Початковий набір з кібербезпеки
Кібербезпека не обов’язково має бути складною. Цей стартовий набір допоможе некомерційним організаціям освоїти основи, захистити своїх співробітників та інформацію, а також вжити практичних заходів для створення безпечнішого цифрового середовища.
Кібербезпека: захист персоналу, інформації та місії
Ваша некомерційна організація вже приймає рішення щодо довіри та безпеки: хто має доступ до даних клієнтів, хто затверджує платежі та що відбувається, коли співробітник звільняється. Кібербезпека поширює цю турботу на цифрові інструменти та інформацію, на які покладається ваша організація.
Щоб брати участь у прийнятті цих рішень, не обов’язково бути технічним експертом. Розуміння кількох основних ідей допоможе вам ставити корисні запитання, обирати практичні заходи безпеки та пояснювати свій підхід донорам, співробітникам, волонтерам та клієнтам.
Продовжуйте з того місця, де зупинилися
Що таке кібербезпека?
Кібербезпека — це діяльність, спрямована на захист цифрової інформації, облікових записів, пристроїв та послуг від несанкціонованого доступу, зловживання, зриву роботи, а також випадкової втрати, пошкодження чи розголошення.
Для некомерційної організації це може означати захист даних про донорів, збереження конфіденційності інформації про клієнтів, запобігання несанкціонованому доступу до вашого електронного поштового облікового запису або забезпечення можливості відновлення важливих програмних файлів у разі виходу з ладу ноутбука. Це також означає зменшення ймовірності повсякденних помилок, таких як випадкове оприлюднення списку розсилки електронною поштою доброзичливим волонтером або додавання до повідомлення неправильного файлу.
Фахівці з безпеки часто виділяють три цілі:
Конфіденційність
Доступ до інформації мають лише особи, уповноважені її переглядати.
Приклад для некомерційних організацій: Доступ до даних клієнтів мають лише ті співробітники, яким вони необхідні.
Доброчесність
Інформація залишається достовірною, а зміни затверджуються.
Приклад для некомерційних організацій: Банківські реквізити постачальника не можна змінити без підтвердження.
Доступність
Інформація та послуги доступні тоді, коли вони потрібні.
Приклад для некомерційних організацій: Співробітники можуть відновити важливі файли та продовжити реалізацію програм після перебоїв у роботі.
Як пов’язані між собою кібербезпека та конфіденційність?
Служба безпеки запитує: Як ми захищаємо цю інформацію від несанкціонованого доступу, втрати або зловживання?
«Privacy» запитує: Чи слід нам збирати ці персональні дані? Для чого ми будемо їх використовувати? Хто отримає ці дані? Як довго ми повинні їх зберігати?
Наприклад, навіть надійно захищена реєстраційна форма може збирати більше персональних даних, ніж потрібно для роботи програми. Належні практики щодо захисту приватних даних допомагають організації приймати правильні рішення стосовно інформації, а належні практики безпеки — захищати її. Канадські рекомендації щодо захисту приватних даних стосуються як обробки персональних даних, так і заходів безпеки, що застосовуються для їхнього захисту.
“ Можна мати безпеку без конфіденційності, але неможливо мати конфіденційність без безпеки”
Як забезпечується кібербезпека?
Кібербезпека поєднує в собі люди, процеси і технологія:
Люди
Співробітники та волонтери знають, як перевіряти запити, поводитися з важливою інформацією та повідомляти про проблеми, пов’язані з кібербезпекою.
Процеси
Організація має чіткі процедури щодо затвердження платежів, управління доступом, створення резервних копій файлів та реагування на інциденти.
Технологія
Ці процедури забезпечуються такими інструментами та налаштуваннями, як багатофакторна автентифікація, автоматичні оновлення та права доступу.
Ці заходи захисту діють у комплексі. Надійний пароль допомагає захистити обліковий запис; багатофакторна автентифікація додає ще один рівень захисту; чіткий процес повідомлення про інциденти допомагає організації вчасно реагувати, якщо трапиться щось незвичайне.
Безпека — це також постійний процес. Облікові записи змінюються, люди приєднуються та йдуть, а організації впроваджують нові інструменти. Корисною практикою є визначення того, що є важливим, впровадження заходів безпеки, перевірка їхньої ефективності та внесення коректив у разі зміни обставин.
“Захід безпеки” — це просто запобіжний захід, що знижує ризик. Це може бути певна процедура, письмовий порядок дій або звичка, наприклад, дзвінок до знайомої особи для підтвердження запиту на зміну банківських реквізитів.
Розуміння галузі кібербезпеки
Галузь кібербезпеки об’єднує фахівців, які розробляють захищені системи, управляють ризиками, оцінюють заходи безпеки, проводять навчання персоналу, розслідують інциденти та допомагають організаціям відновлювати роботу. Фахівці з питань конфіденційності зосереджуються на відповідальному поводженні з персональними даними та дотриманні зобов’язань щодо захисту приватної інформації.
ІТ-провайдер може забезпечувати технічне обслуговування ваших комп’ютерів та програмного забезпечення, тоді як фахівець з безпеки оцінює рівень їхнього захисту. Деякі провайдери виконують обидві ці функції. Обговорюючи послуги, запитайте, що входить у їхній обсяг, за що відповідатиме ваша організація та хто надасть допомогу, якщо щось піде не так.
Ви також можете почути про сертифікати, стандарти та фреймворки:
Професійні сертифікати
Кваліфікаційний сертифікат, що належить фізичній особі. Наприклад, сертифікат ISC2 ’Certified in Cybersecurity» (CC) підтверджує наявність базових знань, тоді як для отримання сертифіката «Certified Information Systems Security Professional» (CISSP) необхідний відповідний професійний досвід.
Стандарт чи рамкова концепція
Систематизований підхід до впорядкування заходів безпеки та оцінки прогалин. Ці матеріали допомагають організаціям планувати вдосконалення.
Сертифікація організацій
Оцінка на відповідність визначеним вимогам. Наприклад, сертифікація за стандартом ISO/IEC 27001 стосується системи управління інформаційною безпекою організації.
Кваліфікаційні документи можуть бути корисними, але їх слід розглядати у поєднанні з відповідним досвідом, обсягом робіт та здатністю постачальника чітко пояснювати свої рекомендації. Сертифікація не є гарантією того, що інцидент ніколи не трапиться.
Щоб почати підвищувати рівень безпеки вашої некомерційної організації, вам не потрібна професійна сертифікація. Офіційні вимоги можуть випливати з договорів чи інших зобов’язань, але багато повсякденних заходів з підвищення безпеки починаються з рішень, які ваша команда може прийняти вже зараз.
Стандарти та рамки допомагають організаціям перетворювати загальні цілі у сфері безпеки на конкретні заходи захисту та виявляти прогалини. Серед прикладів — базові рекомендації Канадського центру кібербезпеки для малих та середніх організацій, а також «Критичні заходи безпеки» (CIS Critical Security Controls). Ви можете використовувати ці ресурси як орієнтир для вдосконалення без проходження офіційної сертифікації.
Цей стартовий набір містить практичні заходи безпеки, які фігурують у загальноприйнятих рекомендаціях з безпеки. Це скоріше відправна точка, а не повна оцінка на відповідність конкретному стандарту. У міру того, як потреби вашої некомерційної організації будуть змінюватися, ці матеріали допоможуть вам визначитися з наступними кроками.
Впевнено говорити про безпеку
Чіткі та конкретні пояснення є кориснішими, ніж загальні обіцянки на кшталт “наші системи є повністю безпечними”. Опишіть практики, яких насправді дотримується ваша організація:
Ми обмежуємо доступ до наших баз даних про донорів таким чином, щоб їх могли переглядати лише ті особи, яким це необхідно.
Якщо повідомлення чи запит здається вам підозрілим, ось як його перевірити та повідомити про проблему.
Ми можемо пояснити, з якою метою ми збираємо ваші дані та куди можна звернутися з питаннями.
Використовуйте ці формулювання лише в тому випадку, якщо вони точно описують ваші практики. Якщо захід безпеки ще перебуває на стадії розробки, поясніть, що саме ви вдосконалюєте, а не давайте зрозуміти, що він уже впроваджений.
Розділ 1: З’ясуйте, що саме вам потрібно захистити
Перш ніж обирати засоби безпеки або змінювати налаштування, проаналізуйте, на що спирається діяльність вашої некомерційної організації. Сюди входять інформація, облікові записи, пристрої та послуги, а також люди, які від них залежать.
Розділ 2: Визначте, хто несе відповідальність
Як тільки ви визначите, що саме потребує захисту, вирішіть, хто буде приймати рішення, вживати заходів та контролювати їх виконання.
Розділ 3: Захист облікових записів за допомогою багатофакторної автентифікації
Облікові записи вашої некомерційної організації забезпечують людям доступ до електронної пошти, файлів, фінансів та основних послуг. Захист цих облікових записів допомагає захистити все, до чого можна отримати доступ через них.
Розділ 4: Створення паролів керований
Неприбутковим організаціям потрібні надійні, унікальні паролі та ефективне управління доступом до облікових записів, щоб забезпечити безпеку інформації та безперебійну роботу в разі відсутності або звільнення співробітників.
Розділ 5: Забезпечення безпеки пристроїв та доступу
Захист пристроїв вашої некомерційної організації починається з розуміння вбудованих функцій безпеки, їхнього значення та того, хто відповідає за їх увімкнення та підтримку.
Розділ 6: Захист конфіденційної інформації
Захист інформації вашої некомерційної організації означає управління процесами її збору, зберігання, використання, передачі та видалення з метою запобігання випадковій втраті, розголошенню або несанкціонованому доступу.
Розділ 7: Створення резервних копій та відпрацювання процедур відновлення
Резервні копії допомагають вашій некомерційній організації відновити важливу інформацію після втрати даних, виходу з ладу пристроїв або кібератак, гарантуючи наявність копій, які можна відновити, та наявність відповідальної особи за їх відновлення.
Розділ 8: Ставте постачальникам правильні запитання
Захист вашої некомерційної організації під час використання послуг сторонніх постачальників передбачає розуміння обов’язків кожного з них щодо забезпечення безпеки, управління доступом та інформацією, а також знання того, як отримати підтримку в разі потреби.
Розділ 9: Реагування на інциденти та оцінка необхідності повідомлення
План реагування на інциденти допомагає вашій некомерційній організації швидко реагувати на інциденти безпеки, визначаючи коло відповідальності, ключових контактних осіб та негайні заходи для захисту людей і забезпечення безперебійної роботи.
Розділ 10: Як захистити вашу некомерційну організацію від шахрайства та зловживань
Цей розділ ґрунтується на заходах безпеки, про які ви вже дізналися, і покликаний допомогти захистити інформацію, облікові записи та кошти вашої некомерційної організації від кіберзлочинців, які вдаються до обману, щоб схилити людей до небезпечних дій.
English 
French 
Chinese 
Spanish 
Ukrainian