Сказали «вам нужна информационная безопасность» — с чего начать компании из 10 человек?

Шифрование диска должно быть первым шагом. Включите локальное шифрование операционной системы на всех ноутбуках в офисе. Если сотрудник забудет устройство в кафе, договоры и данные внутри останутся зашифрованными. Также ограничьте подключение USB-накопителей через групповые политики, это бесплатно и отсекает половину утечек на корню.

Внимательно изучите форму которую прислал клиент. Обычно корпоративные компании копируют стандартные опросники по безопасности и рассылают всем подряд. Многие пункты можно смягчить для мелких поставщиков. Прежде чем сразу тратить 100 000 рублей, спросите у представителя по закупкам, какие из них обязательны, а какие носят рекомендательный характер.

Мы в прошлом году столкнулись с похожим запросом в нашей команде из 12 человек. Заплатили внешнему консультанту по безопасности 70 000 рублей, и он подготовил базовую матрицу доступа, двухфакторную аутентификацию и инструкцию для сотрудников на одну страницу. Крупный клиент увидел этот документ и скриншоты внедрения и дал добро.

В понедельник первым делом начните использовать менеджер паролей. Не давайте сотрудникам заходить в общие панели с паролями, сохранёнными в браузере, или с простыми паролями. Введите правило: пароли должны быть сложными и обновляться раз в три месяца.

Ваш клиент — госкомпания или частный сектор? Если вы собираетесь подключаться напрямую через API к частной базе данных с персональными данными, может быть, они требуют по законодательству локально лицензированное защитное ПО или сертификацию?

Да не пугайтесь вы. Нам тоже когда впервые сказали показалось что понадобятся серверы и железо на сотни тысяч рублей. На деле всё это больше про офисную дисциплину чем про технику. Даже правило «каждый пользуется своим аккаунтом и не оставляет экран открытым за столом» убережёт вас от кучи рисков.

чтоб ни одного почтового аккаунта не осталось без двухфакторки. клиент на самом деле боится что если у вашего сотрудника взломают почту оттуда фишинг приетит в их внутреннюю сеть. закройте это остальное разрулится легко.

Запрос корпоративных компаний на информационную безопасность обычно вытекает из процедур управления рисками третьих сторон. В подготовленной вами политике информационной безопасности должно быть чётко по пунктам расписано, как обрабатываются данные, где хранятся, кто имеет к ним доступ и как осуществляются процессы уничтожения данных.

Посмотрю с другой стороны, я на стороне поставщика. То, что делают все, не значит, что это правильно.

Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать. Удачи.

Ответ выше точно передал суть вопроса. Спешка в решениях оборачивается исправлениями через полгода.

Проверено опытом.

Именно так, и при этом об этом мало кто знает. Главное не цифра, а то, на основе чего она получена.

Если не зафиксировать это письменно с самого начала потом возникнут споры. Интересно, есть ли те кто делает иначе.

Я сталкивался с тем же. Забытые тестовые среды становятся входом в систему чаще чем продакшн.

Пишите если есть вопросы, отвечу по мере возможности.

Поделюсь своим опытом. Ошибка сделанная на стороне информационная безопасность компании, обычно исправима, но дорого.

Я бы пошел этим путем.

об этом многго говорят но у нас так никогда не было. кстати все кто торопится с информационная безопасность компании спотыкаются на одном и том же.

если напишете результт здесь, это поможет и другим.

Спасибо за ваш пост. Ответ сильно зависит от отрасли, универсального правила нет.

Конечно, если ваша ситуация отличается всё меняется.

у меня та же ситуация, поэтому и спрашиваю. ответ сильно зависит от отраси универсального правила нет.

проверено опытом.

Давайте разделим понятия их путают... ну если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Исправьте, если я ошибаюсь.

Здесь нужно провести различие. Изменение платежных данных никогда не подтверждается через тот же канал.

Удачи.