Информационная безопасность идеи для бизнеса

Всем доброго дня! Сегодняшняя бизнес-идея будет отличаться своей новизной и интересом.

Дело в том, что технологии не стоят на месте, а главным критерием для людей в сети становится защита их личной информации.

Не открою Америку если скажу, что сегодняшним хакерам не составит труда взломать любой работающий компьютер.

Хорошо если этот компьютер будет домашним и без всякой сенсационной информации, а если Вы крупное новостное агентство? Представляете последствия.

Мы сегодня не станем делать что-то вроде лаборатории Касперского, а создадим свое агентство по предоставлению безопасного соединения в сети интернет для любых пользователей.

Бизнес на агентстве по защите информации

Основателями данного дела или лучше сказать идейными представителями стали два молодых программиста- Девид Городянский и Евгений Молобродский.

Честно сказать я не знаю из какой страны эти ребята, но фамилии точно не американские:).

В общем то эти два молодых человека, немного поразмыслив над ситуацией в мире, пришли к выводу, что в настоящее время главной проблемой всего человечества станет защита информации в интернете.

Толчком к началу продумывания идеи стали события «арабской весны».

Вышеуказанные товарищи смекнули что к чему и решили, что надо изобрести такую технологию, которая позволяла бы общаться в интернете один на один без возможности вмешаться третьей стороне.

Итогом их размышлений стал сайт, который вскоре получил название анонимайзер и позволял отправлять необходимую информацию непосредственно с ограниченной сети, при этом все сведения о компьютере с которого отправлялись данные стала теперь недоступна.

Эта технология по началу не воспринималась всерьез. Однако как я уже сказал события «арабской весны» привели к тому, что данный сайт стал чуть ли не самым популярным у работников средств массовой информации.

Дело в том, что журналисты в гуще событий становятся что-то вроде непосредственных шпионов и они рискуют быть обнаруженными.

Поэтому переданная ими информация должна быть хорошо засекречена.

Таким образом новостные агентства не побрезговали воспользоваться на тот момент самым действенным способом по защите переданной им информации и стали активно использовать анонимайзер там где «жарко».

Вскоре данный сайт стал активно использоваться при военном перевороте в Египте. Тогда бунтовщики стали договариваться о встрече непосредственно через вышеуказанный сервис.

Это прямо таки подрывало безопасность стран и анонимайзер в ряде стран решено было закрыть.

Однако нашим героям суждено было стать известными и уже к 2011 году в их компанию было вложено около 50 000 000 долларов, что позволило ребятам всерьез заняться своим детищем.

Сейчас их компания достигла огромных высот и представляет собой что-то вроде частной виртуальной сети или VPN.

Как организовать бизнес на защите личной информации

Перед тем как начинать бизнес по защите личной информации в Интернете — подготовьте бизнес-план этого непростого дела.

Сейчас в вышеуказанной компании трудиться около 50 человек со всего мира. Но как же все началось ?

Примерно год назад в сети появилось интервью непосредственных основателей анонимайзера. Как признались сами ребята, главное не то что Вы знаете, а то сколько вокруг Вас умных людей.

Для того чтобы открыть свое агентство по защите информации необходимо во-первых создать нормальную рабочую атмосферу и собрать вокруг себя талантливых программистов.

Защита информации подразумевает не малые затраты прежде всего морального толка. Вы должны будете создать такой сервис, который будет предоставлять пользователю полную анонимность и возможность пользоваться компьютером, при этом будучи неизвестным.

Во- вторых Вы должны быть настойчивы в принятии решений. Дело в том, что основание вышеуказанного проекта граничило с долей риска.

Ведь основатели анонимайзера хоть и дают свободу пользователям сети, но и при этом идут против некоторых правительственных рамок, обеспечивающих внутриполитическую защиту отдельно взятого государства.

Наверное поэтому данный сервис закрыт в Китае. Его сочли опасным наравне с гуглом и фейсбуком.

Ну и в конце ребята советуют не пользоваться никакими онлайн тренингами и покупать себе помощников. Пусть Вы включите их в свое дело, но не купите их знания.

Единственным источником информации должен исходить от Ваших партнеров по бизнесу, которые также как и Вы будут стремиться сделать его успешным, а не содрать с Вас денег.

Надеюсь данная идея была вам полезна.

Бесплатные консультации по бизнесу Вы можете получить в моей группе ВК «Новые бизнес-идеи и планы«.

Юрий Пахомов | 17.02.2020

В условиях ежегодного роста киберпреступности, когда посягательств на деньги, информацию и репутацию компаний становится все больше а методы злоумышленников все изощреннее, вопросы информационной безопасности обретают особую актуальность и остроту. При этом не уровень технических средств защиты, а именно человеческий фактор оказывается главной причиной успеха кибератак на информационные активы бизнеса.

8 февраля в рамках проведенной РАНХиГС конференции состоялась панельная дискуссия «Формула успеха ИБ в современном бизнесе». Опытом делились представители компаний, в которых проблемы информационной безопасности решаются наиболее успешноtal

Служба ИБ среди своих

Начав дискуссию, Евгений Акимов (Концерн «Калашников») сразу нащупал тему, ставшую одной из основных линий дальнейшего обсуждения. Речь пошла о так называемых «белых пятнах» в распределении корпоративной ответственности за информационную безопасность. Все собравшиеся эксперты сошлись на том, что обеспечение информационной безопасности — это сквозная функция, которую бессмысленно разбивать на кусочки и делить между ИБ и еще двумя-тремя подразделениями.

Мария Воронова (InfoWatch) поделилась информацией, что во многих глобальных корпорациях упраздняются специальные подразделения и службы ИБ, а функция информационной защиты начинает реализовываться в сквозных процедурах и процессах, охватывающих все подразделения и филиалы.

Евгений Акимов обратил внимание, что еще с конца 90-х в ИБ-сообществе хорошо известно ключевое положение Британского стандарта: ответственность за обеспечение информационной безопасности организации несет каждый ее сотрудник. За прошедшие 20 лет актуальность этого принципа только выросла. Почему?

Наиболее убедительный ответ дала Юлия Косова («Ростелеком-Solar») — ее компания собрала обширную статистику последнего года по стране. Сегодня более 70% сложных атак начинаются с фишингового письма, получив которое сотрудник делает неосторожный переход по сомнительной ссылке. Оказывается, доля сотрудников в организациях, совершающих такие неосмотрительные переходы, составляет 30%. Среднее время от начала атаки до взлома первого компьютера составляет 28 секунд, а получив контроль над одним компьютером, злоумышленники легко делают его точкой доступа как к администрированию информационной системы, так и к конфиденциальным данным. 49% вредоносного ПО устанавливаются через электронную почту. Подбор ключей доступа облегчает хакерам и то обстоятельство, что большинство сотрудников используют короткие и повторяющиеся в разных аккаунтах пароли. Исследование показало: каждый седьмой из сотрудников, не прошедших специальные учебные курсы, поддается на уловки социальной инженерии. При этом наиболее уязвимыми подразделениями оказались… юридические службы (каждый четвертый сотрудник). За ними следуют сотрудники бухгалтерии (каждый пятый) и, наконец, секретариат (каждый шестой).

В современных условиях перестают работать традиционные формы и способы работы служб ИБ, которых все еще придерживаются по инерции многие компании. И чем дальше — тем больше неэффективная организация ИБ будет ставить под вопрос само существование бизнеса. Участники обсуждения подробно раскрыли особенности организации информационной защиты в их компаниях. Приведем некоторые принципы эффективной работы службы ИБ в виде сравнительной таблицы.

Секреты ИБ-педагогики

Первый принцип успешной постановки ИБ: службы ИБ должны научиться говорить с сотрудниками на понятном для них языке. Терминология, которая доминирует в вузовских программах подготовки безопасников и переносится затем в кипы инструкций и регламентов для персонала не только малопонятна, но и отражает устаревшие, не отвечающие сегодняшнему дню принципы. Сегодня сотрудники, а уж тем более люди поколения Z, не будут выполнять правила, смысл которых им неясен. Необходимо разъяснять людям, каким конкретно видам характерных угроз и потерь подвергается бизнес, в котором они работают. Для банковской сферы первая мишень преступников — деньги клиентов, для высокотехнологичных производств — составляющие коммерческую тайну ноу-хау, для крупных B2C-компаний — базы персональных данных (с целью переманивания клиентов) и т. д. На конкретных примерах отрасли следует доносить смысл правил — «не открывать ссылки в письмах от неизвестных адресатов», «регулярно менять пароль доступа на рабочем месте», «распознавать подозрительные сайты», «защищать данные на персональных мобильных устройствах». В ходе обучения и инструктажа следует опираться на близкую людям конкретику: к каким последствиям приводили нарушения правил ИБ в случае кибератак, каков был размер ущерба и какую ответственность понесли нарушители.

Второй принцип — практический характер обучения. Для обретения прочных навыков информационной гигиены людям недостаточно ни лекционных курсов, ни убедительных примеров: необходимы регулярные тренинги, в результате которых правила безопасности на рабочем месте превращаются в доведенную до автоматизма привычку.

Третье, чем нужно заниматься постоянно — поддержание высокой мотивации людей. Ведущий дискуссию Олег Седов («Ростелеком-Solar») рассказал о случае, когда в одной из компаний все 30 сотрудников бухгалтерии прошли обучение по ИБ и успешно выдержали практические тесты. После этого в порядке «военной игры» была инсценирована фишинговая рассылка. Результат оказался шокирующим: с разосланных писем было совершено даже не 30 попыток перехода по ссылке, а… 500! Что произошло? Сотрудницы бухгалтерии, желая получить обещанную в письме праздничную скидку, пытались перейти по ссылке. Перейти не удавалось — и тогда они пересылали письмо подругам в надежде, что получится хотя бы у них. Стоит ли говорить о том, как изменилось отношение к правилам ИБ после разбора результатов этой игры?

Четвертое — постоянное обновление и обогащение учебных программ на основе вновь выявляемых видов атак. По данным центра мониторинга Solar JSOC, каждую неделю появляется 5-6 типов новых атак. Только служба ИБ, которая активно «варится» в профессиональном ИБ-сообществе, может оперативно отслеживать новые угрозы и тренды, может предлагать действительно актуальный материал для обучения. С этой точки зрения все меньше отвечает требованиям времени практика, когда поручения по ИБ-обучению спускаются руководителям подразделений или HR-службам, и те своими силами пытаются выполнить их. Линейные руководители, сотрудники HR-служб и тренинговых центров часто не понимают ни масштаба проблем ИБ, ни характерных для данной компании деталей и нюансов. Как правило, они и сами не мотивированы на повышение уровня ИБ просто в силу слабого знакомства с проблемой. Поэтому специалистов из служб ИБ необходимо привлекать на всех этапах обучения персонала, начиная с мотивирования на обучение — и заканчивая тестовыми проверками реагирования на фишинговые атаки.

Далеко не всегда у служб ИБ хватает ресурсов, чтобы самим возглавлять и реализовывать необходимые мероприятия с персоналом. Вместе с тем, специалисты по ИБ являются основным, а часто единственным источником знаний, за счет которых можно мотивировать и вовлекать в работу по ИБ руководство и персонал других подразделений. Поэтому инициатива со стороны ИБ-служб, неформальное общение по горизонтали, встречи, просвещение и вовлечение — единственный способ начать делать корпоративную ИБ-систему действительно современной и эффективной. Как сформулировал Евгений Акимов, сотрудники ИБ-служб должны научиться «ходить в народ». Если вы сами позитивно настроены и искренне заинтересованы в повышении ИБ компании — другие сотрудники обязательно вам поверят и вас поддержат.

ИБ и облачные сервисы

Иван Дмитриев (ИТ-холдинг TalentTech) поделился ценным опытом решения проблем ИБ при переходе компаний на облачные сервисы. При подключении к облакам корпоративная информация начинает путешествовать неисповедимыми путями, периметр защиты компании размывается. По его мнению, специалистам по ИБ следует с особым вниманием отнестись к точкам «стыковки» корпоративной информационной системы и облачного сервиса, где и возникает больше всего уязвимых звеньев. Многие проблемы безопасности становятся решаемыми, если с самого начала закладывать ИБ-требования в договор с провайдером облачных услуг. По опыту TalentTech, большинство провайдеров охотно идут на диалог с ИБ-службами заказчика и готовы брать на себя разумные обязательства. В части сроков уведомления о случившихся инцидентах и принятых мерах. В части предоставления отчетности о действиях сотрудников в информационной системе. И так далее, вплоть до обязательств по выявлению подозрительных аномалий в поведении информационных систем. Продолжая разговор об облаках, Михаил Козлов (независимый консультант) обратил внимание на опасности, которые могу возникать если компании, пользуясь хорошо защищенными платформами (Amazon, Microsoft, IBM и др.) вносят в облачные сервисы свои собственные доработки, не сопровождая их достаточно глубоким ИБ-анализом.

Служба ИБ перед лицом начальства

Мария Воронова заострила свое выступление на еще одной проблеме: как убедить бизнес вкладывать средства в ИБ? Все-таки многие бизнесмены и топ-менеджеры привычно ставят во главу угла прибыль и относятся к вложениям в ИБ с известной долей скепсиса. Пока инцидент не случился, вложения в ИБ вроде бы и не оправданы, а когда случился — меры ИБ не очень-то и пригодились.

Она поделилась развернутой методикой: как переводить задачи и потребности служб ИБ на язык предотвращения финансовых потерь. Как показать, какие деньги будет терять бизнес, как вследствие преступных посягательств, так и в результате взыскиваемых регулятором штрафов.

Вот некоторые метрики состояния ИБ, часть из которых можно переводить в суммы ущерба и планировать сокращение этих сумм на будущий период.

При составлении такого рода метрик и основанных на них планах компания может использовать собственную статистику инцидентов, финансовых потерь и упущенных выгод прежних отчетных периодов. А при отсутствии такой информации — использовать отраслевую статистику либо статистику близкой по профилю компании.

ИБ-лайфхаки

Иван Дмитриев поделился опытом проведения хакатона среди разработчиков компании. Специалисты по ИБ вмонтировали в продукт коллег всевозможные уязвимости и объяснили им, какие бывают виды атак. После этого в течение трех часов разработчики боролись за денежный приз, пытаясь найти все заложенные безопасниками «мины». В результате — не только нашли их, но и обнаружили немало ИБ-пробелов в своей собственной исходной разработке. Иван заметил также, людей хорошо мотивирует возможность переносить знания и полезные навыки информационной гигиены с рабочего места в повседневную жизнь. Как пример — осмысленное использование двухфакторной аутентификации в сервисах, так или иначе связанных с личными финансами.

Михаил Козлов подчеркнул, что устранение проблем ИБ после выхода продукта на рынок обходится на порядки дороже, чем прогнозирование и профилактика таких проблем на всем жизненном цикле разработки, от идеи продукта и до его финального тестирования. Продукт должен анализироваться на предмет возможных атак и с точки зрения различных ролей и моделей пользователя, и с точки зрения различных ролей злоумышленника. На практике при тестировании новых продуктов хорошо зарекомендовали себя системы поиска уязвимостей, разработанные Microsoft и Netflix и доступные на их облачных сервисах.

По мнению Евгения Акимова, PR-службы не всегда правильно и грамотно реагируют на публикуемые в СМИ факты инцидентов и утечек. Гораздо разумнее такая постановка дел, когда ИБ-специалисты совместно с PR-службой заранее заготавливают пресс-релизы и оговаривают порядок действий при наступлении наиболее распространенных инцидентов. Как правило, вбросы в СМИ и СММ делаются в пятницу вечером, когда все ушли домой. За выходные черный пиар разлетается по интернету, и к понедельнику дело уже сделано и реагировать поздно. Соответственно, в целях мониторинга инфополя и защиты репутации целесообразно организовывать дежурство в пятницу вечером.

Мария Воронова рассказала о том, на какие аргументы может опереться ИБ-руководитель, обращаясь к бизнесу за текущим финансированием. Это может выглядеть примерно так: «Есть похожая на нас компания Х, с похожими системами и сервисами — и на нее была серия атак. Ожидаем, что в ближайшие дни пойдут атаки и на нас. Давайте, не дожидаясь, примем такие-то меры, для которых потребуется такой-то бюджет».