Ошибки, которые приводят к проблемам с безопасностью

Пять основных ошибок, совершаемых конечными пользователями:

· Пренебрежение установкой антивирусного программного обеспечения, обновлением антивирусных сигнатур и их применением ко всем файлам.

· Открытие незапрошенных вложений в электронные сообщения без предварительной проверки их источника и содержимого, либо запуск игр или хранителей экрана или других программ из недоверенных источников.

· Пренебрежение установкой обновлений безопасности, особенно для Microsoft Office, Microsoft Internet Explorer, Firefox и Netscape.

· Пренебрежение созданием резервных копий и их тестированием.

· Подключение более чем к одной сети, такой как беспроводная сеть или Ethernet, либо использование модема во время работы в локальной сети.

Семь основных ошибок, совершаемых высшим руководством

· Делегирование обязанностей по обеспечению безопасности необученным людям, а затем не предоставление им ни обучения, ни времени на то, чтобы они были в состоянии грамотно выполнять свои обязанности.

· Не понимание взаимосвязи между информационной безопасностью и проблемой бизнеса -- они понимают смысл физической безопасности, однако не видят последствий низкого уровня информационной безопасности.

· Неадекватное управление операционными аспектами безопасности: делаются некоторые исправления и затем не осуществляются контрольные процедуры, необходимые для того, чтобы гарантировать, что проблемы действительно были устранены.

· Надежды возлагаются, главным образом, на межсетевой экран (Firewall).

· Не осознование того, сколько стоит информация и репутация организации.

· Поощрение реактивных краткосрочных мер, после принятия которых те же самые проблемы быстро возникают снова.

· Ожидание что проблема исчезнет сама, если ее проигнорировать.

Одинадцать основных ошибок, совершаемых специалистами в области информационных технологий

· Подключение систем к Интернет без предварительного принятия мер по усилению защиты.

· Подключение тестовых систем к Интернет с оставленными по умолчанию учетными записями и/или паролями.

· Не обновление систем, после того как в них были обнаружены уязвимости защиты.
Использование для управления системами, маршрутизаторами, межсетевыми экранами и PKI telnet и других протоколов, не поддерживающих шифрование.

· Предоставление пользователям паролей по телефону или смена их паролей в ответ на телефонный звонок или персональную просьбу, когда запрашивающий смену пароля не аутентифицирован.

· Пренебрежение созданием и тестированием резервных копий.

· Запуск сервисов, в которых нет необходимости, особенно это касается ftpd, telnetd, finger, rpc, mail и rservices

· Внедрение межсетевых экранов, правила которых не останавливают злонамеренный или опасный входящий или исходящий трафик.

· Пренебрежение внедрением или обновлением антивирусного программного обеспечения.

· Пренебрежение обучением пользователей тому, на что следует обращать внимание и что делать, когда они обнаруживают потенциальную проблему с безопасностью.

· Разрешение необученным и несертифицированным людям брать на себя ответственность за обеспечение безопасности важных систем.