Nowe zagrożenia dla firm wymagają jasnych zabezpieczeń

E-mail od dyrektora generalnego, logowanie wyglądające na pochodzące z Microsoftu lub słaby klucz u dostawcy mogą wystarczyć, aby zatrzymać działalność. Nowe zagrożenia dla firm rzadko pojawiają się jako dramatyczny atak, który wszyscy od razu widzą. Raczej wykorzystują codzienne praktyki pracy, rozproszone urządzenia i małe luki, które pozwoliły się nagromadzić.

Dla kierownictwa kluczowe pytanie brzmi zatem nie, czy firma jest na tyle mała, by uniknąć uwagi atakującego. Pytanie brzmi, czy działalność jest w stanie znieść, gdy pracownik otworzy niewłaściwy link, zgubi urządzenie lub dostęp do ważnych danych zostanie przerwany. Bezpieczeństwo to nie tylko zapobieganie atakom. Chodzi o utrzymanie działalności firmy, ochronę zaufania klientów i kontrolowanie kosztów, gdy coś pójdzie nie tak.

Nowe zagrożenia dla firm to często zagrożenia dla działalności

Ataki sieciowe się zmieniły. Kiedyś powszechne było myślenie o złośliwym oprogramowaniu jako o odizolowanym problemie w jednym komputerze. Teraz ataki często kierują się na konta użytkowników, usługi w chmurze, procesy płatności i partnerów. Gdy atakujący uzyska dostęp za pomocą prawidłowych danych logowania, aktywne zabezpieczenia na urządzeniu same w sobie nie rozwiążą problemu.

Szczególną uwagę należy zwrócić na cztery czynniki. Po pierwsze, phishing stał się bardziej wiarygodny. Fałszywe wiadomości są pisane lepszym językiem, naśladują dostawców, a czas jest dobierany tak, aby pracownik szybko zareagował. Sztuczna inteligencja ułatwiła tworzenie przekonujących tekstów, fałszywych głosów i wiadomości pasujących do roli odbiorcy.

Po drugie, skradzione dane dostępowe są cenne. Ponownie używane hasła, nieaktywne procesy uwierzytelniania użytkownika lub brak uwierzytelniania wieloskładnikowego mogą otworzyć drogę do poczty e-mail, dokumentów, systemów księgowych i komunikacji z klientami. Osoba mająca dostęp do skrzynki pocztowej może nawet śledzić rzeczywiste rozmowy, zanim spróbuje przekierować płatność na niewłaściwe konto.

Po trzecie, ataki ransomware ewoluowały. Atakujący nie zawsze starają się przede wszystkim szyfrować dane. Kopiują je, grożą publikacją i wywierają presję, gdy działalność, reputacja i zobowiązania umowne są zagrożone. Kopia zapasowa istniejąca tylko w tej samej sieci co dane źródłowe nie jest automatycznie gwarancją.

Po czwarte, środowisko techniczne stało się bardziej złożone. Pracownicy pracują w chmurze, w domu, w podróży i w wielu systemach jednocześnie. Każde nieaktualne urządzenie przenośne, niezarządzany telefon komórkowy lub dostęp byłego pracownika zwiększa ryzyko. Problem rzadko stanowi jedno urządzenie. Jest nim brak przeglądu i odpowiedzialności za całość.

Gdzie obrona firm staje się najsłabsza?

Większość firm nie ma problemów z powodu braku technologii. Problemy wynikają z tego, że technologia nie jest skoordynowana, nie jest monitorowana ani powiązana z jasną odpowiedzialnością operacyjną. Zabezpieczenie, które zostało zainstalowane, ale nie jest konserwowane, daje fałszywe poczucie bezpieczeństwa.

Kontrola dostępu jest dobrym przykładem. Firma może mieć uwierzytelnianie wieloskładnikowe dla większości pracowników, ale pozostawić wyjątki dla starszych systemów, wspólnych skrzynek pocztowych lub kont administratorów. Jeden wyjątek może wystarczyć. To samo dotyczy haseł: menedżer haseł zmniejsza ryzyko tylko wtedy, gdy zostanie przyjęty jako wspólna praktyka, a nie jako opcjonalne rozwiązanie dla zainteresowanych.

Innym częstym problemem jest niejasna odpowiedzialność, gdy pracownik przychodzi, zmienia rolę lub odchodzi. Kto zamyka dostęp? Kto sprawdza telefony komórkowe, magazyny w chmurze, dodatki i dostęp do systemów dostawców? Jeśli odpowiedź brzmi „ktoś z IT, gdy będzie miał czas”, proces nie jest wystarczająco bezpieczny.

Następnie jest zarządzanie aktualizacjami. Zespół operacyjny może z uzasadnionych powodów odłożyć aktualizacje, na przykład dlatego, że specjalistyczny system biznesowy nie może zostać przerwany. Jednak odroczenie musi być świadomą decyzją, z oceną ryzyka i środkami zaradczymi. Nie wiedząc, jakie urządzenia są podłączone lub czy są zaktualizowane, nie jest realną opcją.

Zacznij od tego, co może zatrzymać dzień pracy

Kuszące jest kupowanie nowego narzędzia bezpieczeństwa w miarę wzrostu zagrożeń. Czasami jest to właściwy krok. Częściej firma musi najpierw zdecydować, co faktycznie musi chronić i jak długo może pozostać bez tego dostępu. Czy zespół sprzedaży może pracować, jeśli poczta e-mail jest niedostępna przez cały dzień? Co się stanie, jeśli dane księgowe będą niedostępne przez tydzień? Które dane spowodowałyby największe szkody, gdyby wyciekły?

Te rozmowy przenoszą bezpieczeństwo z terminologii technicznej do decyzji operacyjnych. Pomagają również w ustalaniu priorytetów. Na przykład firma z wrażliwymi danymi osobowymi musi położyć szczególny nacisk na kontrolę dostępu, rejestrowanie incydentów i przechowywanie danych. Firma, która polega na specjalistycznych systemach lokalnych, musi testować odzyskiwanie inaczej niż firma, która pracuje prawie wyłącznie w chmurze.

Dobre pierwsze kroki są zazwyczaj proste, ale muszą stać się częścią codziennej działalności:

• Prowadź dokładny rejestr użytkowników, urządzeń, systemów i dostępów administratorów.
• Używaj uwierzytelniania wieloskładnikowego i unikalnych, silnych haseł w menedżerze haseł.
• Monitoruj aktualizacje, luki i nietypową aktywność na urządzeniach.
• Twórz kopie zapasowe, które są chronione przed modyfikacją i regularnie testuj odzyskiwanie.
• Szkól personel za pomocą realistycznych przykładów oszustw, żądań płatności i postępowania z danymi.

Lista nie jest samodzielną polityką bezpieczeństwa. Jest to podstawa, która pozwala firmie dostrzegać odchylenia, szybko reagować i zmniejszać prawdopodobieństwo, że jeden błąd stanie się awarią operacyjną.

Odzyskiwanie musi być przetestowane, a nie tylko kupione

Kopia zapasowa jest często nazywana ostatnią linią obrony. To prawda, ale tylko częściowo. Kopia zapasowa ma ograniczoną wartość, jeśli nikt nie wie, ile czasu zajmie odzyskiwanie danych, jakie dane można odzyskać ani czy dostęp do kopii zapasowych jest sam w sobie chroniony przed atakiem.

Menedżerowie powinni uzyskać jasne odpowiedzi na dwa pytania: Ile strat danych jest akceptowalnych i jak długo krytyczny system może być niedostępny? Odpowiedź określi, jak często należy tworzyć kopie zapasowe, gdzie są przechowywane i jaki plan odzyskiwania jest odpowiedni. Firma, która może zaakceptować utratę danych trwającą kilka godzin, będzie potrzebować innego rozwiązania niż firma, która działa w czasie rzeczywistym.

Regularne testy ujawniają również słabości, których nie wykrywają raporty. Brak klucza dostępu? Czy jest wystarczająco dużo miejsca na dysku? Czy pracownicy wiedzą, kto podejmuje decyzję o wyłączeniu systemu lub poinformowaniu klientów? Kiedy te kwestie są omawiane i ćwiczone z wyprzedzeniem, reakcja będzie bardziej przemyślana w razie potrzeby.

Czynnik ludzki wymaga jasnych procesów, a nie oskarżeń

Pracownicy są często nazywani najsłabszym ogniwem, ale jest to zbyt proste i niesprawiedliwe określenie. Ludzie pracują pod presją czasu, otrzymują wiele komunikatów i muszą szybko reagować. Atakujący projektują swoje oszustwa dokładnie z myślą o tym.

Lepszym sposobem jest budowanie kultury, w której pracownik może się zatrzymać i zadać pytanie bez obawy, że zostanie uznany za niewiedzącego. Na przykład, prośba o płatność, która zmienia dane bankowe, powinna zawsze przejść przez weryfikację za pomocą innej metody komunikacji. Prośba o hasło, kartę podarunkową lub nietypowe udostępnianie plików powinna budzić pytania, nawet jeśli wydaje się pochodzić od przełożonego.

Szkolenie działa najlepiej, gdy jest krótkie, powtarzalne i powiązane z rzeczywistą pracą. Jednorazowe roczne szkolenie rzadko wystarcza. Pracownicy muszą również wiedzieć, gdzie zgłosić podejrzane zdarzenie i otrzymać szybką, pomocną odpowiedź, gdy to zrobią.

Zintegrowana odpowiedzialność jest bardziej opłacalna niż rozproszone narzędzia

Kiedy bezpieczeństwo, obsługa użytkowników, zarządzanie urządzeniami i tworzenie kopii zapasowych są w rękach różnych stron, ważne zadania mogą zostać pominięte. Jedna strona widzi ostrzeżenie, druga ma urządzenie, a trzecia zarządza kopią zapasową. Firma pozostaje wtedy jako koordynator w środku incydentu.

Dla wielu małych i średnich firm rozsądniej jest mieć jednego odpowiedzialnego, który zna środowisko, zarządza codzienną działalnością i może powiązać decyzje dotyczące bezpieczeństwa z kosztami i potrzebami operacyjnymi. Nie oznacza to, że jedno urządzenie lub jeden dostawca usług rozwiązuje wszystko. Oznacza to, że odpowiedzialność jest jasna, a procesy współpracują ze sobą.

W nexIT podchodzimy do tego jako do ciągłej usługi operacyjnej: zajmujemy się urządzeniami i użytkownikami, wzmacniamy obronę, monitorujemy anomalie i pomagamy firmom przygotować się do odzyskiwania danych, zanim stanie się to pilne. Celem nie jest komplikowanie IT. Celem jest, aby wspierało ono działalność przy przewidywalnych kosztach i mniejszym ryzyku.

Następnym dobrym krokiem jest wybranie jednego prawdopodobnego scenariusza, na przykład skradzionego konta Microsoft lub zablokowanego systemu księgowego, i przeanalizowanie, co wydarzy się w pierwszej godzinie. Jeśli odpowiedzialność, komunikacja i odzyskiwanie są jasno określone na piśmie i przetestowane w praktyce, firma jest w znacznie lepszej sytuacji, gdy zagrożenie stanie się rzeczywistością.