Hvað er vefveiðarvörn fyrirtækja og hvernig virkar hún?

Fjárhagsstjóri fær tölvupóst sem virðist koma frá framkvæmdastjóra og biður um bráða greiðslu. Starfsmaður fær svo skilaboð sem líta út eins og innskráningarsíða Microsoft 365. Hvorugt þarf að vera tæknilega flókið til að valda tjóni. Spurningin „hvað er vefveiðarvörn fyrirtækja?“ snýst því ekki eingöngu um síun á ruslpósti, heldur um hvernig fyrirtækið kemur í veg fyrir að einföld mannleg mistök verði að aðgangsbroti, fjársvikum eða rekstrarstoppi.

Vefveiðar eru ein algengasta leið netglæpamanna til að komast inn í fyrirtæki. Þeir nýta traust, hraða og vanabundin vinnubrögð fremur en að reyna alltaf að brjótast beint inn í tæknikerfi. Góð vefveiðarvörn sameinar því tæknilegar varnir, skýra ferla og stuðning við starfsfólk. Markmiðið er einfalt: að grunsamleg skilaboð nái sem sjaldnast til notenda og að skaðinn verði takmarkaður þegar eitthvað sleppur í gegn.

Hvað felst í vefveiðarvörn fyrirtækja?

Vefveiðarvörn fyrirtækja er safn aðgerða sem greina, stöðva og bregðast við svikapóstum, svikasíðum, fölsuðum innskráningarbeiðnum og öðrum skilaboðum sem eiga að blekkja starfsfólk. Hún tekur sérstaklega mið af því að árásir beinast oft að fyrirtækjaaðgangi, greiðslum, viðkvæmum gögnum og samskiptum við viðskiptavini.

Í framkvæmd hefst vörnin gjarnan í tölvupóstkerfinu. Þar eru viðhengi, tenglar, sendendur og innihald skilaboða skoðuð áður en þau berast í pósthólf. Kerfið getur merkt grunsamleg skilaboð, sett þau í sóttkví eða hafnað þeim alveg. Það er mikilvægt, en ekki nóg eitt og sér. Svikarar breyta orðalagi, nota raunverulega tölvupóstreikninga sem þeir hafa tekið yfir og herma eftir samstarfsaðilum af mikilli nákvæmni.

Þess vegna nær vörn fyrirtækja líka til auðkenningar, tækjastjórnunar, aðgangsstýringa og viðbragðsferla. Ef starfsmaður gefur upp lykilorð á falskri síðu á kerfið samt að geta komið í veg fyrir að árásarmaðurinn fái greiðan aðgang að gögnum og kerfum.

Af hverju dugar ruslpóstssía ekki?

Ruslpóstssía leitar helst að þekktum merkjum um óæskilegan póst. Vefveiðar geta hins vegar komið frá netfangi sem lítur trúverðugt út, innihaldið enga augljósa villu og vísað í raunverulegt verkefni. Árásarmaður gæti til dæmis sent reikning sem líkist reikningi frá birgja, eða beðið starfsmann um að endurstilla lykilorð í nafni upplýsingatæknideildar.

Sérstaklega hættuleg eru svokölluð forstjórasvik. Þar þykist sendandinn vera stjórnandi, lögfræðingur eða fjármálastjóri og skapar tilfinningu fyrir leynd eða tímapressu. Starfsmaður sem vill vera hjálpsamur getur þá framhjá venjulegum ferlum samþykkt greiðslu, sent launagögn eða deilt innskráningarupplýsingum.

Góð vefveiðarvörn metur samhengi en ekki bara einstök orð í pósti. Hún getur til dæmis greint þegar lén sendanda er örlítið frábrugðið réttu léni, þegar tengill vísar á óvæntan vef eða þegar nýtt innskráningarmynstur kemur fram. Hún þarf einnig að geta brugðist hratt við þegar grunur vaknar, því mínútur geta skipt máli ef stolinn aðgangur er notaður til að senda fleiri svikapósta innan fyrirtækisins.

Varnirnar sem vinna saman

Sterk vörn byggir ekki á einni vöru eða einni reglu. Hún byggir á lögum sem styðja hvert annað. Fyrst þarf örugga uppsetningu tölvupósts, þar á meðal reglur sem staðfesta hvaðan póstur í nafni fyrirtækisins má koma. Það dregur úr líkum á að aðrir geti falsað eigið lén fyrirtækisins í samskiptum við viðskiptavini og samstarfsaðila.

Næst kemur fjölþáttaauðkenning. Lykilorð sem lendir í röngum höndum á ekki eitt og sér að opna dyrnar að tölvupósti, skýjageymslu eða fjármálakerfi. Fjölþáttaauðkenning er þó ekki töfralausn. Svikarar reyna einnig að plata notendur til að samþykkja innskráningu eða gefa upp tímabundna auðkenningarkóða. Því þarf að stilla hana með skynsamlegum aðgangsreglum og fylgjast með óvenjulegum innskráningum.

Örugg lykilorðastjórnun skiptir einnig máli. Þegar fólk endurnýtir lykilorð milli þjónusta getur gagnaleki hjá einum aðila orðið að aðgangsbroti hjá öðrum. Lykilorðastjóri hjálpar starfsfólki að nota löng og einstök lykilorð án þess að skrifa þau niður eða geyma í ótryggum skjölum.

Að lokum þarf tækjavarnir. Tölva sem er ekki uppfærð, er án endpoint-verndar eða er notuð með stjórnandaaðgangi getur gert lítið mistök að stóru atviki. Ef starfsmaður opnar skaðlegt viðhengi þarf vörnin að geta greint hegðunina, einangrað tækið eftir þörfum og látið ábyrgðaraðila vita.

Starfsfólkið er hluti af vörninni, ekki veikasti hlekkurinn

Það er auðvelt að segja að starfsfólk sé veikasti hlekkurinn. Það er hvorki sanngjarnt né gagnlegt. Starfsfólk er oft fyrsta varnarlínan þegar það fær einfaldar leiðbeiningar, raunhæfa þjálfun og stuðning til að spyrja áður en það bregst við.

Góð þjálfun á ekki að byggjast á ótta eða prófum sem eiga að koma fólki í vandræði. Hún á að kenna fólki að staldra við þegar beiðni um greiðslu, lykilorð, persónuupplýsingar eða breytingu á bankaupplýsingum berst óvænt. Starfsmaður þarf að vita hvert hann á að senda grunsamlegan póst og fá skjót svör án þess að óttast ámæli.

Þjálfun þarf að endurtaka, því árásir breytast. Stuttar, reglulegar áminningar tengdar raunverulegum vinnuaðstæðum skila yfirleitt meira en eitt langt námskeið á ári. Það á sérstaklega við um teymi í fjármálum, mannauði, sölu og þjónustu, þar sem mikið er unnið með greiðslur, samninga og viðkvæmar upplýsingar.

Ferlar sem stöðva svik áður en þau verða tjón

Tæknivarnir geta stöðvað mikið, en innri ferlar eiga að verja fyrirtækið þegar skilaboð líta sannfærandi út. Greiðslubeiðni frá stjórnanda á til dæmis ekki að vera samþykkt eingöngu á grundvelli tölvupósts. Staðfesta þarf breytingar á bankareikningi eða óvenjulegar greiðslur með annarri leið, svo sem símtali í þekkt símanúmer eða samþykkt tveggja ábyrgðaraðila.

Sama gildir um beiðnir um starfsmannagögn, viðskiptamannalista eða aðgang að kerfum. Skýr aðgreining á ábyrgð, samþykktarferlum og aðgangsheimildum gerir árásarmanni erfiðara fyrir. Hún minnkar einnig líkur á mistökum í eðlilegum rekstri.

Þessir ferlar mega samt ekki vera svo þungir að starfsfólk fari að sniðganga þá. Fyrir lítið fyrirtæki getur einföld regla um símtal við greiðslubreytingar verið mun áhrifaríkari en flókið kerfi sem enginn fylgir. Rétta lausnin fer eftir stærð fyrirtækisins, upplýsingum sem það vinnur með og afleiðingum þess ef aðgangur glatast.

Hvað gerist þegar einhver smellir?

Jafnvel vel rekin fyrirtæki fá grunsamleg skilaboð inn í pósthólf. Viðbrögðin ráða þá miklu. Starfsmaður á að geta tilkynnt atvikið strax, jafnvel þótt hann sé ekki viss um að hann hafi gert mistök. Ábyrgðaraðili þarf síðan að geta skoðað hvort tengill hafi verið opnaður, hvort innskráningarupplýsingar hafi verið gefnar upp og hvort sama póstur hafi borist fleirum.

Ef grunur er um aðgangsbrot þarf oft að endurstilla lykilorð, loka virkri innskráningu, endurskoða reglur í tölvupósti og kanna hvort gögn hafi verið send út. Í sumum tilvikum þarf að einangra tæki eða upplýsa viðskiptavini og samstarfsaðila. Með fyrirfram skilgreindu viðbragðsferli verður þetta skipulagt verkefni í stað þess að verða ringulreið á versta tíma.

Afritun og endurheimt skipta einnig máli, einkum ef vefveiðar leiða til lausnargjaldsárásar. Afrit leysa ekki af hólmi tölvupóstvörn eða aðgangsstýringu, en þau geta stytt niður í rekstri og gefið fyrirtækinu betri valkosti ef árásarmaður reynir að læsa gögnum.

Hvernig á að meta stöðuna hjá eigin fyrirtæki?

Byrjið á einföldum spurningum. Er fjölþáttaauðkenning virk fyrir tölvupóst, skýjakerfi og stjórnandaaðganga? Eru greiðslubreytingar sannreyndar utan tölvupósts? Geta starfsmenn tilkynnt grunsamleg skilaboð á einfaldan hátt? Er vitað hver bregst við ef reikningur verður tekinn yfir?

Skoðið einnig hvort tæki og notendaaðgangar séu undir reglulegu eftirliti. Starfsmaður sem hættir á að missa aðgang strax. Tæki sem er týnt eða óuppfært má ekki verða auðveld leið inn í fyrirtækið. Þetta eru rekstrarleg atriði, en þau hafa bein áhrif á netöryggi og kostnað.

Hjá nexIT vinnum við með fyrirtækjum að því að tengja þessar varnir við daglegan rekstur: að halda kerfum uppfærðum, vernda notendur, fylgjast með tækjum og hafa skýra leið til að bregðast við. Markmiðið er ekki að bæta við óþarfa flækjustigi, heldur að gera réttu leiðina að auðveldustu leiðinni fyrir starfsfólkið.

Vefveiðarvörn skilar mestu þegar hún verður eðlilegur hluti af vinnulaginu. Þegar starfsmaður getur staldrað við, staðfest óvenjulega beiðni og fengið hjálp strax, verður eitt varkárt augnablik oft verðmætasta vörnin sem fyrirtækið á.