Экспертный раздел
Кибергигиена руководителя: семь решений, которые принимаются один раз
Руководитель — самая ценная цель в компании: у него доступы, право подписи и авторитет, которым можно воспользоваться от его имени. Большая часть защиты — это несколько решений, принимаемых один раз.
Семь решений
- Двухфакторная аутентификация на почте и в мессенджерах — приложением или аппаратным ключом, а не кодом в SMS.
- Разные пароли для рабочих и личных сервисов, хранимые в менеджере паролей, а не в заметках телефона.
- Отдельный адрес для финансовых и юридических сервисов, не используемый в переписке и на сайтах.
- Правило второго канала: любая просьба о переводе денег или смене реквизитов подтверждается голосом по известному номеру.
- Резервная копия рабочих данных, которую вы хотя бы раз восстанавливали и проверяли.
- Пересмотр доступов после увольнений и смены ролей — по календарю, а не по памяти.
- Понимание, кому звонить в первые часы инцидента, — до того, как он случится.
Почему правило второго канала важнее антивируса
Самый распространённый сценарий финансовых потерь не требует взлома: достаточно письма или сообщения от имени руководителя с просьбой срочно оплатить счёт по новым реквизитам. Убедительность обеспечивается срочностью, иерархией и деталями, взятыми из открытых источников.
Против этого сценария техника почти бесполезна, а правило подтверждения по второму каналу — эффективно. Его нужно объявить заранее и распространить на самого руководителя: сотрудник должен иметь право перезвонить директору и уточнить.
Про личное и рабочее
Разделение личного и рабочего цифрового контура — не формальность. Компрометация личного аккаунта в социальной сети становится корпоративным инцидентом ровно тогда, когда через него доступна рабочая переписка или восстановление паролей.
Чего это не заменяет
Личная кибергигиена не заменяет управление информационными рисками в компании: политики, разграничение доступов, работу с подрядчиками и готовность к инциденту. Она лишь закрывает тот участок, который зависит лично от вас.
Источники
- Практика Бюро РМ по направлению «Информационная безопасность и киберриски». Материал носит общий информационный характер и не является технической рекомендацией под конкретную инфраструктуру.