Ст. 32 GDPR вимагає від контролера й обробників технічних та організаційних заходів, відповідних ризику: серед іншого шифрування, конфіденційності й доступності систем, здатності відновлення та регулярних перевірок. Проте більшість проблем походить зі звичайних помилок, а не з витончених атак. Ось звички, які мають найбільше значення.
Доступ і паролі
- Користуйтеся довгими та різними паролями для кожної послуги. Довга фраза краща за коротке складне слово. Не використовуйте особисті паролі для роботи.
- Якщо компанія це пропонує, користуйтеся менеджером паролів і ввімкніть багатофакторну автентифікацію.
- Ніколи не передавайте свої облікові дані, навіть колегам чи службі підтримки. Кожен має мати власний доступ, бо лише так видно, хто що зробив.
- Блокуйте екран, коли відходите.
- Відкривайте лише ті дані, які потрібні для роботи. Шукати клієнта, колегу чи знайомого з цікавості — не робота і може мати дисциплінарні, а в найтяжчих випадках кримінальні наслідки (наприклад, несанкціонований доступ до інформаційної системи, ст. 615-ter італійського кримінального кодексу).
Електронна пошта
- Перевіряйте адресатів перед надсиланням: автозаповнення легко обирає не ту людину з таким самим іменем.
- Пишучи багатьом людям, які не знають одна одну, користуйтеся прихованою копією (Bcc), інакше ви розкриєте всім адреси інших.
- Дані про здоров’я, посвідчення особи й іншу чутливу інформацію надсилають безпечними інструментами, обраними компанією, наприклад файлами, захищеними паролем, який передано іншим каналом.
- Не пишіть персональні дані в темі листа.
Папір, пристрої та робота вдома
- Тримайте стіл у порядку, а аркуші з персональними даними ховайте в зачинену шухляду чи шафу. Користуйтеся шредером або спеціальними контейнерами, а не звичайним смітником.
- Не зберігайте дані на особистих телефонах, флешках чи приватних хмарних сервісах, якщо компанія цього не дозволяє.
- Не вставляйте дані клієнтів чи колег в інструменти штучного інтелекту або онлайн-перекладачі, якщо компанія не схвалила їх для цієї мети: те, що ви напишете, може вийти за межі компанії.
- Удома чи в дорозі користуйтеся захищеним з’єднанням, не залишайте екрани на виду в інших, не залишайте комп’ютер в авто й не розмовляйте голосно про клієнтів у поїзді чи в барі.
Фішинг
Фішинг — це фальшиве повідомлення (лист, SMS, дзвінок, чат), яке хоче змусити вас клікнути, передати дані чи заплатити. Типові ознаки:
- поспіх або погрози («рахунок буде закрито сьогодні»);
- відправник, схожий на знайомого, але з трохи іншою адресою;
- посилання, адреса якого не збігається з відправником;
- несподіване вкладення;
- фальшивий «начальник», який просить переказ чи подарункові картки, або фальшивий колега, який просить ваші облікові дані.
Що робити:
- Не клікайте, не відкривайте й не відповідайте.
- Перевірте іншим каналом: зателефонуйте відправникові за номером, який уже знаєте.
- Повідомте про лист ІТ-підтримці. Якщо ви вже клікнули чи ввели дані, скажіть про це одразу: швидке повідомлення обмежує шкоду.
Agenzia per la cybersicurezza nazionale (ACN) (італійське Національне агентство кібербезпеки) публікує на своєму сайті поради щодо кіберзагроз.
Оновлення та невідомі програми
Встановлюйте оновлення безпеки, коли цього просить ІТ-відділ. Не встановлюйте програми, застосунки чи розширення з власної ініціативи й не вставляйте невідомі флешки.
Кажіть про помилку без сорому
Обманути можуть будь-кого. Найгірше — мовчати: компанія може відреагувати лише тоді, коли дізнається вчасно.