Człowiek - najsłabsze ogniwo bezpieczeństwa IT.

Jakiś czas temu firma Trend Micro, zajmująca się kwestiami bezpieczeństwa IT, opublikowała ciekawą infografikę dotyczącą czynnika ludzkiego jako głównej przyczyny wycieku danych w firmie:

Jak widać jednym z najczęstszych powodów utraty lub wycieku danych jest po prostu zgubienie sprzętu: laptopa lub smartfona. Osoba, która wejdzie w posiadanie takiego urządzenia, ma dużą szasnę na np. zalogowanie się do naszej skrzynki mailowej (login i hasło zapamiętane w przeglądarce) czy firmowego systemu CMS/ERP/CRM (jak wcześniej). Mając taki dostęp, można wyrządzić bardzo wiele szkód.

Dlatego pierwszą podstawową rzeczą powinno być zabezpieczenie swojego konta użytkownika systemu operacyjnego hasłem. Drugą podstawową rzeczą - włączenie antywirusa. Windows 7/8/10 dysponuje programem Defender, który w większości przypadków powinien być wystarczający, wystarczy więc go nie wyłączać.

Kolejnym krokiem powinien być zakup linki np. Kensington - osobiście nigdzie się bez tego nie ruszam i Tobie radzę postępować tak samo ;)

W przypadku smartfona sytuacja jest trochę gorsza, bo nie będziemy przecież wszędzie chodzić z łańcuchem przyczepionym do szyi.

Można natomiast spróbować skorzystać z rozwiązania typu menedżer haseł, np. LastPass, który działa i na PC, i na smartfonie.

Ja korzystam z niego od dłuższego czasu na PC i mogę z czystym sumieniem polecić. Warto również dodatkowo rozważyć tzw. U2F jako dodatkowe zabezpieczenie np. Yubico (oczywiście w tym przypadku warto nosić taki klucz przy kluczach, a nie w laptopie czy smartfonie).

Dekalog zakazanych czynności

To, czego bezwzględnie należy się wystrzegać, przedstawione jest w 10 punktach na grafice, z których najważniejsze według mnie to:

1. podłączanie się do niezabezpieczonych sieci WIFI np. w hotelu czy miejscach publicznych: pracownik pewnej zaprzyjaźnionej firmy tak właśnie uczynił, aby sprawdzić maila (połączenie z serwerem pocztowym było niezabezpieczone SSL!). W efekcie atakujący zdobył dostęp do jego skrzynki i zaczął masowo rozsyłać spam. Dlatego należy bezwzględnie unikać publicznych, otwartych sieci WIFI.
2. używanie tych samych haseł co inne osoby oraz
3. używanie tych samych haseł w kilku miejscach: rozwiązaniem na te dwie kwestie jest wspomniany menedżer haseł, który za nas generuje bezpieczne, różnorodne hasła
4. używanie dysków USB pochodzących ze źródeł zewnętrznych, np. od klientów: z tym jest czasem trudno, ale zawsze warto z dużą dozą ostrożności wkładać pendrive’y pochodzące z nieznanych źródeł. W końcu nie ma pewności, czy osoba, która przyniosła takiego pendrive’a, sama nie ma wirusa na swoim komputerze, który przeszedł na pendrive’a. A już na pewno nie można ignorować informacji antywirusa, jeśli takowa się pokaże.
5. pozostawianie sprzętu bez opieki: rozwiązanie - chociażby wspomniana linka zabezpieczająca. Pamiętam jak po jednych targach z naszego stoiska zniknęły 2 laptopy, właśnie dlatego, że nie były w żaden sposób zabezpieczone (inna sprawa, że nie powinno ich tam w ogóle być…)
6. jako dodatkowy punkt zakazanej czynności dodałbym również: otwieranie maili ze złośliwymi załącznikami, np. *.js, *.exe, *.bat, *.cmd, *.ps1 (i jeszcze kilka pewnie by się znalazło, ale akurat te mi przychodzą do głowy). Pamiętajmy: firmy kurierskie, banki i inne instytucje, zazwyczaj nie wysyłają maili z załącznikami. A jeśli tak, to prawdopodobnie zawsze są również dostępne na stronie www - na którą należy wchodzić wpisując adres w przeglądarkę, a nigdy poprzez kliknięcie na odnośnik znajdujący się w mailu, który może kierować do fałszywej strony.

Oczywiście, temat bezpieczeństwa w firmie, to temat rzeka i powyższe informacje nie wyczerpują go w 100%. Co ważne, kwestie te dotyczą firmy każdej wielkości, od dużych międzynarodowych korporacji, po MŚP.

To o czym należy pamiętać, to to, że wraz ze wzrostem liczby wykorzystywanych usług internetowych, w tym związanych IoT i Przemysłem 4.0, rośnie liczba źródeł potencjalnego wycieku danych.

Nie należy jednak panikować, wyłączać Internetu i zakładać foliowej czapeczki na głowę.

Wystarczy zachować odrobinę czujności, być świadomym zagrożeń i przestrzegać powyższych porad, żeby zwiększyć szansę, że Twoje dane będą bezpieczne (o ile dodatkowo wykonujesz bezpiecznie przechowywane kopie bezpieczeństwa ;)).