Cyberbezpieczeństwo w centrum zainteresowania firm

O bezpieczeństwie w sieci, roli pracowników w cyberochronie firmy i dobrych praktykach stosowanych w dużych korporacjach w komentarzu eksperckim dla ISBtech Bartosz Różański, Software Security Engineer z 7N, firmy IT prowadzącej zaawansowane projekty informatyczne dla dużych organizacji, także w dziedzinie cyberbezpieczeństwa.

Od pewnego czasu widać wyraźny trend zwiększenia zainteresowania firm cyberbezpieczeństwem. Obecnie to już nie tylko zagadnienie niszowe, ale przedmiot troski kierownictwa i zarządów organizacji. Przejście na pracę zdalną w związku z pandemią jeszcze bardziej przyspieszyło zmiany w tym obszarze.

Według analityczno-badawczej firmy Gartner globalnie wydatki związane z ochroną danych rosną z każdym rokiem, a w 2020 r. mają być o 2,4 proc. wyższe niż dotychczas, osiągając wartość 123,8 mld dolarów – i to mimo cięć budżetowych związanych z pandemią.

Brak należytej uwagi dla kwestii bezpieczeństwa w sieci może przynieść dotkliwe skutki dla firm. Ostatnio Urząd Ochrony Danych Osobowych nałożył karę sięgającą kilku milionów złotych na sklep internetowy za brak zachowania odpowiednich środków ostrożności, przez co wyciekły dane klientów. Problemy w tym obszarze zdarzają się nawet takim tuzom biznesu jak McDonald’s czy Warner Music Group.

Konsekwencje mogą być jeszcze bardziej poważne, jeśli firma stanie się ofiarą ataku hakerów. Kilka tygodni temu Garmin dokonał przelewu na konta cyberprzestępców, by urządzenia tej firmy mogły znowu normalnie działać. Istnieją przypuszczenia, że kwota mogła sięgać nawet 10 milionów dolarów.

Banki i firmy medyczne najbezpieczniejsze

Troskę firm o bezpieczeństwo swoje i swoich klientów w sieci widać na różnych poziomach. To już nie tylko rutynowe szkolenia dla pracowników, ale tworzenie wyspecjalizowanych działów cyberochrony: od przygotowywania polityk bezpieczeństwa przystosowanych do specyfiki organizacji, przez monitoring zagrożeń i wprowadzanie zabezpieczeń, aż po pilnowanie, czy zasady bezpieczeństwa są rzeczywiście przestrzegane.

Najbardziej rygorystyczne regulacje obowiązują w sektorze bankowym, gdzie poziom zabezpieczeń jest porównywalny z wojskiem i administracją rządową. Podobnie wymagające są przepisy wobec branży medycznej.

Najczęściej mylą się ludzie

Jednak niezależnie od branży to człowiek jest “najsłabszym ogniwem” systemów bezpieczeństwa informacji. Nie można przewidzieć wszystkich zachowań użytkowników, co sprawia, że niektórym zagrożeniom nie sposób zapobiec. Jednak działy bezpieczeństwa po to wprowadzają różne mechanizmy ochrony, by ograniczyć zaistnienie takich sytuacji. Takie mechanizmy mają różne poziomy i użytkownicy nie widzą wszystkich ich elementów.

Dlatego wydaje im się, że zalecenia specjalistów od cyberbezpieczeństwa są banalne. Warto jednak pamiętać, że bez stosowania podstawowych zasad cyberhigieny nawet najbardziej wyrafinowany system bezpieczeństwa nie będzie skuteczny.

Praktyczne wskazówki

Bez względu na branżę i wielkość firmy warto wdrożyć ABC bezpieczeństwa, którego stosowanie pozwala ograniczyć ryzyko błędu ludzkiego:

● wymuszanie przez system stosowania silnych haseł i managerów haseł,
● unikanie praktyki “zapamiętywania” hasła przez przeglądarkę,
● zakaz udostępniania danych logowania innym osobom,
● dostęp do aplikacji wewnętrznych firmy tylko przez szyfrowane łącze z wykorzystaniem technologii VPN.

Dobrą praktyką jest tzw. uwierzytelnianie wieloskładnikowe. Polega to na potwierdzaniu tożsamości użytkownika dodatkowym kanałem np. przez telefon z zainstalowaną aplikacją. Jeszcze bardziej zaawansowane jest uwierzytelnianie z udziałem kluczy sprzętowych, czyli specjalnych urządzeń – na pierwszy rzut oka przypominających pendrive – które mają “zaszyte” specjalne klucze identyfikujące użytkownika. Takie sprzętowe utrudnienia dostępu znacznie zmniejszają ryzyko przypadkowego wycieku wrażliwych danych.

Uwaga na prywatny sprzęt pracowników

W ostatnich miesiącach w związku z pracą zdalną wielu użytkowników zaczęło wykorzystywać prywatne urządzenia w celach zawodowych. Niewłaściwe ich przygotowanie może być furtką dla hakerów do zasobów cyfrowych firmy lub przyczyną wycieku danych. Łatwo temu jednak zapobiec.

Prywatny sprzęt pracowników, jeśli ma być wykorzystywany w celach służbowych, powinien przejść praktycznie identyczną procedurę co firmowe komputery. Specjaliści do spraw bezpieczeństwa odpowiednio je konfigurują, np. instalując dodatkowe oprogramowanie do kontroli ruchu sieciowego i tworząc jednocześnie listę aplikacji zakazanych, np. gier czy przeglądarek plików PDF nieznanego pochodzenia. Często uniemożliwiają też przeglądanie internetu z innych przeglądarek niż ta wybrana i również odpowiednio skonfigurowana, aby blokować dostęp do niebezpiecznych stron.

Ciągła nauka cyberodporności

Cyberodporność jest cechą biznesu, dzięki której firma jest w stanie przygotować się na potencjalne zagrożenie np. utraty lub wycieku danych, zamortyzować je, odpowiedzieć na nie, a finalnie usunąć jego skutki, przez cały czas funkcjonując i dostarczając swój produkt klientom.

Każdy wychwycony błąd w systemie powinien skutkować dodawaniem nowych elementów do polityk bezpieczeństwa i doskonalenia mechanizmów obrony. I na tym polega główne zadanie działów bezpieczeństwa firm. System cyberochrony musi się stale uczyć. Na szczęście zarządy firm są tego coraz bardziej świadome.

Subscribe
Powiadom o
guest
0 komentarzy
Inline Feedbacks
View all comments