قالوا لنا «أنتم بحاجة إلى أمن معلومات» — من أين نبدأ في شركة من 10 أشخاص؟

تشفير القرص يجب أن يكون الخطوة الأولى. فعّلوا تشفير نظام التشغيل المحلي على كل الحواسيب المحمولة في المكتب. إذا نسي موظف جهازه في مقهى، تبقى العقود والبيانات داخله مشفّرة. كذلك قيّدوا إدخال ذواكر USB عبر سياسات المجموعة، هذا الإجراء بلا تكلفة ويقطع نصف التسريبات من البداية.

افحصوا الاستمارة التي أرسلها العميل جيداً. عادة الشركات المؤسسية تنسخ استبيانات الأمن القياسية وترسلها للجميع. كثير من البنود قابلة للتمديد مع الموردين الصغار. قبل إنفاق 100,000 روبل فوراً، اسألوا ممثل المشتريات أيها إلزامي وأيها توصية فقط.

نحن أيضاً واجهنا طلباً مشابهاً العام الماضي بفريق من 12 شخصاً. دفعنا 70,000 روبل لمستشار أمن خارجي أعدّ لنا مصفوفة وصول أساسية وتحققاً بخطوتين وتعليمات موظفين من صفحة واحدة. عندما رأى العميل الكبير هذه الوثيقة ولقطات الشاشة للتطبيق، أعطى الموافقة.

يوم الاثنين أول شي بالدوام ابدأوا باستخدام مدير كلمات المرور. امنعوا الموظفين يدخلون على اللوحات المشتركة بكلمات مرور محفوظة بالمتصفح أو كلمات بسيطة. حطوا قاعدة إن الكلمات تكون معقدة وتتحدث كل ثلاثة أشهر.

عميلكم جهة مرتبطة بالدولة أو القطاع الخاص؟ إذا راح تتصلون مباشرة عبر API بقاعدة بيانات خاصة فيها بيانات شخصية، ممكن يفرضون عليكم من ناحية التشريعات برامج أمان مرخصة محلياً أو شرط شهادة معينة؟

لا تخافون أبداً. إحنا كمان أول ما قالوا لنا حسبنا إنه بيحتاج سيرفرات وهاردوير بمئات آلاف الروبلات. الموضوع بالحقيقة متعلق أكثر بانضباط المكتب مو بالأجهزة التقنية... حتى قاعدة إن كل واحد يستخدم حسابه الخاص وما يخلون الشاشة مفتوحة على المكتب تحميكم من وايد مخاطر.

ما يظل ولا حساب إيميل واحد بدون توثيق بخطوتين... على كل حال الخوف الحقيقي عند العميل إنه إذا انفجر إيميل موظفكم تجيهم منه هجمة تصيّد على شبكتهم الداخلية لكن سكروا هالثغرة والباقي يسهل حله.

طلب الشركات المؤسسية لأمن المعلومات ينبع عادةً من إجراءات إدارة مخاطر الأطراف الثالثة. في سياسة أمن المعلومات التي ستعدونها يجب أن تُدرج بوضوح بنود حول كيفية معالجة البيانات، وأين تُخزَّن، ومن يصل إليها، وكيف تُنفَّذ عمليات إتلاف البيانات.

سأتحدث من الطرف الآخر، فأنا من جانب الموردين. فعل الجميع لشيء ما لا يعني أنه صحيح.

لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه. بالتوفيق.

الإجابة أعلاه لخصت جوهر الأمر. القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

مثبت بالتجربة.

بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

عانيت من نفس الشيء. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

دعني أشارك تجربتي. الخطأ المرتكب من جانب أمن معلومات الشركة قابل للإصلاح عادةً، لكنه مكلف.

لو كنت مكانك، لسلك هذا المسار.

سمعنا هذا كثيراً، لكنه لم يحدث معنا أبداً. كل من يستعجل في أمن معلومات الشركة يتعثر في نفس النقطة.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

شكرًا لكتابة هذا. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أنا في نفس الوضع، لذلك أسأل. طيب الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

مثبت بالتجربة.

دعونا نفرق بين المفاهيم، فهناك خلط بينها. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

صححوا لي إن أخطأت.

يجب إجراء تمييز هنا. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

بالتوفيق.