ΚΩΝΣΤΑΝΤΙΝΟΣ ΠΑΤΕΡΑΚΗΣ
Δεν είστε σίγουροι πώς να προστατεύσετε τη μικρομεσαία σας επιχείρηση από απειλές για την ασφάλεια στον κυβερνοχώρο;
Εξηγούμε πώς μια αξιολόγηση κινδύνου για την κυβερνοασφάλεια των μικρομεσαίων επιχειρήσεων βοηθά και περιγράφουμε τους πιο κρίσιμους τομείς που πρέπει να καλυφθούν
Η Διαδικασία
Η αξιολόγηση κινδύνων για την ασφάλεια στον κυβερνοχώρο είναι μια διαδικασία εντοπισμού, ανάλυσης και αξιολόγησης των κινδύνων που αντιμετωπίζει ο οργανισμός σας καθημερινά. Μέρος αυτής της διαδικασίας συνεπάγεται τον εντοπισμό των τρωτών σημείων, το πόσο πιθανό είναι κάποιος να τα εκμεταλλευτεί και ποιος θα ήταν ο αντίκτυπος εάν κάποιος το έκανε.
Η ιδέα εδώ είναι ότι γνωρίζοντας εκ των προτέρων τους πιθανούς κινδύνους και τις επιπτώσεις τους, μπορείτε να λάβετε τα απαραίτητα μέτρα για να διασφαλίσετε ότι διαθέτετε τους ελέγχους και τα εργαλεία κυβερνοασφάλειας για να υποστηρίξετε τις κατάλληλες αντιδράσεις στον κυβερνοχώρο κινδύνου.
Όπως συμβαίνει με τα περισσότερα θέματα που σχετίζονται με την ασφάλεια, η προετοιμασία είναι πρωταρχικής σημασίας. Η αξιολόγηση κινδύνου κυβερνοασφάλειας είναι ένα ουσιαστικό εργαλείο προετοιμασίας που μπορεί να χρησιμοποιήσει κάθε SMB για να μετρήσει την ετοιμότητά της για επίθεση χωρίς να επενδύσει σημαντικούς πόρους εκ των προτέρων.
Εκτελώντας μια αξιολόγηση κινδύνου για την ασφάλεια στον κυβερνοχώρο, οι μικρομεσαίες επιχειρήσεις μπορούν να γνωρίζουν ποια μέτρα απαιτούνται για:
- Προσδιορίστε πολύτιμους πόρους στην πληροφορική, συμπεριλαμβανομένων των δεδομένων,
- Αναγνώριση και ποσοτικοποίηση πιθανών απειλών,
- Απομόνωση απεριόριστων τρωτών σημείων,
- Αποφύγετε πιθανές παραβιάσεις δεδομένων,
- Διατήρηση διακυβέρνησης και συμμόρφωσης,
- Εγγύηση χρόνου λειτουργίας της επιχείρησης για πελάτες και υπαλλήλους και
- Επικύρωση και ενημέρωση των ελέγχων ασφαλείας IT.
Αν και μια αξιολόγηση κινδύνου για την κυβερνοασφάλεια μπορεί να είναι λεπτομερής, για μια μικρομεσαία επιχείρηση, η κάλυψη περιοχών υψηλής απειλής είναι το καλύτερο μέρος για να ξεκινήσετε.
Σε αυτόν τον οδηγό, καλύπτουμε τρεις κύριους τομείς εστίασης:
- τεχνολογίες
- πολιτικών
- Ανθρωποι
Αξιολόγηση ωριμότητας κυβερνοασφάλειας για μικρές και μεσαίες επιχειρήσεις
Αυτό το εργαλείο της Enisa βοηθά τις μικρές και μεσαίες επιχειρήσεις να βελτιώσουν το επίπεδο ωριμότητας της κυβερνοασφάλειας και να τους παρέχει ένα προσαρμοστικό προοδευτικό σχέδιο για τη διαχείριση των κινδύνων που σχετίζονται με την ασφάλεια στον κυβερνοχώρο.
1. Κάντε απογραφή συστημάτων και πόρων
Το πρώτο βήμα της εκτέλεσης μιας ανάλυσης κινδύνου για την ασφάλεια στον κυβερνοχώρο είναι η καταγραφή όλων των πόρων του δικτύου της επιχείρησής σας . Τεκμηριώστε κάθε συσκευή, συμπεριλαμβανομένων των υπολογιστών, των tablet, των δρομολογητών, των εκτυπωτών, των διακομιστών και των τηλεφώνων, στο δίκτυο.
Τεκμηριώστε πώς χρησιμοποιούνται οι πόροι και πώς συνδέονται. Καταχωρίστε τύπους δεδομένων, τμήματα με πρόσβαση σε συστήματα και προμηθευτές που αγγίζουν πόρους και πληροφορίες δικτύου. Σημειώστε πώς οι πληροφορίες και τα δεδομένα ταξιδεύουν μέσω του δικτύου και ποια στοιχεία αγγίζουν στην πορεία.
Εάν δεν είστε βέβαιοι εάν ένας πόρος δικτύου είναι σημαντικός, σημειώστε τον στο απόθεμα ούτως ή άλλως. Μερικές φορές οι πιο αβλαβείς συσκευές μπορεί να είναι η πηγή πιθανής διαρροής στην υποδομή ασφαλείας σας. Οποιοδήποτε κομμάτι υλικού που συνδέεται με το δίκτυο πληροφοριών ή δεδομένων σας μπορεί ενδεχομένως να γίνει η πηγή εισβολής στον κυβερνοχώρο.
Μην ξεχάσετε να καταλογίσετε τους πόρους δικτύου που βρίσκονται εκτός της φυσικής σας τοποθεσίας επίσης. Επίσης, αποθηκεύετε δεδομένα ή πληροφορίες στο cloud; Χρησιμοποιείτε εργαλείο διαχείρισης πελατειακών σχέσεων; Αν ναι, λάβετε υπόψη και αυτά.
2. Προσδιορίστε πιθανές αδυναμίες και απειλές
Το επόμενο βήμα είναι να εξετάσετε τις περιοχές όπου η εταιρεία ή οι πληροφορίες σας είναι πιο ευάλωτες.
Η επιχείρησή σας χρησιμοποιεί συσκευές IoT; Οι επιθέσεις σε smartphone και άλλες συνδεδεμένες συσκευές αυξήθηκαν κατά 600 τοις εκατό το 2017 και εξακολουθούν να αυξάνονται, καθιστώντας αυτή μια από τις πιο σημαντικές πιθανές αδυναμίες στις περισσότερες επιχειρήσεις. Το άλλο κοινό πρόβλημα για τις εταιρείες είναι το email.
Γνωρίζοντας πώς και πού μπορούν να εισέλθουν οι επιθέσεις στον κυβερνοχώρο στο σύστημά σας και τις διαδικασίες σας μπορεί να σας βοηθήσει να κατανοήσετε καλύτερα πώς να εντοπίσετε μια πιθανή απειλή προτού μετατραπεί σε σημαντικό πρόβλημα.
Οι πιθανές απειλές περιλαμβάνουν:
- Μη εξουσιοδοτημένη πρόσβαση στο δίκτυό σας
- Κακή χρήση πληροφοριών ή διαρροή δεδομένων
- Αποτυχημένες διαδικασίες
- Απώλεια δεδομένων
- Διακοπή εξυπηρέτησης
3. Προσδιορίστε τον αντίκτυπο του κινδύνου
Αφού συγκεντρώσετε μια λίστα συστημάτων και πόρων και έχετε μια καλή ιδέα για το πού βρίσκονται οι αδυναμίες και οι απειλές , είναι σημαντικό να σκεφτείτε τον πραγματικό κίνδυνο για την επιχείρησή σας. Για παράδειγμα, πώς μια επίθεση στον κυβερνοχώρο θα έβλαπτε την επιχείρησή σας; Ποιες πληροφορίες κινδυνεύουν περισσότερο;
Καταγράψτε όλους τους πιθανούς κινδύνους και βαθμολογήστε τους σε μια κλίμακα χαμηλού, μεσαίου και υψηλού κινδύνου, με μια τυπική ταξινόμηση τέτοιων κινδύνων που παρατίθενται παρακάτω. Ο προσδιορισμός του κινδύνου για την εταιρεία σας συνήθως περιλαμβάνει μια αναλογία της ζημιάς που θα μπορούσε να προκαλέσει μια επίθεση στον κυβερνοχώρο εάν οι πληροφορίες ή τα δεδομένα παραβιάζονταν προς το πόσο πιθανό είναι να παραβιαστεί ένα συγκεκριμένο σύστημα.
Τα στοιχεία χαμηλού κινδύνου μπορεί να περιλαμβάνουν διακομιστές που περιέχουν δημόσιες πληροφορίες αλλά όχι ιδιωτικά δεδομένα και όπου αυτοί οι διακομιστές είναι συνδεδεμένοι σε ένα εσωτερικό δίκτυο.
Τα στοιχεία μεσαίου κινδύνου ενδέχεται να σχετίζονται με αποθήκευση δεδομένων εκτός σύνδεσης σε μια συγκεκριμένη φυσική τοποθεσία.
Τα στοιχεία υψηλού κινδύνου μπορεί να περιλαμβάνουν πληρωμές ή προσωπικά στοιχεία πελατών που είναι αποθηκευμένα σε λογισμικό cloud.
Καταγράψτε πρώτα τα επίπεδα κινδύνου και, στη συνέχεια, πραγματοποιήστε μια ανάλυση για να προσδιορίσετε πόσο πιθανό είναι να συμβεί ένα σενάριο κινδύνου και τι οικονομικό αντίκτυπο θα μπορούσε να έχει στην επιχείρησή σας εάν συμβεί. Αυτή η ανάλυση μπορεί να βοηθήσει στην ιεράρχηση των τμημάτων της εταιρικής και δικτυακής σας υποδομής που πρέπει πρώτα να ασφαλιστούν.
Μπορεί ακόμη και να διαπιστώσετε ότι ορισμένα τμήματα της υποδομής σας είναι τόσο χαμηλού κινδύνου που δεν χρειάζεται να κάνετε τίποτα απολύτως. Για αντικείμενα υψηλότερου κινδύνου, θα πρέπει να βεβαιωθείτε ότι διαθέτετε κατάλληλους ελέγχους ασφαλείας.
4. Αναπτύξτε και ορίστε ελέγχους κυβερνοασφάλειας
Υπάρχουν διάφοροι τρόποι για τον μετριασμό των πιθανών επιθέσεων στον κυβερνοχώρο προτού συμβούν. Με ισχυρά πρωτόκολλα ασφαλείας και ένα σχέδιο διαχείρισης δεδομένων και πληροφοριών, θα βοηθήσετε την επιχείρησή σας να παραμείνει ασφαλής.
Οι έλεγχοι και τα πρωτόκολλα ασφαλείας μπορούν να μειώσουν σημαντικά τους κινδύνους για την επιχείρησή σας, να βελτιώσουν τη συμμόρφωση και ακόμη και να επηρεάσουν την απόδοση.
Οι έλεγχοι ασφαλείας περιλαμβάνουν:
- Ρύθμιση και διαμόρφωση τείχους προστασίας
- Διαχωρισμός δικτύων
- Δημιουργία και χρήση πολιτικής κωδικού πρόσβασης για όλους τους υπαλλήλους και τις συσκευές
- Χρήση κρυπτογράφησης σε κατάσταση ηρεμίας και κατά τη μεταφορά
- Εγκατάσταση εργαλείων anti-malware και anti-ransomware
- Χρήση ελέγχου ταυτότητας πολλαπλών παραγόντων για χρήστες που έχουν πρόσβαση σε επιχειρηματικά συστήματα
- Χρήση λογισμικού διαχείρισης κινδύνου πωλητή
5. Αξιολογήστε την αποτελεσματικότητα και επαναλάβετε
Τέλος, κάθε καλή ανάλυση κινδύνου συνοδεύεται από τη δυνατότητα μέτρησης των αποτελεσμάτων και την ευκαιρία να συνεχιστεί η βελτίωση των διαδικασιών. Τα δίκτυα αλλάζουν και εξελίσσονται συνεχώς με νέες τεχνολογίες και συσκευές που έρχονται στην αγορά, καθιστώντας αυτό ένα επιτακτικό βήμα που συχνά ξεχνιέται.
Συνεργαστείτε με έναν προμηθευτή ή χρησιμοποιήστε λογισμικό και εργαλεία που μπορούν να σας βοηθήσουν να εντοπίσετε απειλές ή αλλαγές στα πρωτόκολλα ασφάλειας στον κυβερνοχώρο πριν συμβεί μια επίθεση στον κυβερνοχώρο. Μια ανάλυση είναι πιο αποτελεσματική όταν παρέχει ένα πλαίσιο για τη συνέχιση του μετριασμού του κινδύνου.
Μια νέα ανάλυση κινδύνου για την ασφάλεια στον κυβερνοχώρο θα πρέπει να εκτελείται τουλάχιστον ετησίως για να διασφαλιστεί ότι η εταιρεία σας δεν αφήνει περιουσιακά στοιχεία υψηλού κινδύνου ευάλωτα σε κυβερνοεπίθεση.
Οι μεμονωμένες επιχειρήσεις μπορούν να πραγματοποιήσουν ανάλυση κινδύνου χρησιμοποιώντας ορισμένους από τους πόρους μας στον τομέα της κυβερνοασφάλειας . Εάν χρειάζεστε μια πιο ισχυρή λύση, η SecurityScorecard μπορεί να σας βοηθήσει με εργαλεία για διάφορους κλάδους, συμπεριλαμβανομένων των τομέων χρηματοοικονομικής, τεχνολογίας, λιανικής και υγειονομικής περίθαλψης.
1. Εγκαταστήστε όλες τις ενημερώσεις συσκευών και λογισμικού
Η επιβολή ενημερώσεων συσκευών είναι ένας βασικός αλλά αποτελεσματικός τρόπος σφράγισης γνωστών τρωτών σημείων λογισμικού.
Στην αξιολόγηση κινδύνου για την ασφάλεια στον κυβερνοχώρο, βεβαιωθείτε ότι οι συσκευές έχουν διαμορφωθεί ώστε να ενημερώνονται αυτόματα ή σε προκαθορισμένο χρονοδιάγραμμα. Για ενημερώσεις που δεν είναι OTA (over-the-air), προγραμματίστε με τον προμηθευτή για να βεβαιωθείτε ότι οι ενημερώσεις παρέχονται βάσει χρονοδιαγράμματος και βεβαιωθείτε ότι αυτές οι πληροφορίες περιλαμβάνονται σε μια συμφωνία επιπέδου υπηρεσιών (SLA).
Ένας από τους κινδύνους της μη εφαρμογής έγκαιρων ενημερώσεων είναι η έκθεση σε εκμεταλλεύσεις zero-day . Σε αυτήν την επίθεση, οι χάκερ παρακολουθούν γνωστά τρωτά σημεία για τα οποία οι εταιρείες λογισμικού έχουν κυκλοφορήσει ενημερώσεις. Ωστόσο, οι εταιρείες που δεν εφαρμόζουν πρακτική ενημέρωσης παραμένουν ευάλωτες και γίνονται εύκολοι στόχοι. Ως εκ τούτου, είναι σημαντικό να εφαρμόζονται όλες οι ενημερώσεις αμέσως μόλις οι προμηθευτές λογισμικού τις εκδώσουν.
2. Εγκαταστήστε Antivirus και Antimalware
Η εφαρμογή ενός κεντρικού antivirus είναι ένας πιο αποτελεσματικός τρόπος για να διασφαλιστεί ότι οι ενημερώσεις προωθούνται σε όλα τα μηχανήματα όταν κυκλοφορούν.
Ένα άλλο βασικό αλλά συχνά αγνοούμενο μέτρο ασφαλείας είναι ότι τα προγράμματα προστασίας από ιούς πρέπει να είναι πάντα ενημερωμένα με μια ενεργή συνδρομή. Δεδομένου ότι το κακόβουλο λογισμικό εξελίσσεται καθημερινά, οι προμηθευτές προστασίας από ιούς προωθούν τακτικά νέους ορισμούς κακόβουλου λογισμικού. Εάν ένα πρόγραμμα προστασίας από ιούς δεν ενημερωθεί, ενδέχεται να μην έχει τους πιο πρόσφατους ορισμούς, πράγμα που σημαίνει ότι το κακόβουλο λογισμικό μπορεί εύκολα να γλιστρήσει απαρατήρητο.
Αν και οι περισσότερες μικρομεσαίες επιχειρήσεις εκτιμούν τη σημασία ενός προγράμματος προστασίας από ιούς, οι εργαζόμενοι συχνά θεωρούν ότι είναι δύσκολο να επιβάλουν ενημερώσεις σε επίπεδο μεμονωμένου μηχανήματος. Ορισμένοι αγνοούν τις προτροπές ή απενεργοποιούν (φαινομενικά ενοχλητικές) τις ειδοποιήσεις ενημέρωσης εντελώς. Σε άλλες περιπτώσεις, ενδέχεται να μην έχουν τα δικαιώματα διαχείρισης για να εφαρμόσουν οι ίδιοι τις ενημερώσεις.
3. Εφαρμογή Πρωτοκόλλων Τμηματοποίησης και Διαχωρισμού Δικτύων
Οι χάκερ εξαρτώνται από την εκμετάλλευση διαφόρων τρωτών σημείων για να αποκτήσουν πρόσβαση στα βασικά σας στοιχεία πληροφορικής. Η χρήση πρωτοκόλλων κρυπτογράφησης, τμηματοποίησης και διαχωρισμού θα διασφαλίσει ότι εάν ένας εισβολέας αποκτήσει πρόσβαση σε ένα τμήμα του δικτύου σας, δεν του παρέχει πλήρη πρόσβαση σε ολόκληρο το δίκτυό σας.
Αυτό το μέτρο ασφαλείας είναι ζωτικής σημασίας εάν οι υπάλληλοί σας εργάζονται εξ αποστάσεως ή έχουν πρόσβαση στην υποδομή της εταιρείας από το πεδίο. Διαχωρίζοντας τα δίκτυα VPN απομακρυσμένης πρόσβασης από την βασική υποδομή δικτύου, μπορείτε να διασφαλίσετε ότι οι εργαζόμενοι που εργάζονται εξ αποστάσεως δεν αποτελούν αυξημένη απειλή για την ακεραιότητα πληροφορικής της εταιρείας σας.
4. Ασφαλίστε όλες τις εισερχόμενες και εξερχόμενες ροές πληροφοριών
Λαμβάνοντας υπόψη ότι σχεδόν όλο το κακόβουλο λογισμικό παραδίδετε μέσω ηλεκτρονικής αλληλογραφίας, η ασφάλεια του email μέσω κρυπτογράφησης και φίλτρων ανεπιθύμητης αλληλογραφίας πρέπει να αποτελεί μέρος της αξιολόγησής σας. Απλά βήματα, όπως το φιλτράρισμα όλων των ανεπιθύμητων μηνυμάτων προτού φτάσει στα γραμματοκιβώτια του υπαλλήλου σας, μπορεί να είναι ένα αποτελεσματικό μέτρο για την ασφάλεια των επικοινωνιών.
Άλλα στοιχεία δικτύου που θα πρέπει να εξετάσετε, είναι το ενδεχόμενο να ασφαλίσετε τον ιστότοπο της εταιρείας σας κα να χρησιμοποιήσετε απομακρυσμένη πρόσβαση VPN. Ορισμένοι εισβολείς χρησιμοποιούν μη κρυπτογραφημένη επισκεψιμότητα ιστότοπου για να αποκτήσουν πρόσβαση στα email της εταιρείας ή σε οποιαδήποτε άλλα δεδομένα μπορούν να εκμεταλλευτούν με μεθόδους επίθεσης όπως το ηλεκτρονικό phishing. Ομοίως, η μη κρυπτογραφημένη πρόσβαση VPN κάνει ευάλωτη την εταιρεία σε επιθέσεις sniffing και man-in-the-middle, οι οποίες εμποδίζουν τις τακτικές κρυπτογράφησης.
5. Χρησιμοποιήστε μια πολυεπίπεδη προσέγγιση για την ασφάλεια στον κυβερνοχώρο
Η υποδομή πληροφορικής σας διαθέτει αρκετά επίπεδα για να αποτρέψει μια επίθεση; Η πολυεπίπεδη ασφάλεια αποτρέπει την πιθανότητα καταστροφικής αποτυχίας ασφάλειας λόγω μιας μόνο ευπάθειας. Τα βασικά επίπεδα που πρέπει να λάβετε υπόψη είναι:
- Περιμετρική ασφάλεια,
- Ασφάλεια τελικού σημείου,
- Δημιουργία αντιγράφων ασφαλείας και ανάκτηση καταστροφών,
- Πρωτόκολλα ελέγχου ταυτότητας ( έλεγχος πρόσβασης ),
- Παρακολούθηση σε πραγματικό χρόνο και
- Εκπαίδευση ευαισθητοποίησης των εργαζομένων.
Η αρχή ενός πολυεπίπεδου πλαισίου ασφάλειας στον κυβερνοχώρο είναι ότι κάθε επίπεδο λειτουργεί ως ασφάλεια αστοχίας που αντιμετωπίζει τις αδυναμίες ασφάλειας στα άλλα επίπεδα. Για παράδειγμα, εάν ένας υπάλληλος χάσει μια συσκευή της εταιρείας (αστοχία της ασφάλειας της ευαισθητοποίησης των εργαζομένων), τα πρωτόκολλα ασφάλειας τελικού σημείου και ελέγχου ταυτότητας εμποδίζουν την πρόσβαση στη συσκευή και επιτρέπουν το σκούπισμα της συσκευής από απόσταση.
6. Αναπτύξτε το σύστημα ανίχνευσης εισβολής (IDS) σε όλο το δίκτυό σας
Η έγκαιρη σύλληψη μιας απόπειρας επίθεσης μπορεί να την σταματήσει πριν συμβεί το πραγματικό κακό. Τα εργαλεία IDS όπως τα συστήματα ανίχνευσης εισβολής δικτύου (NIDS) και τα συστήματα ανίχνευσης εισβολής που βασίζονται σε κεντρικό υπολογιστή (HIDS) μπορούν να είναι χρήσιμα για αυτόν τον σκοπό. Άλλες μέθοδοι όπως η παρακολούθηση επιθέσεων DDoS και ωμής βίας μπορούν επίσης να σας ειδοποιήσουν για μια επίθεση, δίνοντας στην ομάδα IT σας χρόνο να ανταποκριθεί ή να αναζητήσει εξωτερική βοήθεια.
Το IDS είναι ένα κρίσιμο στοιχείο της ασφάλειας στον κυβερνοχώρο πληροφορικής, επειδή λειτουργεί ως τελευταία γραμμή άμυνας όταν όλα τα άλλα στοιχεία ασφάλειας αποτυγχάνουν. Ας πούμε, ένας εισβολέας χρησιμοποιεί μια επίθεση phishing για να αποκτήσει έναν κωδικό πρόσβασης διαχειριστή. Εάν προσπαθήσουν να αποκτήσουν πρόσβαση σε έναν ασφαλή διακομιστή από μια μη αναγνωρισμένη διεύθυνση IP, αυτό θα ενεργοποιήσει το εργαλείο παρακολούθησης και είτε θα κλειδώσει τον εισβολέα (επαναφέρετε τον κωδικό πρόσβασης) είτε θα δημιουργήσει μια ειδοποίηση.
7. Υλοποίηση και επιβολή αντιγράφων ασφαλείας δεδομένων σε πραγματικό χρόνο
Το Ransomware δίδαξε στον κόσμο τη σημασία των αντιγράφων ασφαλείας σε πραγματικό χρόνο, ένα μάθημα που πρέπει να μάθει κάθε SMB. Κατά την αξιολόγησή σας, προσδιορίστε τους πόρους που πρέπει να δημιουργηθούν αντίγραφα ασφαλείας και λάβετε μέτρα για την εφαρμογή των απαραίτητων λύσεων όπως το OneDrive, το Google Drive ή το Dropbox — όλες οι οποίες υποστηρίζουν αντίγραφα ασφαλείας και αποκαταστάσεις cloud σε πραγματικό χρόνο.
Εκτός από τις επιθέσεις ransomware, η έλλειψη λύσης δημιουργίας αντιγράφων ασφαλείας δεδομένων σε πραγματικό χρόνο αφήνει την εταιρεία σας εκτεθειμένη σε άλλες απειλές και ζημιές ασφαλείας. Για παράδειγμα, ένας υπάλληλος που διαγράφει εν γνώσει ή εν αγνοία του κρίσιμα δεδομένα μπορεί να θέσει σε κίνδυνο τις λειτουργίες μιας εταιρείας, παρόλο που δεν υπήρξε εξωτερική επίθεση, κοστίζοντας στην εταιρεία την ανάκτηση ή την ανακατασκευή των δεδομένων.
1. Καθορισμός και επιβολή πολιτικών ελέγχου πρόσβασης
Αξιολογήστε όλες τις πολιτικές που σχετίζονται με την πρόσβαση χρήστη (κωδικοί πρόσβασης), τη φυσική πρόσβαση, την πρόσβαση διαχειριστή και την απομακρυσμένη πρόσβαση. Λάβετε μέτρα για τον περιορισμό της κοινής χρήσης κωδικών πρόσβασης, των αδύναμων κωδικών πρόσβασης, της πρόσβασης από μη ασφαλή δίκτυα όπως το δημόσιο Wi-Fi και της χρήσης μη επαληθευμένων/μη εξουσιοδοτημένων συσκευών για πρόσβαση σε πόρους εργασίας.
Μία από τις προκλήσεις με τις πολιτικές ελέγχου πρόσβασης είναι η επιβολή, επομένως αυτός είναι ένας τομέας που πρέπει να προσέξετε. Όσο περνάει ο καιρός, οι εργαζόμενοι τείνουν να μην τηρούν τις οδηγίες. Μπορεί να συμμετέχουν σε μη ασφαλείς δραστηριότητες όπως:
- κοινή χρήση κωδικού πρόσβασης,
- χρήση συσκευών που δεν λειτουργούν για πρόσβαση στην εργασία και
- επαναχρησιμοποίηση κωδικών πρόσβασης σε πολλούς ιστότοπους.
Ως εκ τούτου, η επιβολή πολιτικών ελέγχου πρόσβασης είναι εξίσου σημαντική με τον καθορισμό τους εξαρχής.
2. Εφαρμόστε Πολιτικές Διαχείρισης Τελικών Σημείων πολλών Πωλητών
Οι μικρομεσαίες επιχειρήσεις βασίζονται συνήθως σε εξωτερικούς προμηθευτές και εξοπλισμό τρίτων. Εφόσον αυτά τα τελικά σημεία - εκτυπωτές, υπολογιστές, tablet, κινητές συσκευές και άλλες έξυπνες συσκευές - είναι δικτυωμένα, αξιολογήστε τα τρωτά σημεία που αντιπροσωπεύουν και ποιες πολιτικές μπορείτε να δημιουργήσετε για να μειώσετε τους πιθανούς κινδύνους.
Μια αναδυόμενη τάση στην ασφάλεια τελικών σημείων πολλών προμηθευτών είναι η χρήση ενός αυτοματοποιημένου εργαλείου ενοποίησης ασφάλειας που προστατεύει όλα τα τελικά σημεία από έναν ενοποιημένο πίνακα εργαλείων. Όλες οι εγγεγραμμένες συσκευές ασφαλίζονται αυτόματα με ένα τυπικό πρωτόκολλο με ένα τέτοιο εργαλείο, διασφαλίζοντας ότι καμία νέα συσκευή δεν συνδέεται στο δίκτυο πριν επιβεβαιωθεί.
3. Μείνετε σε επαγρύπνηση με το Bring Your Own Device (BYOD)
Το BYOD είναι κοινός τόπος στις περισσότερες μικρομεσαίες επιχειρήσεις, ωστόσο λίγες δημιουργούν ισχυρές πολιτικές για τη ρύθμιση της ασφάλειας BYOD. Ας υποθέσουμε ότι επιτρέπετε στους υπαλλήλους να χρησιμοποιούν τις δικές τους συσκευές για να συνδέονται με τα εταιρικά συστήματα. Σε αυτήν την περίπτωση, πρέπει να αξιολογήσετε ποια μέτρα πρέπει να ληφθούν για την αποτροπή τυχόν κυβερνοεπιθέσεων που προέρχονται από συσκευές BYOD.
Μία από τις πιο διαδεδομένες επιθέσεις που προκύπτουν από ένα περιβάλλον BYOD είναι κακόβουλο λογισμικό. Καθώς οι εργαζόμενοι φέρνουν τις συσκευές τους και τις συνδέουν σε εταιρικά δίκτυα, είναι εύκολο για το κακόβουλο λογισμικό να μεταπηδήσει από μια συσκευή τερματικού σε έναν ασφαλή διακομιστή. Ένας αποτελεσματικός τρόπος για τον μετριασμό αυτού του τύπου κινδύνου ασφάλειας είναι η εφαρμογή ενός πλαισίου ασφαλείας τελικού σημείου , το οποίο προστατεύει συσκευές τελικού χρήστη όπως κινητά τηλέφωνα, φορητούς υπολογιστές και tablet.
4. Διατηρήστε τα τρέχοντα σχέδια επιχειρηματικής συνέχειας/ανάκαμψης από καταστροφές
Τουλάχιστον, κάθε SMB θα πρέπει να γνωρίζει πότε τα πράγματα πάνε στραβά. Ένα σχέδιο επιχειρηματικής συνέχειας είναι το σχέδιο δράσης σας για τον μετριασμό του χρόνου διακοπής λειτουργίας και τη διατήρηση των λειτουργιών σε περίπτωση έκτακτης ανάγκης. Αυτό το έγγραφο θα πρέπει να περιγράφει όλα όσα πρέπει να γνωρίζετε για να βοηθήσετε την επιχείρησή σας να σταθεί στα πόδια της κατά τη διάρκεια μικρών και μεγάλων γεγονότων, όπως η αντιμετώπιση όλων, από διακοπές ρεύματος έως φυσικές καταστροφές.
Επιπλέον, η ομάδα σας πρέπει να γνωρίζει τι θα κάνει εάν η εταιρεία σας χάσει όλα τα δεδομένα της, ακόμη και από σφάλμα υπαλλήλου. Εάν διαθέτετε σχέδιο αποκατάστασης από καταστροφές (DRP), συμπεριλάβετε την απειλή της κυβερνοεπίθεσης και ποια μέτρα μετριασμού και αποκατάστασης πρέπει να λάβετε στη συνέχεια.
Για παράδειγμα, εάν η εταιρεία σας δεχτεί μια επίθεση ransomware, ένα σχέδιο αποκατάστασης από καταστροφή μπορεί να περιγράψει μέτρα μετριασμού και αποκατάστασης. Αυτά μπορεί να περιλαμβάνουν τη μορφοποίηση του επηρεαζόμενου μηχανήματος και την επαναφορά των πάντων από ένα αντίγραφο ασφαλείας cloud. Μπορεί επίσης να υποδεικνύει τι πρέπει να κάνετε για να διασφαλίσετε ότι η επίθεση ransomware δεν θα εξαπλωθεί σε άλλες συσκευές και διακομιστές στο δίκτυο.
5. Εξετάστε το ενδεχόμενο ν' αγοράσετε ασφάλιση κυβερνοασφάλειας
Η ασφάλιση κυβερνοασφάλειας (ασφάλιση αστικής ευθύνης στον κυβερνοχώρο ή ασφάλεια στον κυβερνοχώρο) είναι ένα σχετικά νέο προϊόν που καλύπτει συγκεκριμένα κινδύνους που σχετίζονται με την τεχνολογία πληροφοριών και μπορεί να συμβάλει στην αντιστάθμιση των οικονομικών κινδύνων που είναι εγγενείς στην επιχειρηματική δραστηριότητα στο διαδίκτυο. Δεδομένου ότι η λήψη μιας πολιτικής απαιτεί αξιολόγηση της κυβερνοασφάλειας, θα προσφέρει το πρόσθετο πλεονέκτημα της ενίσχυσης της ασφάλειας στον κυβερνοχώρο της εταιρείας σας.
Κατά την αξιολόγηση της ασφάλισης στον κυβερνοχώρο, σκεφτείτε εάν θα χρειαστείτε κάλυψη πρώτου μέρους, κάλυψη αστικής ευθύνης ή και τα δύο. Η κάλυψη πρώτου μέρους σάς καλύπτει έναντι πειρατείας, κλοπής, εκβιασμού, άρνησης παροχής υπηρεσιών και άλλων απειλών που μπορούν να επηρεάσουν την επιχείρησή σας. Η κάλυψη ευθύνης περιορίζει την οικονομική σας έκθεση όσον αφορά λάθη και παραλείψεις, δικαστικές διαφορές και άλλες υποχρεώσεις μετά το περιστατικό.
1. Εφαρμογή καναλιών αναφοράς ορατών περιστατικών
Δημιουργήστε απλά, προσβάσιμα και ορατά κανάλια αναφοράς περιστατικών, ώστε ο καθένας να μπορεί να υποβάλει μια αναφορά. Εξετάστε το ενδεχόμενο να ορίσετε τι συνιστά περιστατικό, ώστε οι εργαζόμενοι να γνωρίζουν ένα περιστατικό όταν το βλέπουν. Αν και δεν μπορούν όλοι να αναγνωρίσουν και να αναφέρουν έναν Trojan, μπορούν να αναφέρουν περιστατικά όπως κοινή χρήση κωδικού πρόσβασης, απομακρυσμένη μη εξουσιοδοτημένη πρόσβαση και άλλες περιορισμένες ενέργειες.
Όταν δεν υπάρχουν αρκετοί εσωτερικοί πόροι για την αντιμετώπιση ενός περιστατικού, η σύναψη συμβάσεων με μια εξωτερική εταιρεία κυβερνοασφάλειας μπορεί επίσης να είναι χρήσιμη. Οι περισσότερες από αυτές τις εταιρείες διαθέτουν εργαλεία και δομές αναφοράς περιστατικών, ορισμένες από τις οποίες είναι αυτοματοποιημένες και τις εφαρμόζουν ως μέρος ενός πακέτου διαχειριζόμενων υπηρεσιών.
2. Πραγματοποιήστε ολοκληρωμένη εκπαίδευση τελικών χρηστών
Η εκπαίδευση των τελικών χρηστών σχετικά με το πώς και γιατί να ενημερώνουν το λογισμικό προστασίας από ιούς μπορεί να φαίνεται περιττή ή ακόμη και προφανής. Ωστόσο, βοηθά στην αποφυγή δυνητικά επικίνδυνων συμπεριφορών, όπως ένας υπάλληλος που απενεργοποιεί το λογισμικό προστασίας από ιούς, επειδή τους ζητά συνεχώς να ενημερώνονται.
Εκτός από την εκπαίδευση προστασίας από ιούς, συμπεριλάβετε επίσης εκπαίδευση σχετικά με το πώς να:
- Κλείδωμα εγγράφου PDF,
- Αλλάξτε έναν κωδικό πρόσβασης που έχει λήξει,
- Ορίστε έναν ισχυρό κωδικό πρόσβασης συσκευής,
- Αναφέρετε ένα περιστατικό ασφαλείας,
- Πρόσβαση στο δίκτυο με ασφάλεια και
- Χρησιμοποιήστε ένα VPN όταν εργάζεστε από το σπίτι.
Η διασφάλιση της σχολαστικής εκπαίδευσης όλων των εργαζομένων, ειδικά των νέων, μπορεί να βοηθήσει στην αποφυγή στιγμών «ωπ» όταν ένας υπάλληλος συμμετέχει άθελά του σε ένα περιστατικό επίθεσης στον κυβερνοχώρο.
3. Ενσωματώστε την εκπαίδευση στον κυβερνοχώρο και την ευαισθητοποίηση στον πολιτισμό σας
Η κυβερνοασφάλεια έκτοτε έπαψε να είναι μόνο ευθύνη του τμήματος πληροφορικής. Οι σύγχρονες εταιρείες κατανοούν ότι όλοι είναι υπεύθυνοι και λαμβάνουν μέτρα για την εκπαίδευση και την ευαισθητοποίηση των εργαζομένων τους. Στον οργανισμό σας, σκεφτείτε να διοργανώσετε μια ημέρα ευαισθητοποίησης για την ασφάλεια στον κυβερνοχώρο ή να ορίσετε πρωταθλητές στον τομέα της κυβερνοασφάλειας από τις τάξεις των εργαζομένων που μπορούν να υπενθυμίζουν με συνέπεια στους συναδέλφους τους τη σημασία της κυβερνοασφάλειας.
Ως μέρος του προγράμματος εκπαίδευσης και ευαισθητοποίησης, βεβαιωθείτε ότι η αξιολόγηση της κυβερνοασφάλειας εστιάζει στους ακόλουθους τομείς:
- Phishing και κοινωνική μηχανική: Ενημερώστε τους υπαλλήλους ότι οι επιθέσεις χρησιμοποιούν εξαπάτηση και άλλες τακτικές κοινωνικής μηχανικής για να τους χειραγωγήσουν ή να τους εξαπατήσουν ώστε να παρέχουν ευαίσθητα δεδομένα, όπως κωδικούς πρόσβασης.
- Πρόσβαση, κωδικοί πρόσβασης και σύνδεση: Εκπαίδευση των χρηστών στη διάκριση μεταξύ γενικής και προνομιακής πρόσβασης, ενώ καλύπτει τομείς όπως η χρήση VPN και τα δημόσια πρωτόκολλα Wi-Fi.
- Ασφάλεια συσκευής: Είτε οι υπάλληλοί σας χρησιμοποιούν συσκευές που ανήκουν σε εταιρεία είτε προσωπικές συσκευές, βεβαιωθείτε ότι οι πολιτικές που θεσπίζετε θα δώσουν τη δυνατότητα στους υπαλλήλους να παραμείνουν σε επαγρύπνηση.
- Φυσική ασφάλεια: Η κυβερνοασφάλεια ξεπερνά τον κυβερνοχώρο, μια πτυχή που πρέπει να εκπαιδεύσετε τους υπαλλήλους σας να κατανοούν και να περιλαμβάνουν συσκευές κλειδώματος, γραφεία και δωμάτια διακομιστών και να σκουπίζουν σωστά τις συσκευές BYOD όταν απορρίπτονται ή πωλούνται.
Διδάσκοντας στους υπαλλήλους σας να αναγνωρίζουν κοινές απειλές στον κυβερνοχώρο και μεθόδους επίθεσης και να ξέρουν πώς να ανταποκρίνονται με ασφάλεια σε αυτές, ενισχύετε το ανθρώπινο τείχος προστασίας του οργανισμού σας.
Αν χρείζεστε βοήθεια για την εφαρμογή της Διαδικασίας
επικοινωνήστε μαζί μας
Πως το insTech μπορεί να σας Βοηθήσει!
Μία Ανάλυση Κινδύνου Κυβερνοασφάλειας και συμμόρφωσης στις κανονιστικές ρυθμίσεις δεν είναι δύσκολη. Θα πρέπει όμως να είναι πλήρης, αποτελεσματική και σχεδιασμένη ώστε να μην διαταράσσει την λειτουργία της επιχείρησης σας.
Η ομάδα Συμμόρφωσης και Cyber Security του insTech διαθέτει πρακτικές γνώσεις και πείρα για την παροχή πρακτικής βοήθειας εκκίνησης και ανάπτυξης μέσα από αποτελεσματική Ανάλυση Κινδύνου Κυβερνοασφάλειας.
Επικοινωνήστε τώρα μαζί μας για να συζητήσετε πώς μπορούμε να υποστηρίξουμε την ομάδα συμμόρφωσής σας.
Κωνσταντίνος Πατεράκης, Co-Founder
Περισσότερα σχετικά με το Cyber Security
Διαβάστε τις απόψεις μας για τα πράγματα που σας ενδιαφέρουν. Και γνωρίστε τους ανθρώπους μας. Κάνουμε τη διαφορά.
