Как Zoom может помочь оставаться в безопасности в киберпространстве

С каждым годом киберпреступники становятся все более изощренными и проводят многоуровневые, сложные атаки, которые направлены на людей, находящихся в наиболее уязвимом положении. Теперь хакеры и мошенники внедряются в жизнь своих жертв с помощью изощренных схем, призванных застать людей врасплох и воспользоваться их добротой. Хотя по-прежнему настоятельно рекомендуется использовать частные сети, уникальные пароли и блокировать устройства, вы также должны выбирать поставщиков инструментов и программного обеспечения, которые применяют надежные и эффективные меры для обеспечения безопасности ваших данных. 

Рабочее место может быть столь же уязвимо для взлома, если сотрудники неосознанно загружают вредоносное ПО или случайно раскрывают конфиденциальные данные не той аудитории. С учетом этого ниже приведены несколько советов, которые помогут оставаться в безопасности в интернете при использовании Zoom, а также информация о программах безопасности, которые мы применяем для защиты данных наших клиентов и сотрудников. 

Загружаете ли вы приложение Zoom Workplace впервые или обновляете его до последней версии, убедитесь, что вы получаете доступ к нему из надежного источника, такого как веб-портал Zoom, само приложение или официальная платформа, например Apple App Store.

Если вы получили сообщение электронной почты с предложением загрузить последнюю версию Zoom Workplace, которого вы не ожидали, внимательно проверьте домен отправителя (кому будет направлен ответ) и наведите курсор на ссылку для загрузки (не нажимая ее), чтобы убедиться, что она подлинная. Если ссылка не указывает на реальный домен Zoom (например, zoom.com, zoom.us), лучше не переходить по ней.    

Ниже приведены два сообщения электронной почты, которые выглядят подлинными, но на самом деле поддельные.

Как только вы убедитесь, что загружаете Zoom Workplace из подлинного источника, обязательно обновите приложение, чтобы получить доступ к новейшим функциям, исправить все ошибки и наслаждаться аудио и видео наилучшего качества. 

Есть несколько шагов, которые можно предпринять, чтобы сохранить конфиденциальность виртуального мероприятия и предотвратить присутствие незваных гостей на конференции или вебинаре. Прежде всего, не используйте свой идентификатор персональной конференции (PMI) для каждой новой конференции. Посторонние могут сорвать вашу следующую конференцию, если у них есть доступ к вашему PMI со старой конференции. Используйте PMI исключительно для внутренних конференций с людьми, которых вы знаете. 

После начала конференции рекомендуем включать зал ожидания, чтобы можно было разрешать вход всем, кто пытается войти, и не пускать посторонних. Разрешите присоединяться только зарегистрированным пользователям и блокируйте конференцию после ее начала. Кроме того, у посетителей, выполняющих вход, можно требовать ввести секретный код, отключить их видео и выключить звук, чтобы избежать нежелательных или неуместных разговоров. Также рекомендуем предоставлять функции демонстрации экрана и комментирования только организаторам или конкретным посетителям. Для этого необходимо отключить параметр «Демонстрация экрана», после чего также будут выключены все функции комментирования.

Чтобы узнать подробнее о том, как оставаться в безопасности на платформе Zoom, посетите наш центр безопасности.

Большинство людей уже знают, что необходимо создавать сложные пароли, которые не повторяются в разных приложениях и на разных устройствах. Однако мы предлагаем интеграции системы единого входа и двухфакторной аутентификации, чтобы добавить дополнительный уровень защиты и сделать доступ к приложению Zoom Workplace простым, безопасным и удобным. 

Наша функция системы единого входа позволяет использовать одни и те же учетные данные для поставщика идентификационных данных организации, поэтому не нужно хранить отдельные имена пользователей и пароли. Двухфакторная аутентификация повышает уровень безопасности, представляя собой двухэтапный процесс входа в систему: ввод одноразового кода, сгенерированного в мобильном приложении или текстовом сообщении, в дополнение к основному входу в систему Zoom.

С повсеместной популяризацией работы «на удаленке» совместное использование экрана и доступ к удаленному управлению стали важными инструментами для совместной работы; внимательно принимайте решения о том, какую функцию использовать и когда. Функция демонстрации экрана позволяет докладчикам показывать визуальный контент, например слайды, демонстрации и учебные материалы, с возможностью комментирования общих экранов для организаторов и участников. Удаленное управление же позволяет одному участнику получить доступ к экрану другого с его же разрешения, что обычно используется для IT-поддержки, установки программного обеспечения или совместного редактирования документов.

Обе функции имеют важные аспекты безопасности. Среди рисков совместного использования экрана — случайное раскрытие конфиденциальной информации и возможные сбои в работе конференции, если разрешения не ограничены должным образом. Удаленное управление тем временем несет более серьезные риски, так как оно предоставляет внешним пользователям полный доступ к функциям вашего компьютера, вплоть до управления мышью и клавиатурой, что чревато вредоносными действиями, если доступ предоставлен ненадежным лицам.

Конечно, обычно никто не планирует намеренно передавать доступ к своему компьютеру злоумышленникам, но они становятся все более хитрыми и продвинутыми, и любой однажды может случайно предоставить доступ не тому человеку. Вот несколько рекомендаций относительно безопасного использования этих функций:

• Разрешите демонстрацию экрана только организаторам и определенным участникам — например, соорганизаторам или докладчикам. Круг лиц можно ограничить в настройках по умолчанию, или же по мере необходимости — через функции конференции. 
• Демонстрируйте экран, предварительно убедившись, что у вас нет открытых конфиденциальных документов и вкладок. По возможности показывайте только конкретные приложения или вкладки.

Перед предоставлением удаленного доступа к вашему компьютеру выполните следующие шаги, чтобы предотвратить вредоносные действия: 

• Не общайтесь со сторонними контактами: Вы должны направлять запросы на поддержку надежному источнику, а не наоборот. Не переходите по ссылкам и не принимайте запросы от людей, которых вы не знаете или с которыми не связывались сами.
• Лучше перепроверить: Если кто-то утверждает, что он является представителем какой-либо организации, самостоятельно проверьте личность этого человека. Найдите его официальные контактные данные (не те, которые он предоставил, а те, что указаны на сайте компании) и свяжитесь с ним напрямую.
• Срочность — повод усомниться: Мошенники часто создают чувство паники, чтобы поторопить вас с принятием решения. Не торопитесь, задавайте вопросы, и не позволяйте никому оказывать на вас давление.
• Учитывайте все особенности удаленного управления: Предоставление доступа к удаленному управлению означает, что вы должны быть уверены в том, что хотите дать другому человеку контроль над вашим компьютером. Внимательно проверьте, кому вы даете разрешение на подключение: на этом этапе злоумышленники могут выдавать себя за других людей, чтобы получить доступ к вашему устройству.

В Zoom предусмотрено несколько встроенных элементов управления, призванных помочь вам с безопасной передачей удаленного доступа, в частности:

• Просмотр списка участников: Если вы являетесь организатором конференции Zoom с большой группой участников или у вас на конференции присутствуют посетители, не авторизованные в учетной записи Zoom, вы можете внимательно просмотреть список участников до начала конференции, чтобы знать, кто может запросить доступ к удаленному управлению. 
• Отмена доступа: Если вы подозреваете злонамеренные действия со стороны кого-то из участников, вы можете немедленно отменить его доступ к удаленному управлению. Это можно сделать через элементы управления конференцией Zoom, нажав на значок «Удаленное управление» и далее «Остановить удаленное управление».
• Блокирование конференции: Если вы являетесь организатором конференции, вы можете заблокировать ее, чтобы запретить присоединяться новым участникам.
• Отключение функции удаленного управления для участников: Как организатор, вы можете по умолчанию отключить функцию удаленного управления для всех участников, если эта функция не нужна. Если вы являетесь гостей конференции, вы можете воспользоваться опцией «Запретить управление моим экраном для сторонних пользователей» в настройках учетной записи. 

Участники конференций не всегда могут быть знакомы друг с другом, поэтому мы разработали дополнительные функции, которые способствуют укреплению доверия и обеспечивают более безопасное взаимодействие при общении с другими людьми.

• Ассоциация доменов (доступна для платных учетных записей с уровнем лицензии Zoom Бизнес и выше) подтверждает ваш домен и отображает его на вашей карточке профиля Zoom, чтобы он был виден другим в Team Chat, на конференциях и вебинарах. Владельцы и администраторы соответствующих учетных записей могут включить эту функцию на уровне учетной записи, чтобы обеспечить уверенность в том, что все взаимодействующие пользователи (как внутри, так и вне организации) на платформе Zoom будут видеть, что учетная запись действительно связана с организацией. Это полезно для идентификации пользователей в вашей собственной организации и подтверждения того, что сторонние участники используют проверенные домены.
• Аутентификация Zoom Okta для сквозного шифрования позволяет организациям проверять личность участников конференции с помощью платформы управления идентификацией Okta. Эта функция, доступная для платных учетных записей, помогает снизить риски безопасности и подтвердить, что лица, присоединяющиеся к конференциям E2EE, действительно являются теми, за кого себя выдают. При присоединении к конференции возле имени пользователя будет отображаться значок, указывающий, что личность пользователя подтверждена. Наведите курсор на значок, чтобы просмотреть информацию об этом человеке — например, адрес его электронной почты и домен компании, связанный с его учетной записью Okta. Подробнее об аутентификации Okta можно прочитать здесь.

В комплексе эти функции не дают злоумышленникам и шанса выдать себя за реальных пользователей или представителей организации в Zoom Team Chat, Meetings и Webinars. 

Благодаря нашей дополнительной функции сквозного шифрования (E2EE) (в настоящее время доступна для Zoom Meetings и Zoom Phone) криптографические ключи известны только устройствам участников. Включение этой функции добавляет дополнительный уровень защиты, позволяя вам легко общаться с помощью различных решений Zoom, но при этом некоторые функции Zoom будут ограничены. 

Узнайте подробнее о шифровании на платформе Zoom Workplace здесь.

Более того, наша новая функция постквантового шифрования E2EE поможет обезопасить ваши данные в настоящее время и в будущем. Этот повышенный уровень шифрования призван защитить ваши текущие данные Zoom Meetings, Zoom Phone и Zoom Rooms и уберечь их от потенциальных беспрецедентных угроз, которые могут быть созданы только квантовыми компьютерами.

Ответственность за кибербезопасность несут не только наши ИТ-отделы или отделы безопасности. Мы рассчитываем на то, что все сотрудники Zoom будут осведомлены о киберугрозах, и разработали множество инициатив и ресурсов для обучения их методам защиты от киберугроз.

Наши программы повышения осведомленности о безопасности и обучения выходят за рамки основ и специально разработаны для создания запоминающихся впечатлений у сотрудников, чтобы закреплять важные навыки и знания в течение всего года. Некоторые из этих мероприятий:

• ежемесячные кампании по повышению осведомленности о кибербезопасности и информирование по актуальным и злободневным темам;
• ежегодное обучение в сфере информационной безопасности по таким темам, как фишинг, реагирование на инциденты, политики, угрозы, атаки и многое другое; 
• обучение на основе ролей для отдельных сотрудников, например, тех, кто имеет определенные привилегии, доступ к написанию или редактированию кода;
• регулярное проведение имитаций фишинга с немедленной обратной связью от пользователей, закреплением знаний и встроенной геймификацией;
• микрообучение по различным темам, сертификациям и соблюдению нормативно-правовых требований; 
• программа «Посол по вопросам осведомленности о безопасности», включающая в себя участников межфункциональных команд, которые обсуждают текущие вопросы безопасности, предоставляют обратную связь, распространяют информацию и передают сообщения своим командам и отделам.

Помимо внутренних программ безопасности для сотрудников, мы также курируем различные инициативы в наших крупных сообществах, которые помогают нам снижать риски, стимулировать инновации и продолжать совершенствовать наши услуги. Примеры приведены ниже.

• Программа Bug Bounty. Мы сотрудничаем с исследователями в области безопасности, которые находят потенциальные уязвимости в Zoom и должным образом сообщают о них (и платим им!), чтобы исправлять проблемы до того, как они станут известны общественности.
• Разведка угроз безопасности. Мы ищем информацию о конференциях Zoom Meetings, случайно размещенную в открытых источниках, и затем уведомляем клиентов о том, как они могут защититься от бомбардировок сообщениями в Zoom.
• Управление уязвимостями. Мы постоянно сканируем наши системы, чтобы поддерживать их в актуальном состоянии благодаря оперативным обновлениям.
• Спонсирование HackerOne. Мы спонсоры и участники мероприятий компании HackerOne, в рамках которых у нас есть возможность вести коллективную работу с талантливыми этичными хакерами со всего мира и совместными усилиями повышать безопасность нашей платформы. 

Чтобы проходить многочисленные сертификации и аттестации, мы должны постоянно заботиться о том, чтобы наши продукты и услуги соответствовали строгим стандартам безопасности и конфиденциальности. Мы гордимся тем, что наши продукты признаны многими наиболее известными мировыми организациями и получили сертификаты в таких областях, как: 

• конфиденциальность и облачные вычисления; 
• система конфиденциальности данных;
• средства контроля безопасности и соблюдения нормативно-правовых требований;
• стандарты безопасности, разработанные несколькими мировыми правительствами;
• соблюдение нормативно-правовых требований PCI.

Ознакомьтесь с полным списком аттестаций, сертификаций и стандартов Zoom.

Поговорка гласит, что практика — путь к совершенству. Учитывая это, мы постоянно совершенствуем наши меры безопасности и инновации продуктов, чтобы наши сотрудники и клиенты могли более свободно общаться и вести коллективную работу. Мы постоянно предоставляем сотрудникам и клиентам ресурсы и курсы обучения, поэтому предвидим, что в будущем будет меньше кибератак, а онлайн-среда будет более безопасной. 

Будьте в курсе всех наших новостей о безопасности и конфиденциальности в нашем центре доверия.