Öryggisúttekt fyrir lítil fyrirtæki sem skilar árangri

Lyklaborð sem starfsmaður skilur eftir ólæst, gamall Microsoft 365 aðgangur fyrrverandi starfsmanns eða öryggisafrit sem hefur aldrei verið prófað geta öll orðið dýr rekstrarvandi. Öryggisúttekt fyrir lítil fyrirtæki snýst um að finna slíka veikleika áður en þeir valda stöðvun, gagnatapi eða fjárhagslegu tjóni. Markmiðið er ekki að gera reksturinn flóknari heldur að skapa skýra mynd af áhættunni og ákveða hvað þarf að laga fyrst.

Af hverju lítil fyrirtæki þurfa raunhæfa öryggisúttekt

Lítil fyrirtæki eru oft með færri varnir en stærri fyrirtæki, en geta engu að síður geymt verðmæt viðskiptaupplýsingar, persónuupplýsingar, fjárhagsgögn og samninga. Árásaraðilar velja ekki alltaf stór nöfn. Þeir leita gjarnan að fyrirtækjum þar sem uppfærslur dragast, lykilorð eru endurnotuð eða starfsfólk hefur víðtækan aðgang án þess að það sé nauðsynlegt.

Afleiðingarnar eru ekki eingöngu tæknilegar. Þegar tölvupóstur, bókhaldskerfi, skráageymsla eða samskipti við viðskiptavini stöðvast, tapast vinnustundir og traust. Fyrirtæki geta þurft að svara viðskiptavinum, lögmönnum, tryggingafélagi eða eftirlitsaðilum áður en eðlilegur rekstur kemst aftur af stað. Fyrir lítið teymi getur jafnvel stutt truflun haft veruleg áhrif á tekjur og þjónustu.

Góð úttekt hjálpar stjórnendum að svara einfaldri spurningu: Ef eitthvað fer úrskeiðis á morgun, vitum við hvað er í hættu, hver ber ábyrgð og hversu fljótt við getum haldið áfram?

Öryggisúttekt fyrir lítil fyrirtæki er ekki bara skjal

Það er freistandi að líta á úttekt sem afgreitt verkefni sem endar í skýrslu. Slík nálgun skilar litlu ef niðurstöðurnar verða ekki að breytingum í daglegum rekstri. Öryggi byggist á því hvernig notendareikningum er stjórnað, hvort tæki fá uppfærslur, hvernig starfsfólk meðhöndlar tölvupóst og hvort hægt sé að endurheimta gögn þegar á reynir.

Þess vegna þarf úttekt að tengja tæknileg atriði við rekstraráhrif. Það skiptir til dæmis ekki mestu máli að uppfærsla vanti á eina tölvu sem slíkt. Mikilvægara er að vita hvort tölvan hefur aðgang að viðkvæmum gögnum, hvort hún er notuð utan skrifstofu og hvort bilunin gæti opnað leið inn á fleiri kerfi.

Við hjá nexIT vinnum út frá þeirri hugsun að eigendur og rekstrarstjórar eigi að fá forgangsraðaða áætlun, ekki langan lista af hugtökum sem erfitt er að bregðast við. Sumar úrbætur eru einfaldar og fljótar. Aðrar kalla á fjárfestingu eða breytingu á vinnulagi. Báðar tegundir þurfa skýran eiganda og tímasetningu.

Hvað þarf að skoða fyrst

Árangursrík úttekt byrjar á yfirsýn. Fyrirtækið þarf að vita hvaða kerfi það reiðir sig á, hvar gögn eru vistuð, hvaða tæki tengjast netinu og hverjir hafa aðgang. Þetta hljómar einfalt, en mörg fyrirtæki uppgötva að þau hafa ekki uppfærða skrá yfir fartölvur, síma, notendareikninga, hugbúnaðaráskriftir eða utanaðkomandi aðila með aðgang.

Síðan þarf að skoða auðkenningu og aðgangsstýringu. Er fjölþáttaauðkenning virk á tölvupósti, skráageymslu og fjaraðgangi? Eru stjórnandaaðgangar takmarkaðir? Hvað gerist þegar starfsmaður hættir eða skiptir um hlutverk? Ef fyrirtækið getur ekki lokað aðgangi fljótt og örugglega er áhættan meiri en hún þarf að vera.

Tæki og hugbúnaður koma næst. Úttekt ætti að staðfesta að stýrikerfi, vafrar og lykilforrit fái öryggisuppfærslur. Hún ætti einnig að kanna hvort endabúnaður sé varinn gegn spilliforritum, hvort dulkóðun sé virk á fartölvum og hvort starfsfólk geti sett upp óheimilan hugbúnað án eftirlits. Það er ekki alltaf rétt að beita sömu reglum á hvert tæki. Tölva sem aðeins er notuð á skrifstofu hefur aðra áhættu en fartölva sem fer daglega á milli heimila, funda og almennra neta.

Tölvupóstur og mannlegi þátturinn

Flestar alvarlegar árásir byrja ekki með því að brotist sé dramatískt inn í netkerfi. Þær byrja með trúverðugum tölvupósti. Falskur reikningur, beiðni um að breyta bankaupplýsingum eða skrá sem lítur út eins og venjulegt viðhengi getur komist fram hjá tæknilegum vörnum ef starfsmaður er undir tímapressu.

Úttektin þarf því að meta bæði tæknina og verklagið. Eru grunsamleg skilaboð stöðvuð eða merkt? Getur starfsfólk tilkynnt þau með einföldum hætti? Er til ferli fyrir greiðslur eða breytingar á bankareikningum sem byggir ekki eingöngu á tölvupósti? Stutt, regluleg fræðsla sem byggir á raunverulegum aðstæðum fyrirtækisins er oft áhrifaríkari en löng námskeið sem fólk gleymir eftir viku.

Markmiðið er ekki að gera starfsfólk tortryggið í öllum samskiptum. Markmiðið er að skapa heilbrigða staðfestingarvenju þegar beiðni varðar peninga, lykilorð, viðkvæm gögn eða óvenjulegan hraða.

Öryggisafrit sem virkar þegar mest liggur við

Öryggisafrit er eitt af mikilvægustu atriðum úttektarinnar og eitt það misskildasta. Að gögn séu afrituð þýðir ekki sjálfkrafa að hægt sé að endurheimta þau. Afrit geta verið ófullnægjandi, tengd sama umhverfi og verður fyrir árás, eða svo hæg í endurheimt að reksturinn stöðvast dögum saman.

Góð athugun svarar því hvaða gögn eru afrituð, hversu oft, hvar afritin eru geymd og hver getur endurheimt þau. Hún á einnig að skilgreina raunhæfan endurheimtutíma. Fyrirtæki sem getur verið án eldri skjala í nokkra daga þarf mögulega aðra lausn en fyrirtæki sem þarf að geta afgreitt pantanir innan klukkustunda.

Mikilvægasta prófið er endurheimtarpróf. Það þarf að sannreyna með reglulegu millibili að hægt sé að sækja skrá, endurheimta kerfi eða koma mikilvægu þjónustunni aftur í gang. Óprófað öryggisafrit er von, ekki viðbragðsáætlun.

Niðurstöður þurfa skýran forgang

Ekki þarf að laga allt á sama degi. Raunar verður öryggisvinna ómarkviss ef teymið fær tuttugu verkefni án forgangsröðunar. Niðurstöður ættu að meta líkur á atviki, mögulegt rekstrartjón og kostnað eða flækjustig við úrbætur.

Brýn atriði eru gjarnan óvirk fjölþáttaauðkenning, óvarðir stjórnandaaðgangar, óuppfærð tæki sem tengjast viðkvæmum gögnum og afrit sem hafa ekki verið prófuð. Næsti flokkur getur falið í sér samræmingu á lykilorðastjórnun, betri skráningu tækja, þjálfun starfsfólks og skýrari reglur um einkatæki.

Eftir úttekt ætti fyrirtækið að geta séð fjögur hagnýt gögn: skrá yfir helstu áhættur, áætlun með ábyrgð og tímaramma, lýsingu á því sem þegar er vel gert og viðbragðsferli fyrir alvarleg atvik. Þetta gerir stjórnendum kleift að fylgja eftir árangri án þess að þurfa að verða sérfræðingar í hverju tæknilegu smáatriði.

Hvenær þarf að endurtaka úttektina?

Öryggisáhætta breytist þegar fyrirtæki ræður nýtt fólk, opnar nýja starfsstöð, flytur gögn í nýtt skýjakerfi eða fær nýjan birgja með kerfisaðgang. Einnig geta kröfur frá stærri viðskiptavinum, tryggingafélögum eða regluverki kallað á skýrari sönnun um öryggisstjórnun.

Flest lítil fyrirtæki hafa hag af formlegri yfirferð að minnsta kosti árlega, ásamt reglulegri eftirfylgni með þeim atriðum sem hafa mest áhrif. Fyrirtæki með miklar breytingar, dreift starfsfólk eða viðkvæm gögn gætu þurft tíðari skoðun. Rétt tíðni ræðst af áhættu, en biðin ætti aldrei að vara þar til eftir atvik.

Öryggisúttekt á að gefa rekstrinum meira öryggi og betri stjórn, ekki fleiri óskiljanleg verkefni. Byrjið á því að fá heiðarlega mynd af stöðunni, lagið það sem gæti stöðvað fyrirtækið fyrst og byggið síðan upp reglulegt verklag sem starfsfólkið ræður við. Þá verður öryggið hluti af traustum rekstri, ekki neyðarverkefni þegar skaðinn er skeður.