BG PROSPER - Module 1 - Unit 5.pptx

програма
за
овластяване
след
пандемията
www.prosper-project.eu
Дигитална
киберсигурност
Модул 1 / Модул 5

програма
за
след
Партньори
Post Pandemic Empowerment Programme © 2023 разработена от
Die Berater/ European E-Learning Institute/ BUPNET/ CATRO/
Momentum/ Smart Revolution/ Eurotraining е лицензирана по CC
BY-NC-SA 4.0
Финансирано от Европейския съюз. Изразените възгледи и мнения обаче принадлежат изцяло на
техния(ите) автор(и) и не отразяват непременно възгледите и мненията на Европейския съюз или
на Европейската изпълнителна агенция за образование и култура (EACEA). За тях не носи
отговорност нито Европейският съюз, нито EACEA.

програма
за
след
За да се предпазят чувствителните данни от многобройни рискове на работното място,
киберсигурността става все по-важна.
В зависимост от това как работят на място или виртуално, е важно да обучите персонала на
основните и най-важни правила относно киберсигурността на данни, устройства, информация.
Ръководителите трябва да са уверени, че служителите им са добре подготвени да идентифицират
и предотвратяват рискови заплахи, които могат да застрашат безопасността на всички. От
решаващо значение е ефективното обезпечаване на процесите за защита от такива рискове,
както и провеждането на подходящо обучение и тренинги на служителите за това как да
разпознават и докладват за подозрителна дейност или възможни проблеми със сигурността.
Осигуряването на дългосрочно оцеляване и рентабилност на всяка фирма изисква насърчаване
на културата на познаване на киберсигурността и отговорността на работното място.
Въведение

програма
за
след
01
02
03
04
Съдържание
Повишаване на осведомеността на служителите
Осигуряване на защита на данните
Предотвратяване на киберзаплахи
Самооценка

програма
за
след
ЗНАНИЯ:
Резултати от
обучението
УМЕНИЯ:
ПОВЕДЕНИЯ:
НАГЛАСИ:
Значението на обучението на служителите по киберсигурност
Осигуряване на защита на данните и разпознаване на
киберзаплахите
Обучение и повишаване на осведомеността на служителите по
отношение на киберсигурността
Приемане на политики за киберсигурност и включване на
служителите в обучения за киберсигурност

програма
за
след
Повишаване на
осведомеността на
служителите
01

програма
за
след
Една от най-важните концепции за киберсигурността е, че нейното
осигуряване е постоянна работа, отговорност на всички, а не
еднократен акт от страна на ИТ отдела.
Нови атаки се развиват ежемесечно, ако не и ежедневно, и подходът
ви за защита от тях не може да се ограничи до годишно, най-често
формално, обучение.
Трябва да сте сигурни, че служителите ви са запознати с политиката за
киберсигурност на компанията и се чувстват достатъчно комфортно с
правата и отговорностите си като служители. Служителите трябва да
знаят, че ако станат свидетели или открият нещо подозрително,
трябва незабавно да съобщят за това.
1. Повишаване на осведомеността на служителите
Обучение на служителите

програма
за
след
Когато става въпрос за обучение на персонала, се смята, че първият приоритет е да се гарантира, че
те са наясно с ролята си за поддържане на сигурността на данните на компанията. Наличието на
подходящ софтуер и инструменти за сигурност на техните компютри, разбирането на начина им на
работа и полагането на необходимите усилия са от решаващо значение.
Собствениците на компаниите трябва да изготвят официалните си политики и да ги разпространят до
всеки служител. Въпреки това самото разпространение на материалите и разчитането на това, че
служителите ще ги прочетат и ще възприемат цялата им информация, е недостатъчно. Добра идея
е да разговаряте със служителите за политиките както по време на процеса на обучение, така и в
хода на работния процес.
1. Повишаване на осведомеността на служителите
Обучение на служителите

програма
за
след
● Създайте програма за обучение: Осигурете програма за обучение, която включва корпоративни
правила, изисквания за съответствие и най-добри практики за киберсигурност. Програмата за
обучение трябва да бъде персонализирана, за да отговаря на уникалните изисквания на
предприятието и неговия персонал.
● Направете обучението задължително: Обучението по киберсигурност трябва да бъде задължително
за всички служители. За да сте сигурни, че служителите са запознати с най-новите опасности и
разпоредби, това може да се прави както по време на встъпването в длъжност, така и периодично.
● Използвайте интерактивни техники за обучение: Ангажирайте персонала с техники за обучение с
участие, включително ролеви игри, симулации и викторини, за да подчертаете важните идеи.
● Предоставяйте редовни актуализации: Осигурете редовни актуализации на промените в политиките
на компанията и заплахите за киберсигурността, за да сте сигурни, че служителите са наясно с всички
промени, които могат да засегнат работата им.
● Наблюдавайте ефективността на обучението: Използвайте оценки, анкети или други форми на
обратна връзка, за да проследите и оцените ефективността на програмата за обучение. Това може да
помогне да се определят проблемните области и да се гарантира, че служителите запомнят, разбират
и умеят да прилагат наученото.
● Използвайте примери от реалния живот: За да подчертаете значението на киберсигурността и
спазването на нормативната уредба, използвайте примери от реалния свят. Служителите могат да
бъдат вдъхновени да практикуват безопасно и законосъобразно поведение, като научат какви са
последиците от техните дейности за компанията, включително колко би струвала една ситуация на
нарушаване на киберсигурността.
1. Обучение на служителите за съществуващите политики
Вътрешни политики за обучение

програма
за
след
● Общият регламент за защита на данните (GDPR) изисква от МСП да защитават данните на
потребителите от кражба, неоторизиран достъп и други заплахи за сигурността.
● Директивата за мрежова и информационна сигурност (Директивата за МИС) изисква от
предприятията да поддържат сигурността на своите мрежи за данни и да докладват на
съответните агенции за всички съществени проблеми.
● Законът за киберсигурността създава рамка за сертифициране на ИКТ процеси, услуги и стоки, за
да се гарантира, че те отговарят на предварително определени критерии за киберсигурност.
● Програми като "Хоризонт Европа" и Европейската организация за киберсигурност, ЕС
предоставя финансиране и подкрепа на МСП за подобряване на тяхната киберсигурност (ECSO).
● ЕС предоставя насоки и инструменти за подпомагане на МСП да развиват своите практики в
областта на киберсигурността чрез инициативи като Агенцията на Европейския съюз за
киберсигурност (ENISA), както и Европейския месец на киберсигурността.
● Неспазването на тези изисквания може да доведе до санкции и последствия за репутацията на
МСП.
1. Обучение на служителите за съществуващите политики
Европейски политики

програма
за
след
Осигуряване на
защита на данните
02

програма
за
след
Служителите трябва да разберат, че данните, които създават и/или с които боравят, принадлежат на
компанията и че тези данни трябва да се съхраняват в безопасност. Ако е необходимо, уверете се,
че служителите знаят как да архивират данните, като използват методите, описани във вашите
политики.
Компютри или други електронни устройства, издадени от компанията, трябва да се използват само
от служители, които са упълномощени да използват тези конкретни устройства. Подчертайте също
така важността на получаването на разрешение за използване на всякакви устройства.
Когато служителите работят от разстояние, специалистите по сигурността на данните и ИТ
специалистите имат по-малък контрол и капацитет да наблюдават съхранението и движението на
данните. Служителите, работещи от разстояние, могат да използват компрометирана интернет
връзка, остарял софтуер или неизправна техника. Тъй като отдалечените служители са отговорни
за поддръжката на своето оборудване, от тях зависи да извършват подобрения, да инсталират
софтуер за сигурност и да следват най-добрите практики, докато имат достъп до данни без
помощта на ИТ отдела на място.
2. Осигуряване на защита на данните
Съхраняване на данни, акаунти и пароли, VPN, защита на личните данни

програма
за
след
За щастие има сравнително лесни решения, които могат да се използват за защита и опазване на
данните на служителите, които работят от разстояние. Някои от тези решения включват
търсене на насоки или услуги от ИТ специалисти или специалисти по защита на данните, докато
други могат да бъдат приложени от самите работещи от разстояние.
Това, което би могло да бъде ценно за компаниите, е, че те биха могли да споделят изчерпателен
списък с мерки, включващи както управленския екип, така и дистанционния персонал,
независимо дали той работи на пълно или непълно работно време от отдалечено място.
Това би помогнало за информирането на всички служители за стъпките, които могат да бъдат
предприети, за да се гарантира сигурността на фирмените данни, и за съвместната работа по
тяхното прилагане.

програма
за
след
Осигуряване на защита на данните
● Двуфакторно удостоверяване (2FA): Чрез изискване за втора форма на проверка в допълнение
към паролата, като например код, изпратен на смартфон, или биометрично удостоверяване,
2FA осигурява допълнително ниво на защита на данните за вход. (Microsoft)
● Софтуер за защита на крайни точки: Този софтуер защитава отдалечените устройства от
злонамерен софтуер и вирусни атаки, като ги идентифицира и спира. (Trellix, McAfee)
● Процеси на архивиране и възстановяване на данни: В случай на бедствие или пробив честото
архивиране на фирмените данни гарантира, че важната информация няма да бъде загубена.
(Acronis, Google Drive)
● Защитни стени и системи за откриване на проникване (IDS): Тези инструменти следят за
нежелан достъп до бизнес мрежи и данни и го предотвратяват. (CISCO, SonicWall)
● Редовни актуализации на софтуера и операционната система: Опасността от хакерски атаки и
нарушаване на сигурността на данните се намалява чрез актуализиране на операционните
системи и софтуера, за да се отстранят и поправят всички пропуски в сигурността.

програма
за
след
Киберсигурността е необходимост, особено ако мениджърите наемат служители, които работят от
вкъщи, като им предоставят неизбежен достъп чрез VPN или услуга за криптиране, за да се
гарантира, че няма да бъде получена важна информация за компанията.
Най-популярният метод за удостоверяване на самоличността на потребителя и предоставяне на
достъп до цифрови ресурси, включително компютри и онлайн акаунти, е паролата.
Слаба парола или парола, която се използва често в няколко бизнес акаунта, може да улесни достъпа
на хакери до поверителни материали, но силните пароли могат да помогнат за предотвратяване на
нежелан достъп до тези ресурси.
За да се осигури допълнителна степен на защита, паролите могат да се използват и в комбинация с
други техники за удостоверяване, като биометрични данни или многофакторно удостоверяване.
Пароли

програма
за
след
Достатъчно
дълга е
Използва
множество
набори от
символи
Не
използва
пълни думи
Променя се
редовно
Не се
споделя в
акаунти
Силната парола има следните характеристики:
Пароли

програма
за
след
Поддържането на служителя в безопасност и сигурност не е достатъчно. Трябва да се осигури
сигурността на цялата компания. Преди да настроите VPN или решение за криптиране на работното
място, трябва да определите кибернетичната устойчивост на цялата работна сила. Трябва да имате
твърда политика за сигурност, която включва обучение и гарантиране, че служителите са наясно с
важността на тяхната киберсигурност.
Въпреки че предимствата на хибридната работа включват възможност за гъвкавост, тя е свързана с
рискове за сигурността. Компаниите трябва да използват ефективни и ефикасни инструменти за
защита на мрежите си от киберзаплахи, като използват многопластово решение за сигурност, което
предлага многостранна защита.
VPN и криптиране

програма
за
след
Потребителите могат да осъществяват отдалечен достъп до частна мрежа благодарение на виртуална
частна мрежа (VPN) - софтуер, който създава сигурна и стабилна връзка между устройствата в
интернет.
VPN мрежите са полезни за:
1) Защита на лични и финансови данни чрез криптиране на комуникацията между потребителя и
компанията.
2) Осигуряване на сигурен и непрекъснат достъп на отдалечени служители, така че те да могат да се
свързват с бизнес мрежата, сякаш са в офиса.
3) Скриване на IP адреса и местоположението на устройството, за да се заобиколят регулациите на
интернет и географските ограничения.
4) Защита на цифровото съдържание и осигуряване на сигурно взаимодействие между членовете на
персонала и бизнес мрежата.
При избора на доставчик на VPN услуги е изключително важно да се вземат предвид аспекти като силата
на криптиране, практиките за регистриране и местоположението на сървърите.
VPN мрежите могат да бъдат настроени така, че да ограничават достъпа до определени приложения или
ресурси, което добавя още една степен на защита.
Чрез криптиране на информацията по време на предаването VPN мрежите могат да помогнат за
избягване на атаки и наблюдение от трети страни.

програма
за
след
Предаваните данни се криптират, като се преобразуват в кодирано съобщение, за да се предотврати
неоторизиран достъп.
За да се гарантира, че само лица, притежаващи съответните ключове за декриптиране, имат достъп
до данните, те се кодират и превеждат с помощта на алгоритми и удостоверения. Използва се в
широк спектър от технологии, като например защитена електронна поща, VPN мрежи, криптирани
устройства за съхранение на данни и защитени програми за чат.
Тя може да се използва за защита на частни комуникации между отделни лица или групи от хора,
както и на търговски, финансови и лични данни.
Криптирането бива два основни вида: симетрично и асиметрично. Докато симетричното криптиране
използва един ключ за криптиране и декриптиране, асиметричното криптиране изисква двойка
публичен и частен ключ.
Криптирането от край до край (E2EE) е вид криптография, използвана в телекомуникациите. Само
получателят и изпращачът имат достъп до декриптирания материал.

програма
за
след
Предотвратяване
на киберзаплахи
03

програма
за
след
Най-често срещаните киберзаплахи за МСП включват:
● Фишинг: Подозрителни съобщения, които подмамват служителите да предадат поверителна
информация или да изтеглят зловреден софтуер. МСП трябва да осигурят многофакторна
автентификация и да използват филтриране на имейли.
● Рансъмуер: Софтуер, предназначен да навреди или да осигури неоторизиран достъп до
системата чрез изтегляния, злонамерени уебсайтове и прикачени файлове. МСП трябва да
създават резервни копия на данните и да прилагат защита на крайните точки.
● Зловреден софтуер: Малуер: софтуер, предназначен за увреждане или получаване на
неоторизиран достъп до компютърни системи чрез прикачени файлове, изтегляния и
злонамерени уебсайтове. МСП трябва да използват софтуер за защита на крайни точки, да
актуализират софтуера си и да прилагат инструменти за електронна поща и филтриране.
3. Предотвратяване на киберзаплахи
Типични заплахи

програма
за
след
● Вътрешни заплахи: Отговорността се носи от
настоящи или бивши служители, независими
изпълнители или доставчици, които имат
достъп до системи и данни с разрешение.
МСП трябва да прилагат контрол на достъпа,
проверки на миналото на служителите и да
наблюдават дейността на потребителите.
● Нарушения от трети страни: Атака, при която
се компрометират чувствителни данни срещу
партньорска компания или доставчик. МСП
трябва да наблюдават дейността на
доставчиците, да разработват споразумения
за обмен на данни и мерки за сигурност и да
извършват надлежна проверка на
доставчиците.
Типични заплахи

програма
за
след
● Симулирани инструменти за фишинг: Те позволяват на мениджърите да създават имитации на
фишинг атаки, за да тестват осведомеността и реакцията на служителите си при опити за фишинг.
Това може да помогне да се определят областите, в които е необходимо допълнително обучение.
(PhishMe, KnowBe4, GoPhish, IronScales, Barracuda)
● Инструменти за сканиране на слаби места: Те могат да се използват за сканиране на мрежата или
системата за уязвимости, което може да помогне на мениджърите да идентифицират потенциални
слабости в сигурността и да предприемат коригиращи действия. (Nessus, Qualys, OpenVAS, Rapid7
Nexpose, Acunetix)
● Платформи за обучение за повишаване на осведомеността за сигурността: Тези платформи
предлагат интерактивни и увлекателни модули за обучение, които се фокусират върху конкретни
области на киберсигурността, като фишинг, защита на паролите и социален инженеринг. (KnowBe4,
SANS Security Awareness, Infosec IQ, Wombat Security, PhishMe)
● Шаблони на политики за сигурност: Тези шаблони предоставят рамка за създаване на цялостни
политики за сигурност, които обхващат различни области на цифровата сигурност, включително
контрол на достъпа, защита на данните и реакция при инциденти. (SANS Institute, NIST)
● Инструменти за планиране на реакция при инциденти: Тези инструменти могат да помогнат на
мениджърите да разработят и приложат цялостен план за реагиране при инциденти, който описва
стъпките, които трябва да се предприемат в случай на пробив в сигурността или друг инцидент.
Инструменти за мениджъри

програма
за
след
Предимства
1) Идентифициране на опасно поведение;
2) Откриване на мрежов трафик в реално
време;
3) Разпознаване на вероятни измами, атаки
със социално инженерство и фишинг атаки;
4) Филтриране и откриване на спам
съобщения;
5) Автоматизиране на процедурите.
Недостатъци
1) Разработване на мощни техники,
генерирани от изкуствен интелект;
2) Неефективност на съвместимите средства за
откриване;
3) Предизвикателства в комуникацията под
формата на измамни и фалшиви аларми.
Все по-широкото използване на инструменти за изкуствен интелект показва необходимостта от
гарантиране на сигурността на бизнеса.
Изкуствен интелект

програма
за
след
1) Разработване на системи за откриване на
проникване, като защитни стени и
антивирусен софтуер;
2) Адекватно обучение на персонала;
3) Създаване на тактики за сигурност с
помощта на специалисти по киберсигурност;
4) Редовни актуализации на софтуера.
5) Back-up на данните.
Основни мерки за МСП

програма
за
след
Предимства
1) Наличие на експертен опит: Откриването на
заплахи и реагирането се извършват от
специалисти
2) Спестяване на разходи: Предприятията
могат да избегнат инвестирането в нови
работници и оборудване;
3) Ескалация: Услугите могат да се регулират в
зависимост от изискванията на бизнеса;
4) Постоянно наблюдение: Осигуряване на
постоянна сигурност;
5) Намаляване на риска: Експертните ресурси
са възложени на външни изпълнители.
Недостатъци
1) Загуба на контрол: Дружеството е зависимо
от доставчика;
2) Комуникационни предизвикателства:
Неразбирателство по отношение на
процесите;
3) Зависимост: Потенциален риск може да
възникне в случай на компрометиране на
сигурността;
4) Предизвикателства пред интеграцията: Трети
страни и съществуващи екипи се нуждаят от
координация;
5) Рискове, свързани със съответствието:
Неправилното разбиране на стандартите за
съответствие може да доведе до опасности.
Аутсорсингът изисква наемането на външна компания за киберсигурност, която да управлява
нуждите на бизнеса от сигурност. Това осигурява неограничен достъп до експертни познания и
високи технологии. Той обаче може да породи рискове, свързани с поверителността на данните и
управлението на доставчиците.
Аутсорсинг

програма
за
след
Отстраняване на неизправности в
системата
Отстраняването на неизправности е систематичен
подход за решаване на проблеми, който често се
използва за откриване и отстраняване на проблеми
със сложни машини, електроника, компютри и
софтуерни системи. Методологиите за
отстраняване на неизправности обикновено се
опитват да изолират даден проблем, за да може
той да бъде разгледан.
Пример: Когато лаптопът не иска да се стартира,
очевидно е, че първата стъпка е да проверите дали
захранващият кабел работи. След като бъдат
изключени общите проблеми, специалистите по
отстраняване на неизправности трябва да
преминат през контролен списък с компоненти, за
да установят къде се случва повредата.
Добри практики и примери
Стъпки за отстраняване на
неизправностите
1) Съберете информация;
2) Опишете проблема;
3) Определете най-вероятната
причина;
4) Създайте план за действие и
тествайте решението;
5) Прилагане на решението;
6) Анализирайте резултатите;
7) Документирайте процеса.

програма
за
след
● Фишинг атаките са най-често срещаният вид инциденти, с които се
сблъскват МСП, следвани от инфекциите със зловреден софтуер и
атаките с цел получаване на откуп (ENISA, 2021 г.).
● 60% от малките предприятия в Европейския съюз са преживели поне
един киберинцидент през 2020 г. (ENISA, 2021 г.).
● 26% от МСП в Обединеното кралство нямат въведени мерки за
киберсигурност, а само 16% имат план за управление на инциденти
в областта на киберсигурността (Национален център за
киберсигурност на Обединеното кралство, 2020 г.).
● 43% от европейските МСП са преживели киберинцидент през
изминалата година, а 67% от тези инциденти са довели до
съществено въздействие върху бизнеса (EY, 2021 г.).
● 49% от европейските МСП смятат, че киберсигурността е приоритет,
но само 37% имат план за реакция при инциденти (EY, 2021 г.)
Добри практики и примери - факти и цифри

програма
за
след
● Провеждате ли оценки на риска от кибер заплахи?
● Прилагате ли политики за киберсигурност?
● Използвате ли сигурни пароли и многофакторно удостоверяване?
● Редовно ли актуализирате софтуера и пачовете за сигурност?
● Осигурявате ли редовно обучение по киберсигурност?
● Използвате ли криптиране?
● Редовно ли създавате резервни копия на данните?
● Прилагате ли контрол на достъпа?
● Наблюдавате ли системите и мрежите?
Чрез възприемането на тези добри практики МСП могат значително да
подобрят своята киберсигурност и да намалят риска от кибератаки.
Помислете върху това:
Контролен списък: Във вашата компания ....?

програма
за
след
Киберсигурността е новият световен ред за
бизнеса, който днес е от голямо значение за
отдалечените служители.
Повишаването на осведомеността на
служителите и спазването на политиките на
ЕС е от решаващо значение за
киберсигурността. Работодателите трябва да
обучават служителите си как да разпознават и
избягват киберзаплахите.
Чрез осигуряването на обучение организациите
намаляват рисковете от нарушения на
сигурността на данните, които водят до
финансови щети и щети на репутацията.
Обучението на служителите е от съществено
значение за поддържането на силна позиция
по отношение на киберсигурността.
ОБОБЩЕНИЕ НА
РАЗДЕЛ 5

програма
за
след
Предлагаме ви кратък въпросник
за самооценка на степента, в
която сте разбрали
съдържанието.
Целта е да проверите и затвърдите
наученото.
Можете да се явите на теста
толкова пъти, колкото искате. Не
забравяйте, че тестът е само част
от процеса на научаване на нови
неща!
ВЪПРОСНИК ЗА
САМООЦЕНКА

програма
за
след
Референции
● Най-добри практики за обучение по киберсигурност за служителите, 2018 г.,
https://www.nationwide.com/business/solutions-center/cybersecurity/train-
employees
● Значението на киберсигурността за отдалечените служители, 2022 г.,
https://www.linkedin.com/pulse/importance-cybersecurity-remote-employees-
ark-solvers/
● 8 съвета и най-добри практики за обучение на служителите по
киберсигурност, https://www.coxblue.com/8-tips-and-best-practices-on-how-to-
train-employees-for-cyber-security/
● Киберсигурност на работното място,
https://my.pennhighlands.edu/ICS/IT_Services/Cyber_Security_Awareness_Materi
als.jnz?portlet=Free-form_Content_2017-10-06T15-24-11-858

програма
за
след
Референции
● Защо киберсигурността на работното място е отговорност на всички, 2022,
https://www.stickmancyber.com/cybersecurity-blog/why-cybersecurity-in-the-
workplace-is-everyones-responsibility
● Отстраняване на неизправности в МСП, https://shorturl.at/lISX7
● Годишен преглед на НЦОЗА, 2020 г., https://www.ncsc.gov.uk/news/annual-
review-2020
● Федерална търговска комисия, Киберсигурност за малкия бизнес, ,
https://www.ftc.gov/tips-advice/business-center/small-businesses/cybersecurity
● ENISA, 2021 г., Киберсигурност за МСП
https://www.enisa.europa.eu/publications/enisa-report-cybersecurity-for-smes
● SBA, Укрепете киберсигурността си, https://www.sba.gov/business-
guide/manage-your-business/strengthen-your-cybersecurity#section-header-6
● Проучване на резултатите от сигурността за 2021 г. - издание за малки и
средни предприятия, Cisco, https://shorturl.at/mzNT4

програма
за
след
Киберсигурността е
много повече от
проблем на ИТ отдела.
Стефан Наппо

програма
за
след
Можете да ни намерите в:
● https://prosper-project.eu/
● https://www.facebook.com/Workplace.SMEs.EU
● https://www.linkedin.com/company/workplace-smes/
Благодарим ви, че учите с нас!
www.prosper-project.eu

BG PROSPER - Module 1 - Unit 5.pptx

Recommended

Recommended

More Related Content

Similar to BG PROSPER - Module 1 - Unit 5.pptx

Similar to BG PROSPER - Module 1 - Unit 5.pptx (20)

More from caniceconsulting

More from caniceconsulting (20)

BG PROSPER - Module 1 - Unit 5.pptx