Netöryggi fyrirtækja sem heldur rekstri gangandi

Mánudagsmorgunn. Starfsmaður getur ekki skráð sig inn í tölvupóstinn, sameiginleg skjöl eru læst og viðskiptavinir bíða eftir svari. Þá skiptir litlu máli hvort fyrirtækið hafi keypt nýjasta öryggishugbúnaðinn ef enginn veit hvað á að gera næst. Netöryggi fyrirtækja snýst ekki aðeins um að stöðva árásir. Það snýst um að halda rekstrinum gangandi þegar eitthvað fer úrskeiðis.

Fyrir lítil og meðalstór fyrirtæki er áhættan sjaldan bundin við eina stóra, dramatíska innbrotstilraun. Hún safnast oft upp í mörgum litlum veikleikum: endurnotuðum lykilorðum, óuppfærðum fartölvum, óljósum aðgangsheimildum, óprófuðum afritum og starfsfólki sem fær sannfærandi svikapóst. Þegar þessir veikleikar mætast getur stöðvun orðið kostnaðarsöm – í tekjum, trausti og vinnufrið.

Netöryggi fyrirtækja er rekstrarábyrgð

Algeng mistök eru að meðhöndla netöryggi sem afmarkað tækniverkefni. Þá er keypt lausn, stillt upp regluverki og málið talið leyst. En ógnir, starfsfólk, tæki og vinnulag breytast stöðugt. Öryggið þarf því að vera hluti af daglegri upplýsingatæknistjórnun, rétt eins og bókhald, launavinnsla og aðgangsstýring að húsnæði.

Stjórnendur þurfa ekki að kunna tæknileg smáatriði til að bera ábyrgð. Þeir þurfa hins vegar að geta svarað einföldum spurningum: Hvaða gögn væru skaðlegust ef þau lækju? Hversu lengi getur reksturinn verið niðri? Hverjir hafa aðgang að mikilvægustu kerfunum? Og getum við endurheimt gögn fljótt ef þau eyðast eða eru dulkóðuð?

Svörin móta forgangsröðunina. Fyrirtæki sem vinnur með viðkvæm viðskiptavinagögn þarf til dæmis að leggja meiri áherslu á aðgangsstýringu, skráningu atvika og varðveislu gagna. Fyrirtæki sem reiðir sig á sölukerfi, framleiðslukerfi eða bókunarlausn þarf að skilgreina skýrt hversu fljótt kerfið verður að komast aftur í gang. Sama lausn hentar ekki öllum, en öll fyrirtæki þurfa sýnilega ábyrgð og framkvæmanlega áætlun.

Veikasti hlekkurinn er sjaldan eitt tæki

Mörg öryggisatvik hefjast með stolnum innskráningarupplýsingum. Svikapóstur getur litið út eins og skilaboð frá samstarfsaðila, framkvæmdastjóra eða Microsoft-þjónustu. Ef starfsmaður slær inn lykilorðið sitt á falskri síðu getur árásaraðili fengið aðgang að tölvupósti, skrám og greiðsluferlum án þess að brjóta niður neinn tæknilegan vegg.

Þess vegna duga sterk lykilorð ein og sér ekki. Fjölþáttaauðkenning bætir við mikilvægu lagi, en hún þarf að vera rétt uppsett og ná yfir stjórnandaaðganga, tölvupóst, skýjaþjónustur og fjarvinnslulausnir. Lykilorðastjóri hjálpar starfsfólki að nota löng og einstök lykilorð án þess að búa til óþarfa núning í vinnudeginum.

Fræðsla starfsfólks skiptir einnig máli, en hún má ekki byggja á því að gera fólki að kenna. Markmiðið er að skapa einfalt og öruggt viðbragð: stöðva, sannreyna og tilkynna. Starfsmaður sem efast um tölvupóst á að vita hvert hann snýr sér og fá fljótt svar. Hrós fyrir að tilkynna grunsamleg skilaboð er mun gagnlegra en að bíða eftir fullkominni ákvörðun undir álagi.

Tölvur, símar og spjaldtölvur þurfa sömu athygli. Óuppfært stýrikerfi eða forrit getur opnað fyrir þekkta veikleika og tæki sem hverfur úr bíl eða flugstöð getur innihaldið meiri upplýsingar en fólk gerir sér grein fyrir. Stýrð tækjaumsjón gerir fyrirtækinu kleift að sjá hvaða tæki eru í notkun, tryggja uppfærslur, setja öryggisstillingar og bregðast við þegar tæki tapast.

Fimm stjórntæki sem skila mestum árangri

Öryggisáætlanir verða fljótt flóknar ef þær byrja á verkfærum í stað áhættu. Fyrir flest vaxandi fyrirtæki er skynsamlegt að ná fyrst traustum tökum á eftirfarandi þáttum:

• Fjölþáttaauðkenning og skýr aðgangsstýring, sérstaklega fyrir stjórnendur og fjaraðgang.
• Stýrður endapunktavörður sem greinir grunsamlega hegðun á tölvum og bregst hratt við.
• Reglulegar uppfærslur á stýrikerfum, vöfrum, forritum og netbúnaði.
• Afritun sem er aðskilin frá daglegu umhverfi og prófuð með raunverulegri endurheimt.
• Vöktun, skráning og skilgreint ferli fyrir öryggisatvik.

Þetta eru ekki fimm sjálfstæð kaup. Þau þurfa að vinna saman. Til dæmis er lítið gagn í afriti sem enginn hefur prófað að endurheimta, eða vöktun sem sendir viðvörun en enginn ber ábyrgð á að skoða hana. Á sama hátt getur öflugur endapunktavörður dregið úr tjóni, en hann kemur ekki í stað þess að loka ónauðsynlegum aðgangi eða halda hugbúnaði uppfærðum.

Afrit eru aðeins gagnleg ef endurheimt virkar

Ransomware hefur gert afritun að stjórnunarlegu viðfangsefni. Þegar gögn eru dulkóðuð eða eytt þarf fyrirtækið að vita nákvæmlega hvað er hægt að endurheimta, hvenær síðasta örugga afrit var tekið og hversu langan tíma ferlið tekur. Að eiga afrit er ekki það sama og að geta hafið starfsemi á ný.

Góð endurheimtaráætlun skilgreinir forgang. Hvaða kerfi þarf að endurheimta fyrst: tölvupóst, viðskiptavinakerfi, fjárhagsgögn eða sameiginleg skjöl? Hver tekur ákvörðun um að slökkva á aðgangi eða upplýsa viðskiptavini? Hvar vinnur starfsfólkið ef helstu kerfi eru óaðgengileg í einn dag?

Prófanir þurfa ekki alltaf að vera stórar æfingar. Hægt er að byrja á að endurheimta eitt skjal, eina tölvu eða eitt mikilvægt kerfi í afmörkuðu prófi. Slík prófun sýnir oft fljótt hvort vantar aðgang, skýringar, geymslupláss eða skýra verkaskiptingu. Hún gefur líka stjórnendum raunhæfa mynd af stöðutíma í stað vonar um að allt virki.

Öryggi þarf að passa við kostnað og rekstur

Það er eðlilegt að vilja halda kostnaði í skefjum. Ekki þarf hvert fyrirtæki að reka eigið öryggisvaktteymi allan sólarhringinn eða kaupa flóknustu lausnirnar á markaðnum. Hins vegar verður sparnaður dýr ef hann skilur eftir óvarða reikninga, óstýrð tæki eða afrit sem ekki er hægt að treysta.

Rétta spurningin er ekki hvort fyrirtækið eigi að eyða sem mestu í öryggi. Spurningin er hvaða áhættu það getur tekið án þess að stofna rekstri, samningum eða orðspori í hættu. Fyrirtæki með fá tæki og einfalt kerfisumhverfi getur byrjað markvisst með grunnstýringar. Fyrirtæki með dreift starfsfólk, viðkvæm gögn eða strangar kröfur frá viðskiptavinum þarf yfirleitt nákvæmari vöktun, formlegra ferli og skjalfesta stjórnun.

Þegar upplýsingatæknin er í höndum margra ólíkra aðila skapast gjarnan blindir blettir. Einn sér um tölvurnar, annar um afrit, þriðji um skýjaþjónustur og enginn hefur heildarábyrgð. Samræmd þjónusta getur einfaldað reksturinn, dregið úr tvíverknaði og tryggt að öryggisatriði falli ekki á milli stóla. Hjá nexIT leggjum við áherslu á slíka ábyrgð: daglega umsýslu, sýn á umhverfið og ráðgjöf sem tengir tæknilegar ákvarðanir við rekstrarleg markmið.

Hvað á að gera þegar grunur vaknar?

Hraði og yfirvegun ráða miklu fyrstu klukkustundirnar. Starfsfólk á að geta tilkynnt grunsamlega hegðun án tafar, hvort sem um er að ræða óvænt innskráningarboð, skrár sem opnast ekki eða tölvupóst með óvenjulegri greiðslubeiðni. Þá þarf að meta atvikið, einangra viðkomandi tæki eða reikning ef þörf krefur og varðveita upplýsingar sem hjálpa við rannsóknina.

Ekki er alltaf rétt að slökkva á öllu strax. Það fer eftir eðli atviksins, umfangi aðgangsins og því hvort árásin sé enn virk. Þess vegna þarf fyrirfram skilgreinda tengiliði, ákvörðunarvald og samskiptaleiðir. Starfsfólk, stjórnendur, viðskiptavinir og mögulega lögfræðilegir ráðgjafar geta þurft mismunandi upplýsingar á mismunandi tíma.

Fyrirtæki sem æfir einfalt viðbragðsferli bregst yfirleitt betur við en það sem reynir að finna upp ferlið á meðan kerfin eru niðri. Það sem skiptir mestu er ekki að spá fyrir um hverja árás, heldur að vita hver gerir hvað þegar eitthvað óvænt gerist.

Byrjið á heiðarlegu stöðumati. Kortleggið mikilvægustu gögnin, aðgangana, tækin og afritin og finnið síðan stærsta veikleikann sem hægt er að laga núna. Ein skýr úrbót, rétt framkvæmd og fylgt eftir, getur skipt meira máli fyrir áframhaldandi rekstur en flókin öryggisáætlun sem verður aldrei hluti af daglegu vinnunni.