Ни для кого не секрет, что информация – ценный информационный актив любой компании.

Однако несовершенство вычислительных и сетевых инфраструктур, уязвимости приложений часто отрицательно влияют на сохранность данных на предприятии. Проблемы цифровой безопасности приводят к необратимым потерям, а последствия могут стать крайне печальными в финансовом и репутационном плане.

Защита информации на всех этапах ее жизненного цикла, от создания, обработки, хранения, передачи и полного уничтожения, позволит избежать компаниям любого размера серьезных неприятностей и финансовых потерь.

Все начинается с бэкапа

Бэкап (резервное копирование) — основа основ безопасности данных, без которой другие методы защиты малоэффективны. Под резервным копированием подразумевают создание копий информации на физических носителях (жесткие диски, магнитные ленты) или в облачных хранилищах. Сделанные бэкапы данных в дальнейшем помогут восстановить данные в случае потери или уничтожения исходных файлов.

Ключевыми параметрами резервного копирования являются параметры RPO (Recovery Point Objective) и RTO (Recovery Time Objective).

Целевая точка восстановления (RPO) – это максимально допустимое количество данных, которое возможно потерять в случае сбоя, измеряемое во времени. Например, если RPO составляет 30 минут, это означает, что компания может себе позволить потерять данные, накопленные или измененные в течение последних 30 минут работы. Иными словами, если RPO в компании утвердили равным 30 минутам, то и бэкап должен делаться каждые полчаса.

Целевое время восстановления (RTO) – это максимально допустимое время простоя ИТ-системы, иными словами, интервал времени после сбоя, в течение которого она может быть недоступна.

Определение адекватных значений RPO и RTO и настройка автоматического бэкапа поможет компании обезопасить себя в случае сбоя системы.

Существует несколько основных методов резервного копирования:

  • полный бэкап системы – резервное копирование ОС в целом со всеми приложениями и данными. Позволяет восстановить систему, какой она была в определенный момент времени, включая ОС, все приложения и данные. Создание резервной копии может занимать достаточно продолжительное время.
  • полный бэкап – резервное копирование всех данных. Позволяет восстановить данные на момент создания бэкапа.
  • инкрементальный бэкап – резервное копирование всех данных, дополняет полный бэкап за счет сохранения в инкрементальном бэкапе только изменившихся данных. Как правило, применение стратегии инкрементальных бэкапов для резервирования данных позволяет существенно уменьшить размеры бэкапов.

Какой метод резервирования правильнее и рациональнее применить — вопрос существующих потребностей компании. Сегодня каждая третья компания для хранения бэкапов выбирает не физические носители, а облачные хранилища, тем самым отказываясь от необходимости инвестирования в оборудование, отдавая предпочтение более гибкой и масштабируемой услуге Backup-as-a-Service (BaaS).

Обеспечение безопасности данных

Организация процесса резервирования не поможет защитить данные от утечек, несанкционированного использования или намеренной модификации. Можно с ужасом представить, что будет, если информация о финансовом состоянии организации, личные данные сотрудников и клиентов, договоры с партнерами, документы, связанные с коммерческой тайной (одним словом все, что является конфиденциальной информацией), станет достоянием злоумышленников. Чтобы этого не случилось, для защиты конфиденциальности данных нужно внедрить особые меры предосторожности.

  • Обучайте сотрудников основам сетевой безопасности

    Политика BYOD (Bring your own device, Принеси свое собственное устройство), которую часто внедряют современные компании, позволяет сотрудникам свободно работать в офисе со своих ноутбуков и мобильных устройств. Но отсутствие шифрования на этих устройствах или устаревшая операционная система может привести к утечке данных. В корпоративную сеть через незащищенные девайсы также проникают вредоносные программы. Сотрудников нужно обучать методам сетевой безопасности, постоянно проводить тренинги и рассказывать о потенциальных угрозах (например, фишинге).

  • Создайте строгую политику BYOD

    Конфиденциальная информация может храниться на личных устройствах сотрудников. Поэтому при подключении персональных устройств в офисе к локальной сети компании необходимо соблюдать особые меры предосторожности. Нужно правильно настраивать конфигурации программного обеспечения и оборудования, следить за обновлениями, вовремя устранять технические неисправности. Сотрудники не должны оставлять свои ноутбуки, планшеты и телефоны без присмотра в общественных местах. В случае кражи или пропажи девайса, который имел доступ к корпоративной сети, сотрудник в обязательном порядке должен уведомить об этом ответственных за безопасность. Кроме того, будет не лишним применять на таких устройствах шифрование носителя (жесткого диска, флеш-карты).

  • Шифруйте данные

    Ключевой мерой защиты данных является шифрование, при котором цифровые данные, программное/аппаратное обеспечение и жесткие диски шифруются и становятся нечитаемыми для неавторизованных пользователей или злоумышленников. Защита корпоративной сети — важная составляющая безопасности данных информационных систем для всех компаний независимо от их размера. Для предотвращения несанкционированного доступа также необходимо защищать каналы передачи информации - при передаче данные могут попасть к злоумышленнику, поэтому перед отправкой их тоже необходимо шифровать.

  • Используйте аутентификацию пользователей

    Одним из наиболее часто встречающихся методов защиты данных является аутентификация пользователей ИТ-систем компании. Для проверки подлинности могут использоваться идентификационные логины с паролями доступа. В дополнение к этому иногда применяются методы, основанные на биометрии или персональные аппаратные ключи. Например, сканирование отпечатков пальцев, распознавание лиц или голоса. Определение местоположения пользователя также может одним из факторов аутентификации.

  • Следите за безопасностью паролей

    Как правило, сотрудники не понимают важности использования сложных паролей и используют слабые пароли для авторизации и защиты данных. В итоге это делает их учетные записи уязвимыми для хакерских атак и вирусов. Разъясните сотрудникам важность использования безопасных паролей и важности процесса периодичной смены паролей.

  • Внедрите управление идентификацией и доступом

    С помощью IAM (Identity and Access Management) компании могут обеспечить безопасный доступ ко всем своим данным. IAM вместе с технологией единого входа (SSO) помогает организациям правильно сопоставлять идентификаторы и анализировать, кто, когда и к каким данным обращался. Соответственно, могут быть назначены группы пользователей, создан список прав доступа для каждой из категорий, что значительно уменьшит вероятность утечки данных из компании.

Почему терять данные — опасно?

Последствия для компании, которые испытывают утечку данных, очень серьезны. Они сталкиваются с рядом проблем, на избавление от которых у них уходит много времени и средств.

  • Потеря дохода

    Потеря дохода в результате нарушений безопасности является распространенным явлением. Исследования показывают, что треть компаний, которые сталкиваются с утечкой данных, в конечном итоге теряют реальные деньги. Любой серьезный инцидент, связанный с ненадлежащим обеспечением конфиденциальности данных, угрожает непрерывности бизнеса, приводит к незапланированным простоям, прямым убыткам и оттоку клиентов.

  • Репутационный ущерб

    Клиенты компании всегда ценят свою конфиденциальность и совсем не обрадуются, узнав, что их персональные данные утекли в открытый доступ. Вряд ли они потом доверятся бизнесу с подмоченной репутацией.

  • Риск для интеллектуальной собственности

    Говоря о киберпреступности, мы, как правило, представляем огромные финансовые потери или кражу личных данных. Однако любой, кто имеет представление о шпионаже, знает, что интеллектуальная собственность также является мишенью для злоумышленников. Если вы готовите выпуск нового продукта, утечка информации может стать решающей для дальнейшего существования вашего бизнеса.

  • Скрытые расходы

    Судебные тяжбы, восстановление репутации, расследования инцидентов, усиление мер безопасности — за все это тоже придется в конечном итоге заплатить.

Чтобы обезопасить свой бизнес и не допустить неприятных ситуаций, важно заранее продумать сбалансированную стратегию безопасности данных. Она должна включать в себя несколько важных пунктов: резервное копирование, управление аутентификацией пользователей и правами доступа, строгую политику BYOD и план аварийного восстановления данных в случае инцидентов. И даже если ИТ-специалисты компании перегружены другими задачами или не обладают необходимой квалификацией, всегда можно обратиться к поставщику нужных решений, который возьмет на себя часть ответственности за обеспечение сохранности данных вашей компании.