Страница 2.1

Зачем это знать

Информационная безопасность — не история «службы». Это про вас, ваш ноутбук и вашу ответственность.

Когда вы работаете в офисе, инфраструктура защищает вас по умолчанию: контролируемая сеть, физический пропускной режим, коллеги вокруг, которые что-то заметят. Дома этих стен нет. Каждый сотрудник на удалёнке — это отдельная точка входа в корпоративную сеть. И уровень защиты всей компании равен уровню самого слабого звена.

Цена нарушения

Источник: Положение об информационной безопасности (024-2023), Политика ИБ (Приказ 028-2024), Перечень информации, составляющей коммерческую тайну (002-2024).

Страница 2.2

Три слоя защиты

ИБ дома работает как щит из трёх слоёв. Каждый слой важен, но самый важный — поведенческий: его обеспечиваете вы.

Страница 2.3

Слой 1. Технологии

Что компания уже сделала за вас, чтобы вы не думали.

Что обязательно

• Корпоративный ноутбук. Выдаётся работодателем перед началом дистанционной работы. На нём предустановлены антивирус, средства шифрования и контроля. Личное устройство для доступа к корпоративным информационным системам — запрещено.
• Cisco AnyConnect. Единственный одобренный VPN-клиент. Работает по принципу «весь трафик через корпоративный шлюз — пока подключён». При обрыве — переподключиться, до этого момента к корпоративным системам не обращаться.
• Многофакторная аутентификация. Где включена — там обязательна. Не пропускать запрос подтверждения «потому что я уже заходил».
• Антивирус включён всегда. Если он показывает предупреждение — не закрывать окно «потом разберусь», а немедленно обращаться в техподдержку.

Пароли

• Длина — от 10 символов. Заглавные, строчные, цифры, спецсимволы — всё вместе.
• Не повторять пароли между корпоративными и личными аккаунтами. Никогда.
• Не записывать пароль на стикерах, в файле passwords.txt на рабочем столе или в заметках телефона без шифрования.
• Менять при подозрении на компрометацию (странные входы, фишинговые письма, утеря устройства).

Передача паролей и ключей доступа

Если по работе нужно передать кому-то пароль или временный ключ — никогда не отправляйте его в том же канале, что и логин. То есть: логин — почтой, пароль — по телефону или в корпоративном мессенджере. Идеально — сообщайте получателю, что данные пришли, а сам пароль отдавайте устно или через одноразовую ссылку.

Источник: Положение об информационной безопасности (024-2023), разделы 4–6; Политика ИБ (Приказ 028-2024), раздел 8 «Требования по обеспечению ИБ»; Положение о порядке использования ИС (041-2023).

Страница 2.4

Слой 2. Поведение

Главное в ИБ — не настройки, а ежедневные привычки. Здесь — пять самых важных.

1. Монитор не виден семье и гостям

Дома экран часто видят больше людей, чем в офисе. Корпоративные документы могут содержать персональные данные, коммерческую тайну, финансовые показатели — это не для глаз родственников, друзей и тем более незнакомых людей.

• Рабочее место — спиной к стене или в углу, чтобы посторонние не видели экран.
• Если работаете в кафе или коворкинге — экранная плёнка-фильтр (выдаётся IT по запросу).
• На видеовстрече с включённой камерой — следите, чтобы за спиной не было видно конфиденциальных документов на стене или мониторе второго экрана.

2. Блокировка экрана при любом отходе

Простое правило: встал — заблокировал. Пошёл за чаем, открыл дверь курьеру, на пять секунд зашёл в соседнюю комнату — нажал Win + L (Windows) или Ctrl + ⌘ + Q (macOS).

Автоблокировка через 5 минут — настроена централизованно. Но 5 минут — это много. Привычка блокировать вручную — золотая.

3. Подозрительные письма — не открывать вложения

Признаки фишингового письма:

• Срочность: «прямо сейчас», «через час уволят», «оплата завтра пропадёт».
• Неожиданный отправитель — «бухгалтерия» с адреса buh@gmail.com, «руководитель» с похожего, но не совсем правильного домена.
• Незнакомое вложение — .zip, .exe, документ, требующий «включить макросы».
• Просьба перейти по ссылке для авторизации — особенно если ссылка длинная, нечитаемая или ведёт не на корпоративный домен.

4. Утеря или кража техники — немедленно сообщить

Корпоративный ноутбук, телефон, токен, бейдж — всё, что может дать доступ к корпоративным системам, относится к этому правилу.

• Сразу — не «когда станет удобно». Каждая минута — это окно для злоумышленника.
• Куда сообщать: служба корпоративной защиты, ваш руководитель, IT-поддержка. Параллельно, не последовательно.
• Запросить блокировку учётной записи и удалённое стирание устройства.

5. Чистый стол и чистый экран

В конце рабочего дня:

• Закрыть все рабочие документы и приложения.
• Убрать со стола распечатки с конфиденциальной информацией — в шкаф, не оставлять на виду.
• Заблокировать экран, лучше выключить ноутбук.

Источник: Политика ИБ (Приказ 028-2024), раздел 10 «Основные требования к работникам»; Инструктаж по удалённому доступу.

Страница 2.5

Слой 3. Правила и запреты

Что прямо запрещено корпоративными нормативными актами.

NDA и режим коммерческой тайны

Каждый работник, имеющий доступ к информации, составляющей коммерческую тайну (КТ), подписывает соглашение о неразглашении. Перечень того, что является КТ в Группе компаний, определён Положением 002-2024 «Перечень информации, составляющей КТ».

В этот перечень входят, в частности:

• сведения о производственных технологиях, методиках, ноу-хау;
• финансовые показатели, не подлежащие публичному раскрытию;
• планы развития, инвестиционные программы;
• условия договоров с контрагентами и партнёрами;
• персональные данные работников и клиентов;
• результаты внутренних расследований и аудитов.

Документ с грифом «Коммерческая тайна» обращается по правилам, описанным в Приказе 120-2024 «Инструкция о порядке обращения с конфиденциальными документами»: учёт по реестру, передача только под подпись, хранение в опечатываемых шкафах или на защищённых серверах, уничтожение по акту.

Что прямо запрещено

Контроль использования информационных ресурсов

В соответствии с Положением П.ГНС-013-2024 работодатель ведёт автоматизированный контроль действий работников в корпоративных информационных системах: подключения к ресурсам, передача файлов, использование почты. Это не про «слежку» — это про возможность расследовать инцидент, если он случится.

Каждый работник, получающий доступ к ИС, подписывает Лист ознакомления с этим положением. Это означает: вы знаете, что ваши действия в корпоративной системе фиксируются, и согласны с этим как с условием доступа.

Источники: Положение 002-2024 (Перечень КТ); Приказ 028-2024 (Политика ИБ); Приказ 030-2024 (Положение о порядке разработки КТ); Приказ 039-2024 (Режим защиты КТ); Приказ 120-2024 (Обращение с конф. документами); Положение П.ГНС-013-2024 (Контроль ИР); Положение 041-2023 (Порядок ИС).

Страница 2.6 · Тренажёр

«Найди нарушение»

Перед вами — упрощённая схема рабочего стола сотрудника на удалёнке. Нарушений ИБ — несколько. Ваша задача — кликать по подозрительным элементам и проверять догадку.

Тренажёр работает на условной схеме. Реальные скриншоты будут добавлены заказчиком на следующей фазе подготовки курса.

Страница 2.7 · Проверка знаний

Тест по модулю 2

Семь вопросов. Проходной балл — 5 правильных. Можно пересдавать сколько угодно раз.