Смартсорсинг.ру

Сообщество руководителей ИТ-компаний, ИТ-подразделений и сервисных центров

Статьи в блогах Вопросы и ответы Темы в лентах Пользователи Компании Лента заказов Курс по ITSM

Самые распространенные промахи в области безопасности

Самые распространенные промахи в области безопасности

В век информационной революции технологии обработки данных стремительно развиваются, а сложность информационных систем возрастает с каждой минутой. Тем не менее, многие администраторы оценивают текущее состояние информационной безопасности своих компаний как «достаточно хорошее» и игнорируют реальные угрозы безопасности. Вот 10 наиболее часто встречающихся ошибок в области информационной безопасности, которые допускают администраторы:

1. Слабые пароли. Начиная с учетных записей пользователей ОС и заканчивая веб-аккаунтами, слабые пароли являются одной из серьезнейших, но и самой простой проблемой информационной безопасности. Нужно решить этот вопрос раз и навсегда. Продумайте политику паролей, применяйте ее на практике и периодически проверяйте ее стойкость.

2. Переоценка политики безопасности. Политика информационной безопасности позволяет чувствовать себя защищенным даже в случае, если что-то пойдет не так. Но, к сожалению, многие останавливаются на этапе документирования этой политики. Необходимо убедиться, что все сотрудники знают руководящие принципы, правила, процедуры и практические приемы в области безопасности и следуют им.

3. Зависимость от технологий. Технологии — не панацея. Брандмауэры, антивирусы и шифрование — это только один из элементов архитектуры информационной безопасности, в которую также входят сотрудники и информационные процессы. Без них невозможно реализовать все преимущества технологий, если они вообще будут работать.

4. Подключение к случайным точкам доступа WiFi. Мы привыкли к беспроводной передаче данных. Многие не задумываясь подключаются к случайным (и незащищенным) беспроводным сетям, просто потому что им нужно сделать свою работу. Но это не может служить оправданием. Кто-то может злонамеренно попытаться перехватить ваши учетные данные через общедоступное беспроводное соединение.

5. Отказ от шифрования жестких дисков. Простое шифрование жесткого диска рабочей станции могло бы помочь компании избежать многих рисков. Однако, учитывая стоимость высокопроизводительного полнодискового шифрования данных, многие администраторы — особенно в сфере малого и среднего бизнеса — не делают этого.

6. Делегирование ответственности конечным пользователям. Все чаще ответственность за обновление ПО, резервное копирование данных и антивирусную защиту ложится на плечи пользователей. Но рядовые сотрудники и другие пользователи сети не должны нести ответственность за безопасность. Конечно, они могут оказать вам посильную помощь, но контроль и поддержание информационных процессов должны обеспечиваться специалистами.

7. Игнорирование патчей. Как правило, и на рабочих станциях, и на серверах не всегда устанавливаются все обновления. Часто администраторы просто не знают о конкретных хост-компьютерах в своей сети или же система управления обновлениями не работает должным образом. Отсутствие обновлений ОС и патчей для приложений может нарушить нормальную работу как отдельных компьютеров, так и всей сети.

8. Занижение опасности потенциальных угроз. Многие администраторы просто не хотят признать, что их сеть действительно в опасности. Поэтому при проведении аудита безопасности, они, как правило, ограничиваются лишь формальной проверкой, не углубляясь в детали. Эту проблему усиливает мнение отдельных администраторов, что «удовлетворительное состояние» означает безопасное. Это не так, никогда так не было и не будет.

9. Ожидание, что угроза будет заметна. Благодаря тому, что СМИ и Голливуд несколько романтизировали хакерские атаки и утечку данных, администраторы ждут, что подобные инциденты будут очевидны. В реальности все наоборот. Отсутствие очевидных угроз вовсе не означает, что их нет вообще. Будьте осторожны, не обманывайте себя.

10. Отсутствие баланса между безопасностью и удобством. Одним из основополагающих принципов информационной безопасности является сочетание безопасности и удобства пользователей. Тем не менее, намеренно или случайно, меры безопасности часто мешают работе пользователей, которые начинают искать способы обойти их. И пароли, записанные на стикерах — это не самое страшное.

Не смотря на то, что эти ошибки общеизвестны, их продолжают игнорировать, так что рекомендуем устранить слабые места в системе безопасности прежде, чем они создадут вам настоящую проблему. У каждого есть право выбора, так используйте его с умом, и тогда все у вас будет хорошо.

По материалам searchenterprisedesktop.techtarget.com

Дополнительные материалы

Комментарии (6)

  • Аватар

    Ланцев Андрей [Sansey], 27 января 2012, 17:07

    1
    Ну да. Было бы это еще на практике так прекрасно как хочется:)) Единая политика паролей имеется, но есть же и исключения. Там где паролями ведаем мы - там все хорошо. А вот там где паролями ведают юзеры не очень. Есть у нас клиент, у него удаленный офис в другом городе. В этом офисе точка доступа вай-фай. Для гостей, как выразился клиент. Т.е. периодически приезжают всякие дяди-тети, партнеры клиента, из других городов и т.д. И им надо срочно подключаться к сети. Если мы им поставим наш внутренний сложный пароль, то они его хрен когда введут, не говоря уже о том, чтобы запомнить. Поставили послабее. Начались звонки - мы не можем подключиться и т.д. или типа, человек который помнит пароль на обед ушел, а нам вот прямо срочно надо:) Поставили еще послабее - тоже самое. Ну и в итоге у них теперь пароль на вай-фай 12345678:)) Все довольны:) Заходи кто хочет, бери что хочешь... И вот как тут быть?
    • Аватар

      Юсов Алексей [alexus], 28 января 2012, 19:53

      1

      Сделать 2 файфая - внутренний и публичный. Публичный желательно на отдельный канал тырнета посадить, ну или хотя бы Vlan настроить.

  • Аватар

    Яковлев Андрей Михайлович [swtws], 27 января 2012, 20:32

    0
    1. У корпоративных клиентов либо нету, либо пофиг
    2. Речь идет об отсутствии политики.
    3.???
    4. Господа не знают, что такое DirectAccess?
    5. Бред сивой кобылы - шифрование увеличивает риск утери данных.
    6. Такое бывает только у микробизнеса.
    7. Есть такая буква у некоторых лиц устаревшего образца.
    8. "Хакеры взломали..." это газетный заголовок, а не жизнь.
    9. В фильмах они как раз не заметны в завязке. На практике скорее заметны, чем нет. Админы не причем - видит бизнес.
    10. Основная задача ИБ - соблюдение принципа "разумной достаточности" - меры по защите информационных ативов не должны быть дороже самих активов.

    Где такие забавные статьи еще печатают кроме указанного источника? Могу сказать точно - дилетанты. 
    • Аватар

      Юсов Алексей [alexus], 28 января 2012, 20:01

      0
      Кстати в оригинале речь идет о desktop-администраторах. Вполне возможно, что они не знают ничего о политиках и прочих нюансах ИБ. Но в общем, да, совсем лажа какая-то. Хотя регалии автора впечатляют на первый взгляд :-)
      • Аватар

        Тиманина Ольга [white_helga], 31 января 2012, 11:58

        1
        Зря Вы так о desktop-админах... даже администрируя компы в рабочих группах можно настроить локальные политики безопасности и учесть многие нюансы ИБ. Тут все зависит от квалификации и желании учиться, если не хватает навыков
        • Аватар

          Юсов Алексей [alexus], 31 января 2012, 16:26

          0
          Речь идет о "западных" админах. Наши админы очень сильно отличаются от "ихних". А западным специалистам в силу особенностей вообще западного образования присуща некоторая зашоренность. Я просто пытался представить себе целевую аудиторию с учетом специфики статьи.