Безопасность свободных мессенджеров — вопрос спорный. Например, облачные чаты Telegram фактически не защищены шифрованием. Для большинства личных переписок это не слишком критично. Среднестатистический пользователь вряд ли об этом даже задумывается. Совсем другое дело, когда речь идет о рабочих вопросах.
При этом отсутствие шифрования — далеко не единственная проблема в корпоративном сегменте. Свободные мессенджеры не позволяют администрировать сотрудников, настраивать разные уровни доступа к данным, мониторить действия пользователей. Все это — потенциальные каналы утечки данных.
Вот несколько кейсов из практики разных команд.
Кейс 1. Компания уволила сотрудника, с которым было много взаимных претензий. Его удалили из свежих чатов, но забыли убрать из старых групп. Обиженный сотрудник скачал таблицу с контактами клиентов и продал ее конкурентам. Компания потеряла серьезную часть выручки.
Кейс 2. Один из сотрудников компании получил несколько голосовых от руководителя — он просил пообщаться с представителем налоговой и сообщить ему все необходимые данные по запросу. Также руководитель попросил никому не сообщать об этом разговоре, потому что у компании возникли серьезные проблемы и важно было не наводить панику. Во время разговора представитель налоговой запросил у сотрудника данные для входа в его учетки и таким образом получил доступ к конфиденциальной корпоративной информации.
В дальнейшем оказалось, что руководитель подобных распоряжений не давал. Мошенники создали новый аккаунт с его именем и фамилией, подделали голос для голосовых с помощью ИИ и без труда получили все, что им нужно. Это пример мошеннической схемы Fake boss, которая сейчас набирает обороты.
Кейс 3. Сотрудник компании получил сообщение с «подарком» — премиум-подпиской Telegram на полгода. Чтобы получить «подарок», он перешел по ссылке, которая оказалась фишинговой, и ввел свои личные данные. Мошенники увели аккаунт и получили доступ ко всем его чатам, включая корпоративные, которые содержали конфиденциальную информацию.
Это лишь малая часть тех ситуаций, с которыми регулярно сталкиваются компании разных масштабов. Поэтому подход к защите данных должен быть комплексным и максимально ответственным.
Это базовый критерий, без которого большинство российских компаний даже не рассматривают внедрение сервиса. Преимущества on-premise — это физический контроль данных, а также интеграция в существующую инфраструктуру безопасности.
Выделенный контур для внешних пользователей
Благодаря выделенному контуру, в мессенджер можно приглашать пользователей со статусом «гость». Возможности гостей внутри рабочего пространства сильно ограничены. Они могут вести переписку только в тех чатах, в которые их пригласил администратор.
Приглашенные пользователи не могут создавать чаты и группы, менять настройки чатов, инициировать звонки, если не состоят с другими пользователями в переписке. Также они не видят других участников рабочего пространства (вне доступных чатов). Это удобно тем, что гости никак не могут получить доступ к конфиденциальной информации компании или даже завести диалог с кем-то, кого нет в доступных чатах.
Гибкие настройки приватности и безопасности в рабочем пространстве
Для штатных сотрудников тоже нужны гибкие настройки. Важно разграничивать доступы пользователей к данным. Например, чтобы финансовые документы были доступны только руководителям и бухгалтерам, а юридические — руководителям и юристам. Благодаря гибким настройкам, все участники команды получают доступ к нужной информации, но не могут увидеть или скачать то, что находится за пределами их рабочих задач.
Дистанционное удаление данных на устройстве по команде с сервера
В первом кейсе мы говорили о том, что уволенный сотрудник сохранил доступ к отдельным чатам компании — и это стало проблемой. Но дистанционный разлогин, а также возможность удалить все данные с устройства через сервер решают этот вопрос. Такие функции полезны не только при увольнениях, но и в случае кражи, потери устройства.
Push-уведомления без демонстрации контента
Безопасные уведомления не отражают текст сообщения, поэтому третьи лица не смогут подсмотреть конфиденциальную информацию со стороны. А еще содержание сообщений не попадает к Apple или Google через push-сервисы, но это другая история.
Многофакторная аутентификация
Надежный вариант — это трехступенчатая авторизация. В таком случае вход может осуществляться по телефону, почте и каталогу Active Directory.
Поскольку многоступенчатая авторизация включает верификацию по корпоративному каталогу, риски того, что посторонние люди получат доступ к данным, в этом случае минимальны.
Контроль безопасности устройств, с которых подключаются сотрудники
Если корпоративный мессенджер, установленный на смартфоне пользователя, обнаруживает jailbreak или root, он блокирует доступ сторонних приложений к данным мессенджера и тут же сообщает об этом администратору.
Безопасное приложение изначально защищено от вредоносных программ, которые могут быть установлены (намеренно или случайно) пользователем.
Постоянные аудиты безопасности
В этом смысле выигрывают корпоративные мессенджеры с открытым исходным кодом на GitHub. Его регулярно проверяют на уязвимости независимые эксперты, что позволяет вовремя исправлять проблемы, связанные с безопасностью.
Среди известных российских продуктов с высоким уровнем безопасности можно выделить мессенджер Compass и VK Teams.
Один из ярких кейсов — это история с Electronic Arts, которая произошла несколько лет назад. Хакеры смогли проникнуть внутрь защищенного периметра, а затем скачать исходные коды движка Frostbite и новой FIFA 21. За полученную информацию в даркнете они запросили десятки миллионов долларов. А вот на взлом потратили всего десять. Не миллионов — просто долларов. Помимо технических решений, хакерам помогла и социальная инженерия. Чтобы получить у поддержки токены для аутентификации, мошенники сделали запрос от реального сотрудника и рассказали банальную историю о потерянном телефоне.
Человеческий фактор, который позволяет процветать социальной инженерии, — это то, что всегда нужно учитывать. Даже если выбрать самый защищенный мессенджер, это еще не закроет все вопросы, поэтому нужно принимать и другие меры.
Регулярное обучение сотрудников
Тренинги, посвященные противодействию социальной инженерии и фишингу, — это обязательная составляющая ИБ. Огромное количество данных сливается мошенникам по той причине, что сотрудники поддаются психологическим манипуляциям — например, высылают данные для входа в свои учетные записи третьим лицам.
Чтобы снизить риски, важно постоянно обучать команду, а затем проверять, насколько каждый из сотрудников усвоил материал.
DLP-система
Это набор инструментов и методов, которые позволяют бороться с утечками данных со стороны сотрудников. Специальное ПО мониторит и контролирует действия пользователей, фильтрует потоки информации, отслеживает перемещение данных. Если какие-то действия кажутся системе подозрительными, она отправляет соответствующий сигнал ответственному лицу или блокирует операцию.
Приведем пример: компания увольняет сотрудника, а за несколько дней до этого закрывает ему доступ к основным каналам утечки данных. При этом сам сотрудник попадает в группу риска, то есть находится под особым контролем службы безопасности. Не имея доступа к учеткам, сотрудник может сделать только одно — отправить сохраненные на компьютере документы на печать. Если он это делает, служба безопасности тут же получает соответствующий сигнал и может предотвратить кражу информации.
Центр реагирования на угрозы ИБ
Средним и большим командам важно держать в штате своих специалистов по информационной безопасности. Они будут подбирать необходимое ПО, отслеживать подозрительную активность пользователей, обучать команду, а также регулярно проводить проверки.
О решениях, которые перекрывают пути даже самым изворотливым инсайдерам – в следующей статье.
При этом отсутствие шифрования — далеко не единственная проблема в корпоративном сегменте. Свободные мессенджеры не позволяют администрировать сотрудников, настраивать разные уровни доступа к данным, мониторить действия пользователей. Все это — потенциальные каналы утечки данных.
Как утекают данные через общедоступные мессенджеры
Вариантов того, как может произойти утечка, масса. Понятно, что при отсутствии надежного шифрования получить доступ к информации можно и через сервер. Но чаще обычный пользователь может с большей вероятностью стать причиной утечки.Вот несколько кейсов из практики разных команд.
Кейс 1. Компания уволила сотрудника, с которым было много взаимных претензий. Его удалили из свежих чатов, но забыли убрать из старых групп. Обиженный сотрудник скачал таблицу с контактами клиентов и продал ее конкурентам. Компания потеряла серьезную часть выручки.
Кейс 2. Один из сотрудников компании получил несколько голосовых от руководителя — он просил пообщаться с представителем налоговой и сообщить ему все необходимые данные по запросу. Также руководитель попросил никому не сообщать об этом разговоре, потому что у компании возникли серьезные проблемы и важно было не наводить панику. Во время разговора представитель налоговой запросил у сотрудника данные для входа в его учетки и таким образом получил доступ к конфиденциальной корпоративной информации.
В дальнейшем оказалось, что руководитель подобных распоряжений не давал. Мошенники создали новый аккаунт с его именем и фамилией, подделали голос для голосовых с помощью ИИ и без труда получили все, что им нужно. Это пример мошеннической схемы Fake boss, которая сейчас набирает обороты.
Кейс 3. Сотрудник компании получил сообщение с «подарком» — премиум-подпиской Telegram на полгода. Чтобы получить «подарок», он перешел по ссылке, которая оказалась фишинговой, и ввел свои личные данные. Мошенники увели аккаунт и получили доступ ко всем его чатам, включая корпоративные, которые содержали конфиденциальную информацию.
Это лишь малая часть тех ситуаций, с которыми регулярно сталкиваются компании разных масштабов. Поэтому подход к защите данных должен быть комплексным и максимально ответственным.
Какие функции требует бизнес
On-premiseЭто базовый критерий, без которого большинство российских компаний даже не рассматривают внедрение сервиса. Преимущества on-premise — это физический контроль данных, а также интеграция в существующую инфраструктуру безопасности.
Выделенный контур для внешних пользователей
Благодаря выделенному контуру, в мессенджер можно приглашать пользователей со статусом «гость». Возможности гостей внутри рабочего пространства сильно ограничены. Они могут вести переписку только в тех чатах, в которые их пригласил администратор.
Приглашенные пользователи не могут создавать чаты и группы, менять настройки чатов, инициировать звонки, если не состоят с другими пользователями в переписке. Также они не видят других участников рабочего пространства (вне доступных чатов). Это удобно тем, что гости никак не могут получить доступ к конфиденциальной информации компании или даже завести диалог с кем-то, кого нет в доступных чатах.
Гибкие настройки приватности и безопасности в рабочем пространстве
Для штатных сотрудников тоже нужны гибкие настройки. Важно разграничивать доступы пользователей к данным. Например, чтобы финансовые документы были доступны только руководителям и бухгалтерам, а юридические — руководителям и юристам. Благодаря гибким настройкам, все участники команды получают доступ к нужной информации, но не могут увидеть или скачать то, что находится за пределами их рабочих задач.
Дистанционное удаление данных на устройстве по команде с сервера
В первом кейсе мы говорили о том, что уволенный сотрудник сохранил доступ к отдельным чатам компании — и это стало проблемой. Но дистанционный разлогин, а также возможность удалить все данные с устройства через сервер решают этот вопрос. Такие функции полезны не только при увольнениях, но и в случае кражи, потери устройства.
Push-уведомления без демонстрации контента
Безопасные уведомления не отражают текст сообщения, поэтому третьи лица не смогут подсмотреть конфиденциальную информацию со стороны. А еще содержание сообщений не попадает к Apple или Google через push-сервисы, но это другая история.
Многофакторная аутентификация
Надежный вариант — это трехступенчатая авторизация. В таком случае вход может осуществляться по телефону, почте и каталогу Active Directory.
Поскольку многоступенчатая авторизация включает верификацию по корпоративному каталогу, риски того, что посторонние люди получат доступ к данным, в этом случае минимальны.
Контроль безопасности устройств, с которых подключаются сотрудники
Если корпоративный мессенджер, установленный на смартфоне пользователя, обнаруживает jailbreak или root, он блокирует доступ сторонних приложений к данным мессенджера и тут же сообщает об этом администратору.
Безопасное приложение изначально защищено от вредоносных программ, которые могут быть установлены (намеренно или случайно) пользователем.
Постоянные аудиты безопасности
В этом смысле выигрывают корпоративные мессенджеры с открытым исходным кодом на GitHub. Его регулярно проверяют на уязвимости независимые эксперты, что позволяет вовремя исправлять проблемы, связанные с безопасностью.
Среди известных российских продуктов с высоким уровнем безопасности можно выделить мессенджер Compass и VK Teams.
За пределами мессенджера: как укрепить самый хрупкий слой безопасности
Технические решения, связанные с работой корпоративного мессенджера, — это далеко не все, что нужно для поддержания безопасности. За пределами приложения много каналов, по которым сотрудники могут передавать данные друг другу и третьим лицам.Один из ярких кейсов — это история с Electronic Arts, которая произошла несколько лет назад. Хакеры смогли проникнуть внутрь защищенного периметра, а затем скачать исходные коды движка Frostbite и новой FIFA 21. За полученную информацию в даркнете они запросили десятки миллионов долларов. А вот на взлом потратили всего десять. Не миллионов — просто долларов. Помимо технических решений, хакерам помогла и социальная инженерия. Чтобы получить у поддержки токены для аутентификации, мошенники сделали запрос от реального сотрудника и рассказали банальную историю о потерянном телефоне.
Человеческий фактор, который позволяет процветать социальной инженерии, — это то, что всегда нужно учитывать. Даже если выбрать самый защищенный мессенджер, это еще не закроет все вопросы, поэтому нужно принимать и другие меры.
Регулярное обучение сотрудников
Тренинги, посвященные противодействию социальной инженерии и фишингу, — это обязательная составляющая ИБ. Огромное количество данных сливается мошенникам по той причине, что сотрудники поддаются психологическим манипуляциям — например, высылают данные для входа в свои учетные записи третьим лицам.
Чтобы снизить риски, важно постоянно обучать команду, а затем проверять, насколько каждый из сотрудников усвоил материал.
DLP-система
Это набор инструментов и методов, которые позволяют бороться с утечками данных со стороны сотрудников. Специальное ПО мониторит и контролирует действия пользователей, фильтрует потоки информации, отслеживает перемещение данных. Если какие-то действия кажутся системе подозрительными, она отправляет соответствующий сигнал ответственному лицу или блокирует операцию.
Приведем пример: компания увольняет сотрудника, а за несколько дней до этого закрывает ему доступ к основным каналам утечки данных. При этом сам сотрудник попадает в группу риска, то есть находится под особым контролем службы безопасности. Не имея доступа к учеткам, сотрудник может сделать только одно — отправить сохраненные на компьютере документы на печать. Если он это делает, служба безопасности тут же получает соответствующий сигнал и может предотвратить кражу информации.
Центр реагирования на угрозы ИБ
Средним и большим командам важно держать в штате своих специалистов по информационной безопасности. Они будут подбирать необходимое ПО, отслеживать подозрительную активность пользователей, обучать команду, а также регулярно проводить проверки.
На самом деле ни одна программа на сто процентов не защитит от сотрудника, который твердо решил, что украдет и сольет данные. Описанное выше – помогает защититься "от дурака" и предотвратить ненамеренные утечки.О решениях, которые перекрывают пути даже самым изворотливым инсайдерам – в следующей статье.