Як державним службовцям не стати жертвою кіберзловмисників і захистити себе у кіберпросторі? Поради від Держспецзв’язку
Протягом 2024 року тільки Урядова команда реагування на комп’ютерні надзвичайні події CERT-UA, яка діє при Держспецзв’язку, опрацювала 4315 кіберінцидентів. Із них 58% – це кібератаки на державний сектор та органи місцевого самоврядування. В цілому ж по країні таких випадків набагато більше. Від 2022 року та дотепер кількість кібератак постійно зростає.
Яких простих заходів кіберзахисту потрібно дотримуватися державним службовцям, щоб захистити не тільки себе, але і свою установу? Розповідають фахівці Держспецзв’язку.
Хакери постійно вдосконалюють підходи, техніки та інструменти
Окрім того, потрібно пам’ятати, що ворожі хакери постійно адаптуються під нові реалії, вдосконалюють інструменти, можуть швидко змінювати свої методи та тактики. У якості “приманок” часто використовують актуальні і болючі для українців теми. Наприклад, щодо військовополонених, різноманітних перевірок від контролюючих органів, або із закликами віддати голос за електронну петицію про присвоєння звання “Герой України” загиблому захиснику, чи проголосувати за якогось “знайомого” учасника конкурсу тощо.
Отже, бути пильними потрібно безперервно, так само як і працювати над посиленням кіберзахисту. І це стосується як керівників різних рівнів, так і виконавців, адже головний компонент безпеки в будь-якій системі – це людина. Тож мінімум – це дотримання правил кібергігієни кожним держслужбовцем, а також – регулярні навчання з кіберзахисту, вчасне звернення за допомогою.
Захист акаунтів – як державним службовцям не стати жертвою кіберзловмисників
Користуючись поштою, соцмережами, месенджерами, державним службовцям слід бути особливо уважними. Недотримання правил онлайн-безпеки навіть одним співробітником може зрештою поставити під загрозу всю організацію. Адже скомпрометований обліковий запис працівника може бути ключем для входу в більш складні системи.
“Зауважимо, що для вирішення ділових питань краще користуватися робочими пристроями (ноутбуком, телефоном тощо), де встановлені всі необхідні безпекові налаштування, а також використовувати службову електронну пошту. Для робочих листувань, надсилання службових документів, обговорення важливих питань особисті гаджети використовувати не треба”, – зауважують фахівці.
У будь-якому разі слід бути пильним. Найпростіший захист від неправомірного доступу кіберзловмисників – це створення надійних паролів та встановлення двофакторної автентифікації.
Паролі до акаунтів мають бути неочевидними, довгими, складатися з цифр, великих і малих літер, спецсимволів, не мають базуватися на особистій інформації (ім’я, прізвище, дата народження тощо). Паролі не можна повідомляти нікому, а також – зберігати на паперових носіях, пересилати їх у чатах чи поштою тощо.
Двофакторна автентифікація зі свого боку не дозволяє хакерам легко отримати доступ до акаунту, якщо пароль таки викрадено. Вона – обов’язкова, якщо ви хочете посилити онлайн-безпеку. Вона пропонує ще один додатковий рівень захисту. Це може бути додатково придуманий пароль (PIN), згенерований одноразовий код (Google Authenticator, Microsoft Authenticator) або фізичний USB-пристрій (апаратний ключ, токен). Водночас не рекомендовано використовувати одноразові SMS-коди, це недостатньо надійно.
Отже, у випадку використання двофакторної автентифікації зловмисникам буде складніше отримати доступ до облікового запису. А власник акаунту вчасно отримає сповіщення про загрозу зламу і необхідність зміни пароля.
Також важливо нагадати – щоб залишатися у безпеці, важливо пам’ятати й про інші правила безпеки в інтернеті, які дозволять держслужбовцю убезпечити і себе, і організацію чи установу:
-
зробити всі необхідні безпекові налаштування системи;
-
користуватися програмами-антивірусами;
-
регулярно оновлювати програмне забезпечення,
-
ні в якому разі не використовувати піратські програми (і категорично заборонено – російські);
-
не забувати про важливість резервного копіювання даних тощо.
Як хакери реалізують свої злочинні задуми? Одним із найпоширеніших інструментів залишається фішинг (спроба зловмисників дістати доступ до конфіденційних даних користувачів, маскуючись під надійні джерела). А електронна пошта – одним із найрозповсюдженіших каналів для фішингових атак.
Тому завжди потрібно звертати увагу на адресу відправника та на те, у якому вона домені (домен gov.ua – державних органів влади України). “Зауважимо, що листи від хакерів можуть імітувати повідомлення від офіційних органів, це треба теж брати до уваги”, – наголошують в Держспецзв’язку.
Також не слід переходити за посиланнями, відкривати та завантажувати вкладені у повідомленні файли, якщо вони викликають підозру. Особливо, якщо ви не чекали лист із вкладенням. Якщо є найменші сумніви, краще провести додаткову перевірку через інші канали зв'язку. Наприклад, зателефонувати відправнику і спитати, чи дійсно він надсилав такий лист із таким вкладенням. Насторожити повинен текст із помилками, русизмами, закликами терміново щось зробити. Те саме стосується і повідомлень в месенджерах, або соцмережах. Це допоможе убезпечити обліковий запис від зламу та запобігти втраті чутливої інформації.
Фішинговими можуть бути не тільки email-розсилання. Нерідко в інтернеті можна натрапити на фішинговий сайт. Такі також можуть імітувати якісь офіційні ресурси, зокрема і сайти фінансових установ, органів державної влади. Тож треба: перевіряти URL-адресу сайту, щоб не було відмінностей навіть в одній літері; без 100% впевненості у справжності сторінки, не залишати на ній будь-які конфіденційні дані.
Чи безпечно загалом державним службовцям користуватися соцмережами і месенджерами?
Так, якщо дотримуватися зага
Але підкреслимо – не використовуйте ніякі месенджери для вирішення робочих питань.
Користуючись соцмережами, також варто пам’ятати, що будь-яку чутливу, конфіденційну інформацію, яку можуть використати кіберзловмисники, у відкритому доступі поширювати небезпечно.
Як розпізнати, що телефон або комп’ютер уражений внаслідок дій хакерів?
Виявити це швидко не завжди можливо. Але є певні ознаки, які мають насторожити. Серед них:
-
значне уповільнення роботи техніки;
-
поява застосунків, яких власник не встановлював особисто, дивних повідомлень, зміна налаштувань;
-
нетипове споживання інтернет-трафіку, швидке розрядження батареї;
-
некоректна робота встановлених програм, збої в роботі техніки, наприклад, самовільне перезавантаження, самовільна робота курсора тощо.
У разі підозр, краще звернутися до фахівця з інформаційної безпеки.
До речі, на сайті https://haveibeenpwned.com/Passwords можна також перевірити, чи надійний пароль ви використовуєте і чи не був він скомпрометований.
Кібератаки і кіберзахист: куди звертатися за допомогою
В першу чергу у випадку кіберінцидентів на допомогу завжди повинен прийти фахівець з інформаційної безпеки з держоргану, організації чи установи.
Також уникнути кіберінцидентів чи відновитися після них як державним, так і приватним організаціям допомагає Урядова команда реагування на комп’ютерні надзвичайні події України CERT-UA, яка діє при Держспецзв’язку. Найефективніше для захисту від кіберзагроз – налагодити взаємодію з CERT-UA завчасно (контакти: incidents@cert.gov.ua, +38 (044) 281-88-25), щоб у разі загрози забезпечити швидку реакцію та ефективний захист критичних ресурсів.
Де навчатися державним службовцям
Сьогодні у відкритому доступі можна знайти багато корисної інформації щодо найпростіших правил кібергігієни. Наприклад, Держспецзв’язку постійно публікує рекомендації, дотримання яких допоможе залишатися у безпеці онлайн. Відео з порадами від фахівців можна подивитися також на сторінці в YouTube закладу освіти Служби – Інституту спеціального зв'язку та захисту інформації КПІ ім. Ігоря Сікорського. Стосовно установ, зокрема і державних, то нещодавно Держспецзв’язку та спільно з Києво-Могилянською академією за підтримки Проєкту ЄС EU4PAR запустили безкоштовний онлайн-курс “Кіберзахист для організацій”. Він буде корисним для керівників державних установ, фахівців з IT, системних адміністраторів, фахівців з HR та комунікацій і загалом для всіх, хто турбується про кібербезпеку. Для державних службовців передбачена можливість пройти навчання на платформі StudyiЯ Вищої школи публічного управління (для цього слід зареєструватися за посиланням).
Окрім того, щоб підвищити обізнаність державних службовців, можна запрошувати фахівців з кібербезпеки для проведення занять. Або долучатися до тренінгів з кібербезпеки, які регулярно проводять як державні, так і приватні організації.
