Ako ochrániť IT pred činnosťou ich používateľa

Bezpečnosť
0

Keď sa pozrieme na informačné technológie a bezpečnosť, v poslednom čase sa stáva významným trend využitia používateľa ako vstupnej brány na preniknutie do systému. Či už ide o ransomvér, rôzne formy phishingu, alebo krádež dát, veľká časť súčasných úspešných napadnutí sa spolieha práve na to, že bežný človek za počítačom úmyselne alebo neúmyselne otvorí útočníkovi dvere do systému. Možno sa vôbec proti niečomu takému brániť?

Útočníci, ktorých cieľom je kompromitovať systém alebo rovno celú firmu, sa postupne začínajú čoraz viac spoliehať na bežného používateľa systému. Ten sa s ohľadom na rozvoj bezpečnostných riešení totiž stáva najjednoduchšou cestou, ako prelomiť všetky pravidlá a nastavené ochrany. Ako vyplýva z prieskumu spoločnosti Osterman, každá druhá firma bola v priebehu minulého roka postihnutá ransomvérom. Ďalšie štatistiky ukazujú nárast phishingových útokov na organizácie všetkých druhov a veľkostí. Nezaostávajú ani incidenty internej bezpečnosti, keď používateľ omylom alebo zámerne pošle citlivé informácie nesprávnemu adresátovi.

Po podobné situácie nemusíme ísť ďaleko, stávajú sa takmer každému. Z menších incidentov, ktoré sme zaznamenali v poslednom období, môžeme vybrať napríklad jednu firmu z Moravy, ktorej zamestnanec zdieľal viac ako 100 naskenovaných občianskych preukazov externej firme prostredníctvom služby ulož.to, kde ich mohol ktokoľvek nájsť a stiahnuť. V ďalšej väčšej organizácii došlo k tomu, že požívateľ poslal omylom zoznam všetkých zákazníkov firmy jednému zo zákazníkov, s ktorým bežne komunikoval.

Vo väčšine prípadov teda ide o omyl alebo nevedomosť používateľa, ktoré môže útočník veľmi jednoducho zneužiť. A adekvátne komplikované je brániť sa proti nej. Vo veľa prípadoch totiž stačí kliknúť na nesprávne tlačidlo alebo otvoriť priložený súbor. A môže sa stať incident s ďalekosiahlymi následkami.  

Existuje teda riešenie?

Asi vás neprekvapí, že na ochranu pred chybou bežného používateľa existuje jediná možnosť – venovať sa prevencii a ovplyvniť jeho správanie. Prvý krok vo firemnom prostredí je príprava smerníc a politík. Tieto dokumenty majú informatívny charakter a môžu ukázať zamestnancovi, ako by sa mal správať pri práci s počítačom a firemnými systémami či dokumentmi. Pokiaľ sú napísané zrozumiteľnou rečou a nie sú pridlhé, zvyšuje sa pravdepodobnosť, že ich budú zamestnanci poznať a riadiť sa nimi.

Dokumenty sú, samozrejme, len formálna stránka veci. Skutočne dôležité je venovať dostatok pozornosti školeniam a pripomínaniu najdôležitejších odporúčaní. Skúsme sa všetci zamyslieť a pripraviť súbor jednoduchých odporúčaní tak, aby ich pochopili aj rodičia alebo babička. Zoznam bude s najväčšou pravdepodobnosťou obsahovať minimálne tieto položky:

  • Neodpovedajte na nijakú nevyžiadanú poštu.
  • V legitímnom styku od vás nikto nikdy nebude chcieť, aby ste poslali svoje prihlasovacie údaje e-mailom ani telefonicky, preto na podobné výzvy nereagujte.
  • Neklikajte na podozrivé odkazy alebo banery na webových stránkach.
  • Udržujte si svoj systém aj programy aktuálne, majte antivírus a neinštalujte neznáme aplikácie.
  • Prv ako niekde poskytnete svoje osobné alebo citlivé údaje, dvakrát overte, či to skutočne potrebujete a či ide o legitímnu požiadavku.

Takisto dôležité je mať dostatok priestoru na zamyslenie sa nad svojou činnosťou na počítači pri bežnej práci, hlavne ak ide o prácu s citlivými informáciami. Rozhodne je dôležité nerobiť tak v strese alebo časovej tiesni, čo môže byť výzvou napríklad vo firemnom prostredí.

Vo firmách sa osvedčili aj praktické bezpečnostné tipy, ktoré sa zamestnancom môžu zobrazovať na počítači pri bežnej práci, či už pri spustení počítača, v informačnom systéme, alebo firemnom intranete. Čím viac sa pripomínajú riziká a odporúčané postupy, tým väčšia je pravdepodobnosť, že budú reálne použité.

Z hľadiska technológií možno využiť napríklad nástroje na bezpečnostný audit, ktoré odhalia potenciálne riziká – napríklad to, že zamestnanci používajú službu typu ulož.to, pretože nepoznajú lepšiu alternatívu na zdieľanie dát. Ďalší krok je nasadenie riešenia Data Loss Prevention (DLP), ktoré je schopné zobrazovať notifikácie používateľom v momente, keď pracujú s citlivými dátami. V závislosti od nastavení potom dokážu napríklad zamestnanca upozorniť, že sa snaží odoslať interný dokument na adresu mimo firmy, a predchádzať tak ľudským chybám.

Mgr. Matej Zachar
Safetica Technologies, s. r. o.

Safetica Technologies

Pridať komentár

Mohlo by vás zaujímať

Mohlo by vás zaujímať