Уроки 2022-го для бизнеса: что нужно знать об ИТ-инфраструктуре и киберзащите

В кінці 2021 року український бізнес перебував в режимі постковідної стабілізації, коли пандемія вже перестала бути надзвичайною ситуацією і стала для всіх нормою. 

Водночас наростала нова масштабна загроза, і з однієї кризової ситуації ми перемкнулися на підготовку до наступної — ескалації війни з боку росії. 

На початку війни пріоритетним завданням компаній була безпека людей та збереження бізнесу. Зараз бізнес уже оговтався, переніс потужності, перевіз людей, налагодив процеси, будує нові стратегії, працює і продовжує генерувати доходи в економіку. 

Однак війна не закінчилася, деякі виклики лишаються актуальними та на додачу з’являються нові. 

В період тривалих відключень електроенергії бізнесу важливо розуміти, як забезпечити сталість і роботу офісів, при цьому захистити власну ІТ-інфраструктуру і зміцнити кібербезпеку на тлі постійних атак ворога. 

Завжди майте план B, а краще — ще C i D

Сподівайся на краще, але готуйся до гіршого — ця приказка відома усім, проте на практиці спрацьовує не завжди. 

Хоча в цілому Україна досить гарно, і для багатьох неочікувано, відпрацьовує в ситуації нинішньої війни, не весь бізнес був готовим до її наслідків. 

Стратегія багатьох компаній базувалася на принципі "just in time" ("якраз вчасно", коли матеріали замовляються тільки тоді, коли в них є пряма потреба). 

Це призвело до того, що тепер ці компанії мусять забезпечувати людей індивідуальними старлінками, генераторами, павербанками тощо, аби продовжувати роботу. Це доволі складна і болюча ситуація, що призводить до чималих втрат. Що ж робити? 

Варто керуватися іншим принципом, на який сьогодні звертає увагу все більше компаній, в тому числі й закордонних. Він називається "just in case" ("про всяк випадок"). 

Якщо ви глобальний бізнес, то він має бути вам добре знайомий, адже коли назріває будь-яка криза, закордонні партнери та клієнти завжди запитують про плани щодо забезпечення життєдіяльності бізнесу (англ. BCP - business continuinity plan). 

Проте сьогодні це — запорука виживання будь-якого, навіть маленького локального бізнесу. BCP має стати вашим планом дій на випадок різних варіантів розвитку подій. 

Наприклад, в нашої компанії були BCP ще з 2013 року, і вони постійно оновлювалися відповідно до ситуації. Ці плани, з-поміж іншого, передбачали налагодження сателітарного зв’язку, встановлення генераторів в офісах, формування кризових команд на місцях та багато чого іншого, що допомогло вистояти зараз.

Подумайте про різні сценарії. Наприклад, як забезпечити функціонування бізнесу, якщо вимкнуть світло на 12 годин. Другий сценарій — якщо електроенергії не буде більше доби, третій — кілька днів і більше. На скільки часу вистачить потужності генераторів? 

Якщо у вас є сервери, можливо, є сенс перевезти їх за кордон? Чи можете ви подбати про якісь речі про запас, аби бути готовими до таких подій? Попереду нас чекає ще більше викликів, і ретельна підготовка — це ваша гарантія, що ви зможете встояти на ногах. 

Враховуйте ризики, починаючи планувати та облаштувати офіси 

Офісна інфраструктура за останні роки пережила вже кілька ітерацій переродження. Спершу ми переходили до віддаленої роботи під час пандемії і кількість офісів скорочувалася. 

В ході підготовки до наступу росії у 2022-му стало зрозуміло, що роль офісів як опорних точок діяльності компанії зменшиться і вони перетворяться на тимчасовий притулок для людей під час обстрілів чи інших надзвичайних ситуацій. 

Тепер ми спостерігаємо третю хвилю переродження, коли офіси знову стають опорними точками роботи. Враховуючи перебої з електропостачанням, для багатьох людей це одне з небагатьох місць, де можна попрацювати, зарядити пристрої, вийти на зв’язок. 

Наразі заповненість наших офісів є на рівні 50-60% у дні найбільших проблем з електроенергією. До порівняння, на початку перебоїв з електропостачанням цей показник становив 15-25%. 

Ризики, з якими ми зіштовхнулися у 2022, потрібно враховувати і наступного року. По-перше, тим, хто ще цього не зробив, вже зараз у облаштуванні офісів необхідно закладати запасні канали зв’язку та енергопостачання (генератори), якщо можливо, й облаштовувати укриття. 

Війна триває, і сподіватися, що все закінчиться швидко, — марно. Бізнесу, що пропонує дистанційний формат роботи, слід також продумувати варіанти, як забезпечити можливість працювати віддалено. 

Сьогодні, наприклад, багато компаній розглядають варіанти оренди квартир чи невеликих приміщень, де можна організувати інтернет та зв’язок для певного кола працівників (так звані ТікТок хауси). 

По-друге, варто бути гнучкими в питанні офісів: як бачимо, вони можуть слугувати не лише місцем роботи, а й прихистком для працівників та їх близьких. 

Проте допуск в офіс сторонніх осіб — це питання безпеки даних. Добре зважуйте ризики і коригуйте свої рішення відповідно до них. Наприклад, для близьких в офісі можна виділити окремий простір, де немає корпоративного обладнання. 

Забезпечте захист ноутбуків та іншої індивідуальної техніки

Колись було дуже популярним уявлення, що компанія — це таке собі містечко, обнесене фортифікаційною стіною, де є варта, і куди ніхто сторонній не прокрадеться. 

Співробітники працювали з захищених офісів на настільних комп’ютерах і не мали доступу до корпоративних даних ззовні. 

Ще з часів ковіду мільйони людей почали працювати з ноутбуків з дому. Вже тоді багато компаній переглянули свою ІТ-інфраструктуру і підходи до віддаленої роботи. Війна лише поглибила цю потребу. 

Повертаючись до нашої аналогії, тепер кожен носить це "містечко" у себе в рюкзаку, і саме тому потрібно кожен індивідуальний корпоративний пристрій розглядати як окрему "фортецю", що потребує захисту. 

Для цього потрібно забезпечити високий рівень індивідуального захисту для кожного корпоративного пристрою, а саме: 

• обов’язково запровадити багатофакторну автентифікацію (MFA) для входу на корпоративні ресурси
• застосувати системи централізованого управління корпоративним обладнанням, що дозволяє оновлювати налаштування і програмне забезпечення віддалено
• встановити VPN-и й антивіруси на кожен пристрій та регулярно їх оновлювати
• проводити навчання для співробітників. У SoftServe ще на етапі онбордингу відбуваються спеціальні тренінги, а в кінці кандидати складають тест. Чинні співробітники проходять його на щорічній основі. 

Тим, хто ще досі не зробив ставку на мобільність персоналу, варто це змінити, не відкладаючи. Адже ті, хто спирався виключно на офіси, настільні комп’ютери і тому подібне, відчули суттєві проблеми, особливо в момент, коли потрібно було евакуювати співробітників. 

Згодом, вони були нездатні швидко відновити свою роботу в нових локаціях. Крім того, можна тільки уявити, скільки десктопів з корпоративними даними могли опинитися в незахищених квартирах чи офісах, які люди залишали поспіхом в різних куточках країни. 

Підсилюйте кіберзахист навіть, якщо ви не ІТ-компанія

Від початку війни український бізнес зазнавав серйозних кібератак. Вони були досить сфокусованими і здебільшого націленими на суспільно вагомих гравців: банки, пошту, операторів зв’язку і так далі. 

Малий і середній бізнес не так сильно потерпав від їхніх наслідків, проте це не означає, що атак зовсім не траплялося чи що їх не буде в майбутньому. 

Сьогодні питання кібербезпеки актуальне майже для будь-якого бізнесу в Україні, що присутній онлайн. 

Часто при спробі атакувати добре захищені організації, хакери пробують зробити це через їхніх постачальників, партнерів чи інші організації, з якими в мішені є довірчі стосунки. 

Це називається supply chain attack — атака на ланцюг постачання, і ми вже маємо досвід з вірусом NotPetya, що паралізував роботу сотень компаній кілька років тому. Рівень захисту SoftServe убезпечив нас від NotPetya. 

Та все ж кіберзлочинці є надзвичайно креативними, і у 2020 році ми відчули на собі, як працює цілеспрямована і добре спланована кібератака на компанію. 

Хакерам не вдалося завдати нам значної шкоди, і ми винесли багато важливих уроків з цього інциденту, аби протидіяти подібним загрозам у майбутньому. 

При нинішньому рівні ризиків, у бізнесу є важлива задача: вирішити, чи є він ІТ-бізнесом, чи ні. Насправді багато компаній, що мають власні специфічні ІТ-системи, від яких кардинально залежить успіх бізнесу і які розробляються під їхні потреби, вже є розробниками програмного забезпечення. 

Такий бізнес повинен серйозно займатися кібербезпекою, подбати про інструменти обслуговування і захисту цієї інфраструктури та інвестувати у власні можливості для кіберзахисту. 

Якщо ж у компанії немає свого ІТ-продукту, а все, що використовується – це готові продукти та сервіси, придбані у постачальників, тоді варто максимально передати на аутсорс обслуговування свого ІТ, бо спеціалізовані компанії здатні значно краще захищати такі ресурси централізовано для групи своїх клієнтів. 

Все, що не потрапляє в ці два варіанти, рано чи пізно стане мішенню, якою скористається ворог. 

Ось кілька правил, які допоможуть вам посилити кібербезпеку бізнесу: 

• завжди майте резервні копії даних та цілих ІТ-систем. Здається, що про це не нагадує лише лінивий, але компанії продовжують платити величезну ціну за неуважне ставлення до цього. 

Залежно від важливості системи, ми зберігаємо резервні копії двома, а інколи й трьома різними і незалежними способами (різним програмним забезпеченням, на різних системах, у різний час, і в різних місцях). 

Більшість компаній зараз можуть не пережити втрату своїх даних, і загроза знищення даних є одним з основних способів вимагання грошей кіберзлочинцями;

• налагодьте якісне збирання і обробку телеметрії (логування подій у мережі та кожній вашій системі): ваші кіберзахисники повинні мати максимальну "видимість", щоб виявити і протидіяти нападникам. 

Захищайте зібрану телеметрію, як і основні дані: в момент та одразу після атаки, це єдине, що дозволить вам впевнено протидіяти зловмисникам, зрозуміти їхні дії, свої вразливості та залучити сторонню допомогу;

• варто застосовувати автоматичні системи виявлення аномальних подій у мережах та системах (SIEM), наприклад, ми відстежуємо геолокацію під’єднання кожного пристрою до наших систем, і якщо він раптово "стрибне" між країнами, ІТ-команда може заблокувати його до з’ясування обставин;
• Активно шукайте вразливості у своїх системах та мережах: сканерами вразливостей, залучайте етичних хакерів, користуйтесь онлайн системами оцінки надійності кібербезпеки як SecureScorecard, BitSight і подібні. 

Й основне: 90% кібербезпеки — це ґрунтовне володіння своєю інфраструктурою (облік, моніторинг, обслуговування, керування), якісна побудова власного ІТ і робота з персоналом. 

Потрібно досконало розуміти, хто за що відповідає, як обслуговуються системи, хто має до них доступ. Решта — це спеціалізовані заходи, проте без базових правил вони не спрацюють.