Gagnavernd fyrirtækja sem heldur rekstri gangandi

Þegar starfsmaður getur ekki opnað samning, bókhaldið stöðvast vegna dulkóðaðra skráa eða lykilgögn hverfa úr sameiginlegu svæði, verður kostnaðurinn sýnilegur samstundis. Gagnavernd fyrirtækja snýst ekki eingöngu um að geyma afrit af skrám. Hún snýst um að halda þjónustu, sölustarfi, launavinnslu og trausti viðskiptavina gangandi þegar eitthvað fer úrskeiðis.

Mörg fyrirtæki telja sig vel varin af því að þau nota skýjaþjónustu, hafa vírusvörn eða eiga utanaðkomandi disk með afritum. Það er góður grunnur, en ekki full vörn. Gögn geta tapast vegna netárásar, mannlegra mistaka, bilunar í tæki, rangrar stillingar eða þess að starfsmaður deilir aðgangi með röngum aðila. Spurningin er því ekki aðeins hvort gögn séu vistuð, heldur hvort hægt sé að finna þau, endurheimta þau og treysta þeim þegar mest reynir á.

Hvað felst í gagnavernd fyrirtækja?

Árangursrík gagnavernd tengir saman forvarnir, aðgangsstýringu, afritun og endurheimt. Hver þáttur bætir upp fyrir takmarkanir hins. Jafnvel besta öryggiskerfi getur ekki útilokað allar árásir, og afrit hjálpar lítið ef það er aðgengilegt árásaraðila eða hefur aldrei verið prófað.

Fyrirtæki þarf að vita hvaða gögn skipta reksturinn mestu máli. Fyrir sum er það viðskiptavinaskrá, tilboð og samningar. Fyrir önnur eru það fjármálagögn, framleiðsluskrár, tölvupóstur eða sérhæfð kerfi sem starfsfólk þarf til að sinna viðskiptavinum. Þetta mat á að byggjast á rekstraráhrifum, ekki bara á því hvar gögnin taka mest pláss.

Þá þarf að ákveða hversu mikið gagnatap er ásættanlegt og hversu fljótt starfsemin þarf að komast aftur í eðlilegt horf. Ef tap á hálfs dags gögnum veldur mikilli röskun, þarf afritun að vera tíðari. Ef kerfi má ekki liggja niðri lengur en í nokkrar klukkustundir, þarf endurheimtaráætlun sem styður það markmið. Lausn sem hentar litlu ráðgjafarfyrirtæki hentar ekki endilega fyrirtæki með vaktaskipti, dreifða starfsmenn eða viðkvæmar persónuupplýsingar.

Afritun er ekki sama og endurheimtarhæfni

Algengasta veikleikamerkið er setningin: „Við erum með afrit einhvers staðar.“ Hún svarar ekki mikilvægustu spurningunum. Eru öll mikilvægu gögnin í afritinu? Er afritið nýlegt? Er það varið gegn eyðingu og dulkóðun? Og hefur einhver í raun endurheimt gögn úr því?

Netárásir sem nota gíslatökuforrit reyna oft að finna afrit áður en þær dulkóða rekstrargögn. Ef afritið er tengt sama neti, aðgengilegt með sömu stjórnandaaðgangi eða ekki varið með aðskildum innskráningum, getur árásin náð til beggja. Þá stendur fyrirtækið ekki aðeins frammi fyrir stöðvun, heldur óvissu um hvort hægt sé að endurheimta reksturinn án þess að greiða lausnargjald.

Góð afritunarstefna notar fleiri en eitt verndarlag. Hún tekur afrit með skilgreindri tíðni, heldur a.m.k. einu afriti aðskildu frá daglegu rekstrarumhverfi og verndar stjórnunarviðmót afritunar með sterkri auðkenningu. Það þarf einnig að fylgjast með því hvort afritun klárist eðlilega. Misheppnuð afritun sem enginn sér er aðeins vandamál sem bíður eftir að verða dýrt.

Prófanir eru síðan lykilatriði. Ekki þarf alltaf að endurheimta allt umhverfið til að sannreyna ferlið, en reglulega ætti að prófa að endurheimta mikilvæga skrá, pósthólf, vinnustöð eða kerfi. Slík prófun sýnir hvort gögnin séu heil, hvort aðgangar virki og hversu langan tíma verkið tekur í reynd.

Aðgangar eru hluti af gagnavernd

Fjöldi gagnatapsatvika hefst ekki með tæknilegri bilun heldur með stolið lykilorð, falskan innskráningarbeiðni eða of víð réttindi. Starfsmaður sem fær tölvupóst sem lítur út eins og beiðni frá samstarfsfélaga getur, með einni innskráningu, opnað leið inn í póst, skýjageymslu og viðskiptakerfi.

Þess vegna þarf aðgangsstýring að vera hagnýt og reglubundin. Hver starfsmaður á að hafa þann aðgang sem hann þarf til vinnu sinnar, en ekki sjálfkrafa aðgang að öllum gögnum fyrirtækisins. Þegar hlutverk breytast eða starfsmaður hættir þarf að endurskoða aðganga strax. Þetta dregur úr áhættu án þess að flækja daglegt starf að óþörfu.

Sterk fjölþáttaauðkenning og örugg lykilorðastjórnun eru einföld skref með mikil áhrif. Þau þurfa þó að vera innleidd þannig að starfsfólk geti fylgt þeim. Ef ferlið er óþægilegt mun fólk freistast til að deila lykilorðum, endurnota þau eða geyma þau á röngum stað. Markmiðið er ekki að setja upp fleiri hindranir en nauðsynlegt er, heldur að gera öruggu leiðina að auðveldustu leiðinni.

Verndun endabúnaðar skiptir meira máli en margir halda

Fartölvur, borðtölvur og farsímar eru oft þar sem gögn verða til, opnuð og flutt. Þau eru líka algengur inngangur fyrir árásir. Tæki sem er ekki uppfært, vantar vörn eða er notað án rétts aðgangseftirlits getur stofnað gögnum fyrirtækisins í hættu, jafnvel þótt miðlægt skýjaumhverfi sé vel stillt.

Stýrð vörn á endabúnaði gerir fyrirtækinu kleift að fylgjast með óvenjulegri hegðun, bregðast hraðar við grunsamlegum atvikum og halda hugbúnaði uppfærðum. Það er sérstaklega mikilvægt þegar starfsfólk vinnur utan skrifstofu, notar fleiri en eitt tæki eða tengist þjónustum úr ólíkum netum.

Hér þarf að vega öryggi og rekstrarþarfir saman. Of strangar reglur geta tafið fyrir starfsfólki og ýtt því í óviðurkenndar lausnir. Of litlar reglur skilja aftur á móti eftir óþarfa áhættu. Rétt jafnvægi fæst með því að skilja hvernig starfsfólkið vinnur, hvaða gögn það meðhöndlar og hvaða atvik myndu hafa mest áhrif á reksturinn.

Ferlið eftir atvik verður að vera skýrt

Þegar grunur vaknar um netárás eða gagnatap er tíminn dýr. Óljós ábyrgð, ófullnægjandi upplýsingar og tilviljanakennd viðbrögð geta stækkað atvikið. Fyrirtæki þarf því einfalt viðbragðsferli sem segir hver tekur ákvörðun, hvern á að láta vita, hvernig á að einangra tæki og hvenær á að hefja endurheimt.

Áætlunin á ekki að liggja ónotuð í möppu. Stjórnendur og lykilstarfsmenn þurfa að þekkja hlutverk sín, og upplýsingatækniaðili þarf að vita hvaða kerfi hafa forgang. Ef tölvupóstur liggur niðri, hvernig er haft samband við starfsfólk og viðskiptavini? Ef bókhaldskerfi stöðvast, hvaða vinna getur haldið áfram handvirkt í stuttan tíma? Slíkar spurningar gera viðbragðsáætlun raunhæfa.

Fyrir mörg lítil og meðalstór fyrirtæki er ekki hagkvæmt að halda úti sérhæfðu öryggis- og rekstrarteymi allan sólarhringinn. Þá skiptir máli að eiga samstarfsaðila sem þekkir kerfin, fylgist með stöðunni og getur tekið ábyrgð þegar hraði skiptir máli. Hjá nexIT vinnum við með fyrirtækjum að því að sameina daglega kerfisstjórnun, vöktun, afritun og öryggisráðstafanir í rekstrarhæft heildarumhverfi.

Byrjið á því sem veldur mestum skaða

Það þarf ekki að leysa allt í einu til að bæta verndina verulega. Byrjið á að kortleggja mikilvægustu gögnin og kerfin, skoða hverjir hafa aðgang, staðfesta stöðu afrita og prófa eina raunverulega endurheimt. Það gefur skýrari mynd af áhættunni en löng listi af tæknilegum hugtökum.

Næsta skref er að loka augljósustu götunum: virkja fjölþáttaauðkenningu, fjarlægja óþarfa aðganga, uppfæra tæki og tryggja að afrit séu aðskilin frá daglegu umhverfi. Síðan má þróa lausnina áfram í takt við vöxt, reglur og breytingar á starfseminni.

Gagnavernd á að gefa stjórnendum svigrúm til að reka fyrirtækið af meiri festu, ekki skapa endalausa tæknivinnu. Þegar ábyrgð, varnir og endurheimt eru skýr verður auðveldara að taka ákvarðanir með vissu – jafnvel þegar óvænt atvik koma upp.