4.3. Безопасность и эффективность: как разрешать противоречие?
Кейс
А сейчас настало время для последнего кейса.
Вопрос
Дарья, ведущий менеджер отдела обслуживания привилегированных клиентов, собирается в отпуск, но не успела завершить некоторые рабочие дела. Она собирается вынести данные из базы клиентов на флешке, чтобы закончить работу в отпуске. Опасно ли это для информационной безопасности компании, в которой работает Дарья?
Выберите один вариант ответа.

Вы правы!

Вне корпоративной сети банка данные будут намного хуже защищены. Флешку легко потерять, а человек, случайно нашедший ее, может по имени файла догадаться, что за ценность попала к нему в руки, и продать данные мошенникам. Работая с личного компьютера без антивируса, Дарья легко может «подцепить» вредоносное ПО, которое способно «обнаружить» и украсть ценный файл.

Не совсем так.

Вне корпоративной сети банка данные будут намного хуже защищены. Флешку легко потерять, а человек, случайно нашедший ее, может по имени файла догадаться, что за ценность попала к нему в руки, и продать данные мошенникам. Работая с личного компьютера без антивируса, Дарья легко может «подцепить» вредоносное ПО, которое способно «обнаружить» и украсть ценный файл.

Однажды сотрудник сохранил у себя данные клиентов и часть документации, которая содержит коммерческую тайну, и раскрыл эти данные третьим лицам. От незаконных действий пострадали крупные торговые компании и промышленные предприятия Кузбасса. Летом 2020 года злоумышленник был осужден кемеровским судом. И это только история об одной из сотен утечек данных, которые происходят каждый год.
Прежде чем разрешить Дарье взять этот файл в отпуск, ее руководитель мог бы задать вопросы:
Можно ли Дарье доверять? Она ответственный, аккуратный сотрудник?
Естественна ли просьба Дарьи, всегда ли она работает с такими данными? Насколько они конфиденциальны? Разрешено ли такое действие политикой ИБ?
Действительно ли эту работу надо любой ценой сделать в срок?
Дарья могла бы рассудить так:
«Понимаю ли я, что собираюсь сделать и какую ценность представляет информация? Осознаю ли я возможные опасности?»
01
«Разрешено ли такое действие политикой безопасности компании? Готова ли я к возможным последствиям?»
02
«Кто владеет этой информацией, у кого стоит спросить разрешения?»
03
Сравните два запроса в службу ИБ от сотрудников. Сотрудницы — Мария и Дарья — хотят постоянно быть на связи: одна с кандидатами, другая — с клиентами, даже когда они не работают за компьютерами. У обеих есть смартфон, и обе хотят начать использовать его для работы.
Мария просит «разрешить» без объяснения, какая бизнес-цель преследуется. А Дарья обозначает бизнес-цель и просит предложить наиболее безопасное средство ее достижения.

Если вы хотите наиболее безопасно достичь бизнес-цели, общение со службой ИБ из «торговли за разрешения» перейдет в сотрудничество. Ответственные за ИБ наверняка будут признательны за то, что вы просите совета, и постараются помочь.
Назад