Bezpečný Home Office

Pre pandémiu koronavírusu zamestnávatelia radikálne pristúpili k práci z domu. Tá však firmám prináša aj obrovské riziká. Kyber zločincom epidémia zjednodušila prístup a priestor k útokom. Rýchlo a vo veľkom. 

Presne a efektívne cielia na obete, ktoré sa chytajú do nastražených pascí, a sťahujú so sebou aj firemné aplikácie a dáta. Milióny užívateľov v domácich kanceláriách nemajú chránené domáce Wi-Fi siete, routre s predvolenými heslami, neváhajú otvoriť phishingové e-maily či nakupujú na podvodných e-shopoch. Firemné dáta sa tak stávajú na verejných úložiskách s nejasným a komplikovaným legislatívnym rámcom vlastníctvom každého. Online porady o strategických projektoch a plánoch cez aplikácie neoverených poskytovateľov si nahráva aj kyber heker. Čo s tým?

Rúško. Odstup. Ruky. Tri slová, ktoré pomáhajú zvládnuť boj s pandémiou v bežnom živote. Ku práci z domu k tomu treba pridať 13 základných zásad kyberhygieny. #GAMO odporúča:

1. NEpripájajte sa ku nezabezpečeným sieťam.
2. NEpoužívajte predvolené heslá k vašim domácim Wi-Fi routrom.
3. NEpoužívajte slabé heslá k aplikáciám a zariadeniam, s ktorými pracujete. Používajte jedinečné heslá. 
4. NEpoužívajte nezabezpečený VPN prístup pre pripojenie do firmy.  
5. NEotvárajte prílohy a odkazy v e-mailoch a správach od neznámych odosielateľov.
6. NEpoužívajte súkromné zariadenia pre prácu z domu. Používajte len služobne pridelené zariadenia (notebook, tablet, mobilný telefón).
7. NEdovoľte členom svojej rodiny používať vaše firemné zariadenia (notebook, tablet, mobilný telefón).
8. NEpoužívajte na firemné dáta iné úložiská ako kolaboračné nástroje schválené vašou spoločnosťou (Sharepoint, Teams, OneDrive for Bussiness, GAMO Drive).
9. NEotvárajte prílohy z vašich súkromných e-mailových schránok na firemných zariadeniach (notebook, tablet, mobilný telefón).
10. NEprenášajte firemné dáta na súkromné zariadenia.
11. NEkomunikujte inak, ako cez overené aplikácie s možnosťou privátneho riešenia (GAMO Meet, bezpečné VPN).
12. NEpripájajte svoje zariadenia (mobilný telefón, tablet, notebook) na verejnú sieť.
13. NEpoužívajte nižšiu, ako dvojfaktorovú autentifikáciu na prihlasovanie do firemných aplikácií.

#besafe #byGAMO

Tvrdenie o tom, že mýliť sa je ľudské, v oblasti kybernetickej bezpečnosti neobstojí. Chyby spôsobené psychologickými zákonitosťami ľudskej mysle vedú rebríček dôvodov bezpečnostných incidentov v oblasti firemných dát (52 %).

Úlohou manažmentu je kultivovať zdravý skepticizmus

Útočníci využívajú manipulačné praktiky na prinútenie používateľov k tomu, aby niečo vykonali alebo poskytli informáciu proti svojej vôli. Presvedčení, že požiadavka, ktorú dostali, je reálna a nepredstavuje nebezpečenstvo. Reálnou podobou tejto činnosti sú emailové útoky známe ako phishing, pri ktorom ide o kliknutie na vložené linky, sťahovanie malvéru vo forme ransomvéru alebo rovno odhalenie prístupových hesiel. Úlohou manažmentu je kultivovať zdravý skepticizmus ku všetkým emailom vyžadujúcim priame zadanie hesla, obnovenia jeho platnosti alebo prihlásenia sa k bežne používanej online službe, ako je napríklad internet banking.

Overovanie pôvodu emailu

Čoraz bežnejším spôsobom je Business E-mail Compromise (BEC), pri ktorom ide o hekerský útok vo forme dôveryhodne pôsobiaceho emailu, zaslaného od nadriadeného, kolegu alebo dodávateľa s požiadavkou urýchleného vykonania prevodu financií na účet zaslaný v emaili. Email je pritom skompromitovaný alebo odoslaný z adresy podobajúcej sa originálu. V tomto prípade je potrebné, aby boli zamestnanci opatrní a v prípade čo i len najmenšieho podozrenia telefonicky kontaktovali osobu, ktorá email alebo žiadosť o prevod finančných prostriedkov (údajne) odoslala.

Pravidelná zmena hesla

Prístupové heslá zamestnancov sú často veľmi jednoduché a dokonca identické s tými, ktoré zamestnanci používajú pri osobných účtoch, ako sú napríklad súkromný email či sociálna sieť.
Ak sa útočníkovi podarí napadnúť jeden z nich, bezpečnosť vašej firmy sa môže zrútiť ako domček z kariet. Bezpečnostní manažéri by preto mali od pracovníkov vyžadovať, aby si vytvorili silné, unikátne a pritom zapamätateľné heslo. Návodov je veľa, stačí sa držať iba 2 jednoduchých krokov. Pravidelné zmeny hesiel by mali byť súčasťou prísnych pravidiel kybernetickej bezpečnosti. 

Základné pravidlá kybernetickej ochrany

Hrozba útoku malvérom je otázkou jedného kliku. Používatelia systému by preto mali vedieť, že každý podozrivý link či prílohu je nutné osobne preveriť s jeho odosielateľom. A to aj v prípade, že jeho zdroj vykazuje všetky známky legitímnosti a dôveryhodnosti. Aby ste podobnému útoku zamedzili, musíte pre zamestnancov vytvoriť ľahko dostupné, zrozumiteľné a zapamätateľné základné pravidlá, ktoré vysvetľujú, ako postupovať v prípade podozrenia na kybernetickú hrozbu. Používatelia by mali mať neobmedzenú možnosť do nich v prípade neistoty nahliadnuť kedykoľvek a rýchlo. Informácie v tomto dokumente by mali rozdelené do menších, nenáročných častí, aby boli zrozumiteľné. 

Počuli ste už o „off-premise“ systémoch? Sú dôsledkom prvej vlny Covid19, kedy sa masívne začala uplatňovať práca z domu. Domáce routre, nezabezpečené WiFi siete a nové zariadenia vo firemnej sieti sa stali prakticky zo dňa na deň súčasťou IT systémov firmy. 
Spoločnosť BitSight, líder na trhu bezpečnostných ratingov vo svojej správe z apríla 2020 uvádza že domáce siete predstavujú pre IT systémy firiem vysoké potenciálne riziko.

Problém predstavuje najmä malvér spolu s expozíciou služieb a vzdialenej správy do internetu:

• Domáce siete majú v porovnaní s firemnými sieťami až 3,5x väčšiu pravdepodobnosť, že sa v nich vyskytne určitý druh malvéru
• Viac než 25% zariadení v domácich sieťach má jednu alebo viacero služieb prístupných z internetu
• 1 zo 7 domácich sietí má nastavenia svojho routera/modemu prístupné cez nezabezpečenú IP adresu

Firemné zariadenie, nech je akokoľvek dobre nakonfigurované a zabezpečené, predstavuje v takejto sieti potenciálny problém pre celofiremnú bezpečnosť. Pretože takto vystavuje podnikové aktíva, ktoré zvyčajne chráni firemný firewall do nového sveta sieťových hrozieb prevládajúcich v domácich sieťach.

Home office však nebude iba krátkodobý fenomén. Mali by sa naň dôsledne pripraviť všetky firmy, ktorým záleží na bezpečnosti ich systémov a údajov. Základom je nájsť rovnováhu medzi bezpečnosťou a produktivitou. Je nevyhnutné udržať efektivitu na čo najvyššej úrovni, avšak nie za cenu obídenia či minimalizácie bezpečnostných iniciatív.

Niekoľko odporučení, ako sa pripraviť na bezpečnejšie využívanie home office:

• Preverte u vašich zamestnancov aktuálnosť hardvérových prvkov v domácich sieťach, najmä aktuálnosť firmvérov či továrenské nastavenia vo svojich routeroch, v prípade novších verzií ich nechajte nainštalovať.
• Skontrolujte správnu konfiguráciu sieťových tlačiarní a NAS zariadení.
• Identifikujte kritické biznis aplikácie. Ak sú v cloude, konzultujte s vašim poskytovateľom cloudových služieb požadované plány pre biznis kontinuitu.
• Monitorujte telemetriu siete. Identifikujte z ktorých IP adries sa zamestnanci pripájajú, aké majú typické vzory správania. Takto dokážete rýchlo identifikovať anomálie či zraniteľné zariadenia.
• VPN pripojenie je absolútnou prioritou. Otestujte si VPN pripojenie aj ku kritickým aplikáciám, zabezpečte si požadovanú konektivitu v prípade, ak by sa pripájalo viacero zamestnancov
• Vzdelávajte svojich zamestnancov. Čoraz sofistikovanejšie phishing správy či malvérové hrozby sú namierené priamo na nich. Naučte ich, ako takéto správy identifikovať a ako sa správať v prípade, keď sa hrozba vyskytne.
• Prijmite stratégiu „zero trust“. Len takto dokážete rozvíjať ďalšie cloudové služby, zefektívniť využívanie VPN, a tým umožníte efektívnejšiu prácu z domu svojim zamestnancom.

Neexistuje univerzálny spôsob, ako urobiť prácu z domu bezpečnú voči kybernetickým hrozbám. Kľúčové je však aplikovať také služby a postupy, ktoré čo najviac pomôžu v zabezpečení pripojenia k firemným systémom. Tými sú najmä cloudové služby, využitie VPN a stratégia „zero trust“.

Naše odporučenia vychádzajú práve zo znalostí našich IT a bezpečnostných špecialistov. V GAMO máme skúsenosti s riešeniami, ktoré prácu z domu dokážu urobiť bezpečnou a efektívnou. Najdôležitejší je však nový prístup nastaveniu „security mindset“. A ten nám nechýba.

Spoľahnite sa.