Únik a zneužitie dát je dnes témou, ktorá sa týka každej firmy, organizácie, úradu, ale tiež školy či nemocnice. Dochádza k nemu čoraz viac aj v slovenských podmienkach, čo ukazujú nielen medializované prípady, ale aj prieskumy v rámci IT oddelení firiem. Potreba ochrany nášho digitálneho sveta sa tak stáva akútnou. Ako ste na tom vo vašej spoločnosti?
Podľa správy o stave kyberbezpečnosti Českej republiky za rok 2019, ktorú nedávno zverejnil Národní úřad pro kybernetickou a informační bezpečnost, medzi najčastejšie typy útokov patrili spam, phishing a podvodné e-maily. Za najzávažnejšie typy útokov boli zase označené škodlivý kód (vírus, červ, trójsky kôň), ransomware a phishing. V poslednej dobe sa však v médiách objavuje stále viac správ o únikoch citlivých informácií z rôznych databáz a služieb. Posledný report Svetového ekonomického fóra, venovaný globálnym rizikám, kladie pravdepodobnosť prezradenia alebo ukradnutia citlivých dát na 6. miesto, pričom na prvých piatich priečkach sa nachádzajú riziká z environmentálnej oblasti. Oblasť kybernetických útokov ako je ransomware, malware a DDoS útoky nasleduje až potom. Čo to znamená? Únik citlivých dát je najpravdepodobnejším technologickým rizikom pre rok 2020.
Firmy úniky dát stále podceňujú
Cieľom útočníkov sa stávajú aj mobilné aplikácie, ktoré sú dnes bežnou súčasťou nášho fungovania. Pre firmy a organizácie, ktorých hlavnou náplňou nie je kybernetická bezpečnosť, je náročné venovať sa problematike kybernetickej bezpečnosti a celkovo IT prioritám v takej miere, ako si to dnešná digitálna doba vyžaduje. Táto oblasť je dlhodobo podhodnotená a dôležité systémy, potrebné na bežný chod firmy, organizácie, sú často prevádzkované na zastaraných a neaktualizovaných zariadeniach a systémoch. Kedysi možno stačilo na ochranu firmy dobré zabezpečenie perimetru siete firewallom a na koncové zariadenia nainštalovať antivírus. Toto však už dnes neplatí. Prechodom značnej časti systémov do cloudu a s možnosťou práce odkiaľkoľvek prestal existovať klasický perimeter, ktorý oddeľoval lokálnu zabezpečenú sieť od ostatných sietí. Z tohto dôvodu sa prechádza na tzv. koncepciu Zero Trust Network. Myšlienka takéhoto prístupu je jednoduchá: nedôverovať nikomu, overovať každého a vynucovať prísne zásady riadenia prístupu a správy identít.
Ani ochrana koncových bodov sa už nemôže spoliehať len na klasické antivírové programy založené na signatúrach. Je potrebné zabezpečovať sofistikovanejšiu ochranu na základe pokročilých metód, ako sú napríklad rôzne exploitačné techniky a sandboxing. Ochranu dát vo verejných cloudoch je možné zvýšiť napríklad nasadením technológie CASB (Cloud Access Security Broker), ktorá je schopná odhaliť podozrivé prístupy a narábanie s dátami uloženými v cloude. V lokálnych sieťach je dôležité riadenie identít a prístupov, aby bolo možné riadiť kto a kam má prístup a čo v sieti robí.
Ako zistiť či mám kvalitne zabezpečené dáta?
Bezpečnosť IT prostredia je komplexná problematika, ktorej je potrebné venovať sa dlhodobo. Ako sa vyvíjajú rôzne bezpečnostné ochrany, tak sa vyvíjajú aj rôzne typy útokov. Z tohto dôvodu je potrebné udržiavať systémy a zariadenia aktualizované, nakoľko rôzne odhalené zraniteľnosti v programovom vybavení sú najjednoduchšími vstupnými dverami pre útočníkov. Na zisťovanie známych zraniteľností je možné využiť rôzne automatické nástroje, ktoré sú schopné odhaliť neaktualizované systémy aj defaultné heslá.
Pre dôležité systémy je vhodné vykonať komplexné penetračné testovanie. Toto testovanie zabezpečujú špecializované firmy, alebo etickí hackeri, ktorí sa snažia odhaliť slabé stránky systémov, no je možné využiť aj tzv. bug bounty programy. V rámci nich je testovaný systém voľne sprístupnený etickým hackerom a za nájdenie zraniteľností sú vypísané rôzne odmeny.
Ďalšou oblasťou bezpečnosti, ktorú je potrebné riešiť, je vzdelávanie používateľov. IT systémy môžu byť po technickej stránke zabezpečené dostatočne, ale ak zlyhá obsluha, tak je to zbytočné. Často býva tým najslabším článkom práve ľudský faktor. Môže ísť napríklad o prezradenie hesla, otvorenie e-mailu s nebezpečnou prílohou, použitie USB kľúča s malware, atď…
Bezpečnosť v skratke
Bežná firma či organizácia v dnešnej digitálnej dobe nedokáže myslieť na všetko a preto je v rámci zabezpečenia celej IT infraštruktúry, IS, prístupov, zariadení a ľudí optimálna spolupráca so špecializovaným tímom. Základné bezpečnostné princípy, na ktoré by však myslieť mala, sa dajú zhrnúť nasledovne:
- Neklikať vždy a na všetko – to, že sa na niečo dá kliknúť, ešte neznamená, že to musíme urobiť. Nebezpečné linky môžu spôsobiť veľké škody. Otvárajte preto výhradne linky zo známych zdrojov, resp. odosielateľov.
- Používať dvoj-faktorovú autentifikáciu – základ je silné heslo, no v prípade, že to systém umožňuje, je dobré využívať dvoj-faktorovú autentifikáciu.
- Dávať si pozor na phishingové maily – patria medzi najrozšírenejšie a najjednoduchšie útoky. Pomocou nich je možné vylákať od užívateľov rôzne citlivé dáta alebo po kliknutí na prílohu môže dôjsť k infikovaniu malware.
- Pravidelne aktualizovať – pravidelná aktualizácia je účinná pri odstraňovaní známych zraniteľností.
- Mať bezpečné pripojenie – pripájajte sa len na známe a zabezpečené siete. Pozor na rôzne voľné WiFi pripojenia, ktoré môžu vstupovať do komunikácie, a sledovať a odchytávať prenášané dáta.
- Zabezpečiť mobilné zariadenia – súčasná IT bezpečnosť sa netýka len osobných počítačov, ale aj mobilných zariadení. Je potrebné používať silné heslá a biometrické zabezpečenie, vypnúť Bluetooth, keď sa nepoužíva, a zakázať automatické prihlasovanie do verejných WiFi sietí.
- Byť v strehu pred sociálnym inžinierstvom – ak má útočník problém nájsť technologickú zraniteľnosť, tak môže zaútočiť pomocou sociálneho inžinierstva. Veľa ľudí zdieľa citlivé informácie na sociálnych sieťach, vďaka čomu môžu byť útočníkom veľmi ľahko využité.
- Zálohovať dáta – všetky dôležité dáta by mali byť zálohované na bezpečnom úložisku. K strate dát môže prísť buď technologickou chybou alebo ako následok ransomware útoku.
V čom vám pomôžu IT špecialisti
V súčasnosti sú firmy a organizácie nútené venovať sa oblasti bezpečnosti čoraz viac – tlačí na ne nielen zvyšujúca sa digitalizácia, čo prináša vyšší počet útokov, ale aj silnejšia bezpečnostná legislatíva. Krajiny sprísňujú a zavádzajú nové legislatívne zmeny najmä z dôvodu ochrany údajov svojich občanov. Legislatíva, definujúca základné normy na zabezpečenie firiem a organizácie v oblasti informačných technológií, si vyžaduje nemalé investície do technológií, nastavenia procesov a ľudských zdrojov. V súčasnosti napríklad ani hľadanie bezpečnostného technika nie je vôbec jednoduchá vec. Je ich v prvom rade nedostatok a ak sa už aj nájdu, patria medzi najdrahšiu pracovnú silu.
Ak preto DATALAN prináša svojim zákazníkom a organizáciám, ktoré si nemôžu dovoliť vlastné bezpečnostné kapacity, praktické riešenie „Bezpečnosť ako služba“. Znamená to delegovanie starostlivosti o bezpečnosť vašej infraštruktúry na dedikovaných expertov v DATALANe. Nemusia vás zaujímať použité technológie, nemusíte investovať do vlastného bezpečnostného technika. Jednoducho zveríte ochranu svojho IT do rúk špecialistom, ktorí disponujú know-how, skúsenosťami a dokážu sledovať zmeny v legislatíve a vo vývoji témy kyberbezpečnosti v rámci globálneho aj domáceho trhu.
V posledných rokoch práve na Slovensku nadobudli účinnosť viaceré zákony, ktoré definujú základné normy kybernetickej bezpečnosti – Zákon o ochrane osobných údajov, Zákon o kybernetickej bezpečnosti a Zákon o informačných technológiách vo verejnej správe. DATALAN Vám preto ponúka zabezpečenie súladu s uvedenými legislatívnymi zmenami z pohľadu metodiky i technologických riešení. Sme pripravení pomôcť Vám – či už ste mesto alebo obec, univerzita, úrad alebo zdravotnícke zariadenie.
Radovan Ridzoň
Network and Security Consultant
DATALAN