Kibernetinis saugumas įmonėse: į ką atkreipti dėmesį?
Nuo mažų startuolių iki pasaulinio lygio korporacijų, skaitmeninės sistemos tampa neatsiejama modernaus verslo dalimi. Elektroninis paštas, vidinės duomenų bazės, sutarčių sudarymas ir pasirašymas, klientų valdymo platformos... Galimybė sklandžiai vykdyti verslo procesus nuotoliniu būdu suteikia daug laisvės, tačiau kartu atneša ir kibernetinių atakų grėsmę. Ji tyko kone kiekvieno verslo, tačiau tiesa tokia, kad daugelis įmonių saugumui skiria nepakankamai dėmesio.
„Turbūt kiekvienas informacinės saugos specialistas pasakys, kad didžiausia spraga saugumo srityje yra žmonės“- juokauja „Insoft“ informacinio saugumo specialistas Kęstutis Draugelis. Pasak jo, galima sukurti daug saugumo taisyklių, bet jei žmogus ras būdą jas apeiti, tikėtina, kad tuo ir pasinaudos. Todėl veikia tik tos taisyklės ir praktikos, kurias galima susieti su nuolatine kontrole.
Didžiosiose įmonėse ir organizacijose sistemų ir duomenų saugumą užtikrina informacinės saugos specialistai, tačiau mažuose versluose dažnai net nebūna atskiro žmogaus, kuris prižiūrėtų programinę įrangą. Vis dėlto, Kęstučio teigimu, kibernetinio saugumo mastelis visiems yra skirtingas. „Jei įmonė yra nedidelė ir neturi hakeriams aktualios informacijos ar klientų, tikėtina, kad jos niekas aktyviai ir nepuls. Tačiau tokia prognozė nereiškia, kad saugumo priemonės yra nereikalingos. Praktika rodo, kad įmonės informacine sauga susidomi tik tada, kai įvyksta koks nors incidentas susiėjęs su duomenų nutekėjimu“, pastebi jis.
Kalbant apie kibernetinių atakų pobūdį, Kęstutis pabrėžia dvi populiariausias taktikas: silpnųjų sistemos vietų išnaudojimą (angl. exploited vulnerabilities) ir socialinę inžineriją.
Pirmuoju atveju ieškoma kode paliktų klaidų – pažeidžiamų vietų, per kurias galima patekti į sistemas. Antruoju atveju įsilaužėliai apsimetinėja kitais asmenimis tam, kad išgautų slaptažodžius ar kitą jautrią informaciją (angl. phishing). „Įmonėje paskutinį tokį atvejį turėjome prieš 6 metus. Viena darbuotoja iš tariamo mūsų įmonės el.pašto gavo pranešimą, kad baigėsi jos slaptažodis ir būtina jį pakeisti. Ji paspaudė nuorodą ir suvedė savo slaptažodį, o po mėnesio visi įmonės darbuotojai gavo analogiškus laiškus. Tokiais atvejais įsilaužėliai gali ir neturėti prieigos prie jautrių duomenų, bet jie gauna priėjimą prie el. paštų sąrašo ir tokiu būtų gali pakenkti klientams ar partneriams bei panaudoti šiuos duomenis ar užgrobtą el. pašto paskyrą kitoms atakoms“, teigia Kęstutis.
Vienas iš galimų kibernetinės atakos tikslų – prieiga prie slaptos informacijos siekiant gauti finansinę naudą arba panaudoti gautą informaciją įmonei ar jos klientams žalingu būdu. Abiem atvejais patirti nuostoliai gali ženkliai pakenkti įmonės veiklai, tačiau kibernetinis saugumas ne mažiau svarbus galvojant ir apie klientus. Tai atspindi ir kylantys saugumo standartai, kurios įmonės taiko verslo partneriams.
Kalbant apie kibernetinį saugumą įmonėse, iš specialisto perspektyvos Kęstutis pabrėžia dvi praktikas, kurios, jo manymu, svarbios kiekvienam verslui:
1. Nuolat šviesti darbuotojus saugumo klausimais, kalbėti apie diegiamus kibernetinio saugumo sprendimus ir jų naudą;
2. Sutvarkyti el. paštą taip arba naudotis patikimais el. pašto tiekėjais bei jų teikiamomis paslaugomis, kad įmonės domenas būtų patikimų siuntėjų sąrašuose.