Почему защита не держится на одном ИТ-специалисте
Допустим, торговая компания в Могилёве доверяет всю безопасность одному системному администратору. Пока он на месте, всё работает: пароли выдаются, резервные копии делаются, доступы закрываются. Но взлом чаще начинается не со сложной атаки, а с обычного письма, на которое ответил сотрудник бухгалтерии. Поэтому меры должны быть распределены между людьми, а не лежать на одном человеке.
Роли и меры в одной таблице
| Роль | Что делает | Чем подтверждается |
|---|---|---|
| Руководитель | Утверждает правила, выделяет время и средства, определяет ответственных | Приказ или внутренний регламент |
| Системный администратор | Выдаёт доступы, обновляет программы, делает резервные копии | Журнал выдачи доступов, отметки о проверке копий |
| Ответственный за данные | Следит за обработкой персональных данных и порядком их хранения | Перечень данных и список лиц с доступом |
| Руководители отделов | Определяют, кому из подчинённых нужен доступ к каким данным | Заявки на доступ и их пересмотр |
| Сотрудники | Соблюдают правила паролей, не передают доступы, сообщают о подозрительных письмах | Ознакомление с правилами |
Что делает администратор
Для системного администратора минимальный набор действий выглядит так. Эти меры не требуют дорогих решений, но требуют регулярности и записи того, что сделано:
- выдаёт каждому сотруднику личную учётную запись без общих паролей
- включает вторую проверку при входе в почту и ключевые системы
- делает резервные копии и хотя бы раз в квартал проверяет, что из них можно восстановиться
- своевременно обновляет операционные системы, антивирус и программы
- отключает доступ уволенных сотрудников в день ухода
- ограничивает права: бухгалтер не видит данные склада, склад не видит зарплаты
Что должен делать каждый сотрудник
Сотрудникам не нужно разбираться в технике. Достаточно нескольких привычек, которые руководитель проговаривает на коротком инструктаже и повторяет при приёме на работу:
- не передавать пароль коллегам и не записывать его на бумажке у монитора
- проверять отправителя письма и не открывать вложения, которых не ждал
- не пересылать рабочие документы на личную почту
- блокировать компьютер, отходя от рабочего места
- сообщать об ошибке или подозрительном письме сразу, не боясь наказания
Что решают руководитель и ответственный за данные
Руководитель определяет, какие данные в компании критичны: базы клиентов, финансовые отчёты, договоры, сведения о сотрудниках. Ответственный за данные ведёт перечень этих сведений, следит за порядком обработки персональных данных и сроками хранения, помогает выстроить работу по Закону № 99-З.
Требования ОАЦ и Национального центра защиты персональных данных зависят от вида деятельности и состава информации. Что применимо к вашей компании, уточните у юриста или специалиста по защите информации. Полезно также иметь короткий порядок действий на случай инцидента: кому звонить, как отключить скомпрометированную учётную запись и кто сообщает руководству. Его достаточно записать на одной странице и проверить, что все ответственные знают, где он лежит.
ИИ-агенты и безопасность: на что смотреть
Подключение ИИ-агента к почте, 1С и CRM расширяет доступ к данным, поэтому его включают в общую систему мер. Агент получает отдельные права, ограниченные нужными разделами, и работает по описанным правилам. В Coagent платформа ставится на сервер компании, доступы к системам остаются у компании, а важные действия выполняются только после подтверждения человека.
Проверьте, назначены ли в вашей компании ответственные за каждую строку таблицы ролей.