5. Регламенты: что делать до работы с ИИ

Красный список — запрещено загружать в публичные нейросети:

• Паспортные данные, СНИЛС, телефоны
• Финансовая отчётность до публикации
• Исходный код, ноу-хау, стратегические планы
• Документы с грифом «ДСП» (для служебного пользования)

Разрешённый подход:

• Не запрещать ИИ как таковой — давать корпоративный контур.
• Создайте одну корпоративную учётную запись с выключенным дообучением и ведите журнал запросов.

Три пункта безопасности для сотрудников:

1. «Сомневаешься — спроси».
2. «Файл с ПДн — табу».
3. Условие об увольнении за нарушение NDA.

6. Полный цикл атаки: от письма до шифровальщика

1. Фишинговое письмо — «Счёт на оплату.xls». Сотрудник скачивает архив.
2. Вредоносный макрос — обходит антивирус («машина с пропуском»).
3. Т+2ч. Закрепление — хакер находит незакрытый RDP и расшаренные папки.
4. Т+4ч. Атака — ночью запускается шифровальщик. Файлы .1CD превращаются в .locked.
5. Утро. Финал — красный экран, требование выкупа в Bitcoin. Бэкап на соседнем диске тоже зашифрован.

7. Базовая безопасность: план на завтра

Правило «3-2-1» для бэкапов:

• 3 копии данных.
• 2 разных носителя.
• 1 копия — вне офиса (внешний диск или облако с версионностью).

2FA везде, где возможно:
Пароль — это прошлое. Обязательно для бухгалтерии и директорского доступа.

Один сотрудник = один доступ:
Разграничение прав — базовый принцип цифровой гигиены.

Назначьте ответственного за ИБ:
Отсутствие штатного специалиста — не оправдание.

8. Что делать уже сегодня

1. Проведите аудит — проверьте, кто и куда загружает данные компании.
2. Включите 2FA — начните с бухгалтерии и директорского доступа.
3. Создайте регламент — простая инструкция на 1–2 страницы снизит риски в разы.
4. План на случай утечки — проверить источник → отключить доступ → уведомить РКН → восстановление из бэкапа.