Кому беда*, а кому мать родная …
Кому беда*, а кому мать родная …
(* здесь и далее тут должно быть слово запрещенное по распоряжению Роскомнадзора и прочих уполномоченных)
Редкая неделя проходит без громкого объявления об утечки какой-то базы данных. На прошлой неделе Яндекс еда шокировала многих новостью об утечке. Это не первая и, к сожалению, не последняя утечка, а следовательно, надо готовиться к тому, что их будет все больше. Причин для пессимизма множество. Но я бы отметил две наиболее характерные для нашего времени, которые особенно мотивируют к утечкам. Во-первых, формула нашего времени «Для кого беда*, а для кого мать родная». В принципе так было всегда. Но сейчас все многократно перегрето и усилено. Сотрудники, которые еще вчера были мотивированны и лояльны компании могут неожиданно начать работать против компании по личным политическим мотивам. Понимание, что нельзя работать в компании и быть против нее, непременно придёт позже, но сейчас все в крайностях. Поэтому корпоративным службам ИБ будет нелишним усилить контроль за поведением сотрудников. Любые отклонения от привычных паттернов должны вызывать повышенное внимание. Очевидно, что без средств автоматизации, например UBA (User Behavior Analytics) в DLP-систем, эти задачи решить крайне сложно (иначе глаза будут в кровавых мозолях у смотрящих).
А, во-вторых, к хищению баз данных мотивирует и перспективы экономики. Это подталкивает сотрудников, которые еще вчера были лояльными , искать дополнительный заработок. Цены растут, перспективы неясны, повышение зарплаты не ожидается, так что люди пытаются унести с работы что-то, что можно выгодно продать. Например, базу данных. Я бы не стал перекладывать ответственность за это исключительно на сторону сотрудников ИБ-службы. Это уже пограничная задача, которую только ИБ не решит. Пожалуй это задача в первую очередь для HR, которым нужно работать с лояльностью персонала, а не провоцировать последних на дополнительные заработки, в том числе кражу корпоративных ценностей. Данные уже давно относятся к ценному товару.
Объемы утечек растут, частота их не снижается и последствия не заставляют себя долго ждать. Как правило, мы не всегда можем проверить, были ли именно наши данные в слитой базе. А даже если можем, то нельзя доказать ущерб, который может наступить через какое-то время. Поэтому никакие действия корпоративных экспертов безопасности не освобождают рядовых граждан от привычных правил кибергигиены. Вот об этих простых правилах стоит напомнить сотрудникам компаний.
Сложно призывать сообщать о себе недостоверные сведения, например eMail. Часто с этого адреса нужно подтвердить заказ, иначе его отменят. Но можно завести отдельную почту для некритичных ресурсов: заказов еды и пр.
Точно также вторая sim-карта в телефоне может иметь ограниченный срок применения, если вы сами его ограничите, например 6-10 месяцами. Тогда вся информация по заказам будет приходить на симку, которую несложно поменять через несколько месяцев. Пусть эти данные утекают.
А для регулярных онлайн заказов еды стоит завести отдельную банковскую карту с небольшим количеством денег и отдельный почтовый ящик, на котором не будет никакой переписки.
Эти простые правила уже смогут кого-то защитить от действий злоумышленников!
Опубликовано 28.03.2022