Инструкция с правилами ИБ для сотрудников | Блог Касперского

Чтобы минимизировать шансы на ошибку, в компании полезно иметь единую инструкцию по информационной безопасности. С ней следует знакомить всех новых сотрудников при найме, да и до сведения старых тоже имеет смысл довести. Писать такую инструкцию с нуля может быть достаточно сложно, поэтому мы решили сделать это за вас — хотя бы накидать общий план, к которому вы потом сможете добавить специфичные для вашей компании пункты. Вот что должно быть в такой инструкции, по нашему мнению.

Доступ к корпоративным ресурсам и сервисам

1. Используйте только сложные пароли: они должны быть не менее 12 знаков длиной, не состоять из словарных слов, содержать спецсимволы и цифры. Если пароль простой, злоумышленник сможет подобрать его простым перебором.
2. Пароли должны быть уникальными: не используйте один и тот же пароль для всех рабочих ресурсов. Тем более — не используйте его же и в личных целях. Достаточно будет утечки из одного из сервисов, чтобы скомпрометировать их все.
3. Пароли должны быть секретными: не записывайте пароль на бумаге и не храните около рабочего места; не вписывайте их в файлы и не делитесь ими с коллегами. Иначе случайный посетитель офиса или уволившийся сотрудник сможет воспользоваться таким паролем во вред компании.
4. Если сервис позволяет включить двухфакторную аутентификацию, включите ее. Это не позволит злоумышленнику получить доступ к сервису даже в случае утечки пароля.

О важности персональных данных

5. Не выкидывайте бумаги с персональными данными в мусорную корзину. Если их нужно выкинуть, воспользуйтесь шредером. Злоумышленники нередко изучают выброшенные бумаги и могут наткнуться на них.
6. Не передавайте файлы с персональными данными по открытым каналам (например, через Google Docs по прямой ссылке или через публичные файлохранилища). Тот же Google индексирует документы в доступе по ссылке, так что на них может наткнуться посторонний.
7. Не делитесь персональными данными клиентов с коллегами, чьи рабочие функции не требуют такого доступа. Если такая практика обнаружится во время аудита, то компанию ждут неприятности от регуляторов, да и вероятность утечки возрастает.

О самых распространенных киберугрозах

8. Тщательно проверяйте ссылки в письмах, прежде чем по ним переходить. Убедительно выглядящее имя отправителя — не гарантия подлинности. Злоумышленники могут попробовать подсунуть фишинговую ссылку, особенно если им удастся захватить почту кого-то из ваших коллег.
9. Если вы распоряжаетесь бюджетами, то никогда не переводите деньги на неизвестные счета только на основании письма или сообщения в мессенджере. Позвоните человеку, якобы санкционировавшему перевод, или свяжитесь с ним по другому каналу и попросите устное подтверждение. Захватив почту или учетную запись в мессенджере, злоумышленник может легко подделать письменное «распоряжения начальника».
10. Не подключайте к рабочему компьютеру неизвестно откуда взявшиеся флешки. Атака через зараженный внешний накопитель — это не фантастика: злоумышленники действительно могут подбросить устройство в офис.
11. Не открывайте и не запускайте исполняемые файлы из непрооверенного источника (например, присланные по почте). При открытии файла всегда нужно смотреть, не является ли он исполняемым (злоумышленники часто маскируют вредоносные файлы под офисные документы).

Контакты на экстренный случай

12. Компьютер ведет себя странно? Пришло множество писем о попытке входа в корпоративную учетную запись? На рабочем столе записка от вымогателей, а файлы не открываются? Заметили какую-то иную аномалию? Срочно свяжитесь с <Имя Сотрудника> по телефону <Tелефон Cотрудника>.

В последнем пункте следует оставить контакты человека, к которому нужно обратиться в случае нештатной ситуации. Им может быть выделенный специалист по кибербезопасности (если он есть), системный администратор или даже владелец бизнеса. Словом, тот, кто будет четко знать, что делать, как делать и когда делать.

Это все самые базовые вещи, которые должен понимать каждый сотрудник компании. Выдавайте каждому инструкцию, составленную по советам выше, оставляйте сотруднику время ознакомиться и просите расписаться, что он действительно в нее вник. Однако для лучшей осведомленности о современных киберугрозах мы рекомендуем специальные тренинги.