Nusiritus duomenų vagysčių bangai turime viešų pavyzdžių, kas gali nutikti, jei laiku ir nuosekliai nurašysime saugumą prie nebūtinųjų išlaidų.
Praktiškai prieš metus įmonės buvo priverstos perorganizuoti savo veiklą ir pritaikyti ją darbui per nuotolį. Kasdienę rutiną biure ir įprastą organizacijos kultūrą pakeitė online rutina – susitikimai, planavimo ir rezultatų sesijos. Namų biuras tapo norma, o techniniai klausimai seniai išspręsti. Bet dar ne visi verslai atrado pusiausvyrą tarp darbo per nuotolį ir saugumo.
Stebėsena ir prieigų ribojimo sprendimai
COVID-19 dramatiškai paveikė visus kibernetinio saugumo aspektus. Darbo vietos perimetras prasiplėtė, todėl dabar itin svarbu, kad darbuotojams būtų užtikrinta saugi prieiga prie kritinių veiklos sistemų, darbui reikalingų aplikacijų bei galimybė prie jų prisijungti per pasirinktą įrenginį, neatsižvelgiant į darbuotojo lokaciją.
Reikia suprasti, kad darbdavys neša atsakomybę už duomenų saugą todėl svarbiausias prioritetas – matyti ir, esant reikalui, kontroliuoti, kas vyksta ne tik organizacijos viduje, bet ir už jos ribų. Pro aktyvi stebėsena ir prieigų valdymas padeda išvengti ir užkirsti kelią grėsmei bei leidžia matyti, ar Jūsų infrastruktūroje nebandė apsilankyti nelauktų svečių.
Elektroninis paštas – atviri vartai į infrastruktūrą
Darbinis paštas – viena pažeidžiamiausių technologijų, kur lemiamą vaidmenį vaidina ir socialinė inžinerija, paprastai tariant, žmogiškasis faktorius.
Per paštą kritinę verslo informaciją gaunate ne tik Jūs, ją gali perimti programišiai, Jums nevalingai ar netyčia suteikus prieigą prie verslo kontaktų, finansinių dokumentų, verslo intelektinės nuosavybės, slaptažodžių ir asmens duomenų.
Deja, kartais užtenka vieno neatsargaus spustelėjimo ant nuorodos kenkėjiškame el. laiške (tai vadinama specialiu terminu angl. phishing attack) ir nenorom plačiai atversite vartus nedorėliams.
Siekiant išvengti patekimo į informacijos vagysčių skandalų epicentrą ir sumažinti duomenų nutekėjimo tikimybę neužtenka įsidiegti apsaugą nuo pašto šiukšlių, kenkėjiškų programų ar naudoti el. laiškų šifravimo sprendimus, lygiagrečiai reikia ugdyti darbuotojų kibernetinį budrumą verslo organizacijų viduje.
Žmogiškasis faktorius
Nenuginčijama tiesa, kad žmogiškasis faktorius išlieka silpniausia kibernetinio saugumo grandimi. Jeigu darbuotojas nesuvokia kibernetinio saugumo kultūros ir neturi e-higienos įpročių, tai įmonės informacinės sistemos tampa pažeidžiamos, atakos plinta ir yra nestabdomos, nes taikiniu ir incidento epicentru tampa įmonės darbuotojas, kuris įsileidžia (nežinodamas) kenkėjišką kodą ar kitokią grėsmę. Dažniausiai pasitaikantis pavyzdys plačiai atveriantis įsilaužėliams įmonės priekines duris (angl. front door) – netinkamas slaptažodžių saugojimas ir dalinimasis.
Net ir pasirūpinus techniniu saugumu, visada išlieka žmogiškos klaidos tikimybė. Tokie ydingi įpročiai, kaip garsus kalbėjimas telefonu viešose vietose arba kompiuterio palikimas be priežiūros, leidimas matyti kompiuterio ekraną pašaliniams asmenims, įrangos praradimas – visa tai yra fizinio saugumo spragos apie kurias reikia kalbėti garsiai.
Įrenginių saugumas ir būklės valdymas
Kaip apsaugoti įmonės duomenis? Ypač, kai visi dirba per nuotolį. Kaip išlaikyti pusiausvyrą tarp naudotojų patogumo ir duomenų saugumo?
Problema ta, kad komandai dirbant iš namų ne visada yra galimybė naudotis darbo įranga, o esant lanksčioms darbo sąlygoms taip pat neretai pasitaiko, jog organizacijų vadovai leidžia darbuotojams atlikti kasdienes užduotis pasitelkiant asmeninius kompiuterius, kurie nėra įmonės nuosavybė būtent šioje vietoje ir atsiranda saugumo grėsmės.
Jei įmonėje nesuformuota vieninga IT infrastruktūors valdymo politika, nėra įrankų, sudėtinga matyti, kuriose darbo vietose trūksta operacinės sistemos atnaujinimų, naudojama senesnės versijos programinė įranga ar neveikia antivirusinė programa, o galbūt darbuotojo kompiuteris yra įtrauktas į užkrėstų kompiuterių tinklą ir dalyvauja „užklasinėje veikloje“. Tam, kad tokie trukdžiai būtų užfiksuoti ir laiku pašalinti, rekomenduojama centralizuotai valdyti darbo vietas.
Apie tai pagalvojo „Microsoft“ pasiūlydamas rinkai bendradarbiavimo įrankius su integruotomis IT saugos ir valdymo tarnybomis.
Unikalus Baltijos šalyse saugumo sprendimas BTT Armour, apjungia stebėsenos, kontrolės, saugos plano įgyvendinimo įrankius, kurie leidžia automatizuotai vykdyti pokyčių stebėseną ir tokiu būdu efektyviau ir automatizuotai valdyti saugumą jau naudojamos programinės įrangos lygmenyje.
Kitaip tariant, jei netyčia sudalyvausite „užklasinėje veikloje“, o Jūsų organizacija jau bus įsidiegusi saugos politikas, galėsite būti ramūs, sistema identifikuos, informuos ir užkirs kelią galimoms grėsmėms, bei automatiškai su jomis tvarkysis.
Klaidos, kurias padaro beveik visi
Verslas neišnaudoja turimų saugumo įrankių, kuriuos gauna su programinės įrangos paketu. Tai atsitinka dėl kompetencijos ar informacijos trūkumo.
Vadovybė galvoja, kad jų organizacija niekam neįdomi ir „per mažas laimikis“, kad būtų taikiniu. Tačiau grėsmės visiems vienodos, tik programišių intencijos skiriasi. Jei kripto raktu bus užrakinti visi Jūsų įmonės finansiniai dokumentai, greičiausiai būsite pasiryžę brangiai sumokėti, idant prieiga prie jų būtų atstatyta. Jei esate asmens duomenų valdytojas – ataka gali kirsti per reputaciją ir klientų pasitikėjimą.
Ne paslaptis, kad valdomų Cloud ir IT paslaugų tiekėjai turi skirti daug dėmesio klientų edukacijai ir įtikinėjimui, kad išlaidos kibernetiniam saugumui yra vienas svarbiausių prioritetų.
„Aš pasitikiu savo darbuotojais, jie lojalūs“ nėra lygu „Darbuotojas atpažįsta kibernetinę ataką ir yra budrus, laiku informuoja IT skyrių apie galimas rizikas“.
Kai „Teams“ skambučio metu sistemoje netikėtai atsiranda „klausytojas“ be nuotraukos ir vardo pavardės, didesnio susitikimo dalyviai net nepastebi tokių „svečių“.
Kai nepatikrinus siuntėjo pašto adreso, kai siuntėjo antraštė – žinomas Lietuvoje bankas, paspaudžiama nuoroda į „svarbų dokumentą“, ji staigiai uždaroma „ai, gal čia nieko neatsitiks“.
Deja, dažnai didžiausią žalą įmonei padaro buvę darbuotojai, todėl duomenų šifravimo ir saugumo strategijų derinimas, automatizuoti saugumo valdymo sprendimai, nuolatinis saugumo politikos atnaujinimas, vartotojų elgsenos stebėsena yra esminiai žingsniai į visom prasmėm saugesnę organizaciją.
Aktualu įsivertinti savo saugumo lygį ir galimas spragas – drąsiai kreipkitės.
