Кіберстійкість бізнесу: чому резервна копія важливіша за антивірус

Кібербезпека в українському бізнесі досі здебільшого продається як продукт: антивірус, файрвол, система моніторингу. Тим часом статистика реальних інцидентів вперто показує іншу картину — компанії втрачають дані й гроші не через відсутність дорогого софту, а через відсутність простих процедур.

Типовий сценарій виглядає буденно. Бухгалтер відкриває вкладення з листа, який виглядає як акт звірки від контрагента. Шифрувальник проходить по мережевих папках. З'ясовується, що резервна копія робилася на той самий файловий сервер, який щойно зашифрували, а востаннє її відновлення перевіряли ніколи. Компанія зупиняється на тиждень.

Чотири речі, які дають більшу віддачу за будь-який софт

Резервні копії, які реально відновлюються. Наявність бекапу і здатність з нього відновитися — різні речі. Правило, яке працює: щонайменше одна копія має зберігатися поза досяжністю робочої мережі, і щонайменше раз на квартал з неї має проводитись тестове відновлення. Не перевірена копія — це не копія, а сподівання.

Двофакторна автентифікація на всьому, що дивиться назовні. Пошта, банк-клієнт, CRM, VPN, панелі адміністрування. Переважна більшість успішних атак на середній бізнес починається не зі зламу, а з украденого або підібраного пароля. Другий фактор знімає цей вектор майже повністю і не коштує нічого.

Розділення прав доступу. Питання, на яке варто відповісти чесно: скільки людей у компанії мають доступ до всього? Якщо відповідь більша за двох, це не питання довіри, а питання площі ураження. Компрометація одного облікового запису не повинна означати компрометацію всієї компанії.

Оновлення. Нудна, немодна і найбільш ігнорована практика. Значна частина інцидентів експлуатує вразливості, для яких патч вийшов рік чи два тому.

Людський фактор і чому «навчання персоналу» зазвичай не працює

Компанії, які реагують на інцидент, майже завжди призначають навчання. Формат — презентація на годину, після якої співробітники підписують, що ознайомлені. Ефект від такого навчання близький до нуля вже за місяць.

Працює інше: регулярні контрольовані розсилки, що імітують фішинг, з подальшим коротким розбором для тих, хто перейшов за посиланням. Не як покарання — а як тренування. Показник «частка співробітників, які клікнули» стає вимірюваною метрикою, і його динаміка чесно показує, чи є прогрес.

Ще одна практика, яку недооцінюють: проста, зрозуміла і безкарна процедура повідомлення про підозрілу подію. Якщо співробітник, який відкрив підозріле вкладення, боїться зізнатися — компанія дізнається про інцидент на кілька годин пізніше. Ці години зазвичай і вирішують масштаб втрат.

Що специфічно для українського контексту

Кілька обставин відрізняють українську ситуацію від типової європейської.

Перша — інтенсивність фону. Атаки на критичну інфраструктуру і бізнес відбуваються постійно, і частина з них не має фінансової мотивації, а отже не працює логіка «ми занадто малі, щоб нас атакувати».

Друга — розподілені команди. Значна частина персоналу працює з дому, часом з-за кордону, з особистих пристроїв і чужих мереж. Периметр, який колись збігався зі стінами офісу, більше не існує.

Третя — енергетичні перебої. Некоректні вимкнення обладнання руйнують бази даних не гірше за атаки, і безперебійне живлення для серверної сьогодні є частиною кібербезпеки, хоч формально до неї не належить.

Мінімальний план для компанії, яка починає з нуля

Перелік, який реалістично виконати за квартал і який знімає більшу частину типових ризиків:

• інвентаризувати, де взагалі лежать дані компанії — включно з тим, що люди тримають у хмарних теках і месенджерах;
• налаштувати резервне копіювання за схемою з окремою офлайн-копією і перевірити відновлення на практиці;
• увімкнути двофакторну автентифікацію на всіх зовнішніх сервісах;
• відкликати зайві права доступу, почавши з облікових записів людей, які вже не працюють у компанії;
• прописати короткий, на одну сторінку, план дій на випадок інциденту: кого сповіщати, що вимикати, хто говорить із клієнтами.

Жоден із цих пунктів не потребує значного бюджету. Усі вони потребують того, чого зазвичай бракує найбільше, — рішення керівника вважати це своєю зоною відповідальності, а не задачею для системного адміністратора.

Теми: #кібербезпека#ризики#ІТ

ihorkushnir.net — авторський аналітичний проект Ігоря Кушніра.