Zagrożenia na każdym kroku. Najważniejsze zasady cyberbezpieczeństwa dla firm

O tym, jak chronić firmę w sieci, można by pisać opasłe książki. Złożoność zagadnienia może jednak przynosić odwrotny efekt i zniechęcać do podejmowania działania. To byłby błąd, dlatego – aby pomóc go uniknąć – przygotowaliśmy kompendium wiedzy w pigułce. Oto dziesięć najważniejszych zasad, które pozwolą na skuteczne dbanie o bezpieczeństwo w organizacji.

Dalsza część artykułu pod materiałem wideo

Od nich należy zacząć – audyty bezpieczeństwa IT pozwalają zlokalizować słabe ogniwa w strukturze firmy, a następnie je eliminować. Przeprowadzane przez specjalistów testy i analizy sprawdzają podatność firmy na ataki z zewnątrz, jak i na awarie czy naruszenia, do których dochodzi wewnątrz organizacji.

Ważne też, by takie audyty regularnie ponawiać – to pozwoli ustalić, czy podjęte działania przynoszą oczekiwane skutki i czy aby w tak zwanym międzyczasie nie pojawiły się nowe zagrożenia dla organizacji. To też sposób na nieustanną optymalizację procesów.

Polega na obserwowaniu w czasie rzeczywistym funkcjonowania infrastruktury informatycznej w firmie. Monitoring zagrożeń IT umożliwia natychmiastowe wykrywanie problemów, co z kolei pozwala na błyskawiczną eliminację ich źródła. Wszelkie anomalie i podejrzane zdarzenia są od razu zgłaszane do administratora.

Najlepszym rozwiązaniem jest połączenie monitoringu proaktywnego (polegającego na prognozowaniu zdarzeń na podstawie analizy ciągle gromadzonych danych, takich jak logi systemowe czy zarejestrowane aktywności) oraz monitoringu reaktywnego (polegającego na błyskawicznym wykrywaniu i identyfikowaniu zagrożeń i zdarzeń).

Każda firma powinna mieć również zdefiniowaną politykę bezpieczeństwa IT. Pod tym hasłem kryje się zbiór procedur, według których organizacja powinna funkcjonować w zakresie przetwarzania danych cyfrowych, dokumentów i poufnych informacji.

Procedury powinny być jak najbardziej precyzyjne i jednoznaczne. Każdy pracownik musi wiedzieć, co może i powinien robić, a każde urządzenie – być odpowiednio zabezpieczone i poddane właściwemu monitoringowi.

Polityka bezpieczeństwa powinna także zawierać plan działania na wypadek różnych scenariuszy, takich jak wyciek lub kradzież danych albo nieautoryzowany dostęp do systemu działającego wewnątrz organizacji.

Na podstawie audytów i ustalonej polityki prywatności należy wdrożyć w firmie nie tylko odpowiednie procedury, ale też zainwestować we właściwe systemy zabezpieczające. To przede wszystkim oprogramowanie antywirusowe, zapory sieciowe (firewall) oraz narzędzia chroniące przed atakami typu DDoS, ransomware czy spyware. To także systemy monitoringowe i inne narzędzia służące analizie tego, co dzieje się wewnątrz firmowej infrastruktury IT.

Oprogramowanie antywirusowe nie jest jedynym, które powinno być regularnie aktualizowane. Wszystkie programy i wszystkie narzędzia – zarówno na serwerach, jak i komputerach pracowników – muszą być używane w ich najnowszych wersjach. Znacząco redukuje to możliwość wykorzystania przez cyberprzestępców luk w ich kodach. Często to właśnie takie luki pełnią bowiem furtkę, przez którą cyfrowi złodzieje dostają się do środka firmowego systemu.

Podobnie, na bieżąco aktualizowane powinny być również systemy operacyjne na wszystkich komputerach w firmie. Powód jest ten sam – Microsoft przykładowo regularnie eliminuje kolejne zagrożenia w swoim systemie Windows.

Nie uchroni przed samym włamaniem i kradzieżą. Szyfrowanie danych może jednak sprawić, że "łup" cyberprzestępców będzie całkowicie bezwartościowy. Bez klucza deszyfrującego (najczęściej ukrytego za hasłem bezpieczeństwa) poznanie prawdziwej zawartości plików będzie praktycznie niemożliwe. Metoda ta pozostaje skuteczna zarówno w przypadku cyberataku, jak i fizycznej kradzieży urządzeń. Najlepiej zaś szyfrować jest i same pliki, i całe dyski.

Ransomware to złośliwe oprogramowanie, które najpierw szyfruje dane na dysku, a następnie wyświetla komunikat z żądaniem okupu w zamian za ich odblokowanie. Ze względu na swoją skuteczność cyberprzestępcy coraz chętniej decydują się na przeprowadzanie ataków w tej właśnie formie.

Trudno jest zapobiegać infekcjom ransomware, ale istnieje za to skuteczny sposób na minimalizację negatywnych skutków. Dzięki niemu nie trzeba zastanawiać się, czy płacić okup, czy też nie. To regularnie wykonywane kopie zapasowe, przetrzymywane na dyskach odciętych od sieci. Z ich pomocą odzyskamy pliki bez konieczności płacenia pieniędzy i wchodzenia w układy z cyberprzestępcami.

Kolejną dobrą praktyką w przedsiębiorstwach jest korzystanie z VPN-ów, czyli wirtualnych sieci prywatnych. Najlepiej, gdy wszystkie firmowe systemy zostają umieszczone wewnątrz takiej sieci – wówczas niemożliwe staje się uzyskanie do nich dostępu z poziomu komputerów znajdujących się poza nią. To stosunkowo prosty sposób, który znacząco redukuje ryzyko przedostania się poufnych informacji w niepowołane ręce.

Co najmniej jedna duża i jedna mała litera, a także jedna cyfra i jeden znak specjalny. To dobra zasada, ale zdecydowanie ważniejsze jest to, by hasła były jak najdłuższe – im więcej znaków maszyna ma do odgadnięcia, tym więcej czasu zajmie jej rozszyfrowanie hasła.

Poza tym kluczowe wytyczne dla dobrego hasła są trzy: 1) jest trudne do odgadnięcia, 2) jest łatwe do zapamiętania i 3) jest unikalne (w myśl zasady "jedno hasło – jedna usługa").

W firmie można wprowadzić politykę silnych haseł, która wymusi stosowanie zabezpieczeń "zgodnych ze sztuką" na służbowych komputerach i w wewnętrznych systemach informatycznych. Dobrym pomysłem może okazać się także wymuszanie stosowania uwierzytelniania dwuskładnikowego. Polega to na tym, że oprócz samego hasła trzeba jeszcze potwierdzić tożsamość w inny sposób: na przykład przepisując jednorazowy kod wysłany SMS-em albo korzystając z czytnika linii papilarnych.

Statystyki pokazują, że najsłabszym ogniwem w kwestii bezpieczeństwa IT w firmach zwykle są pracownicy. To oni często nieumyślnie wpuszczają cyberprzestępców do środka. Dlatego tak ważne jest, by oferować im szkolenia, podczas których regularnie będzie się im przypominać o podstawowych zasadach bezpieczeństwa czy ustalonej polityce w tym zakresie.

Pracownicy świadomi potencjalnych zagrożeń i dobrze zaznajomieni z polityką bezpieczeństwa stanowią tak naprawdę solidny mur, chroniący firmowe systemy oraz przechowywane i przetwarzane informacje przed najeźdźcami z zewnątrz. Zdecydowanie warto o to zadbać.