Смена парадигмы безопасности в ИТ-компании

Всем ‎привет,‏ ‎излучатели ‎ПДн!

Осенью ‎я ‎написал ‎(с‏ ‎помощью ‎одного‏ ‎из‏ ‎подписчиков) ‎вот ‎такой‏ ‎текст ‎про‏ ‎безопасность, ‎для ‎наших ‎компаний,‏ ‎часть‏ ‎из ‎которых‏ ‎работает ‎в‏ ‎области ‎информационной ‎безопасности, ‎часть ‎возглавляется‏ ‎людьми,‏ ‎которые ‎хорошо‏ ‎видны ‎в‏ ‎медийном ‎пространстве.

В ‎частности, ‎это ‎было‏ ‎инициировано‏ ‎взорванным‏ ‎Владленом ‎Татарским,‏ ‎который ‎явно,‏ ‎прямо, ‎бездумно‏ ‎шёл‏ ‎к ‎своей‏ ‎гибели ‎от ‎одного ‎уровня ‎тщеславия‏ ‎и ‎публичности‏ ‎к‏ ‎следующему.

Естественно, ‎среди ‎менеджеров,‏ ‎партнёров ‎поднялся‏ ‎писк ‎и ‎шум, ‎что‏ ‎это‏ ‎же ‎—‏ ‎застрелиться, ‎работать‏ ‎будет ‎вопще ‎нельзя, ‎куды ‎ж‏ ‎нам‏ ‎без ‎мессенджеров‏ ‎и ‎т.‏ ‎п.

Вообще ‎современный ‎менеджер ‎занят ‎исключительно‏ ‎микроменеджментом‏ ‎в‏ ‎Телеграме ‎и‏ ‎редмайне, ‎вообще‏ ‎не ‎мыслит‏ ‎себя‏ ‎без ‎этого‏ ‎удобства. ‎Настолько, ‎что ‎никакие ‎«риски»‏ ‎— ‎предполагаемые,‏ ‎конечно,‏ ‎до ‎сих ‎пор‏ ‎же ‎всё‏ ‎было ‎норм ‎— ‎не‏ ‎могут‏ ‎его ‎заставить‏ ‎отказаться ‎от‏ ‎привычной ‎и ‎удобной ‎среды, ‎которую‏ ‎он‏ ‎себе ‎создавал‏ ‎годами, ‎приминая‏ ‎травку.

Тем ‎не ‎менее, ‎документы ‎такого‏ ‎рода‏ ‎нужны,‏ ‎если ‎не‏ ‎для ‎исправления‏ ‎всех ‎косяков‏ ‎и‏ ‎неверных ‎привычек,‏ ‎хотя ‎бы ‎для ‎понимания ‎того,‏ ‎что ‎делается‏ ‎совсем‏ ‎неправильно.

Не ‎хотелось ‎бы,‏ ‎конечно, ‎чтобы‏ ‎осознавать ‎риски ‎по-настоящему ‎начали‏ ‎после‏ ‎того, ‎как‏ ‎чёрный ‎лебель‏ ‎перестанет ‎виться ‎над ‎головой ‎и‏ ‎таки‏ ‎клюнет ‎в‏ ‎нижний ‎моск.

Думаю,‏ ‎подписчикам ‎это ‎тоже ‎будет ‎полезно.

В‏ ‎документе‏ ‎ниже‏ ‎можно ‎взять‏ ‎к ‎исполнению‏ ‎или ‎сведению‏ ‎хотя‏ ‎бы ‎некоторые‏ ‎пункты. ‎Понятно, ‎что ‎документ ‎не‏ ‎полон, ‎его‏ ‎можно‏ ‎и ‎нужно ‎дополнять.

Итак:

Базовая‏ ‎безопасность ‎во‏ ‎время ‎войны

В ‎условиях ‎работы‏ ‎во‏ ‎время ‎войны,‏ ‎в ‎критической,‏ ‎медийной ‎инфраструктуре ‎или ‎над ‎оборонными‏ ‎технологиями,‏ ‎нужно ‎пересмотреть‏ ‎саму ‎парадигму‏ ‎работы ‎компании, ‎директора ‎и ‎рабочих‏ ‎команд.‏ ‎Даже‏ ‎если ‎у‏ ‎компании ‎нет‏ ‎лицензии ‎на‏ ‎гостайну‏ ‎и ‎уж‏ ‎тем ‎более ‎— ‎если ‎нет‏ ‎госзащиты.

Мы ‎знаем,‏ ‎что‏ ‎ЧРК ‎по ‎всему‏ ‎миру ‎ведут‏ ‎миллионы ‎людей ‎с ‎детальным‏ ‎анализом‏ ‎с ‎точностью‏ ‎до ‎человека:‏ ‎связыванием ‎устройств, ‎ФИО, ‎перемещений, ‎семей,‏ ‎адресов,‏ ‎связей ‎и‏ ‎т. ‎п.‏ ‎Большинство ‎из ‎этих ‎ЧРК ‎—‏ ‎вражеские.

Нужно‏ ‎понимать,‏ ‎что ‎цифровые‏ ‎платформы, ‎например,‏ ‎Гугл ‎(как‏ ‎и‏ ‎ФБ, ‎ВК,‏ ‎Яндекс) ‎обладают ‎совершенно ‎поразительными ‎возможностями‏ ‎связывания ‎устройств,‏ ‎аккаунтов,‏ ‎людей, ‎мест, ‎юрлиц.‏ ‎Нужно ‎не‏ ‎давать ‎им ‎пасов.

Сейчас ‎слежка‏ ‎может‏ ‎привести ‎не‏ ‎к ‎утечке‏ ‎данных, ‎а ‎к ‎закладке ‎бомбы‏ ‎в‏ ‎машину ‎или‏ ‎к ‎прилёту‏ ‎ударного ‎беспилотника ‎на ‎совещание ‎или‏ ‎в‏ ‎квартиру.

Рассуждать‏ ‎нужно ‎примерно‏ ‎в ‎таких‏ ‎терминах ‎—‏ ‎список‏ ‎предварительный ‎(это‏ ‎фактически ‎частная, ‎бытовая ‎дисциплина, ‎без‏ ‎госзащиты ‎и‏ ‎прочего):

 1.  Модель‏ ‎угроз

1.      Противодействие ‎противнику ‎средних‏ ‎и ‎малых‏ ‎размеров. ‎Приоритетом ‎является ‎снижение‏ ‎эффективности‏ ‎оперативных ‎мероприятий,‏ ‎проводимых ‎ЧРК‏ ‎и ‎относительно ‎небольшими ‎акторами ‎с‏ ‎широким‏ ‎спектром ‎возможной‏ ‎мотивации ‎(от‏ ‎мошенничества ‎до ‎саботажа ‎и ‎терроризма),‏ ‎но‏ ‎ограниченными‏ ‎ресурсами ‎и‏ ‎коротким ‎горизонтом‏ ‎планирования. ‎Противостоять‏ ‎государству‏ ‎Украины/Британии/США ‎нужно‏ ‎уже ‎с ‎помощью ‎госзащиты, ‎гостайны‏ ‎и ‎т.‏ ‎п.‏ ‎В ‎список ‎акторов‏ ‎необходимо ‎добавить‏ ‎лица ‎и ‎компании ‎внутри‏ ‎России,‏ ‎конкурирующие ‎на‏ ‎бизнес- ‎и‏ ‎идейном ‎поле.

2.      Средние ‎ресурсы ‎нападающих. ‎Ключевая‏ ‎особенность‏ ‎тех, ‎от‏ ‎кого ‎стоит‏ ‎активно ‎защищаться ‎— ‎работа ‎«с‏ ‎колёс»,‏ ‎с‏ ‎наскока, ‎под‏ ‎воздействием ‎пусть‏ ‎и ‎острой,‏ ‎но‏ ‎краткосрочной ‎необходимости.‏ ‎Возможно ‎— ‎под ‎влиянием ‎эмоций.‏ ‎Затруднение ‎мероприятий,‏ ‎расширение‏ ‎их ‎временных ‎рамок,‏ ‎отсутствие ‎быстрого‏ ‎и ‎осязаемого ‎результата ‎видится‏ ‎наиболее‏ ‎эффективной ‎стратегией.‏ ‎То ‎же‏ ‎самое, ‎кстати, ‎с ‎искусственным ‎затягиванием‏ ‎коммуникаций:‏ ‎значительно ‎сложнее‏ ‎«качать» ‎человека‏ ‎или ‎компанию, ‎если ‎они ‎отвечают‏ ‎в‏ ‎лучшем‏ ‎случае ‎через‏ ‎сутки.

3.      Тягаться ‎напрямую‏ ‎с ‎тем‏ ‎или‏ ‎иным ‎государством‏ ‎мы ‎не ‎сможем. Попытка ‎противостоять ‎всем‏ ‎возможным ‎методам‏ ‎оперативной‏ ‎работы, ‎системно ‎и‏ ‎последовательно ‎проводимой‏ ‎с ‎привлечением ‎в ‎том‏ ‎числе‏ ‎государственных ‎ресурсов,‏ ‎на ‎уровне‏ ‎частного ‎лица ‎и ‎небольшой ‎компании‏ ‎приведут‏ ‎к ‎значительным‏ ‎накладным ‎расходам‏ ‎и ‎постоянно ‎будут ‎находиться ‎в‏ ‎конфликте‏ ‎с‏ ‎интересами ‎личными‏ ‎и ‎бизнеса‏ ‎— ‎а‏ ‎значит,‏ ‎в ‎долгосрочной‏ ‎перспективе ‎не ‎будут ‎эффективными.

Вот ‎какие‏ ‎меры ‎практически‏ ‎обязательны‏ ‎для ‎тех, ‎кто‏ ‎работает ‎с‏ ‎КИИ, ‎ИБ, ‎СБ, ‎ГОЗ:

2.  Устройства‏ ‎для‏ ‎связи

 ·      ­­Нельзя ‎использовать‏ ‎Айфоны ‎и‏ ‎Андроиды. Звонить ‎вообще ‎лучше ‎с ‎кнопочных‏ ‎телефонов‏ ‎без ‎обмена‏ ‎данными.

·      Устройства ‎для‏ ‎связи ‎должны ‎быть ‎стерилизованы. Геоданные, ‎акселерометр,‏ ‎передачу‏ ‎данных‏ ‎и ‎прочее‏ ‎— ‎нужно‏ ‎всегда ‎по‏ ‎умолчанию‏ ‎отключать. ‎Лучше‏ ‎выработать ‎стандартную ‎процедуру ‎стерилизации ‎устройств,‏ ‎обучить ‎сотрудников‏ ‎в‏ ‎СБ ‎или ‎даже‏ ‎разработать ‎собственное‏ ‎приложение.

·      Разделять ‎внешний ‎и ‎внутренний‏ ‎контур. Нельзя‏ ‎использовать ‎устройства‏ ‎для ‎рабочей‏ ‎связи ‎одновременно ‎как ‎устройства ‎для‏ ‎поиска‏ ‎информации, ‎развлечений,‏ ‎управления ‎командой‏ ‎и ‎т. ‎п., ‎отдавать ‎их‏ ‎детям,‏ ‎родным‏ ‎на ‎время.‏ ‎Деловой ‎и‏ ‎личный, ‎внешний‏ ‎и‏ ‎внутренний ‎контур‏ ‎должны ‎быть ‎разделены.

·      Стерилизовать ‎устройства. Устройства ‎для‏ ‎поиска ‎информации,‏ ‎чтения,‏ ‎развлечений, ‎покупок ‎должны‏ ‎быть ‎максимально‏ ‎стерилизованы ‎и ‎анонимизированы. ‎Никаких‏ ‎геоданных,‏ ‎никакой ‎привязки‏ ‎к ‎госуслугам,‏ ‎почте, ‎ФИО ‎и ‎т. ‎п.‏ ‎Анонимный‏ ‎Телеграм, ‎анонимная‏ ‎почта, ‎VPN.

·      Авторизованный‏ ‎контур ‎— ‎отдельно. ‎Для ‎авторизованного‏ ‎использования‏ ‎Интернета‏ ‎лучше ‎иметь‏ ‎отдельное ‎устройство,‏ ‎привязанное ‎к‏ ‎номеру‏ ‎телефона, ‎почте,‏ ‎ФИО, ‎Госуслугам, ‎доставке, ‎покупкам, ‎адресу‏ ‎для ‎курьера‏ ‎и‏ ‎т. ‎п. ‎С‏ ‎него ‎нельзя‏ ‎писать ‎посты ‎и ‎комменты,‏ ‎показывать‏ ‎лицо, ‎управлять‏ ‎компанией, ‎а‏ ‎также ‎общаться ‎в ‎реальном ‎времени‏ ‎—‏ ‎только ‎асинхронно‏ ‎(СМС, ‎почта).

3.  Синхронная‏ ‎цифровая ‎коммуникация ‎- ‎вредна ‎и‏ ‎опасна

 ·      Голосовой‏ ‎звонок‏ ‎зачастую ‎не‏ ‎нужен: он ‎даёт‏ ‎не ‎только‏ ‎образцы‏ ‎голоса, ‎но‏ ‎место ‎и ‎время ‎звонка, ‎причём‏ ‎в ‎реальном‏ ‎времени.‏ ‎А ‎также ‎другие‏ ‎актуальные ‎личные‏ ‎факты ‎— ‎что ‎ты‏ ‎сейчас‏ ‎не ‎спишь,‏ ‎в ‎городе,‏ ‎пр. ‎Нужно ‎снижать ‎количество ‎голосовых‏ ‎звонков‏ ‎не ‎только‏ ‎с ‎внешним‏ ‎миром ‎(см. ‎дальше), ‎но ‎и‏ ‎со‏ ‎своими.

·      Видеозвонки‏ ‎не ‎нужны‏ ‎вообще. Ни ‎со‏ ‎своими, ‎ни‏ ‎тем‏ ‎более ‎с‏ ‎внешними ‎корреспондентами. ‎Видеозвонок ‎даёт ‎не‏ ‎только ‎образцы‏ ‎биометрии,‏ ‎но ‎и ‎задний‏ ‎фон, ‎контекст,‏ ‎место ‎и ‎время ‎в‏ ‎реальном‏ ‎времени.

·      Мессенджеры ‎также‏ ‎опасны, ‎как‏ ‎средство ‎реального ‎времени, ‎позволяющие ‎узнать,‏ ‎где‏ ‎ты ‎сейчас,‏ ‎чем ‎занят‏ ‎и ‎т. ‎п.

4.  Асинхронная ‎цифровая ‎коммуникация

 ·      Асинхронная‏ ‎коммуникация (СМС,‏ ‎электронная‏ ‎почта, ‎ответ‏ ‎на ‎сообщения‏ ‎в ‎мессенджерах‏ ‎в‏ ‎течение ‎десятков‏ ‎минут ‎и ‎часов) ‎— ‎гораздо‏ ‎безопаснее ‎синхронной.‏ ‎Она‏ ‎не ‎даёт ‎наблюдателю‏ ‎знаний ‎вида‏ ‎«здесь ‎и ‎сейчас».

·      Сознательная ‎задержка‏ ‎во‏ ‎внешнем ‎контуре. Общение‏ ‎с ‎внешними‏ ‎корреспондентами, ‎журналистами, ‎клиентами ‎вообще ‎должно‏ ‎иметь‏ ‎задержку ‎по‏ ‎умолчанию: ‎от‏ ‎получаса ‎до ‎дня. ‎Это ‎очень‏ ‎полезно‏ ‎не‏ ‎только ‎в‏ ‎смысле ‎секретности,‏ ‎но ‎и‏ ‎в‏ ‎смысле ‎содержательности‏ ‎и ‎воспринимаемой ‎ценности ‎коммуникации. ‎Журналистов‏ ‎дисциплинирует, ‎«горячие‏ ‎темы»‏ ‎— ‎отбивает, ‎высушивает,‏ ‎стерилизует.

·      Задержка ‎во‏ ‎внутреннем ‎контуре. ‎Здесь ‎также‏ ‎полезна‏ ‎задержка ‎хотя‏ ‎бы ‎на‏ ‎десятки ‎минут. ‎На ‎качество ‎управления‏ ‎коллективом‏ ‎это ‎не‏ ‎влияет. ‎В‏ ‎срочных ‎и ‎острых ‎случаях ‎дело‏ ‎решается‏ ‎звонком‏ ‎с ‎другого,‏ ‎стерилизованного ‎и‏ ‎не ‎связанного‏ ‎устройства.

5.  Коммуникация‏ ‎с ‎внешним‏ ‎миром

·      Публичные ‎появления: нужно ‎сводить ‎к ‎минимуму.‏ ‎Как ‎минимум‏ ‎те,‏ ‎где ‎за ‎несколько‏ ‎дней ‎известно‏ ‎точное ‎место ‎и ‎время‏ ‎появления.

·      Опасные‏ ‎мероприятия: вообще ‎не‏ ‎посещать ‎тусовки‏ ‎дроноводов, ‎военкоров, ‎просто ‎чрезмерно ‎массовые‏ ‎мероприятия‏ ‎(выставки, ‎концерты)‏ ‎и ‎т.‏ ‎п. ‎Не ‎договариваться ‎заранее ‎о‏ ‎времени‏ ‎и‏ ‎месте.

·      Тематика ‎выступлений: разговаривать‏ ‎только ‎на‏ ‎общие ‎темы,‏ ‎не‏ ‎бросать ‎намёков‏ ‎на ‎закрытые ‎темы, ‎заниматься ‎«объяснением‏ ‎для ‎чайников»,‏ ‎толкованием‏ ‎сложных ‎технологических ‎вопросов;‏ ‎компанию ‎не‏ ‎пиарить ‎— ‎сейчас ‎это‏ ‎не‏ ‎нужно. ‎Лучше‏ ‎иметь ‎сопровождающих‏ ‎на ‎любых ‎мероприятиях, ‎а ‎ездить‏ ‎туда‏ ‎не ‎на‏ ‎своей ‎машине.

·      Интервью: только‏ ‎с ‎известными ‎СМИ, ‎никаких ‎«у‏ ‎нас‏ ‎тут‏ ‎новый ‎канал‏ ‎на ‎Ютубе,‏ ‎ведущий ‎известный‏ ‎журналист»,‏ ‎никаких ‎«начинающих‏ ‎СМИ». ‎Только ‎с ‎заранее ‎присланным‏ ‎списком ‎тем‏ ‎и‏ ‎вопросов, ‎с ‎обязательной‏ ‎присылкой ‎текста‏ ‎на ‎верификацию. ‎Никаких ‎намёков‏ ‎на‏ ‎закрытые ‎темы.‏ ‎Иметь ‎чёрный‏ ‎список ‎СМИ ‎и ‎каналов ‎(типа‏ ‎«Медузы»)‏ ‎— ‎инфовойна‏ ‎и ‎обработка‏ ‎чужой ‎аудитории ‎не ‎входят ‎в‏ ‎задачу.

·      Встречи‏ ‎с‏ ‎государством: заседания ‎в‏ ‎Госдуме, ‎закрытые‏ ‎комиссии ‎Сената,‏ ‎общественные‏ ‎слушания, ‎конференции‏ ‎Армии-202х ‎— ‎можно ‎посещать ‎в‏ ‎качестве ‎эксперта,‏ ‎однако‏ ‎всегда ‎выяснять ‎заранее,‏ ‎приглашены ‎ли‏ ‎журналисты, ‎есть ‎ли ‎трансляция‏ ‎и‏ ‎т. ‎п.‏ ‎Попадать ‎на‏ ‎фото ‎и ‎видео ‎— ‎нежелательно.‏ ‎В‏ ‎любом ‎случае,‏ ‎публично ‎разговаривать‏ ‎только ‎общие ‎и ‎открытые ‎темы.

·      Звонки: лучше‏ ‎совершать‏ ‎со‏ ‎стерилизованного ‎устройства,‏ ‎назначать ‎фиксированное‏ ‎время ‎для‏ ‎созвона,‏ ‎не ‎брать‏ ‎звонки ‎с ‎неизвестных ‎номеров ‎(отказываться‏ ‎от ‎звонка‏ ‎и‏ ‎предлагать ‎специальным ‎сообщением‏ ‎написать ‎в‏ ‎СМС) ‎и ‎т. ‎п.‏ ‎Звонок‏ ‎в ‎реальном‏ ‎времени ‎даёт‏ ‎время ‎и ‎место, ‎образцы ‎голоса,‏ ‎прочую‏ ‎информацию ‎(бодрствование,‏ ‎готовность ‎говорить,‏ ‎пробивка ‎присутствия-отсутствия ‎на ‎идущих ‎сейчас‏ ‎совещаниях‏ ‎и‏ ‎встречах ‎и‏ ‎т. ‎п.).

·      Встречи‏ ‎(в ‎том‏ ‎числе‏ ‎со ‎«своими»): назначать‏ ‎время ‎не ‎слишком ‎задолго, ‎место‏ ‎— ‎вообще‏ ‎по‏ ‎возможности ‎в ‎реальном‏ ‎времени ‎(«давай‏ ‎через ‎час ‎в ‎районе‏ ‎Лубянки,‏ ‎на ‎месте‏ ‎позвоню, ‎как‏ ‎найду ‎место ‎и ‎сяду»). ‎Лучше‏ ‎не‏ ‎в ‎больших‏ ‎залах ‎и‏ ‎не ‎на ‎открытых ‎верандах. ‎Лучше‏ ‎с‏ ‎сопровождающими.

Правильнее‏ ‎всего ‎—‏ ‎в ‎офисе.‏ ‎Всех, ‎с‏ ‎кем‏ ‎встречаешься ‎в‏ ‎первый ‎раз ‎— ‎проверять ‎через‏ ‎СБ. ‎В‏ ‎случаях‏ ‎сомнений ‎— ‎посылать‏ ‎первый ‎раз‏ ‎линейного ‎сотрудника, ‎сотрудника ‎СБ,‏ ‎помощника.

·      Транспорт.‏ ‎Использовать ‎такси‏ ‎с ‎вызовом‏ ‎со ‎специального ‎устройства, ‎отвязанного ‎от‏ ‎внутреннего‏ ‎и ‎по‏ ‎возможности ‎от‏ ‎внешнего ‎контура. ‎Использовать ‎не ‎собственную‏ ‎а/м,‏ ‎а‏ ‎общественный ‎транспорт‏ ‎с ‎разными‏ ‎маршрутами ‎(условно,‏ ‎ходить‏ ‎или ‎доезжать‏ ‎на ‎прокатном ‎самокате ‎на ‎работу‏ ‎и ‎в‏ ‎офис‏ ‎с ‎выбираемых ‎в‏ ‎последний ‎момент‏ ‎разных ‎станций ‎метро).

·      Дальние ‎поездки:‏ ‎лучше‏ ‎приобретать ‎билеты‏ ‎в ‎последний‏ ‎момент, ‎летать ‎без ‎багажа, ‎разделять‏ ‎рейсы‏ ‎с ‎ключевыми‏ ‎сотрудниками ‎и‏ ‎семьёй, ‎и ‎т. ‎п. ‎В‏ ‎дальние‏ ‎поездки‏ ‎на ‎авто‏ ‎по ‎шоссе‏ ‎— ‎брать‏ ‎баллончики,‏ ‎травматы, ‎ездить‏ ‎по ‎возможности ‎двумя ‎машинами, ‎в‏ ‎сопровождении ‎СБ,‏ ‎знать‏ ‎и ‎поддерживать ‎дисциплину‏ ‎поведения ‎на‏ ‎дороге ‎в ‎случае ‎инцидентов‏ ‎(не‏ ‎глушить ‎мотор,‏ ‎не ‎выходить‏ ‎и ‎т. ‎п.).

·      Видеозвонки ‎с ‎внешними‏ ‎контактами: лучше‏ ‎исключить ‎вообще.‏ ‎Они ‎для‏ ‎дела ‎не ‎нужны, ‎дают ‎слишком‏ ‎много‏ ‎информации.‏ ‎Участие ‎директора‏ ‎в ‎заседаниях‏ ‎экспертных ‎советов,‏ ‎Госдумы‏ ‎и ‎т.‏ ‎п. ‎— ‎можно, ‎на ‎их‏ ‎платформах ‎(при‏ ‎этом,‏ ‎конечно, ‎держать ‎язык‏ ‎за ‎зубами).‏ ‎Для ‎сотрудников ‎— ‎только‏ ‎по‏ ‎согласованию ‎с‏ ‎директором.

·      Аккаунты ‎в‏ ‎соцсетях ‎и ‎мессенджерах, ‎каналы ‎в‏ ‎Телеграм:‏ ‎прекратить ‎выкладывать‏ ‎видео ‎и‏ ‎фото, ‎закрыть ‎аккаунты ‎для ‎всех,‏ ‎кроме‏ ‎близких‏ ‎друзей ‎и‏ ‎сотрудников, ‎перестать‏ ‎писать ‎о‏ ‎работе.‏ ‎Для ‎новостей‏ ‎компании ‎сделать ‎отдельный ‎контролируемый ‎канал.‏ ‎Разделить ‎и‏ ‎не‏ ‎смешивать ‎личное ‎и‏ ‎рабочее.

·      Зачистка ‎внешнего‏ ‎пространства: зачистка ‎аккаунтов, ‎упоминаний, ‎новостей,‏ ‎замусоривание‏ ‎соцсетей ‎и‏ ‎поисковиков ‎чужими‏ ‎фото ‎и ‎ФИО, ‎адресами ‎и‏ ‎телефонами‏ ‎и ‎тому‏ ‎подобное.

·      Общение ‎по‏ ‎почте: удалять ‎предыдущие ‎письма, ‎контакты. ‎Писать‏ ‎со‏ ‎специального‏ ‎адреса ‎для‏ ‎внешнего ‎контура‏ ‎(даже ‎если‏ ‎со‏ ‎своего ‎сервера).

·      Получение‏ ‎и ‎передача ‎файлов, ‎ссылок, ‎контактов: очевидные‏ ‎ограничения ‎и‏ ‎меры‏ ‎предосторожности. ‎Только ‎на‏ ‎внешнем ‎контуре,‏ ‎только ‎на ‎«внешних ‎устройствах»,‏ ‎с‏ ‎применением ‎всех‏ ‎средств ‎проверки,‏ ‎с ‎антивирусами ‎и ‎т. ‎п.‏ ‎Никакой‏ ‎установки ‎приложений,‏ ‎пиратки, ‎порнухи,‏ ‎прочего.

·      Песочницы ‎для ‎файлов, ‎контактов, ‎людей.‏ ‎Иметь‏ ‎режим‏ ‎ограниченной ‎коммуникации‏ ‎(диски, ‎уполномоченные‏ ‎помощники, ‎переговорные‏ ‎и‏ ‎т. ‎п.)‏ ‎для ‎неизвестных ‎и ‎новых ‎сущностей.

·      Бумага‏ ‎вместо ‎флешек. Для‏ ‎передачи‏ ‎файлов ‎во ‎внешний‏ ‎мир ‎—‏ ‎презентаций, ‎документов, ‎статей, ‎особенно‏ ‎если‏ ‎это ‎нужно‏ ‎для ‎встреч‏ ‎и ‎совещаний, ‎нужно ‎использовать ‎бумажные‏ ‎документы.‏ ‎Бумагу ‎гораздо‏ ‎труднее ‎распространять‏ ‎дальше, ‎тем ‎более ‎незаметно ‎модифицировать.‏ ‎Для‏ ‎получения‏ ‎точно ‎не‏ ‎брать ‎флешек,‏ ‎а ‎файлы‏ ‎до‏ ‎открытия ‎сканировать.

·      Интернет. Санировать‏ ‎надо ‎и ‎канал ‎подключения ‎к‏ ‎Интернету: ‎в‏ ‎идеале‏ ‎устройства ‎должны ‎знать‏ ‎только ‎одну‏ ‎сеть ‎Wi-Fi ‎на ‎носимом‏ ‎с‏ ‎собой ‎роутере,‏ ‎на ‎роутере‏ ‎всегда ‎поднят ‎VPN, ‎работающий ‎через‏ ‎свои‏ ‎сервера. ‎Ни‏ ‎в ‎коем‏ ‎случае ‎не ‎публичный ‎VPN-сервис.

·      Совместное ‎нахождение, тем‏ ‎более,‏ ‎регулярное‏ ‎совместное ‎перемещение‏ ‎мобильных ‎устройств‏ ‎(в ‎меньшей‏ ‎степени‏ ‎— ‎ноутбуков)‏ ‎надо ‎исключать, ‎чтобы ‎избежать ‎связывания‏ ‎противником ‎и‏ ‎внешними‏ ‎наблюдателями ‎как ‎разных‏ ‎сотрудников, ‎так‏ ‎и ‎устройство ‎одного ‎человека‏ ‎между‏ ‎собой. ‎Также‏ ‎необходимо ‎не‏ ‎подключаться ‎к ‎одной ‎сети ‎Wi-Fi.‏ ‎Запретить‏ ‎смотреть ‎в‏ ‎телефоны ‎и‏ ‎ноутбуки ‎на ‎совещаниях. ‎сдавать ‎их‏ ‎на‏ ‎входе‏ ‎— ‎это‏ ‎и ‎просто‏ ‎полезно ‎для‏ ‎эффективности‏ ‎совещания.

·      Ротация ‎устройств.‏ ‎Все ‎физические ‎устройства ‎должны ‎регулярно‏ ‎ротироваться, ‎старые‏ ‎продаются‏ ‎на ‎Авито, ‎покупаются‏ ‎новые. ‎Сложнее‏ ‎с ‎ротацией ‎сим-карт, ‎но‏ ‎есть‏ ‎решение ‎—‏ ‎т. ‎н.‏ ‎«колхозы», ‎что-то ‎типа ‎виртуальных ‎MVNO‏ ‎внутри‏ ‎операторов, ‎записанных‏ ‎на ‎непонятного‏ ‎левого ‎корпоративного ‎клиента. ‎Там ‎выдают‏ ‎сразу‏ ‎пачку‏ ‎физических ‎сим-карт,‏ ‎по ‎необходимости‏ ‎к ‎ним‏ ‎можно‏ ‎привязывать ‎номера.‏ ‎Вообще ‎хорошей ‎практикой ‎может ‎быть‏ ‎использование ‎белорусской‏ ‎симки‏ ‎в ‎роуминге: ‎там‏ ‎с ‎пробивами‏ ‎потяжелее.

·      Генераторы ‎паролей. ‎Устройство ‎для‏ ‎одноразовых‏ ‎паролей, ‎смс‏ ‎от ‎банков‏ ‎и ‎прочего, ‎подверженного ‎угону ‎и‏ ‎пробиву‏ ‎— ‎физически‏ ‎всегда ‎в‏ ‎другом ‎месте, ‎у ‎доверенного ‎человека.

6.  Внутренние‏ ‎коммуникации

·      Устройства:‏ ‎исключить‏ ‎внутреннее ‎общение‏ ‎через ‎«внешние‏ ‎устройства», ‎не‏ ‎смешивать‏ ‎контуры. ‎Купить‏ ‎не ‎вражеское, ‎например, ‎телефоны ‎Хуавей‏ ‎с ‎собственной‏ ‎ОС,‏ ‎без ‎GMS ‎(Google‏ ‎Mobile ‎Services),‏ ‎отечественные, ‎если ‎есть. ‎Модемы‏ ‎и‏ ‎маршрутизаторы ‎брать‏ ‎китайские, ‎от‏ ‎Хуавея ‎и ‎других. ‎Выработать ‎дисциплину‏ ‎по‏ ‎стерилизации ‎ноутбуков‏ ‎и ‎доступа‏ ‎в ‎Интернет. ‎Не ‎раздавать ‎вайфай‏ ‎с‏ ‎«внешнего»‏ ‎телефона ‎для‏ ‎рабочего ‎ноутбука,‏ ‎и ‎наоборот,‏ ‎не‏ ‎смешивать ‎внешний‏ ‎и ‎внутренний ‎контур ‎по ‎устройствам.

·      Программные‏ ‎средства: ‎Не‏ ‎использовать‏ ‎Андроид, ‎Айфон, ‎Винду,‏ ‎Микрософт ‎офис,‏ ‎публичные ‎почты, ‎Телеграм, ‎Вотсап.‏ ‎Не‏ ‎использовать ‎Гугл‏ ‎для ‎поиска,‏ ‎Яндекс.Диск ‎и ‎Гугл ‎Драйв ‎для‏ ‎передачи‏ ‎файлов ‎и‏ ‎т. ‎п.‏ ‎Не ‎ставить ‎Гугл ‎Аналитикс ‎на‏ ‎сайт‏ ‎компании,‏ ‎другие ‎счётчики‏ ‎и ‎коды‏ ‎и ‎т.‏ ‎п.

·      Средства‏ ‎коллективной ‎работы: установить‏ ‎собственный ‎опенсорсный ‎мессенджер, ‎собственный ‎защищённый‏ ‎сервис ‎видеозвонков,‏ ‎собственный‏ ‎сервер ‎электронной ‎почты,‏ ‎собственное ‎файловое‏ ‎хранилище, ‎собственный ‎(опенсорсный) ‎таск-менеджер‏ ‎и‏ ‎т. ‎п.;‏ ‎запретить ‎использовать‏ ‎их ‎для ‎внешней коммуникации ‎всем ‎сотрудникам.‏ ‎Не‏ ‎смешивать ‎внешний‏ ‎и ‎внутренний‏ ‎контур ‎по ‎ПО.

·      Криптография: изучить ‎вопрос, ‎выбрать‏ ‎средства‏ ‎шифрации‏ ‎сообщений, ‎данных‏ ‎на ‎дисках‏ ‎(например, ‎от‏ ‎Аладдина)‏ ‎и ‎т.‏ ‎п. ‎Ввести ‎культуру ‎шифрования ‎файлов,‏ ‎документов ‎при‏ ‎передачи‏ ‎во ‎внутреннем ‎контуре‏ ‎и ‎с‏ ‎внешними ‎ответственными ‎корреспондентами ‎(заказчиками‏ ‎из‏ ‎аббревиатур, ‎например),‏ ‎раздельные ‎каналы‏ ‎для ‎передачи ‎контента ‎и ‎паролей‏ ‎к‏ ‎нему.

·      Совещания: проводить ‎очно,‏ ‎в ‎проверенном‏ ‎помещении, ‎без ‎смартфонов ‎в ‎кармане‏ ‎и‏ ‎на‏ ‎столе, ‎без‏ ‎«подключения ‎по‏ ‎Зуму» ‎(только‏ ‎через‏ ‎собственный ‎сервис‏ ‎ВКС ‎или ‎мессенджер) ‎и ‎т.‏ ‎п. ‎Без‏ ‎личных‏ ‎устройств ‎на ‎столе‏ ‎и ‎в‏ ‎карманах.

·      Проверять ‎помещения ‎и ‎устройства. Ввести‏ ‎дисциплину‏ ‎и ‎процедуры‏ ‎проверки ‎помещений‏ ‎и ‎устройств ‎на ‎прослушку ‎и‏ ‎утечки.‏ ‎Обращаться ‎к‏ ‎профессионалам.

7.  Люди, ‎компании,‏ ‎продукты

·      Защита ‎юрлиц. ‎Скрытие ‎бенефициаров ‎и‏ ‎менеджмента,‏ ‎закрытие‏ ‎реестров ‎и‏ ‎т. ‎п.‏ ‎Слои ‎«партнёрок»‏ ‎и‏ ‎подставных ‎компаний/бенефициаров/управляющих.

·      Защита‏ ‎данных ‎и ‎кода. ‎Нужно ‎выработать‏ ‎дисциплину ‎и‏ ‎культуру‏ ‎производства ‎в ‎«специальных‏ ‎помещениях», ‎а‏ ‎также ‎хранения, ‎копирования, ‎архивирования‏ ‎и‏ ‎бэкапирования. ‎Дублирование,‏ ‎шифрование ‎на‏ ‎лету ‎и ‎в ‎архивах ‎и‏ ‎т.‏ ‎п.

·      Найм. Проверять ‎всех‏ ‎вновь ‎нанимаемых‏ ‎через ‎СБ, ‎а ‎также ‎OSINТом:‏ ‎по‏ ‎соцсетям,‏ ‎новостям, ‎связям.‏ ‎Завести ‎«песочницы»‏ ‎некритичных ‎и‏ ‎несекретных‏ ‎заданий ‎для‏ ‎всех ‎нанимаемых, ‎на ‎3-6 ‎месяцев‏ ‎как ‎минимум.‏ ‎Увольнять‏ ‎уехавших ‎за ‎границу,‏ ‎желающих ‎«работать‏ ‎по ‎удалёнке» ‎в ‎критичных‏ ‎проектах‏ ‎или ‎рядом‏ ‎с ‎ними.

·      Мониторинг‏ ‎сотрудников. Нужно ‎следить ‎за ‎поведением, ‎состоянием‏ ‎ума‏ ‎сотрудников, ‎контактами,‏ ‎постами ‎и‏ ‎каментами ‎в ‎соцсетях, ‎выкладыванием ‎фото‏ ‎—‏ ‎как‏ ‎с ‎точки‏ ‎зрения ‎рисков‏ ‎для ‎секретности,‏ ‎безопасности‏ ‎самих ‎сотрудников,‏ ‎так ‎и ‎с ‎точки ‎зрения‏ ‎рисков ‎вербовки‏ ‎и‏ ‎саботажа.

·      Форс-мажоры ‎и ‎реагирование‏ ‎на ‎них. Нужно‏ ‎создать ‎и ‎иметь ‎актуальные‏ ‎процедуры‏ ‎(«матрицы ‎реагирования»)‏ ‎на ‎случай‏ ‎увольнения, ‎болезни, ‎смерти, ‎пропажи ‎ключевых‏ ‎сотрудников,‏ ‎обысков ‎и‏ ‎пожаров.

·      Публичный ‎и‏ ‎закрытый ‎контур ‎в ‎компаниях. В ‎компаниях‏ ‎надо‏ ‎разделять‏ ‎закрытые ‎работы‏ ‎и ‎открытые,‏ ‎инструктировать ‎сотрудников,‏ ‎разделять‏ ‎данные, ‎устройства,‏ ‎помещения.

·      Инструктаж ‎и ‎проверка ‎сотрудников. Доводить ‎описанное‏ ‎выше ‎до‏ ‎сотрудников,‏ ‎обучать, ‎проверять ‎исполнение,‏ ‎проводить ‎тренинги‏ ‎и ‎тесты. ‎Применять ‎стандартную‏ ‎процедуру‏ ‎стерилизации ‎устройств‏ ‎сотрудников.