Зустріч з метою захисту ваших даних
Знайте, що саме вам потрібно захищати

Початковий набір з кібербезпеки: Section 1

У цьому розділі ви навчитеся:

  • Визначте важливу інформацію, облікові записи, пристрої та служби вашої організації.
  • З’ясуйте, яка інформація та які системи потребують найбільшого захисту.
  • Визначте свої перші пріоритети у сфері кібербезпеки.

Знайте, що саме вам потрібно захищати

Перш ніж обирати засоби безпеки або змінювати налаштування, проаналізуйте, на що спирається діяльність вашої некомерційної організації. Сюди входять інформація, облікові записи, пристрої та послуги, а також люди, які від них залежать.

Щоб розпочати роботу, технічна оцінка не потрібна. Спілкування з людьми, які керують вашими програмами, адміністрацією, фінансами та комунікаціями, допоможе з’ясувати, що є найважливішим і де існують прогалини.

Подивіться далі, ніж комп’ютери

Можливо, першими на думку спадають ваш веб-сайт та офісні ноутбуки, але важлива інформація та доступ до неї можуть бути розкидані по багатьох місцях.

різні пристрої на поверсі (відредаговано)

Інформація

Дані про клієнтів, відомості про донорів, заявки волонтерів, відомості про нарахування заробітної плати, банківські реквізити, документи щодо грантів, фотографії та форми згоди

Рахунки

Електронна пошта, інтернет-банкінг, соціальні мережі, адміністрування веб-сайтів, платформи для збору коштів та спільні хмарні сховища

Пристрої

Ноутбуки, що належать організації; службові телефони співробітників; планшети загального користування; зовнішні накопичувачі та обладнання, яке використовують волонтери

Послуги

Доступ до Інтернету, обробка платежів, бухгалтерське програмне забезпечення, системи планування та інструменти, що використовуються для реалізації програм

Інформація щодо доступу та відновлення

Облікові записи адміністраторів, контактні дані для відновлення облікових записів, коди відновлення для багатофакторної автентифікації та доступ до менеджера паролів

Включіть особисті пристрої та облікові записи, якщо вони використовуються для виконання службових обов’язків. Наприклад, волонтер може вести ваші сторінки в соціальних мережах через особистий обліковий запис, а співробітник — зберігати файли програми на власному ноутбуці. Виявлення таких випадків допоможе вам спланувати відповідні заходи щодо захисту та передачі даних.

Задайте чотири запитання:

1. Що це таке і навіщо це потрібно?

Вкажіть інформацію, обліковий запис, пристрій або послугу, а також завдання, для виконання якого вони призначені.

2. Де це знаходиться і хто має до нього доступ?

Варто врахувати спільні папки, завантажені копії, вкладення в електронних листах, особисті пристрої, а також доступ, яким володіють колишні співробітники чи волонтери.

3. Хто за це відповідає?

Призначте особу, яка зможе координувати прийняття рішень, контролювати доступ та організовувати допомогу. Ця особа не обов’язково має бути технічним фахівцем.

4. Що сталося б, якби ця інформація стала відомою, була змінена, втрачена або стала недоступною?

Подумайте про наслідки для людей, реалізації програм, фінансів та довіри.
Це питання допоможе вам вирішити, чим зайнятися в першу чергу. Флаєр про публічний захід і конфіденційна справа клієнта вимагають різного рівня захисту.

Варто врахувати вплив на людей

Інформація може бути конфіденційною через те, що вона розкриває про когось, а не лише тому, що містить номер кредитної картки чи пароль.

Інформація про зв’язок клієнта з певною службою, його місцезнаходження, фотографія або подробиці щодо його обставин можуть завдати шкоди у разі їх розголошення. Оприлюднення списку розсилки може розкрити, хто отримує підтримку від вашої організації.

Запитай:

  • Чи може оприлюднення інформації поставити під загрозу чиюсь безпеку або приватність?
  • Чи може неточна інформація вплинути на здійснення платежу, рішення щодо надання послуги або доступ людини до допомоги?
  • Чи може втрата доступу призвести до переривання роботи важливої програми?
  • Чи може хтось використати цей обліковий запис, щоб видати себе за представника вашої організації або вимагати гроші?

Варто враховувати й випадкові події. Файл, надісланий не тому адресату, неправильно наданий доступ до папки або перезаписаний запис можуть мати серйозні наслідки, навіть якщо ніхто не мав наміру заподіяти шкоду.

Визначте свої пріоритети

Не обов’язково приділяти однакову увагу кожному елементу. Почніть з тієї інформації та тих систем, порушення безпеки яких матиме найбільші наслідки.

До загальних пріоритетів належать:

  • Конфіденційна особиста інформація, особливо інформація про клієнтів або осіб, які перебувають у вразливому становищі.
  • Фінансові звіти та облікові документи, зокрема банківські операції, нарахування заробітної плати та затвердження платежів.
  • Електронна пошта та облікові записи адміністраторів, що може надати доступ до інших облікових записів або дозволити вносити зміни в організаційні системи.
  • Основна інформація про програму та послуги, зокрема ті, що необхідні для подальшого надання підтримки.

Також зверніть увагу на залежність від однієї конкретної особи. Якщо доступ до вашого веб-сайту має лише один волонтер або повідомлення щодо відновлення облікового запису надсилаються колишньому співробітнику, ваша організація може зіткнутися з труднощами у відновленні доступу навіть без кібератаки.

Діяльність

Скласти перелік засобів захисту

Скористайтеся наведеною нижче таблицею, щоб записати свої найважливіші пункти. Почніть з п’яти-десяти; з часом ви зможете доповнити цей список.

Зафіксуйте, де зберігаються облікові дані, але не вказуйте в цьому аркуші паролі, коди відновлення або конфіденційну інформацію про клієнтів. Обмежте доступ до заповненого переліку, оскільки він містить опис систем та обов’язків вашої організації.

Якщо ви не знаєте відповіді, напишіть “потрібно підтвердити” і доручіть комусь перевірити. Питання, на яке немає відповіді, — це корисний висновок.

Завантажити робочий аркуш можна тут
Таблиця обліку засобів захисту

Перевірте, чи це вам ще потрібно

Під час формування переліку запитайте себе, чи дійсно вашій організації досі потрібні кожний обліковий запис, кожна копія файлу чи кожен фрагмент персональних даних.

Невикористаний обліковий запис, старе завантаження або непотрібна інформація — це ще один об’єкт, яким потрібно керувати та який потрібно захищати. Перед видаленням записів перевірте відповідні вимоги щодо строків зберігання даних та зобов’язання організації. Щодо облікових записів, які ви закриваєте, спочатку переконайтеся, що важливі файли, права власності та пов’язані послуги було передано.

Висновок

До кінця цього розділу ви повинні:

  • Початковий перелік вашої важливої інформації, облікових записів, пристроїв та сервісів.
  • Відповідальна особа за кожен пріоритетний пункт.
  • Три пріоритети, якими слід зайнятися в першу чергу.
  • Короткий перелік питань, які потребують подальшого розгляду.

Далі ви перетворите ці пріоритети на чіткі обов’язки, щоб важливі запобіжні заходи не залежали від того, що кожен вважає, ніби хтось інший про них подбає.

жінки, які дивляться на екран ноутбука (фотографія відредагована)

Розділ 2: Визначте, хто несе відповідальність

Як тільки ви визначите, що саме потребує захисту, вирішіть, хто буде приймати рішення, вживати заходів та контролювати їх виконання.

Див. розділ 2

Умови використання

Ми вітаємо обмін нашими ресурсами і запрошуємо вас переглянути наші Умови використання. Ці правила покликані забезпечити чесний, відповідальний та ефективний обмін нашими матеріалами для підтримки вашої спільноти. 

Прочитайте Умови використання