изображение создано нейросетью
Кричащие заголовки об утечках данных часто оказываются ложными срабатываниями DLP-систем, порождающими волну недоверия внутри компании. Как превратить отдел ИБ из карающего органа в партнера сотрудников и создать киберкультуру, где защита данных становится личным интересом? В материале IT-World — реальный кейс, где отказ от дисциплинарных расследований в пользу мотивационных писем и работа с процессами дали поразительные результаты.
Представим себе ситуацию. Сотрудник отправляет себе в мессенджер документ, затем второй, третий. И так почти целый час. DLP сигнализирует о подозрении на утечку. Накапливается больше сотни событий, прежде чем удается связаться с нарушителем и запросить разъяснения по инциденту ИБ. По всем признакам DLP определила, что утекла коммерческая тайна. Но после изучения документов выясняется, что эта информация уже неактуальна. В перечне коммерческой тайны ее нет, да и, ко всему прочему, документам уже больше пяти лет. Расследование показало, что утечки не произошло.
С подобной ситуацией может столкнуться любой, кто при внедрении DLP сгенерировал правила на основе нескольких месяцев мониторинга трафика. Такие системы обычно хорошо определяют персональные данные, а вот с другими видами конфиденциальной информации разобраться гораздо сложнее. О существовании части информации за период пилотного внедрения можно и не узнать. Что-то отправляется в исключительных случаях, которых не произошло, а у других данных периодичность отправки изначально редкая. А еще бывают данные, определить значимость которых, не погружаясь в процессы, почти невозможно.
Самое простое решение — запретить любую отправку информации вовне и использование личных устройств для рабочих задач. А нарушителей можно отловить на периметре. Кто-то так и поступает.
Внутренняя информационная безопасность — обзор решений и практик для бизнеса В нашем случае руководство поставило задачу более творчески: нужно уйти от имиджа полицейского.
И начали мы с расследования инцидентов ИБ. Решили максимально дистанцироваться от дисциплинарного процесса. Не запрашивать сразу объяснительные, а дополнить процесс этапом предварительных исследований, которые нельзя называть расследованиями. Потребовалось придумать мотивацию для сотрудников помочь нам разобраться в ситуации и не доводить дело до дисциплинарной ответственности. Для этого составили мотивационное письмо, в котором указан факт обнаружения подозрительной активности и уведомление, что какое-то время служба ИБ будет внимательно следить за действиями сотрудника. И что по желанию можно помочь нам во всем быстрее разобраться и позволить переключиться на другие задачи.
Еще одной находкой стало применение ИИ. Переписку с пользователем можно прогонять через критика по своему набору правил. Несложный промпт:
Проверь сообщение на соответствие следующему стилю общения:
- Четкий, уверенный и авторитетный тон.
- Избегать слишком неформальных или разговорных выражений.
- Четко и понятно объяснять сложные технические моменты.
- Формальный, но в то же время дружелюбный и доверительный стиль.
- Уважение, быть внимательным к их потребностям и ожиданиям.
По сути, с этой попытки снизить протестные реакции на жесткие ограничения и требования началась глобальная работа по формированию положительного имиджа ИБ и созданию киберкультуры. При проведении расследований это крайне важно, кстати. Собираем рабочее место с 4K-монитором MSI Modern MD272UPHG Обзор мониторов для бизнеса на рынке России Унифицированные коммуникации 2.0. Всегда на связи
По мере накопления опыта подобных инцидентов DLP неизбежно обучается. Специалист ИБ корректирует правила. Но есть и другой способ повысить качество работы DLP: выявить и документировать все артефакты всех процессов — невыполнимая задача, к слову. Однако в нашем случае процесс пошел сам собой. Помогло решение руководства по стандартизации. Все подразделения должны регламентировать свою работу. И на этапе согласования со службой ИБ мы стали внимательно проверять, чтобы все информационные потоки, сопровождающие процесс, были однозначно описаны с указанием источников, получателей и информационных систем для каждого артефакта.
Утечки информации: что думает об этом бизнес? Теперь, когда у нас появляется подозрение на утечку, мы можем посмотреть процессную документацию и гораздо быстрее классифицировать, что именно мы перехватили. Надо отметить, что количество внутренних документов и записей по каждому процессу — это огромный объем данных. Разовые занесения в DLP нужных правил слишком трудоемки, но как источник додисциплинарных исследований процессная документация нам очень помогает.
Киберкультура как продолжение регламентов
Как я уже упоминал в попытках преодолеть сопротивление пользователей правилам ИБ мы вышли на необходимость формирования положительного имиджа ИБ и серьезно взялись за формирование киберкультуры. Ведь даже если с технической точки зрения мы можем контролировать технические каналы передачи информации, всегда остается человеческий фактор. А когда обработка информации выходит за пределы защищаемого контура, кроме киберкультуры почти ничего и не остается. Данные будут защищены за пределами контура, если работник самостоятельно устанавливает средства защиты, следит за парольной политикой и политикой чистого стола, а также не пренебрегает настройками конфиденциальности. И очень важно, чтобы был личный интерес для выполнения этих задач.
Первая сложность, с которой пришлось столкнуться, — это отсутствие готового предложения по созданию киберкультуры на рынке. Позднее они начали появляться, но на момент активной фазы работ у нас маркетологи, дизайнеры, обучающие центры как-то мало согласовывались между собой.
Формирование привычек у работников мы начали с изучения самих работников. Выделили ресурсы на проведение внутренних регулярных вебинаров. И на каждой встрече просили рассказывать, как нам улучшить формат, на каких вопросах сконцентрировать внимание. Первая обратная связь нами была получена у кофемашин. Через официальные каналы работники не особо хотели говорить о наших недостатках, зато при личных беседах советы были дельными. Нам много говорили об оформлении слайдов, личных качествах спикеров. Затем пошли советы по наполнению: что неплохо бы добавить кейсы, а еще оформить их в виде комикса. Начальную паузу ожидания можно заменить мини-игрой «Найди 10 отличий». И так далее. И уже в самом конце нам стали подсказывать тематику выступлений. Фаворитами стали «Детская безопасность», «Искусственный интеллект» и «Фишинг». Читайте также
Цифровая трансформация гостиничного бизнеса: возможности или тупик? По статистике, цифровые технологии внедрили почти 70% российских отелей. Справилась ли индустрия гостеприимства с импортозамещением, какие ИТ-решения реально помогают бизнесу, как решается вопрос с дефицитом ИТ-кадров и какие задачи игроки доверяют ИИ? Обо всем этом дискутировали приглашенные эксперты круглого стола IT-World, собравшего представителей ИТ-бизнеса и топ-менеджеров отельной индустрии.
На вебинарах мы полностью сконцентрировались на личном интересе самих работников. Что именно дает им соблюдение правил ИБ, какие проблемы им это может помочь закрыть. Какие призывы к действию могут сработать. И построили подачу материала так, чтобы каждый нашел аналог КТ у себя дома. Например, подарочные сертификаты. Ведь они имеют ценность, только пока не попадут в чужие руки. Персональные данные нашли у каждого на телефоне и напомнили, почему по закону охранять их должен каждый самостоятельно. И конечно, когда мы заговорили про детей, случился максимальный отклик.
Тут же мы столкнулись с проблемой метрик. Как посмотреть, кто и как к нам относится? Кто-то поддерживает, кто-то пассивно игнорирует, кто-то пассивно радуется. Благо активных противников не нашлось. Мы начали проводить викторины с ценными призами. С одной стороны, это игровая форма, чтобы проверить свои знания. А с другой — статистика по регистрациям, то есть какие отделы посещают.
Невидимые угрозы: почему сотрудники могут стать киберриском На следующем этапе мы провели углубленное исследование. Пригласили десятки человек на кастдевы. И сформулировали наиболее эффективные подходы к каждой группе целевой аудитории. Неожиданно выяснилось, что вебинары как способ снижения числа нарушений и протестных настроений подходят далеко не для каждой группы.
На этом этапе нам пришлось приступить к пересмотру метрик для обзора со стороны руководства. Самым сложным оказалось показать корреляцию между усилиями по созданию киберкультуры и статистикой по инцидентам. Мы отслеживаем число вовлеченных работников по факту посещения мероприятий и активности на них. Проводим небольшие опросы для оценки лояльности (NPS-опросник). И сопоставляем данные с числом переходов на фишинговые письма и числом подозрений на утечки. В планах — разработать корреляции с другими типами инцидентов.
На наших мероприятиях мы стремимся к усилению тенденций, повышающих общую культуру человека, таким образом, чтобы соблюдение правил ИБ было выгодно в первую очередь самому работнику. И не за счет страха наказаний, а за счет понимания, что правила ИБ — это как традиционные ценности, выгодные их носителям для самосохранения. А уже как следствие общий рост осознанности работников в вопросах ИБ выгоден работодателю.
Интересно, что благодаря работе с потребностями людей и росту осведомленности пользователей меняется отношение к ним и со стороны безопасников. Мы сами уходим от высокомерного представления о пользователе. В результате появляются возможности вместо полного запрета работы на личных устройствах внедрить полноценную политику BYOD.
Разумеется, обработка персональных данных по-прежнему проводится только за «закрытыми дверями» защищенного контура. Но снижение требований в пользу формирования киберкультуры позволяет извлечь выгоду из современных технологий.
Журнал IT Manager
Алексей МатвеевНачальник отдела методологического обеспечения информационной безопасности ЦКР ИТИнформационная безопасностьКиберугрозыУтечки данных