Давно вже не було дописів про інформаційну безпеку. Поговорімо сьогодні саме про неї.

Принципової різниці в масштабі бізнесу немає: захист потрібен і стратегічному заводу, і середньому торговельному підприємству. Різниця лише у виборі інвестицій та інструментарію. А підхід до організації інформаційної безпеки стандартний.

Наприклад, на виробництві є промислова мережа, яку потрібно відокремити від офісної фаєрволами, демілітаризованою зоною та іншими технічними засобами. А в торговельному центрі виробничої мережі, найімовірніше, не буде — там лише периметр офісної корпоративної мережі.

Як ділитися даними з підрядниками й партнерами?

1. Класифікуйте інформацію, щоб розуміти, наскільки важливі ті чи інші дані для бізнесу. Потрібно визначити, де є:

комерційна таємниця, яку слід зберігати конфіденційною;

інформація для внутрішнього користування;

інформація, якою можна ділитися з усім світом.

2. Зрозумійте, якою інформацією ви маєте право ділитися з підрядником і якою інформацією він має право ділитися з нами.

Обсяг інформації потрібно обмежити принципом мінімальних привілеїв: обмінюватися лише тим, що необхідно для роботи за договором або проєктом.

3. Установіть контроль. Для кожного типу інформації потрібен відповідний контроль.

Наприклад, надавайте доступ до своєї хмари лише тим підрядникам, які мають право працювати над проєктом із цією інформацією. Налаштуйте контроль так, щоб усі дії підрядника (копіювання, завантаження, видалення) реєструвалися в системі — і щоб він про це знав.

4. Складіть угоду про нерозголошення й обговоріть відповідальність підрядника в разі порушення зобов’язань — аж до кримінального переслідування за порушення режиму комерційної таємниці.

5. Обговоріть, як підрядник захищатиме інформацію. Важливо розуміти рівень його зрілості у питаннях інформаційної безпеки. Переконайтеся, що:

його працівники знають правила роботи з вашою інформацією;

в організації є правила захисту інформації і компанія їх дотримується;

ви вчасно дізнаєтеся про звільнення працівника або його вихід із проєкту, щоб вимкнути йому доступ до інформаційної системи;

нового працівника належно навчать працювати з вашою інформацією та залучатимуть до робочих процесів.

І основне правило: перед підготовкою договору на проєкт із потенційним підрядником обговоріть усі питання інформаційної безпеки. А потім підпишіть базову угоду про нерозголошення.

До чого може призвести витік інформації

Новинні стрічки щодня рясніють показовими історіями. Навіть якщо прямих втрат немає, є репутаційні. І це не менш важливо.

У 2017 році спостерігався сплеск активності програм-вимагачів. Усі пам’ятають атаку «Поганого кролика» або Wanna Cry, від якої постраждав енергетичний сектор України, Росії та інших європейських країн. Наприклад, у великих міжнародних компаніях через зараження цим шифрувальником зупинилося багато IT-ресурсів, і наслідки цих атак досі впливають на бізнес.

І найголовніше. Кожен керівник бізнесу має запитати себе, що робитиме компанія, якщо:

не буде змоги обслуговувати клієнтів і підтримувати інші процеси;

IT-системи компанії стануть недоступними або інформація в них спотвориться;

план маркетингової кампанії чи рецепт нового продукту стане доступним конкурентам завчасно.

Кібербезпека впливає не лише на поточний стан, а й на розвиток бізнесу. Потрібно розуміти, що внаслідок кібератаки компанія може швидко втратити конкурентну перевагу.