Bestu leiðirnar gegn vefveiðum í fyrirtækjum

Tölvupóstur frá „forstjóranum“ sem biður um skjóta millifærslu. Innskráningarsíða sem lítur út eins og Microsoft 365. Tilkynning frá samstarfsaðila með reikningi sem þarf að greiða strax. Þetta eru ekki lengur augljós svik með lélegu orðalagi. Vefveiðar eru orðnar markviss árásaraðferð gegn fyrirtækjum og bestu leiðir gegn vefveiðum byggja á fleiri en einni vörnu.

Árásarmaðurinn þarf oft aðeins eitt andartak af athygli frá einum starfsmanni til að komast yfir lykilorð, greiðsluupplýsingar eða aðgang að viðkvæmum gögnum. Fyrirtækið þarf hins vegar að hafa réttu ferlana, tæknina og viðbrögðin til staðar á hverjum degi. Það er mun hagkvæmara en að takast á við svik, gagnatap eða rekstrarstöðvun eftir á.

Af hverju vefveiðar ná svo oft árangri

Vefveiðar snúast fyrst og fremst um að misnota traust og hraða. Skilaboðin geta komið frá netfangi sem líkist netfangi birgis, bankans eða stjórnanda. Þau geta vísað í raunverulegt verkefni, nýlegan viðskiptavin eða opinberar upplýsingar sem árásarmaðurinn fann á vef fyrirtækisins eða samfélagsmiðlum.

Markmiðið er yfirleitt eitt af þremur: að fá viðtakandann til að skrá sig inn á falska síðu, opna skaðlegt viðhengi eða framkvæma greiðslu. Í mörgum tilvikum fylgir ekki illgjarn hugbúnaður fyrstu skilaboðunum. Aðgangur að einum tölvupósti getur verið nægur til að árásarmaðurinn fylgist með samskiptum, sendi trúverðug skilaboð innan úr pósthólfi og finni næsta skref.

Þess vegna er ekki sanngjarnt að láta alla ábyrgð hvíla á starfsfólki. Góður starfsmaður getur tekið ranga ákvörðun þegar skilaboð líta sannfærandi út, tímapressa er mikil og verklag er óljóst. Fyrirtæki þurfa vörn sem gerir mistök síður afdrifarík.

Bestu leiðir gegn vefveiðum byrja á skýrum ferlum

Öruggur rekstur er ekki byggður á því að starfsfólk sé stöðugt tortryggið. Hann byggist á því að ákveðnar aðgerðir séu aldrei framkvæmdar eingöngu á grundvelli tölvupósts. Greiðslur, breytingar á bankaupplýsingum birgja, nýir greiðsluþegar og beiðnir um trúnaðargögn þurfa alltaf staðfestingu eftir annarri leið.

Sú staðfesting getur verið símtal í þekkt símanúmer, beiðni í samþykktu verkbeiðnakerfi eða samtal augliti til auglitis. Mikilvægt er að nota ekki símanúmerið eða tengilinn sem fylgir grunsamlegu skeytunum. Ef árásarmaðurinn stjórnar samskiptaleiðinni er staðfestingin einskis virði.

Stjórnendur þurfa að styðja þessi vinnubrögð í verki. Starfsmaður sem stoppar greiðslu til að sannreyna beiðni á að fá hrós, ekki áminningu fyrir að hægja á ferli. Þegar hraði er eina mælikvarðanum er svikari líklegri til að vinna.

Kennið starfsfólki að greina samhengi, ekki bara villur

Þjálfun gegn vefveiðum á ekki að vera árlegt skyldunámskeið sem gleymist daginn eftir. Hún þarf að tengjast þeim skilaboðum og ákvörðunum sem fólk tekur í störfum sínum. Fjármálateymi þarf til dæmis að æfa beiðnir um greiðslubreytingar, en sölu- og þjónustuteymi að þekkja falsa innskráningartengla og óvænt skjalabeiðni frá viðskiptavini.

Góð þjálfun kennir fólki að staldra við þegar skilaboð skapa óvenjulega brýnt ástand, fara fram á leynd eða biðja um að farið sé fram hjá venjulegum ferlum. Hún kennir einnig einfalt viðbragð: ekki smella, ekki svara, tilkynna strax. Starfsfólk á að vita nákvæmlega hvert það leitar án þess að óttast að líta út fyrir að vera óöruggt.

Hermdar vefveiðar geta verið gagnlegar, en aðeins ef þær eru notaðar til umbóta. Markmiðið er ekki að ná fólki í gildru heldur að finna hvar verklag, þjálfun eða tæknilegar varnir bregðast. Tíð, stutt fræðsla skilar yfirleitt betri árangri en ein löng kynning einu sinni á ári.

Verjið auðkenni með fjölþáttaauðkenningu og lykilorðastýringu

Stolið lykilorð er enn ein algengasta leiðin inn í kerfi fyrirtækja. Fjölþáttaauðkenning dregur verulega úr áhættunni vegna þess að lykilorð eitt og sér nægir ekki til innskráningar. Hún þarf þó að vera rétt stillt og ná yfir tölvupóst, skýjaþjónustur, fjaraðgang, stjórnandaaðganga og önnur kerfi sem geyma eða opna viðkvæm gögn.

Ekki er öll fjölþáttaauðkenning jafn sterk. SMS-kóðar eru betri en ekkert, en geta verið viðkvæmir fyrir svikum og símanúmeraránum. Auðkenningarforrit, öryggislyklar og innskráningaraðferðir sem standast vefveiðar veita sterkari vörn þar sem það á við. Rétt val fer eftir kerfum, áhættu og starfsumhverfi fyrirtækisins.

Lykilorðastjóri hjálpar starfsfólki að nota löng, einstök lykilorð án þess að geyma þau í skjölum, vöfrum eða minnismiðum. Hann getur einnig dregið úr hættu á fölsuðum innskráningarsíðum, þar sem rétt vistuð innskráning fyllist ekki sjálfkrafa inn á rangt vefsvæði. Þar þarf jafnframt að skilgreina hver hefur aðgang að sameiginlegum reikningum og hvað gerist þegar starfsmaður skiptir um hlutverk eða hættir.

Styrkið tölvupóstinn áður en skilaboðin berast

Tölvupóstvörn á að stöðva eins mikið og mögulegt er áður en starfsmaður sér skilaboðin. Ruslpóst- og hótanasíur, greining á skaðlegum viðhengjum og vefslóðum, ásamt reglum um falsanir á léni fyrirtækisins, eru grunnur að vörninni. Rétt stillingar fyrir SPF, DKIM og DMARC hjálpa einnig við að koma í veg fyrir að nafn fyrirtækisins sé notað til að blekkja viðskiptavini eða samstarfsaðila.

Tæknileg vörn getur þó ekki lofað að ekkert sleppi í gegn. Nýjar árásir og sérsniðin svik geta komist fram hjá síum, sérstaklega ef árásarmaðurinn notar raunverulegt pósthólf sem hann hefur tekið yfir. Þess vegna þurfa tölvupóstvarnir, notendaþjálfun og greiðsluferlar að vinna saman.

Einnig skiptir máli að takmarka hvaða forrit geta keyrt úr viðhengjum og hvaða notendur hafa stjórnandaréttindi. Ef grunsamlegt skjal leiðir til sýkingar á einni tölvu á tækið ekki sjálfkrafa að geta dreift árásinni um allt netið. Endpoint-vörn, reglulegar uppfærslur og aðskilnaður aðganga minnka umfang tjónsins þegar eitthvað fer úrskeiðis.

Hafið einfalt ferli þegar einhver smellir

Þrátt fyrir góðar varnir munu atvik koma upp. Munurinn á litlu atviki og alvarlegu öryggisbresti ræðst oft af fyrstu klukkustundunum. Starfsmaður sem sló inn lykilorð á grunsamlegri síðu þarf að geta tilkynnt það strax. Þá þarf að breyta lykilorði, afturkalla virkar innskráningarlotur, skoða innskráningarferil og meta hvort pósthólfið hafi verið notað til frekari svika.

Ef viðhengi var opnað eða forrit keyrt þarf að einangra tækið, rannsaka það og ganga úr skugga um að árásin hafi ekki náð til annarra kerfa. Ef um mögulega greiðslusvik er að ræða þarf fjármálateymið að hafa samband við banka og viðeigandi mótaðila án tafar. Tafir geta ráðið úrslitum um hvort hægt sé að stöðva millifærslu.

Viðbragðsáætlun þarf ekki að vera þykk skýrsla sem enginn opnar. Hún þarf að segja fólki hver tekur ákvörðun, hver er upplýstur, hvaða kerfi á að vernda fyrst og hvernig rekstri er haldið gangandi. Prófið hana reglulega, sérstaklega þegar ný kerfi, nýir starfsmenn eða nýjar greiðsluleiðir koma til sögunnar.

Vefveiðavarnir eru rekstrarvörn

Kostnaðurinn við vefveiðar er sjaldan bara tæknilegur. Hann birtist í töpuðum vinnustundum, stöðvuðum verkefnum, röngum greiðslum, skaðaðri þjónustu og trausti sem tekur langan tíma að endurbyggja. Fyrir smærri og meðalstór fyrirtæki getur eitt alvarlegt atvik tekið athyglina frá rekstri í margar vikur.

Við hjá nexIT lítum því á vörn gegn vefveiðum sem samspil daglegrar kerfisstýringar, réttra öryggisstillinga og aðgengilegrar ráðgjafar þegar eitthvað virðist ekki rétt. Þið eigið ekki að þurfa að ráða sérfræðing í hvert sinn sem starfsmaður fær grunsamlegt skeyti.

Byrjið á einni raunhæfri spurningu: Ef einhver í fyrirtækinu smellir á sannfærandi falskan hlekk í dag, vitum við nákvæmlega hvað gerist næst? Ef svarið er ekki skýrt er það góður staður til að bæta vörnina áður en árásarmaðurinn prófar hana fyrir ykkur.