Hvernig tryggir þú fjaraðgang starfsmanna?

Þegar starfsmaður opnar viðskiptakerfi úr heimaskrifstofu, á ferðalagi eða í gegnum eigið net tengist hann ekki bara vinnunni – hann tengir fyrirtækið við umhverfi sem þið stjórnið ekki að fullu. Spurningin er því ekki aðeins hvernig tryggja á fjaraðgang starfsmanna, heldur hvernig gera á það án þess að tefja fólk, flækja dagleg störf eða auka kostnað með óþarflega mörgum kerfum.

Fjaraðgangur er orðinn eðlilegur hluti af rekstri margra fyrirtækja. Hann styður sveigjanlegt vinnufyrirkomulag, hraðari þjónustu og betri samvinnu milli staða. Á sama tíma getur eitt stolinn lykilorð, óuppfært fartölvukerfi eða óvarlegt net opnað leið að tölvupósti, skrám, fjárhagsupplýsingum og viðskiptavinagögnum. Öryggið þarf því að byggjast á skýrum rekstrarreglum, sýnileika og viðbragðsgetu – ekki bara einni tæknilausn.

Hvernig tryggir þú fjaraðgang starfsmanna í reynd?

Öruggur fjaraðgangur byrjar á einfaldri reglu: starfsmaður á aðeins að fá þann aðgang sem hann þarf til að vinna starf sitt, og fyrirtækið þarf að geta staðfest hver er að tengjast. Þetta er oft kallað lágmarksréttindi, en í rekstri snýst það einfaldlega um að bókari hafi ekki sjálfkrafa aðgang að stjórnunarkerfum og að fyrrverandi starfsmaður geti ekki skráð sig inn eftir síðasta vinnudag.

Mörg fyrirtæki byrja á því að kaupa nýtt öryggiskerfi en skilja eftir gamla aðgangshópa, sameiginleg lykilorð og óskráðar undantekningar. Það dregur úr virði fjárfestingarinnar. Betri byrjun er að kortleggja hvaða kerfi starfsfólk notar utan skrifstofunnar, hvaða gögn eru viðkvæm og hvaða hlutverk þurfa aðgang að hverju. Þá verður hægt að velja einfaldari og markvissari varnir.

Auðkenningin þarf að þola stolið lykilorð

Lykilorð eitt og sér er ekki næg vörn fyrir tölvupóst, skýjaþjónustu, fjarstýringu eða stjórnunarkerfi. Vefveiðar eru enn ein algengasta leið árásaraðila inn í fyrirtæki, og vel útfærður svikapóstur getur blekkt reyndan starfsmann á annasömum degi.

Fjölþáttaauðkenning bætir við staðfestingu, til dæmis í auðkenningarforriti, öryggislykli eða með líffræðilegri auðkenningu í tæki. Ef lykilorð lekur þarf árásaraðili þá samt að komast yfir annan þátt. Ekki eru allar aðferðir jafnar. Staðfesting í forriti eða með öryggislykli veitir almennt betri vörn en SMS, sem getur verið viðkvæmt fyrir misnotkun símanúmera.

Þessi vörn þarf að ná til mikilvægustu kerfanna fyrst: tölvupósts, skráageymslu, fjarstýrikerfa, fjármálakerfa og stjórnandaaðganga. Sérstaklega þarf að vernda reikninga stjórnenda, þar sem ein innskráning getur gefið víðtækan aðgang. Jafnframt þarf ferli fyrir starfsfólk sem skiptir um síma eða missir tæki, svo að öryggisráðstöfunin verði ekki að þjónustuhindrun.

Tækið er hluti af aðganginum

Það skiptir litlu máli að innskráning sé vel varin ef fartölvan sem tengist kerfinu er óuppfærð, full af óþekktum forritum eða án dulkóðunar. Fjaraðgangur á að byggjast á traustum tækjum, ekki aðeins traustum notendum.

Fyrirtæki þurfa að vita hvaða tæki hafa aðgang að gögnum þeirra, hver ber ábyrgð á þeim og hvort þau uppfylli lágmarkskröfur. Þetta á bæði við um fartölvur og síma. Stýrð tækjastjórnun gerir mögulegt að sjá stöðu uppfærslna, krefjast skjálásar, virkja dulkóðun og eyða fyrirtækjagögnum úr týndu eða stolnu tæki þegar þörf krefur.

Eigin tæki starfsmanna geta hentað í afmörkuðum tilfellum, en þá þarf að skilgreina mörkin. Er heimilt að vista viðhengi á tækinu? Eru aðeins vefútgáfur kerfa leyfðar? Getur fyrirtækið fjarlægt gögn ef starfsmaður hættir? Svarið fer eftir eðli gagnanna og regluverki, en óskýr stefna er alltaf áhætta.

Vörn á endatækjum þarf líka að greina grunsamlega hegðun, svo sem óvenjulegar innskráningar, tilraunir til að keyra skaðlegar skrár eða dulkóða gögn. Slík tól koma ekki í stað reglulegrar umsýslu. Viðvaranir sem enginn skoðar hjálpa ekki þegar alvara skapast.

Netið heima og á ferðalagi er ekki fyrirtækjanetið

Starfsmaður getur setið á öruggu heimili en tengst veiku þráðlausu neti, notað opinbert net á flugvelli eða deilt nettengingu með öðrum tækjum sem ekki eru undir stjórn fyrirtækisins. Þess vegna þarf að verja umferðina og takmarka hvað er aðgengilegt beint af internetinu.

Örugg fjartenging eða aðgangur sem byggist á auðkenndri notendalotu getur dregið úr áhættu. Hvaða leið hentar best fer eftir kerfunum sem verið er að nota. Fyrirtæki með eldri kerfi sem eru hýst á staðnum geta þurft aðra nálgun en fyrirtæki sem vinna nær eingöngu í skýjaþjónustu. Markmiðið er þó það sama: að ekki sé hægt að komast að innri kerfum með einfaldri innskráningu úr óþekktu tæki eða neti.

Það er jafn mikilvægt að loka þjónustum sem þurfa ekki að vera sýnilegar á internetinu. Fjarstýringartól, netþjónar og stjórnviðmót eru vinsæl skotmörk. Ef þau eru opin án skýrra takmarkana verður fyrirtækið háð því að engin veikleiki finnist – sem er ekki raunhæf áhættustýring.

Aðgangsstýring er daglegt rekstrarverkefni

Öruggur fjaraðgangur bilar oft í mannauðsferlum fremur en í tækninni. Nýr starfsmaður fær aðgang hratt til að geta hafið störf, en enginn fer yfir heimildir þegar hlutverk breytist. Síðan hættir starfsmaður og aðgangurinn lifir áfram í kerfi sem enginn man lengur eftir.

Gott ferli tengir saman ráðningu, hlutverkaskipti og starfslok. Umsjónaraðili samþykkir aðgang eftir þörf, aðgangur er skjalfestur og hann er endurskoðaður með reglulegu millibili. Við starfslok þarf að loka aðgangi samdægurs, afturkalla virkar lotur og tryggja að fyrirtækjagögn séu ekki áfram í persónulegum reikningum eða tækjum.

Sameiginlegir notendareikningar eru sérstaklega vandasamir. Þeir gera erfitt að rekja hver framkvæmdi breytingu og þeir halda oft áfram að vera notaðir eftir að starfsfólk skiptir um störf. Ef sameiginlegur aðgangur er óhjákvæmilegur, til dæmis fyrir tiltekið þjónustukerfi, þarf að stýra honum með lykilorðastjóra, samþykktum aðgangi og skráningu á notkun.

Starfsfólk þarf einfaldar reglur og raunhæfa aðstoð

Öryggisstefna sem aðeins upplýsingatæknideildin skilur verður ekki fylgt. Starfsfólk þarf skýrar leiðbeiningar um hvað á að gera þegar það fær grunsamlegan póst, týnir síma eða þarf að vinna úr öðru landi. Það þarf líka að vita hvert á að leita án þess að óttast að hafa gert mistök.

Regluleg, stutt fræðsla skilar yfirleitt meiri árangri en langt námskeið einu sinni á ári. Dæmi úr raunverulegum vinnudegi virka best: beiðni frá „forstjóra“ um greiðslu, innskráningarsíða sem líkist Microsoft eða óvænt beiðni um að samþykkja auðkenningu í símanum. Markmiðið er ekki að gera starfsfólk tortryggið gagnvart öllu, heldur að það stöðvi og staðfesti þegar eitthvað passar ekki.

Jafnframt þarf þjónustan að vera aðgengileg. Ef starfsmaður getur ekki fengið hjálp fljótt þegar fjölþáttaauðkenning bregst eða tæki þarfnast uppfærslu, finnur hann gjarnan óörugga hjáleið. Öryggi og góð notendaupplifun eiga því að styðja hvort annað.

Prófið hvort vörnin virki þegar eitthvað fer úrskeiðis

Engin vörn er fullkomin. Þess vegna þarf fyrirtækið að geta brugðist hratt við þegar grunur vaknar um stolinn reikning eða sýkt tæki. Getið þið lokað aðgangi strax? Séð hvaða kerfi notandinn opnaði? Einangrað tæki án þess að stöðva allan reksturinn? Endurheimt gögn ef árás nær lengra?

Afritun er mikilvægur hluti af þessu, en hún þarf að vera prófuð. Afrit sem ekki er hægt að endurheimta undir tímapressu er ekki raunveruleg viðnámsgeta. Sama gildir um viðbragðsáætlun sem liggur ólesin í möppu. Skýr ábyrgð, uppfærðir tengiliðir og æfðar aðgerðir stytta niður í miðbæli þegar mínúturnar skipta máli.

Hjá nexIT nálgumst við þetta sem samspil daglegrar umsýslu, verndar á tækjum, aðgangsstýringar og endurheimtaráætlunar. Fyrirtæki þurfa ekki að safna saman flóknu safni lausna til að ná góðum árangri. Þau þurfa að vita hvað þau eiga, hver hefur aðgang og hver bregst við þegar frávik koma upp.

Öruggur fjaraðgangur á ekki að vera hindrun fyrir sveigjanlegt starfsfólk. Þegar aðgangar, tæki og viðbrögð eru undir stjórn verður hann í staðinn traustur grunnur fyrir rekstur sem heldur áfram – hvort sem starfsfólkið vinnur af skrifstofu, heima eða annars staðar.