सूचना सुरक्षा के सिद्धांतों की अनदेखी छूट नहीं देती है

अनपढ़ कर्मचारी कंपनी के लिए खतरनाक हैं। वे ऐसे जलाऊ लकड़ी को तोड़ सकते हैं कि उन्हें गाड़ियों से निकालना होगा। यह किसी भी उद्योग और स्थिति और सूचना सुरक्षा के लिए सही है। यह पूरी तरह से लागू होता है: घर से लाए गए एक अनुलग्नक या एक संक्रमित फ्लैश ड्राइव पर क्लिक करना - जो कि, एक रैंसमवेयर रैंसमवेयर कंपनी के नेटवर्क में प्रवेश करता है, काम को बाधित करता है, आईटी विभाग अप-टू-डेट बैकअप को पुनर्स्थापित करने के लिए खोज करता है। कंप्यूटर वायरस द्वारा एन्क्रिप्टेड डिस्क, और खोजक डाउनटाइम नुकसान की गणना करता है।

इसके अलावा, जाने-माने Dunning-Krueger प्रभाव के अनुसार, अनपढ़ कर्मचारी आत्मविश्वास से भरे हुए हैं कि वे सब कुछ सही कर रहे हैं या कम से कम, कुछ भी भयानक नहीं कर रहे हैं। और यह ठीक वही है जो अक्सर विनाशकारी परिणामों की ओर जाता है।

वास्तव में, लगभग कोई भी सुरक्षा प्रणाली बेकार है यदि कर्मचारी कम से कम सूचना सुरक्षा की मूल बातें नहीं रखते हैं। ऐसे कर्मचारी आपकी कंपनी के कंप्यूटर सिस्टम में मुख्य कमजोरियां बन जाते हैं।

इस स्थिति को समझते हुए, साइबर अपराधी तेजी से पीड़ित कंपनियों को अपने हमलों के लिए भेद्यता के रूप में उपयोग करते हैं। कॉर्पोरेट नेटवर्क में भेद्यता खोजने की तुलना में मानव निरक्षरता का उपयोग करना बहुत आसान है। एक कर्मचारी की भी सूचना सुरक्षा निरक्षरता के कारण, एक संगठन पैसे, डेटा और प्रतिष्ठा खोने, कानूनी दावे प्राप्त करने, या उपकरण खोने का जोखिम चलाता है।

ट्रेंड माइक्रो विशेषज्ञों ने उन प्रकार के हमलों के बारे में बात की जो कर्मचारियों का सामना करते हैं: समझौता करने वाले उपकरण, फ़िशिंग और दुर्भावनापूर्ण स्मृति चिन्ह।

डिवाइस समझौता

कंपनी में काम करने के लिए अपने खुद के गैजेट्स और लैपटॉप (लाओ योर ओन डिवाइस, बायोड) का उपयोग करना एक फैशनेबल चलन है, खासकर स्टार्टअप्स के बीच। ऐसा लगता है कि प्रक्रिया का ऐसा संगठन विन-विन सिद्धांत का अवतार है: कंपनी को कार्यस्थल की खरीद और रखरखाव पर पैसा खर्च नहीं करना पड़ता है, और कर्मचारी एक लैपटॉप पर काम करता है जिसे उसने खुद चुना और कॉन्फ़िगर किया है। यदि वह घर पर काम करना चाहता है, तो उसे काम की फाइलों की नकल नहीं करनी होगी, और कॉर्पोरेट सिस्टम तक पहुंच पहले से ही कॉन्फ़िगर की गई है। डिवाइस खरीदने की लागत दूर से सोने या यहां तक ​​कि घर पर रहने की क्षमता से ऑफसेट है, दूर से काम कर रहा है।

सूचना सुरक्षा के दृष्टिकोण से, काम और घर के कार्यों को सुलझाने के लिए एक उपकरण का उपयोग गंभीर जोखिमों का एक स्रोत है, खासकर अगर कर्मचारी सूचना सुरक्षा की मूल बातें सीखने में बहुत मेहनती नहीं है।

व्यस्त दिन के बाद, मैं विचलित होना चाहता हूं। मूवी और संगीत डाउनलोड करने, गेम या पायरेटेड प्रोग्राम खोजने से कंप्यूटर पर कुछ हानिकारक हो सकता है। और फिर, जब एक कॉर्पोरेट नेटवर्क से जुड़ा होता है, तो कंपनी के सभी डेटा से समझौता किया जाएगा।

यदि आप एक कैफे में भाग लेते हैं और एक कप कॉफी के लिए रिपोर्ट खत्म करने के लिए सार्वजनिक वाई-फाई के माध्यम से कॉर्पोरेट नेटवर्क से जुड़ते हैं, तो क्रेडेंशियल्स को बाधित किया जा सकता है और गोपनीय जानकारी चोरी करने के लिए उपयोग किया जा सकता है। और एक लैपटॉप या टैबलेट चोरी या घर से कार्यालय तक ले जाया जा सकता है। लैपटॉप के साथ मिलकर, उस पर मौजूद डेटा भी लीक हो जाएगा।

कई चेहरे फिशिंग करते हैं

स्टेशनरी कंप्यूटर के रूप में एक वर्कफ़्लो के आयोजन का पारंपरिक तरीका BYOD के लिए विशिष्ट रूप से जोखिमों को आंशिक रूप से दूर करता है, लेकिन इस मामले में भी, सूचना साक्षरता का एक अपर्याप्त स्तर एक संगठन के लिए घातक बन सकता है। सभी कर्मचारी ई-मेल का उपयोग करते हैं, जिसका अर्थ है कि वे फ़िशिंग के संभावित शिकार हैं - फर्जी ईमेल डिलीवरी सेवाओं, ठेकेदारों, तकनीकी सहायता या प्रबंधन से ईमेल के रूप में प्रच्छन्न।

फ़िशिंग का उपयोग करते हुए, साइबर क्रिमिनल पीड़ित को पत्र से जुड़े मैलवेयर को लॉन्च करने, नेटवर्क में प्रवेश करने के लिए अपनी साख दर्ज करने या यहां तक ​​कि वास्तविक प्रतिपक्ष के बजाय धोखेबाजों के विवरण का उपयोग करके भुगतान करने के लिए मजबूर कर सकते हैं।

स्पीयर फ़िशिंग एक विशेष खतरा है, जिसमें साइबर अपराधी पहले संगठन, इसकी संरचना, कर्मचारियों और कार्य प्रक्रियाओं के बारे में डेटा एकत्र करते हैं, और फिर संगठन के मानकों के अनुसार तैयार किए गए वास्तविक नामों और पदों वाले पत्र तैयार करते हैं। इन पत्रों को पहचानना अधिक कठिन है, इसलिए इस तरह के मेलिंग की प्रभावशीलता बहुत अधिक है।

फ़िशिंग ईमेल में कोई दुर्भावनापूर्ण अटैचमेंट नहीं हो सकता है और यह पूरी तरह से हानिरहित दिख सकता है, जब यह इस तरह के फ़िशिंग के रूप में आता है जैसे कि व्यापारिक पत्राचार (बिज़नेस ईमेल कंप्रोमाइज़, बीईसी)। इस मामले में, धोखेबाज किसी अन्य संगठन की ओर से कंपनी के नेताओं में से एक के साथ पत्राचार शुरू करते हैं और धीरे-धीरे उन्हें अपने खाते में पैसे स्थानांतरित करने की आवश्यकता के बारे में मनाते हैं। वर्णित परिदृश्य की शानदार प्रकृति के बावजूद, यह 2018 के वसंत में इस तरह से था कि हमलावरों ने फ्रांसीसी फिल्म कंपनी पाथे की डच शाखा से 19 मिलियन यूरो का लालच दिया ।

सरप्राइज़ डिवाइस

हमलावर अभी भी खड़े नहीं हैं। हम भोले उपयोगकर्ताओं के लिए किए गए हमलों के नए रूपों को देखेंगे और उन सभी को इंटरनेट के माध्यम से वितरित नहीं किया जाएगा। एक उदाहरण एक नि: शुल्क फ्लैश ड्राइव के माध्यम से हमला है। भागीदार घटनाओं, प्रस्तुतियों, सम्मेलनों और उपहार के रूप में, कर्मचारी अक्सर काम की सामग्रियों के साथ फ्लैश ड्राइव प्राप्त करते हैं। एक कर्मचारी जो सूचना सुरक्षा की मूल बातें नहीं जानता है, वह शायद कार्यालय आने पर तुरंत कंप्यूटर में यूएसबी फ्लैश ड्राइव डालेगा - और एक दुर्भावनापूर्ण आश्चर्य प्राप्त कर सकता है। कभी-कभी कार्यक्रम के आयोजकों को यह भी पता नहीं होता है कि जिस कंप्यूटर से विज्ञापन सामग्री USB फ्लैश ड्राइव पर रिकॉर्ड की गई थी, वह किसी चीज से संक्रमित थी।

इस तकनीक का उपयोग किसी पीड़ित के कंप्यूटर को जानबूझकर संक्रमित करने के लिए भी किया जा सकता है। 2016 में, इलिनोइस विश्वविद्यालय में एक प्रयोग किया गया, पूरे परिसर में 300 "चार्ज" फ्लैश ड्राइव बिखरे हुए हैं, यह जांचने के लिए कि कितने लोग उनका उपयोग करेंगे और यह कितनी जल्दी होगा। प्रयोग के परिणामों ने शोधकर्ताओं को आश्चर्यचकित किया: पहली फ्लैश ड्राइव 6 मिनट के बाद कंप्यूटर से जुड़ी थी , और फ्लैश ड्राइव को खोजने वालों में से केवल 48% ने फ्लैश ड्राइव पाया, और उन सभी ने इस पर कम से कम एक फ़ाइल खोली।

एक वास्तविक हमले ( DarkVishnya ) के बड़े पैमाने पर उदाहरणों में से एक, जब बैंक सुरक्षा अधिकारियों ने नेटवर्क से जुड़े एक छिपे हुए डिवाइस को नोटिस नहीं किया था। हमले को अंजाम देने के लिए, हमलावरों ने कोरियर या आगंतुकों की आड़ में बैंक कार्यालयों में प्रवेश किया, और फिर चुपचाप एक USB फ्लैश ड्राइव, एक सस्ती नेटबुक या एक सिंगल-बोर्ड रास्प पाई-आधारित कंप्यूटर से लैस एक बैश बनी मिनी-कंप्यूटर को बैंक के स्थानीय नेटवर्क से 3G / LTE मॉडेम से जोड़ा। डिवाइस ने खुद को एक पर्यावरण के रूप में प्रच्छन्न किया ताकि इसका पता लगाना कठिन हो जाए। इसके अलावा, हमलावरों ने अपने डिवाइस से दूर से जुड़ा, कमजोरियों के लिए बैंक के नेटवर्क को स्कैन किया, उसमें घुस गए और पैसे चुरा लिए। नतीजतन, पूर्वी यूरोप में कई बैंकों को नुकसान उठाना पड़ा, और DarkVishnya हमलों से नुकसान कई मिलियन डॉलर का था।

खोए हुए फ्लैश ड्राइव के साथ एक हमले के प्रभावशाली प्रदर्शन से पता चलता है कि सुरक्षा के बारे में लोग कितने तुच्छ हैं और उपयोगकर्ताओं को ऐसी स्थितियों में सही व्यवहार पर शिक्षित करना कितना महत्वपूर्ण है।

इसके बारे में क्या करना है?

बाजार में सॉफ्टवेयर और हार्डवेयर संरक्षण की प्रचुरता के बावजूद, यह कर्मचारियों पर लक्षित हमलों का मुकाबला करने के लिए बजट का हिस्सा आवंटित करने के लायक है। यहाँ सबसे महत्वपूर्ण सिफारिशें हैं:

- प्रशिक्षित करने के लिए। सभी कर्मचारियों को यह समझना चाहिए कि सूचना सुरक्षा के सिद्धांतों की अज्ञानता दायित्व से मुक्त नहीं है, और इसलिए, इस मामले में उनकी जागरूकता बढ़ाने में रुचि रखें। कंपनी की ओर से, सूचना सुरक्षा पर प्रशिक्षण सेमिनार आयोजित करने और आयोजित करने की लागत को जोखिम कम करने और क्षति को रोकने में निवेश के रूप में माना जाना चाहिए।

- ट्रेन। सैद्धांतिक ज्ञान जल्दी से अधिक लोकप्रिय जानकारी द्वारा स्मृति से बाहर निचोड़ा हुआ है। अभ्यास में कौशल को मजबूत करने से प्रशिक्षण हमलों में मदद मिलेगी। उनकी मदद से, आप उन कर्मचारियों की पहचान कर सकते हैं जिन्होंने जानकारी नहीं सीखी है और उनके लिए रिट्रेनिंग का संचालन करते हैं।

- नीति को लागू करें "कुछ देखें, कुछ कहें"। साइबर खतरे का सामना करते हुए, एक कर्मचारी बर्खास्तगी के डर से या इसे स्वतंत्र रूप से खत्म करने की कोशिश करने के लिए आखिरी तक इस बारे में चुप रह सकता है। इस बीच, किसी घटना की समय पर सूचना पूरे कॉर्पोरेट नेटवर्क में मैलवेयर के प्रसार को रोकने में मदद करती है। इसके आधार पर, सेवा नियमों का निर्माण इस तरह से करना महत्वपूर्ण है कि जो कर्मचारी हमले की रिपोर्ट करता है, वह आभार प्राप्त करता है, और सूचना सुरक्षा सेवा खतरे को ठीक कर सकती है और इसे खत्म करना शुरू कर सकती है।

निष्कर्ष

कोई भी कंप्यूटर सिस्टम कमजोर है, और एक नियम के रूप में, इसमें सबसे कमजोर लिंक एक व्यक्ति है। प्रत्येक व्यवसाय नेता का कार्य कर्मचारियों पर हमलों से जुड़े सूचना सुरक्षा के क्षेत्र में जोखिमों को कम करना है। इस समस्या को हल करने में, प्रशिक्षण, प्रशिक्षण और साइबर घटनाओं के प्रसंस्करण के उचित संगठन में मदद मिलेगी। आदर्श रूप से, अनिवार्य साइबर सुरक्षा एक कॉर्पोरेट दर्शन का हिस्सा होना चाहिए।