Розмови навколо кібербезпеки зазвичай ідуть двома шляхами: або лякають («вас зламають, ви втратите все»), або продають («купіть наше рішення — й спіть спокійно»). Обидва підходи заважають зрозуміти суть. Спробуємо без них.
Кібербезпека: що це насправді
Кібербезпека — захист комп'ютерних систем, мереж, застосунків та даних від цифрових атак. Жодної магії, жодних «хакерів у капюшонах» — буденна робота: зачиняти двері, які інакше залишаться прочиненими.
Сама назва виникла від «кіберпростору» — середовища, у якому живуть наші листи, платежі, документи, розмови. Отже, перед нами не окрема галузь для обраних, а гігієна простору, де ви щодня проводите половину життя.
Про що кібербезпека насправді
Хоч би скільки складних термінів ви почули, захист зводиться до трьох простих обіцянок:
- ваших даних не побачить чужий;
- їх не змінять без вашого відома;
- вони будуть доступні, коли знадобляться.
Класика жанру — тріада конфіденційності, цілісності та доступності; докладніше — у статті Цілі інформаційної безпеки. Усе інше — фаєрволи, паролі, резервні копії — лише способи виконати ці три обіцянки.
Чого кібербезпека не є: п'ять міфів
Міф 1. «Складно, тільки для айтішників». Найдієвіші заходи — прості: двофакторна автентифікація, оновлення, резервні копії, уважність до листів. Для жодного з них диплом непотрібний.
Міф 2. «Ми маленькі, кому ми потрібні». Більшість атак — не цільові, а масові: зловмисники автоматично сканують усіх підряд та б'ють туди, де відчинено (див. DDoS на малий бізнес). Цікавить їх ваша діра, а розмір байдужий.
Міф 3. «Купимо антивірус — та й по всьому». Технології — лише одна з трьох опор; є ще правила і люди (див. Як забезпечується ІБ).
Міф 4. «Зламують геніальні хакери». Найчастіше — через фішинговий лист, слабкий пароль або невстановлене оновлення. Нудно, проте саме так воно й працює.
Міф 5. «Нас захистить провайдер». Постачальник хмари відповідає за свою частину, ви — за свою: за паролі, права доступу, налаштування. Слова «винна хмара» не рятували ще нікого.
Від чого захищає кібербезпека
Загрози, від яких вона рятує, зовсім не кіношні:
- фішинг — лист, який виманює пароль;
- шкідливе ПЗ, передусім програми-вимагачі, які шифрують ваші файли;
- злам акаунтів через слабкі чи повторно використані паролі;
- атаки на сайти та сервіси, зокрема DDoS;
- витік даних — клієнтських, фінансових, персональних;
- помилки та недбалість своїх же працівників.
Як виглядає злам насправді
Забудьте темну кімнату з зеленими символами на екрані. Типовий сценарій виглядає інакше.
П'ятниця, 17:40. Бухгалтерка отримує лист від «постачальника»: у вкладенні — рахунок, у тексті — прохання оплатити до кінця дня. Адреса відправника відрізняється однією літерою. Бухгалтерка відкриває файл, бо втомилася й поспішає додому.
Далі все відбувається без жодного драматизму: шкідливий код тихо збирає паролі, за тиждень хтось входить у пошту, ще за тиждень — у бухгалтерську систему. Компанія дізнається пізніше — від банку.
З приватною особою сценарій ще буденніший. Дзвінок «зі служби безпеки банку»: голос ввічливий, поспішає, називає ваше прізвище та останні цифри картки. Просить продиктувати код із повідомлення — нібито аби зупинити підозрілу операцію. Код зупиняє тільки одну річ: ваш контроль над рахунком.
Мораль проста: нападник не ламає стіну — він заходить у відчинені двері, які ви самі йому притримали. Тому головний засіб захисту — пауза. Будь-яке термінове прохання, підкріплене тиском часу, варто перевірити іншим каналом: передзвонити за номером, узятим не з листа.
Три сигнали, за якими помічають злам
Найдовше живуть ті зломи, яких ніхто не шукає. Ознаки, помітні без жодних інструментів:
- у теці «Надіслані» лежать листи, яких ви не писали;
- у поштовій скриньці з'явилося правило пересилання на невідому адресу — улюблений прийом нападників, аби тихо читати ваше листування;
- у журналі входів з'явилося чуже місто або країна, хоча ви нікуди не їздили.
Побачили щось подібне — змініть пароль, завершіть усі активні сеанси, увімкніть другий фактор та перевірте правила пересилання. Далі — оцініть, куди ще міг дотягнутися нападник: скринька ідеально годиться для відновлення паролів від решти сервісів.
Кібербезпека та інформаційна безпека — одне й те саме?
Ні, різниця є. Кібербезпека — частина інформаційної безпеки: вона стосується цифрового простору, тоді як ІБ охоплює ще й папір, розмови, фізичні носії. Детально — у статті Інформаційна безпека та кібербезпека: у чому різниця.
Три речі, яких захист не обіцяє
- Стовідсоткового захисту. Такого просто немає. Мета — зробити напад дорожчим за здобич, а наслідки — керованими.
- Абсолютної зручності. Будь-який захист трохи заважає. Той, хто обіцяє «безпечно й непомітно», зазвичай продає непомітність.
- Разової покупки. Захист — не сейф, який купив та забув. Радше зуби: чистиш щодня або лікуєш дорого.
З чого почати звичайній людині чи компанії
Без страшилок — перелік того, що дає найбільший ефект за найменших зусиль:
- Увімкнути двофакторну автентифікацію, насамперед на пошті.
- Використовувати різні надійні паролі (менеджер паролів допоможе).
- Оновлювати систему та програми.
- Робити резервні копії, одну з них — поза мережею.
- Не поспішати відкривати вкладення, переходити за посиланнями.
- У компанії — навчити персонал та мати план на випадок інциденту.
Повного захисту такий перелік не дасть, зате закриє більшість реальних сценаріїв. Аргументи для керівництва зібрано окремо — у статті Чому кібербезпека важлива.
Кібербезпека вдома: мінімум для звичайної людини
Компаніям пишуть політики, людям — рідко. А тим часом п'ять звичок закривають більшість побутових ризиків:
- Пошта — головний ключ. Через неї відновлюють паролі від решти сервісів, тож захищати її треба найкраще: другий фактор обов'язковий.
- Менеджер паролів замість блокнота, стікера на моніторі або одного пароля на всі випадки життя.
- Оновлення телефона — не «потім». Саме через старі версії застосунків найчастіше заходять.
- Окрема картка для інтернет-покупок, з невеликим залишком: витік реквізитів тоді коштує обмежену суму.
- Пауза перед грошима. Ніхто зі справжніх банків, служб доставки чи знайомих у месенджері не вимагатиме переказ негайно.
Скільки часу це забирає насправді
Головна причина зволікань — уявлення, ніби захист вимагає місяців роботи та окремого відділу. Реальні витрати часу для невеликої компанії:
- другий фактор на пошті — десять хвилин на людину;
- менеджер паролів — година на встановлення, тиждень на звичку;
- резервна копія поза мережею — вечір на налаштування, далі працює сама;
- перевірка відновлення копії — півдня раз на квартал, зате саме вона відрізняє справжню копію від уявної;
- коротке навчання персоналу — година раз на півроку.
Разом — кілька днів на рік. Порівняйте з одним тижнем простою, після якого доводиться відновлювати базу клієнтів вручну. Кібербезпека — це не разовий проєкт, а звичка: маленька, дешева, помітна лише тоді, коли її бракує.
Тест на 60 секунд
П'ять питань, аби зрозуміти, де ви стоїте зараз:
- Чи ввімкнено другий фактор на вашій робочій пошті?
- Чи знаєте ви, де лежить резервна копія — та коли її востаннє перевіряли?
- Чи має звільнений торік працівник доступ до робочих сервісів?
- Чи оновлювали ви сайт та його плагіни за останні три місяці?
- Чи знає бухгалтерія, кому телефонувати о 17:40 у п'ятницю, якщо лист виявився підозрілим?
Кожне «ні» — не привід панікувати, а конкретне завдання на наступний тиждень.
Якщо неприємність уже сталася
Паніка — поганий порадник, імпровізація — теж. Порядок дій:
- Від'єднати уражений пристрій від мережі, живлення не вимикати.
- Змінити паролі з іншого, чистого пристрою — починаючи з пошти.
- Зберегти сліди: знімки екрана, листи, час подій. Вони знадобляться.
- Повідомити тих, кого стосується: банк, клієнтів, керівництво.
У компанії всі ці кроки мають бути описані заздалегідь — див. план реагування на інциденти. Готовий план перетворює катастрофу на неприємність.