Компании все чаще сталкиваются с угрозой безопасности сайтов. По данным University of Maryland и Fundera, каждые 39 секунд происходит атака, а 43% всех кибератак направлены на малый бизнес. Под опасностью находятся данные пользователей — имена, номера телефонов, данные платежных карт. Хранить их нужно максимально надежно. В статье рассказываем, что проверить для сохранения безопасности интернет-магазинов и корпоративных сайтов.
Личная безопасность
- При регистрации используйте пароль с разным регистром букв и цифрами. Как вариант, вы можете использовать генератор паролей.
- Не используйте один пароль для нескольких систем.
- Используйте авторизацию с двухфакторной аутентификацией. При входе в личный кабинет на ваш дополнительный e-mail или номер телефона будет выслано сообщение с кодом. Корректный ввод подтверждает авторизацию пользователя.
- Не храните пароли в браузере. Либо используйте программу для сохранения паролей. Например, KeePass Password Safe.
- Иногда можно разрешать удаленный доступ гаджетам на сайте или в браузере. Удалите его, если не используете.
Надежный хостинг
Хостинг обеспечивает хранение и управление данными сайта. Важно, чтобы ваш проект был размещен на надежном хостинге, отвечающем современным требованиям безопасности.
Безопасность бизнеса (безопасность интернет бизнеса)
Степень защиты дата-центра — min Tier III
Дата-центр — это место, в котором находятся физические накопители хостинга. При выборе хостинга следует учитывать его уровень. Он показывает, насколько безопасен и надежен и стоит ли размещать на нем интернет-магазин.
Всего различают 4 степени защиты дата-центра: Tier I, II, III и IV. Самый популярный — Tier III. Его устойчивость к отказам в работе достигает 99,982%, это всего 1,6 часов возможной недоступности в год.
Дата-центр с таким уровнем позволяет провести ремонтные работы без остановки работы. Возможна одновременно эксплуатация и техническое обслуживание с заменой компонентов системы, добавления и удаления вышедшего из строя оборудования.
Наличие резервного копирования
Один небольшой сбой может причинить огромный урон. Регулярное сохранение резервных копий поможет в случае ЧП на сайте. После атаки вы сможете вернуть проект в прежнее состояние, минимизировав потери данных.
В зависимости от политики хостинг-провайдера создание копий может быть ручным и автоматическим, а хранение длительным или краткосрочным. Проверьте, как сейчас у вас сохраняются бэкапы и есть ли у вас основная копия на локальном ПК или в облачном хранилище.
На Reddock резервные копии сайта сохраняются на удаленный FTP-сервер и не занимают место на вашем тарифе. Мы предоставляем в 1,5 раза больше дискового пространства для создания бэкапов. По мере его завершения новые копии перезаписываются на старых. Мы всегда храним 1 полную копию сайта и 6 дифференциальных.
Подключение защиты от DDoS-атак
Защита от DDoS-атак поможет заблокировать запросы, поступающих единовременно с одного IP-адреса или по заданному ключу. Для каждого домена создается зона распределяемой памяти и устанавливается максимальный размер обращений к сайту. Если они превышают ограничение для зоны, обработка запросов задерживается.
10 глупых вопросов СПЕЦИАЛИСТУ ПО КИБЕРБЕЗОПАСНОСТИ
Подключение антивируса на хостинге
На сайте вирусы появляются незаметно — работа сайта и интерфейс не изменяются. Код обновляется на некоторых страницах сайта. Вирус может заразить компьютер посетителя и использовать его в своих целях. Например, для похищения личной информации, паролей.
На всех тарифах виртуального хостинга Reddock включен антивирус ClamAV. На виртуальных и выделенных серверах можно установить любой доступный к приобретению антивирус.
SSL-сертификаты
Любое действие в Интернете — это обмен данными. По умолчанию обмен происходит с помощью HTTP, стандартного протокола передачи данных от сервера к пользователю. Данные, передаваемые таким протоколом, никак не защищены, потому как передаются в открытом виде.⠀
Для передачи данных от сервера к пользователю рекомендуется использовать протокол HTTPS. Он шифрует данные с помощью SSL-сертификата и обеспечивает конфиденциальность обмена данными.
Также отметим: Google считает сайты без SSL-сертификата небезопасными, а Яндекс выделяет наличие сертификата ключевым параметром качества сайта. Используйте SSL-сертификаты для увеличения доверия пользователей и наличия сайта в поисковой выдаче. Подробнее о выборе, подключении и продлении SSL-сертификатов рассказываем в нашем Справочном центре.
Соответствие стандарту безопасности данных платежных карт
Для возможности оплаты заказов интернет-магазина на сайт должен соответствовать стандарту PCI DSS. Он распространяется на все карты Visa и MasterCard.
По стандарту интернет-магазин должен обеспечивать не только защиту данных пользователей, но и регулярно отслеживать защищенность сети. Так программы Visa контролируют соответствие PCI DSS, требуя от участников программ регулярно подтверждать соответствие указанному стандарту. Интернет-магазин без сертификата PCI DSS имеет риск утечки данных и финансовых потерь.
Управление сайтом
На платформе сайта можно контролировать доступ к важной информации и создание резервных копий. При создании ролей для сотрудников ограничивайте доступ к важным материалам, а также генерируйте сложные пароли.
Создание резервных копий можно проверить в настройках платформы. После этого убедитесь в наличии актуальной копии и настройте нужный период создания бэкапов.
Заключение
Интернет-магазины нужно максимально защищать от угроз кибератак. Для этого:
- Используйте генератор паролей.
- Один пароль для одной системы.
- Используйте двухфакторную аутентификацию.
- Для хранения паролей в браузере установите специальное расширение.
- Степень защиты — Tier III.
- Создание бэкапов по возможности на удаленный сервер.
- Подключение защиты от DDoS-атак и антивируса.
3. Подключите SSL-сертификат.
4. Проверьте соответствие стандарту безопасности платежных карт.
5. Убедитесь в создании резервных копий на платформе сайта и оформите ограниченный доступ для сотрудников.
Хотите знать больше на тему безопасности? Читайте нашу первую статью «5 способов защиты интернет-магазина на хостинге».
Источник: spark.ru
Три правила интернет-безопасности для бизнеса
Как обезопасить бизнес от угроз, которые таит в себе Интернет.
Любой пользователь Интернета ежеминутно подвергает себя угрозам, которые скрывает в себе глобальная сеть:
- Угроза заражения вирусами.
- Опасность перехвата передаваемых данных — почтовых отправлений, переписки в ICQ, Skype и т.п.
- Угроза кражи паролей.
- Опасность отслеживания посещаемых сайтов, составления «портрета пользователя».
Проблемы безопасности волнуют или, по крайней мере, должны волновать всех. Но если вы еще и владеете бизнесом, то вы, в отличии от среднестатистического пользователя Интернета, должны, по нашему мнению, уделять этому вопросу повышенное внимание и предпринимать дополнительные усилия для обеспечения безопасности своей компании.
Например, для юридического бизнеса вопросы безопасности актуализируются самой спецификой профессии:
- Юрист обязан обеспечивать конфиденциальность информации, с которой он работает.
- Велика степень вероятности того, что «враги» (от действий которых юрист защищает клиентов) попытаются получить доступ к информации, которой располагает юрист.
- Существует угроза того, что «враги» попытаются собрать сведения, компрометирующие юриста, вынудив его «выйти из игры» или даже «слить дело».
- Повышенное внимание силовых структур к тому, чем занимается юрист.
Нет необходимости объяснять причины, почему «враги» могут заинтересоваться тем, какой информацией располагает юрист, какие он посещает сайты, какую информацию он пересылает клиентам, о чем ведет разговоры в ICQ или Skype, какие он вводит имена и пароли на сайтах. Равно как и то, что зачастую это актуально для представителей любого другого бизнеса. Давайте просто расскажем о том, как можно максимально обезопасить себя от негативных последствий такого внимания.
1. Антивирусные программы
Не следует считать, что если вы посещаете лишь проверенные сайты, не вставляете в свой компьютер флешек, не открываете подозрительных и неизвестно от кого пришедших файлов, то вы полностью защищены от вирусов. К сожалению, разновидностей вирусов достаточно много, часть из них распространяется, к примеру, используя уязвимости в операционных системах, от компьютера к компьютеру, через локальную сеть или через Интернет. Поэтому иметь антивирусную программу просто необходимо. Кто-то пользуется бесплатными антивирусами, кто-то — платными, но всегда нужно помнить о том, что 100-процентной защиты ни один из них не обеспечивает. Но без них будет еще хуже.
2. Firewall
В дополнение к антивирусной программе необходим также firewall (файервол, он же — межсетевой экран). Firewall, как правило, — это программный комплекс для отслеживания всех устанавливаемых сетевых соединений, который разрешает или запрещает их согласно имеющемуся у него списку правил (заданных пользователем или администратором).
Файерволы бывают платные и бесплатные — выбирайте тот, что вам по вкусу. В операционной системе Windows встроенный файервол называется «брандмауэром». Следует помнить, что брандмауэр Windows не в полной мере решает все те задачи, которые должен выполнять файервол. Но если на вашем компьютере другой файервол не установлен, то использование брандмауэра Windows будет очень кстати.
При работе за компьютером необходимо внимательно читать то, о чем спрашивает или предупреждает вас файервол. Только при таких условиях можно говорить о том, что в связке с антивирусом и вашей сообразительностью, вы в достаточно высокой степени защищены от вирусов и проникновений в ваш компьютер извне.
3. Сервис VPN
Выходя в Интернет, посещая различные сайты, получая почту, вы везде оставляете «следы» — ваш IP-адрес. IP-адрес (ай-пи адрес, сокр. от англ. Internet Protocol Address) — сетевой адрес узла в компьютерной сети, построенной по протоколу IP. При работе в сети Интернет пользователю присваивается уникальный IP-адрес.
По нему, при желании, можно узнать у провайдера, кто именно посещал тот или иной сайт, оставил сообщение на нем, скачивал файлы, получал почту. То есть ваша приватность (или, как сказали бы юристы, «неприкосновенность частной жизни») не защищена.
Кроме того, в виду особенностей реализации работы Интернета, передаваемые вами данные могут быть достаточно легко перехвачены как злоумышленниками, так и теми сотрудниками ведомств, которым такое право предоставлено законом, — с использованием СОРМ, например. СОРМ (сокр. от Система технических средств для обеспечения функций оперативно-розыскных мероприятий) — система протоколирования сеансов связи как телефонных переговоров, так и обращений к сети Интернет, которую в России обязаны иметь все провайдеры Интернета и операторы связи. Решения суда для использования СОРМ сотрудниками соответствующих структур не требуется, что дает почву для злоупотреблений со стороны последних.
Для защиты от подобных угроз, в настоящее время широко используется сервис VPN (OpenVPN). VPN (сокр. от Virtual Private Network) — виртуальные частные сети, организованные в виде зашифрованного туннеля, идущего поверх сети Интернет. При его использовании шифруется канал связи между вашим компьютером и сервером VPN (обычно расположенном в другой стране). Далее, обычно организуется шифрованный канал до второго сервера VPN (тоже иностранного), и уже тот запрашивает необходимую Вам информацию, шифрует и передает ее вам. И точно также в обратном порядке — шифрует и передает информацию от вас.
Использованием VPN-сервиса решаются следующие задачи.
- Передаваемые вами данные шифруются и их невозможно перехватить, в том числе способами, которые используют компетентные органы. Кроме того, это особенно актуально когда вы, например, работаете в общественных Wi-Fi сетях, которые неизвестно кому принадлежат, непонятно, насколько они защищены, кто их администрирует, и неизвестно, насколько этот «кто-то» недобросовестен, любопытен и алчен.
- Вашему провайдеру доступна информация лишь о том, что вы соединялись с первым сервером VPN. Что именно вы передавали через сеть и какие посещали сайты, провайдер уже не узнает и не сможет никому рассказать. (Без использования VPN-сервиса недобросовестный или излишне любопытный провайдер может в режиме он-лайн отслеживать посещаемые вами сайты.)
- Посещаемые вами ресурсы смогут зафиксировать лишь IP-адрес второго VPN-сервера, и у них не будет никакой возможности однозначно идентифицировать вас.
- Случается, что VPN-сервис дает возможность посетить сайты, доступ к которым запрещен из вашей страны. Вы легко можете «прикинуться» пользователем Интернета из нужной вам страны.
Сервисы, предлагающие услуги VPN, являются платными. Обычно эти услуги стоят около $30 в месяц.
Выбирая поставщика такой услуги, следует быть уверенным в его добросовестности. Избегайте сервисов, владельцев которых вы не знаете, — может быть, они и есть те самые «злоумышленники», собирающие и с удовольствием предоставляющие передаваемую через их серверы информацию заинтересованным лицам. Учитывая обязательность сотрудничества только с проверенными поставщиками такой услуги, мы можем рекомендовать компанию Online Privacy Protect Corporation. Эта компания не собирает никаких журналов действий пользователя (логов), не фиксирует, с какого адреса соединялся и какие сайты посещал пользователь, а также не связана ни с какими государственными органами.
Статья опубликована в журнале «ИНТЕЛЛЕКТ-ПРЕСС» (№17/2010 г.)
Источник: www.intellectpro.ru
Безопасный бизнес: все что нужно знать об информационной безопасности в Интернете
Сегодня во всем мире проходит день Безопасного Интернета. Это лишний повод напомнить всем, кто пользуется всемирной сетью, о том, что Интернет порой – не самая безопасная среда для хранения личных данных, и пользоваться им надо с умом, будь вы пятиклассник или предприниматель.
Для начала немного терминов. Информационная безопасность бизнеса – не только про Интернет. Это касается и бумажных носителей. Например, из вашего офиса пропала папка с важными документами или скрин рабочей переписки был выложен в социальные сети.
Все, что может навредить компании, любые данные о клиентах, партнерах, даже конкурентах являются маркерами информационной безопасности. Кибербезопасность – вид информационной безопасности, имеющий отношение только к безопасности работы компании в Интернете. Это защита технических систем от взлома, блокировки и кражи данных.
Какие компании подвержены кибератакам, спросите вы? Ответ: все. И малый бизнес не исключение. Он привлекает мошенников низким уровнем информационной защиты, а также объемом средств на счетах, большем нежели у физических лиц. Все это связано с целью незаконно получить данные бизнеса, доступ к счетам или просто навредить своему конкуренту. Иван Шумилов, основатель и CEO ABIVEE | No-code конструктор рабочих кабинетов, член Клуба молодых предпринимателей Росмолодёжь.Бизнес, победитель хакатона «Цифровой прорыв» (2019г.) считает, что у киберпреступлений есть идеологический и финансовый мотив:
Любые преступления совершаются людьми или группой лиц, у которых есть мотив и цель.
Тоже самое касается киберпреступников в отношении представителей малого и среднего бизнеса. Обычно киберпреступление совершается с целью испортить репутацию или завладеть данными предприятия. Мотив можно разделить на идеологический и/или финансовый.
ABIVEE CEO
А Сергей Гребенников, директор РАЭК, выделил и приоритетные для мошенников области для атак:
Среди видов киберпреступлений: DDoS-атаки, фишинг, программы-вымогатели. Можно классифицировать киберпреступления по целям преступников: финансовая выгода, данные пользователей, перебои в деятельности компаний.
Что касается категорий компаний, то в 2022 году киберпреступников интересовали все ключевые отрасли экономики. По данным Positive Technologies, кибератакам подвергались государственные учреждения, промышленные предприятия, медицинские организации. Хотя финансовые и IT-компании лучше подготовлены к атакам, их уровень защиты также часто бывает недостаточным. Чаще всего киберпреступники ориентированы на крупный бизнес, но малый и средний бизнес тоже не может чувствовать себя в безопасности.
РАЭК Директор
Итак, с какими основными вызовами необходимо бороться малому бизнесу:
Утечка данных. Главная цель мошенника – получить доступ к вашим базам данных для дальнейших действий. Например, залезть в базу клиентов, посмотреть сделки, опубликовать в Интернете секретные документы и пр. Сергей Гребенников считает эту проблему одной из самых сложно решаемых для безопасности бизнеса:
Не новый, но один из основных негативных трендов — это утечки данных.
Данные уже на протяжении нескольких лет остаются одним из основных мотивов киберпреступлений. В основную «зону риска» входят персональные данные, учетные данные, медицинская информация, данные платежных карт.
РАЭК Директор
Поломка работы бизнеса. Иногда целью мошенников может быть не получение данных, а простая поломка вашего сайта, интернет-магазина, CRM-системы.
Доступ к данным третьих лиц. Это тот случай, когда мошенникам нужны не ваши данные, а данные ваших клиентов. В результате ваша система заражена вирусом или вообще сломана, а данные клиентов в руках недоброжелателей. Иван Шумилов добавил еще один относительно новый, но важный вызов для безопасности бизнеса в Интернете:
Одной из самых новых сфер кибербезопасности является борьба с DeapFake — это методика синтеза изображения, аудио или видео при помощи искусственного интеллекта, благодаря которой злоумышленник может совершать видео- и аудио- звонки своим жертвам, выдавая себя за близкого родственника, и данная возможность дает возможность киберпреступникам обманом получать необходимую информацию для доступа к необходимым сервисам.
ABIVEE CEO
Что нужно делать, чтобы свести вероятность кибератаки к нулю.Наши эксперты выделили несколько основных правил. По мнению Сергея Гребенникова, необходимо:
Базово предпринимателям нужно соблюдать основные правила: использовать надёжные пароли, делать резервное копирование данных, использовать антивирусное ПО, обновлять все системы, учить сотрудников цифровой безопасности.
Более серьёзный уровень: нанять специалистов по информационной безопасности, подключить сервис мониторинга трафика и защиты от DDoS-атак. Важны и технические средства защиты, например, внедрение DLP-систем, и юридические, такие как разработка всех необходимых документов для обработки персональных данных, корректное их размещение на сайте компании. И наконец, не формальное, а реальное соблюдение всеми сотрудниками политики информационной безопасности, то есть важна ещё и корпоративная культура, которая мотивирует вести себя осмотрительно.
РАЭК Директор
Иван Шумилов считает, что хранить данные нужно в нескольких источниках хранения и шифрования данных:
Максимально стремиться хранить данные децентрализовано в разных источниках хранения.
В одной базе данных хранить минимум параметров. Использовать сервисы децентрализованного хранения и сквозного шифрования данных. Если МСБ создают собственные сервисы, то реализовывать их с использованием технологий и философии WEb3-проектов.
ABIVEE CEO
От себя добавим еще несколько пунктов:
Проводить аудит технических и электронных систем. Делать это нужно минимум раз в год, даже при наличии в штате специалиста по кибербезопасности. Для решения этой задачи у штатного разработчика или системного администратора не всегда может быть достаточно навыков. Лучше нанять специалиста на аутсорсинг или пригласить специалиста из специализированной компании. Он сможет провести качественную оценку угроз вашего бизнеса и дать рекомендации по их устранению.
Использовать пакетные решения для хранения данных. Сегодня существуют готовые решения для надежного хранения конфиденциальной информации и документов и защиты от сетевых угроз. И мы не только про пакеты антивирусов. Например, вы можете хранить данные в облачных хранилищах, таких как DataFort и McAfee Web Gateway Cloud Setvice.
Шифровать данные. Чтобы защитить данные банковских карт, счетов и иной важной информации, лучше установить программу, которая эти данные зашифрует. Суть в том, что данные устройства меняются на нечитаемый код. Мошенникам потребуются ключи для расшифровки, чтобы извлечь выгоду из этих документов.
И помните, что главный источник для кибератак вашего бизнеса – ваши сотрудники. Открытое письмо и переход по странной ссылке, установка сомнительных программ и приложений – и доступ к данным мошенникам обеспечен. Начните с обучения коллег правилам безопасной работы в Интернете. И про специальное ПО тоже не забывайте.
Источник: raec.ru