НКО и цифровая безопасность - как защитить свой сайт

То, что вы делаете хорошее дело - не делает вас невидимыми или неинтересными для хакеров. Сайты благотворительных и гуманитарных организаций так же уязвимы, как сайты малого бизнеса, СМИ или образовательных проектов. А иногда - даже больше: потому что безопасность в некоммерческом секторе часто откладывается “на потом”. И это делает такие сайты удобной мишенью - не по персональному умыслу, а потому что они оказались в зоне риска .

Правильнее сказать - не начнут, а продолжают. Сайты НКО прекрасно взламывали, взламывают и продолжат взламывать. Это не страшилка из будущего (когда все другие сайты переломают возьмутся за НКО), а вполне современная сегодняшняя реальность.

Причины атак - разные. Но можно обратить внимание как минимум на три:

Технологические. Существуют автоматические средства - сканеры, боты, которые ищут уязвимости по миллионам сайтов. Им всё равно, кому принадлежит сайт. Уязвимость - это просто точка входа. Бот находит ее, запускает вредоносный код и ему все равно кто вы и что вы собой представляете.

Экономические. Сайт - это ресурс. Его могут использовать для установки майнеров, вымогательства, размещения ссылочного мусора, скрытых редиректов или включения в ботнет. НКО в этих сценариях - не субъект, а “сырьё”. В конце концов вас могу взломать просто для того чтобы потренироваться или проинструктировать новичка, но вам от этого легче не станет.

Политические. В силу социальной, географической и любой другой принадлежности, сайты НКО могут подвергаться взлому по политическим мотивам. Для той или иной организации, группировки или даже кибер-армии это просто дело принципа или “борьбы” за какие-то свои цели. Вы и ваша работа не имеет к этому отношения, но им все равно.

Мы в Бюро видели всякое: шифрование с вымогательство в социальном СМИ, китайскую порнографию на сайте музея истории, мошеннические атаки на инфраструктуру монастыря и спам-атаки на благотворительный фонд. Примерно каждый проект обновления устаревших сайтов начинается с того, что приходится разгребать последствия подобных “запустений”, о которых владельцы ресурсов бывает что и не подозревают.

Вопрос в такой формулировке - сам по себе ловушка.

Он рождается из вполне понятного когнитивного искажения: безопасность кажется абстрактной и необязательной, пока не произошло что-то плохое. Пока не взломали, не украли данные, не заблокировали. И тогда мы начинаем действовать в панике - а паника плохой помощник. Она ведёт к чрезмерным или неудобным мерам, которые потом саботируются или просто не приживаются. И далее все опять по кругу.

Безопасность - это не что-то что можно достать из кармана, когда припекло. Это среда, в которой становится удобнее и естественнее работать защищено, чем “как бог даст”. И именно так она и должна быть устроена: чтобы не-безопасно становилась неудобным.

Отсюда мой призыв к руководителям всех рангов всех мастей - Сделайте безопасное - нормой. Стройте процессы безопасности также, как и все другие процессы - постоянно, системно, постепенно.

Самый частый сбой в этом разговоре - ожидание волшебного чек-листа, который “всё исправит, но ничего не потребует”. И вы, скорее всего, сейчас его ждете - это нормально. Но безопасная цифровая среда строится не на “разовых решениях”, а на системе, встроенной в повседневную работу.

Какие компоненты может включать такая система применительно к сайту ?

Кто-то должен понимать: где зарегистрированы домен, хостинг, подключённые сервисы и зачем они нужны; у кого есть доступы, почему, и где они хранятся; куда обращаться, если сайт не работает или “ведёт себя странно”.

Если нет такого человека - определите его, поставьте ему эту задачу, узнать, зафиксировать, навести порядок и дальше - контролировать, что все сообразно с этим порядком происходит. Спрашивайте с него периодический отчет - о том что происходит с сайтами, все ли с ними в порядке, что им нужно для нормальной работы.

Почему это работает: Ответственность за состояние сайта перестает быть формальной, а становится рабочей рутиной, которой занят конкретный человек. Меньше хаоса при инцидентах, быстрее восстановление, понятные действия в разных в том числе критичных ситуациях.

Несколько хороших практик

Почему это работает: сложнее использовать взломанные или утекшие данные, чтобы навредить сайту, сложнее обнаружить или подобрать вход на сайт, если взломают одного сотрудника, это не сможет существенно навредить сайту.

Введите внутренние правила цифровой гигиены и проверяйте как она выполняется несмотря на сопротивления сотрудников (оно будет):

Почему это работает: большинство взломов начинаются не с сайта, а с почты, мессенджера или незаметной халатности.

Почему это работает: Инфраструктура существенно влияет на степень защищенности сайта, когда вы ее арендуете, вы арендуете в том числе и практики безопасности - пользуйтесь ими, это выходит часто экономичнее и эффективнее, чем пытаться создать собственные системы.

Рекомендуем выстроить регулярную работу с сайтом

Почему это работает: 80% взломов - через известные уязвимости. Не упрощайте хакерам жизнь добровольно.

Поговорите со своим подрядчиком. Используйте информационный повод, который до вас дошел - например об очередном громком взломе, как вопрос “что нам стоит улучшить сегодня”, наверняка получится список из 1-2-3-5 пунктов. Создайте и внедрите план этих исправлений. Возможно вы не решите всех проблем сразу - но постепенно движение и делает ситуацию лучше и надежнее.

Если подрядчика нет - спросите у нас, бюро ))) Бюро Анны Ладошкиной. Это может быть короткий разговор, но он даст вам наиболее необходимые шаги.

Подозреваю, что все, о чем мы говорили выше, - не новость. Вы это уже где-то слышали. Может быть, даже пробовали. И, скорее всего, сейчас ждали волшебной таблетки. Простого списка, после которого можно было бы выдохнуть и снова “не думать об этом”.

Простите, если я вас разочаровала.

Но если вдруг очередной громкий взлом, о котором пишут в новостях, станет для вас поводом что-то поменять - пусть так и будет. Это просто отлично. Не стоит добровольно упрощать хакерам жизнь )))

Полный комментарий и рекомендации читайте на сайте Агентства социальной информации