуется времени на поиск уязвимостей. Становится проще внедрять политики и процедуры реагирования на потенциальные бреши и принимать решения с учетом рисков. В целом снижается вероятность простоев бизнеса.

Способствует безопасной инновации и agile-разработке

Сегодня все больше организаций переходят на agile-методы разработки ПО; по сути, они уже стали предпочтительными для многих компаний во всем мире. Но обеспечивать слаженную работу и высокие темпы без контроля безопасности можно лишь до определенной степени. Чтобы agile-разработка дала оптимальные результаты, необходима грамотная реализация процессов обеспечения безопасности. Когда специалисты по безопасности больше вовлечены в процессы разработки, защищать новые продукты с самого начала становится проще. DevOps позволяет встроить ревизии безопасности непосредственно в спринты разработки, что дает возможность быстро добавлять новый защищенный функционал. Контроль защищенности при разработке новшеств помогает бизнесу, делая специалистов по безопасности реальной опорой разработки ПО.

Обеспечивает приоритет автоматизации

DevOps внедряют ради автоматизации и повышения эффективности процессов разработки ПО. Взаимодействуя с руководителями по эксплуатации и программированию, менеджеры по безопасности могут разработать автоматизированные процессы контроля на основе политик выявления небезопасных компонентов, создания защищенных виртуальных машин и выполнения нормативных требований. Тем самым обеспечивается гораздо более активное участие специалистов по безопасности в разработке. Встраивание системы статичного анализа кода в автоматизированный процесс разработки позволит позаботиться о том, чтобы код в обязательном порядке проходил проверки на выполнение стандартов безопасности и нормативных требований.

За безопасность отвечают все участники

Один из самых труднодостижимых, но ценных результатов перехода на DevOps – это появление ответственности за безопасность у всех участников цикла разработки. Специалисты по безопасности не любят доверять свои обязанности другим отделам, но если такое становится возможным, то снижается нагрузка и освобождаются ресурсы для решения экстренных проблем безопасности. К примеру, если интегрировать контроль безопасности в самые первые стадии разработки, уже не придется беспокоиться о том, что выпуск задержится из-за тестирования, выполняемого в последний момент.

Когда у специалистов по разработке и эксплуатации появляется ответственность за безопасность кода, у них будет больше стимулов расширять свои познания в соответствующей области. И помогут в этом учебные программы, соревнования по «захвату флага» и т. п.

Способствует улучшению мониторинга

Краткость спринтов разработки способствует непрерывному совершенствованию. Без интеграции контроля безопасности с DevOps мониторинг характеристик приложений нередко выполняется как отдельный процесс. А при встраивании безопасности в процесс разработки соответствующий контроль можно интегрировать в существующие процедуры мониторинга. Как следствие, показатели безопасности будут лучше согласованы c процессами разработки, эксплуатации и управления.

Скажем, команда DevOps задается целью обнаружить 75% всех ошибок на ранних стадиях разработки. SecDevOps позволяет осуществлять мониторинг и проводить измерения, направленные на обнаружение уязвимостей, уже на первых этапах цикла, благодаря чему все ошибки, способные задержать разработку, будут выявлены и посчитаны.

Устраняет узкие места

Без DevOps пользователям приходится самим выискивать нужную информацию и тратить время на поиск контакта, чтобы решить возникшую проблему. Поскольку в командах DevOps обязательны каналы связи между отделами, у пользователей всегда есть доступ к различным контактам, которые помогут решать проблемы по мере возникновения. Еще одним ключевым компонентом инициатив DevOps наряду с доступностью связи является обучение участников. Согласно данным уже упомянутого опроса Puppet Labs, эффективные организации тратят на 50% меньше времени по сравнению с остальными на устранение проблем безопасности и следят за тем, чтобы соответствующий отдел заранее готовил простые в использовании библиотеки, комплекты, инструментальные цепочки и процессы для применения разработчиками и специалистами по эксплуатации.

– Ryan Francis, 7 ways DevOps benefits security programs. CSO. Oct 4, 2016

Мы живем в эпоху, когда лояльность к компании означает вовсе не то, что понималось под этим ранее. Сейчас за молодыми сотрудниками устойчиво закрепилась репутация людей, то и дело перескакивающих с одной работы на другую и постоянно подыскивающих себе очередное место. Бизнес уже осознал необходимость презентации своих рабочих мест в качестве идеального пространства, где ведущие таланты могли бы вершить великие дела. Ведь даже отказываясь от полной занятости, талантливые работники все равно продолжают защищать бренд своего работодателя. Между тем сокращение стажа работы на одном предприятии становится новой нормой.

Но это вовсе не значит, что задача удержания ключевых талантов теряет свою важность. А коль скоро речь зашла об удержании сотрудников, стоит отметить, что текучка кадров в технологических компаниях сегодня выше, чем в любой другой отрасли. Удержать ведущих ИТ-специалистов непросто любому предприятию, однако есть ряд мер, которые повышают вероятность того, что ваша молодая и талантливая команда задержится на одном месте чуть дольше, чем это обычно бывает.

Поощрение гибкости

Современным сотрудникам нужны мобильность и гибкость на рабочем месте. Ушли в прошлое времена, когда сотрудники находились на рабочем месте строго с девяти до восемнадцати. Сегодня их интересуют возможность удаленной работы, гибкий график, творческие отпуска и плавающие оплачиваемые часы. «Гибкие» работники становятся не только счастливее, но и продуктивнее. Предоставьте своим сотрудникам мобильность, которую они желают получить, и они, скорее всего, проработают у вас дольше, а их влияние на ваш бизнес станет более позитивным.

Укрепляйте стратегию вовлеченности сотрудников

Только 35% сотрудников полностью отдаются своей новой работе. Неутешительная статистика, если учесть те огромные усилия, которые компании прикладывают к формированию позитивного внутреннего восприятия и созданию условий для открытого и регулярного общения. Выделяйте время и деньги на разработку правильной стратегии и внедрение эффективных технологий, которые гарантировали бы своевременное и действенное вмешательство с вашей стороны.

Тенденции роста вовлеченности персонала предусматривают использование программного обеспечения, которое может улучшить взаимодействие для предотвращения ситуации, когда менеджеры злоупотребляют властью путем избирательного сокрытия информации, а также полностью трансформировать повседневные процессы, устраняя пагубные привычки, связанные с электронной почтой.

Предлагайте интересные программы для выпускников вузов

По статистике, 77% выпускников вузов оставляют свою первую работу менее чем через год. Стремясь исправить ситуацию, многие технологические компании вводят у себя программы, направленные на поддержку талантливых студентов.

Некоторые организации предлагают длительные стажировки, помогающие студентам глубже ознакомиться с деятельностью различных подразделений. Другие разрабатывают программы интенсивного обучения, позволяющие недавним выпускникам в короткие сроки укрепить свои деловые навыки и выйти на ведущие роли.

Оптимизируйте процесс найма

70% сотрудников заявляют, что вполне могут проработать в новой компании три года и более, если в процессе трудоустройства почувствуют благосклонное отношение к себе. Первой важной точкой соприкосновения с будущими работниками становится прием документов. И если все пройдет гладко, быстро и безболезненно, вы пошлете молодым талантам сигнал об эффективности и рациональности происходящих здесь процессов.

Следует помнить, что на подписании трудового соглашения процесс приема на работу не заканчивается. Создание сотрудникам благоприятных условий в начале их трудовой деятельности имеет не менее важное значение, чем четкая процедура оформления. В период формирования у новых сотрудников первого впечатления нужно продемонстрировать все лучшее, что у вас имеется.

Не забывайте о конструктивной критике и похвале

Негативная критика способна убить мотивацию даже у самых продуктивных работников. Конечно, конструктивная критика необходима, но следите за тем, в какой форме она доводится до сотрудников и за стилем общения с ними. Оценки в конце года зачастую бывают поспешными и несправедливыми. Попробуйте пересмотреть комментарии, озвучиваемые в конце года, или предложите вместо них более прямой и откровенный стиль общения. Честная беседа с глазу на глаз – отличный способ выразить конструктивную критику, дать рекомендации, похвалить сотрудника и установить с ним обратную связь.

Предоставляйте всем сотрудникам доступ к современным инструментам и технологиям

Одной из главных претензий современных работников являются жалобы на устаревшее оборудование и технологии, которые замедляют рабочий процесс и снижают его эффективность. Технологическое отставание не только уменьшает производительность труда, но и посылает сигнал о том, что бизнес не заинтересован в использовании самых современных инструментов и в автоматизации деятельности предприятия.

Покажите сотрудникам, что вы заботитесь о них и готовы предоставить им новейшие инструменты и технологии.

Устраняйте лишние барьеры

На поиск нужной информации работники тратят в среднем четыре часа в неделю. Это не только неприятно, но и приводит к нерациональному использованию рабочего времени. Устраните ненужные информационные барьеры на рабочих местах, обеспечив сотрудников необходимыми инструментами, устройствами и правами доступа. Привяжите бизнес-метрики к результатам, с тем чтобы люди, принимающие решения, могли прогнозировать ситуацию и сделать свою работу более эффективной и целеустремленной.

Открывайте возможности для профессионального развития и непрерывного повышения уровня образования

Следите за тем, чтобы квалификация ваших сотрудников оставалась на современном уровне. Убедитесь в том, что им известно о доступных программах сертификации, обучения и совершенствования профессиональных навыков. Для того чтобы у сотрудников были стимулы воспользоваться преимуществами дополнительных образовательных программ, многие организации частично или полностью возмещают им затраты на обучение и выделяют время на прохождение учебных курсов.

Предоставляя работникам возможность профессионального развития, вы формируете среду, в которой образование и обучение ценятся весьма высоко.

Создайте каналы для регулярных и откровенных сеансов обратной связи с сотрудниками

Зачастую причина неудовлетворенности сотрудников связана с коммуникациями. Убедитесь в том, что на предприятии существуют каналы для открытой и откровенной обратной связи с сотрудниками. Используйте эти каналы для выражения похвалы и конструктивной критики в реальном времени. Коммуникации, организованные сверху вниз, быстро становятся сложными и запутанными. Поэтому по возможности старайтесь отдавать предпочтение прямым беседам с глазу на глаз.

Продолжайте заботиться о защитниках работодателя

Если вашей организации удастся добиться успехов в удержании сотрудников, рано или поздно среди них появятся защитники работодателя, которые будут оказывать позитивное влияние изнутри и превратятся в борцов за укрепление сообщества. Но и ваши непрекращающиеся усилия по удержанию этих сотрудников отнюдь не напрасны. Продолжайте заботиться о них, предлагайте им новые возможности для дальнейшего профессионального роста и развития. Укрепляйте и дальше конструктивную обратную связь, демонстрируя сотрудникам, что их мнение услышано, а усилия получают должную оценку.

– Ryan Francis. 10 tips for retaining top IT talent. CSO. Aug 25, 2016