Главное
Информационная безопасность — обязанность каждого работника. Большинство инцидентов начинается не со взлома, а с ошибки человека: слабый пароль, переход по ссылке из письма, чужая флешка.
Если что-то выглядит подозрительно — не действуйте наугад. Сообщите в ОАиЦ: info@narvelium.ru, внутр. 205 (Главный офис), 112/137 (Офис 2), 216.
Это быстрая ссылка, а не полная политика. Подробные требования — во внутренних документах Организации и в курсах LMS.
1. Пароли
Пароль — первая линия защиты учётной записи. Слабый или переданный пароль открывает доступ к рабочим системам Организации.
Правила
- длина — не менее 12 символов;
- заглавные и строчные буквы, цифры, спецсимволы;
- не использовать словарные слова, даты, имена;
- уникальный пароль для каждой системы;
- менять пароль при подозрении на компрометацию;
- не записывать пароль на бумаге и в незащищённых файлах;
- не передавать пароль коллегам, руководителю, в ОАиЦ.
Нельзя
- одинаковый пароль в 1С, Битрикс24, LIMS и почте;
- пароль на стикере у монитора;
- пароль в текстовом файле на рабочем столе.
2. Фишинг
Фишинг — попытка обманом получить пароль, данные или заставить выполнить действие. Чаще всего приходит по почте или в мессенджере.
Признаки фишинга
- срочность и угроза («заблокируем через час»);
- просьба ввести пароль или подтвердить данные по ссылке;
- вложение, которого вы не ждёте;
- несоответствие адреса отправителя и подписи;
- письмо от «руководства» с просьбой срочно купить карты или перевести деньги;
- странные ссылки, маскирующиеся под знакомый сервис.
Что делать
- не переходить по ссылке и не открывать вложение;
- не вводить пароль на странице по ссылке из письма;
- проверить отправителя через другой канал связи;
- сообщить в ОАиЦ и руководителю.
3. Сообщение об инциденте
Инцидент — любое событие, которое может привести к утечке, потере или нарушению работы систем: фишинг, потеря ноутбука, подозрительное поведение компьютера, ошибочная отправка данных.
Как сообщить
- немедленно в ОАиЦ: info@narvelium.ru, внутр. доб. 101, доб. 102, 216;
- указать, что произошло, когда и с каким устройством/учётной записью;
- не пытаться «исправить» самому, если это может уничтожить следы;
- не скрывать инцидент — быстрое сообщение снижает ущерб.
Скрытый инцидент опаснее самого инцидента. Сообщайте сразу, даже если не уверены.
4. USB-носители
USB-носители — распространённый путь заражения и утечки. Личные и неизвестные флешки нельзя подключать к рабочим компьютерам.
Правила
- не подключать личные и чужие USB-носители к рабочему ПК;
- не использовать найденные флешки;
- для переноса данных — только утверждённые ОАиЦ носители;
- передача данных через USB — по согласованию и с проверкой;
- не хранить рабочие данные на личных носителях.
5. Внешние сервисы
Внешние облачные сервисы, почта и файлообменники не предназначены для хранения рабочих данных Организации. Использовать их можно только для нерабочих задач и без корпоративной информации.
Нельзя
- хранить рабочие документы в личном облаке;
- отправлять рабочие файлы на личную почту;
- загружать документы Заказчиков в общие файлообменники;
- использовать внешние мессенджеры для передачи паролей и секретов.
Допустимо
- использовать утверждённые внутренние сервисы Организации;
- передачу данных согласовывать с ОАиЦ.
6. Персональные данные
Персональные данные — информация о работниках и заказчиках. Обработка персональных данных регулируется внутренними документами и применимым законодательством.
Правила
- обрабатывать только в утверждённых системах (1С: ЗУП, Битрикс24 и др.);
- не передавать персональные данные третьим лицам без согласования;
- не отправлять персональные данные по личной почте или в общих чатах;
- не хранить персональные данные на личных устройствах;
- при обнаружении утечки — немедленно в ОАиЦ.
7. Быстрая шпаргалка
- Пароль — длинный, уникальный, не передаётся.
- Сомнительное письмо — не открываем, сообщаем в ОАиЦ.
- Чужая флешка — не подключаем.
- Рабочие данные — только во внутренних системах.
- Персональные данные — не пересылаем и не выгружаем.
- Инцидент — сообщаем сразу, не скрываем.
- Поддержка ОАиЦ: info@narvelium.ru, 205, 112/137, 216.