WannaCry, Petya, afera z Kaspersky, wyciek danych z Cloudbleed, działalność grupy Shadow Brokers - to tylko niektóre cyberafer 2017 roku. W związku z tym, coraz częściej kluczowym pytaniem w kontekście bezpieczeństwa zasobów cyfrowych przedsiębiorstwa nie jest to, czy dojdzie do ataku, ale kiedy to się stanie i na ile firma jest przygotowana?
Z tego artykułu dowiesz się:
- jak ważna jest świadomość bezpieczeństwa w świecie pełnym cyfrowych danych,
- dlaczego należy mieć ograniczone zaufanie do własnych zabezpieczeń,
- w jakie dodatkowe zabezpieczenia można zainwestować.
Świadomość na temat bezpieczeństwa cyfrowego
Dla przykładu, według 2017 Data Breach Investigations Report 10th Edition, 81% incydentów naruszenia danych było spowodowanych skradzionym i/lub słabym hasłem. Jednocześnie raport na zlecenie Intela Bezpieczeństwo IT w dużych firmach w Polsce 2016, pokazuje, że wciąż aż 62% polskich firm do uwierzytelniania wykorzystuje jedynie hasło. Wiadomo, że w 62% przypadków, incydent naruszenia danych powodowany był “hackingiem” czyli uzyskaniem nieautoryzowanego dostępu do danych użytkownika (2017 DBIR), a jednocześnie 40% polskich firm nie ma przygotowanego scenariusza na taki wypadek (Bezpieczeństwo IT…).
Dosyć statystyk! Wyobraź sobie, że przytrafia się to Twojej firmie. Pewnego dnia, rano orientujesz się, że Twoja strona internetowa została zaatakowana i przestępcy uzyskali dostęp do danych, które dzięki niej gromadzisz. Nie jest to niestety historia z gatunku science fiction. Wielce prawdopodobne, że już Ci się to przytrafiło, albo znasz kogoś, kto tego doświadczył. Naruszenie bezpieczeństwa zasobów cyfrowych, wbrew pozorom wcale nie jest takie trudne. W sieci roi się od poradników i kursów dla początkujących, a przedsiębiorcy niestety zbyt często zapominają, że są odpowiedzialni za swoją stronę i za bezpieczeństwo IT jej użytkowników. Poza uszczerbkiem na reputacji, w przypadku udanego ataku szkody mogą być o wiele większe:
- włamywacze mogą działać na szkodę użytkowników Twojej strony np. poprzez phishing,
- mogą zbierać dane poufne poprzez formularze dostępne na Twojej stronie,
- mogą uruchamiać skrypty w przeglądarkach użytkowników wykorzystując moc obliczeniową ich komputerów, np. w celu “wydobywania” kryptowalut,
- mogą zainstalować na stronie oprogramowanie atakujące dziurawe przeglądarki użytkowników, tak by przejmować ich komputery, (np. atak na KNF),
- mogą zablokować Twoją aplikację żądając pieniędzy…
…scenariuszy jest dużo, a część z nich zakłada, że możesz przez długi czas nawet nie wiedzieć o tym, że do takiego incydentu doszło i niebezpieczeństwo grozi wszystkim, którzy odwiedzają Twoją stronę!
Nie ufaj własnym zabezpieczeniom
Na tego typu incydenty narażamy się jako przedsiębiorcy, ignorując kwestie bezpieczeństwa podczas tworzenia i udostępniania naszych aplikacji webowych i mobilnych. Na szczęście, dobrym standardem staje się już weryfikowanie ich bezpieczeństwa zasobów cyfrowych poprzez testy penetracyjne i audyty bezpieczeństwa. Przypominają one prawdziwy atak hakerski, ale polegają na odnalezieniu wszystkich istniejących podatności, a nie wykorzystaniu pierwszej możliwej. Po takim teście/audycie zyskujemy raport o znalezionych lukach, poziomie zagrożenia, potencjalnych możliwościach ich wykorzystania oraz o sposobach ich załatania. Test penetracyjny i audyt bezpieczeństwa to przede wszystkim świadomość własnych podatności czyli podstawowa wiedza pozwalająca minimalizować ryzyko.
Kolejnym fundamentalnym błędem popełnianym przez przedsiębiorców jest pomijanie aspektów dynamiki bezpieczeństwa. Bieżąca działalność firmy niemal zawsze wiąże się ze zmianami, które wpływają na poziom bezpieczeństwa zasobów IT. Mogą to być np.:
- nowi i opuszczający firmę pracownicy,
- zmiany w dostępach poszczególnych osób do zasobów,
- zmiany w sposobie korzystania z określonych urządzeń,
- pojawiające się luki w używanym lub instalowanym oprogramowaniu,
- nowe wersje złośliwego oprogramowania,
- nowe techniki i taktyki ataków.
Oprogramowanie to często element krytyczny bezpieczeństwa IT w firmie. Pracownicy korzystają z oprogramowania na firmowym sprzęcie, często nie mając świadomości z zagrożeń z tym związanych. Na przeciętnym komputerze zainstalowanych jest przeważnie kilkadziesiąt różnych aplikacji. Najpopularniejsze z nich w przypadku odnalezienia luki, otrzymują poprawki w tym samym dniu. Nie wszystkie programy powiadamiają jednak o nowych aktualizacjach. Ważne jest zatem bieżące dbanie o aktualizacje (odinstalowywanie nieużywanych aplikacji oraz sprawdzanie dostępnych aktualizacji). Zagrożenia czyhają również na użytkowników, którzy pobierają aktualizacje. Znana jest choćby historia aktualizacji zaufanego programu CCleaner, przy pobieraniu której użytkownicy infekowali swój system.
Jak dodatkowo zabezpieczyć swoje zasoby
W związku z powyższym, bezpieczeństwo zasobów cyfrowych firmy zawsze powinno być traktowane jako proces a nie jako stan i ten stan powinien być na bieżąco monitorowany. Zrozumienie tego faktu pozwala bowiem na wprowadzenie adekwatnych środków prewencyjnych, takich jak aktywny monitoring bezpieczeństwa czyli regularnie wykonywane skany podatności na zagrożenia, weryfikacja integralności strony, stanu usług czy sprawdzanie aktualności komponentów oprogramowania. Aktywny monitoring to rodzaj stałej ochrony nad bezpieczeństwem zasobów, nawet w obliczu dużych zmian w firmie.
W związku z tak dużą dynamiką, osiągnięcie stanu zupełnego bezpieczeństwa nie jest możliwe. Najlepszym przykładem są udane ataki na firmy zajmujące się profesjonalnie bezpieczeństwem IT (o takim incydencie na swoim blogu pisało choćby FoxIT). Jednocześnie tylko 60% dużych przedsiębiorstw w Polsce ma scenariusz awaryjny na wypadek cyberataku lub podobnych zdarzeń (raport na zlecenie Intela). W takich przypadkach często korzysta się z usług ekspertów, którzy nie tylko pomogą dopełnić odpowiednich procedur, ale pomogą “opanować sytuację”, zebrać dowody i naprawić szkody.
Powyższe zagrożenia i dotyczą już w zasadzie wszystkich przedsiębiorców, bez względu na wielkość prowadzonej działalności. Z biznesowego punktu widzenia, poziom ryzyka wzrósł do takiego stopnia, że nie uda się go już ignorować. Stoimy teraz przed wyzwaniami zapewnienia ciągłości bezpieczeństwa zasobów i krytycznych informacji oraz zapewnienia sobie scenariusza na wypadek incydentów naruszenia danych. Całe szczęście, że nasza świadomość w tym zakresie wzrasta (połowa dużych firm w Polsce planuje w najbliższych dwóch latach zwiększyć inwestycje w obszarze bezpieczeństwa informatycznego - wg raportu Intela). Pozostaje wierzyć, że trendy związane z rozwojem narzędzi i usług bezpieczeństwa oraz świadomość przedsiębiorców w zakresie aktualnych zagrożeń utrzymają się i pozwolą na sprawne prowadzenie biznesów.
Pozostańmy w kontakcie: