Шел второй год «удаленки»: как справляемся с ИБ?

Компания ICL Services работает с отечественными и зарубежными заказчиками и уделяет критическое внимание усилению цифровой гигиены среди своих сотрудников. С марта 2020 года свыше 80% сотрудников работают в удаленном или гибридном формате, поэтому особенно важно, чтобы они знали и понимали общие и частные требования по обработке, хранению и передаче информации, а также специфические ИБ-требования, предъявляемые некоторыми заказчиками или партнерами. Сразу после трудоустройства сотрудники знакомятся с корпоративными требованиями ИБ. Все новые сотрудники, выбравшие удаленный формат работы, а также действующие коллеги, решившие перейти на удаленку, проходят этап оценки ИБ-рисков, в рамках которой анализируется уровень безопасности удаленного рабочего места, а также план действий сотрудников в случае непредвиденных ситуаций.

Все сотрудники ICL Services вне зависимости от должности, стажа и формата работы обязаны соблюдать следующие правила:

1. 1) оповещать о фишинговых рассылках и ИБ-инцидентах максимально быстро;

2) обеспечивать защиту информации по букве закона;
3) получать допуск к конфиденциальной информации и корпоративным устройствам строго в соответствии с производственной необходимостью;
5) вовремя сообщать заказчику об инцидентах непрерывности бизнеса;
6) уничтожать конфиденциальные документы без возможности восстановления;
7) не ремонтировать корпоративное оборудование самостоятельно;
8) в случае утери/кражи устройств, содержащих конфиденциальную информацию, необходимо сразу же обратиться в заинтересованные службы;
9) во избежание утечки информации, хранящейся на рабочих столах или физических носителях, расположенных на открытых поверхностях как в офисе, так и вовне его следовать политике чистого стола и чистого экрана.

В компании ICL Services введена практика проведения мероприятий, на которых каждому члену команды объясняются важность и необходимость соблюдения ИБ-требований, которые сводятся к обеспечению конфиденциальности, целостности и доступности данных. На таких активностях разбираются практические ИБ-инциденты из бэкграунда компании либо внешние инциденты, которые получили широкую огласку (к примеру, сценарий 9 эпизода Звездных войн, выложенный на eBay; конфликт между Рамблер и разработчиком Nginx).

Одно из внутренних ИБ-мероприятий — Security Induction — проводится в обязательном порядке для всех сотрудников в рамках их испытательного срока. Слушатели Security Induction сами выявляют связь кейсов с ИБ-правилами, формулируют варианты решений. Это позволяет понять на практике требования политик компании в области ИБ и соотнести их со своим функционалом. Отвечая на следующие на вопросы «как правильно уничтожать конфиденциальную информацию», «почему важно передавать информацию по защищенным каналам», «как информация о партнерах, ставшая известной третьим лицам, может нанести ущерб заинтересованным сторонам» и другие, сотрудник сам для себя выстраивает причинно-следственные связи. По окончании мероприятия участникам делается рассылка с полезными ссылками на корпоративные ресурсы информационного характера с запросом обратной связи, которая помогает обновлять и улучшать содержание мероприятия, что впоследствии позитивно сказывается на его эффективности.

В связи с переходом на массовую удаленную работу проведение Security Induction претерпело некоторые изменения. Во-первых, основной вектор обучения был дополнен вопросом «Почему необходимо соблюдать ИБ-правила на удаленной работе?» с акцентом на то, что ИБ компании — это задача всех сотрудников без исключения. Во-вторых, мероприятие сменило формат проведения. Если раньше очная встреча была ограничена вместимостью переговорной комнаты, то сейчас мероприятие проводится в формате вебинара, охватывает больше людей и позволяет подключаться удобными для сотрудников способами (ПК, смартфон и т.д.). В рамках онлайн обучения проводится интерактивы с сотрудниками: опросы, обсуждения, сторителлинг от участников и другие. В целях повышения вовлеченности онлайн слушателей материалы Security Induction были переработаны: в контент презентации добавились мемы и видеоролики, что особенно хорошо воспринимается в условиях всеобщего слайдового, по преимуществу визуального, восприятия информации.

 Новый сотрудник также проходит курсы по ИБ, знакомится с правилами пропускного режима, аттестуется по знанию Политик паролей и взаимодействия со СМИ, по работе с конфиденциальной информацией, по соглашению о конфиденциальности и обходным решениям.

Пройдя все эти этапы, к окончанию испытательного срока сотрудник уже сможет полноценно включаться в рабочие процессы и обнаруживать потенциальные ИБ-инциденты как в рабочих вопросах, так и в повседневной жизни. А заказчики, в свою очередь, могут быть уверены, что с их информацией работают компетентные в области ИБ специалисты.