Ron Ron Teixeira
W ciągu ostatnich dwóch lat odnotowano szereg głośnych przypadków naruszenia danych dotyczących dużych korporacji. Chociaż może to dać wrażenie, że tylko duże korporacje są atakowane przez hakerów i złodziei, rzeczywistość jest taka, że hakerzy coraz częściej atakują małe firmy, ponieważ zazwyczaj nie mają zasobów ani know-how, które robią duże korporacje.
Nie oznacza to jednak, że małe firmy muszą wydawać dużą sumę pieniędzy i zasobów, aby chronić się przed najnowszymi zagrożeniami. W rzeczywistości, zgodnie z najnowszym raportem o zagrożeniach firmy Symantec, 82% danych, które zostały utracone lub skradzione, można było uniknąć, gdyby firma postępowała zgodnie z prostym planem bezpieczeństwa cybernetycznego.
Aby rozpocząć opracowywanie planu bezpieczeństwa cybernetycznego, musisz zrozumieć zagrożenia internetowe i dowiedzieć się, jak ochrona firmy przed tymi zagrożeniami wpływa bezpośrednio na wyniki finansowe. W rezultacie Krajowy Sojusz Bezpieczeństwa Cybernetycznego, którego partnerzy obejmują Departament Bezpieczeństwa Wewnętrznego, Federalne Biuro Śledcze, Small Business Administration, Narodowy Instytut Standardów i Technologii, Symantec, Microsoft, CA, McAfee, AOL i RSA, opracował top 5 zagrożeń, z którymi może spotkać się Twoja mała firma w Internecie, przypadki biznesowe dotyczące tego, jak te zagrożenia mogą cię skrzywdzić i praktyczne środki, które możesz podjąć, aby uniknąć tych zagrożeń.
Oto podsumowanie pięciu najważniejszych zagrożeń:
- # 1: Złośliwy kod. Północno-wschodnia firma produkująca oprogramowanie zniszczyła wszystkie programy firmowe i generatory kodów. Następnie firma straciła miliony dolarów, została usunięta ze swojej pozycji w branży i ostatecznie musiała zwolnić 80 pracowników. Aby się to nie stało, zainstaluj i używaj programów antywirusowych, programów anty-spyware i zapór ogniowych na wszystkich komputerach w firmie. Ponadto upewnij się, że wszystkie programy komputerowe są aktualne i zawierają najnowsze poprawki (tj. System operacyjny, oprogramowanie antywirusowe, antyspyware, anty adware, zapory ogniowe i oprogramowanie do automatyzacji biura).
- # 2: Skradziony / zgubiony laptop lub urządzenie mobilne. W ubiegłym roku pracownikowi Departamentu Spraw Weterynaryjnych skradziono laptopa z jego domu. Laptop zawierał historię medyczną 26,5 milionów weteranów. W końcu laptop został odzyskany, a dane nie zostały wykorzystane; jednakże VA musiała powiadomić 26,5 miliona weteranów o incydencie, co doprowadziło do przesłuchań w Kongresie i publicznej kontroli. Aby upewnić się, że tak się nie stanie, chroń dane swoich klientów podczas transportu w dowolnym miejscu na urządzeniu przenośnym, szyfrując wszystkie znajdujące się w nim dane. Programy szyfrujące kodują dane lub uniemożliwiają ich odczytanie osobom postronnym, dopóki nie wprowadzisz hasła lub klucza szyfrowania.
- # 3: Włócznia Phishing. Średniej wielkości producent rowerów opierał się głównie na e-mailach, aby prowadzić działalność. W ciągu zwykłego dnia roboczego firma otrzymała aż 50 000 wiadomości spamowych i phishingowych. W jednym przypadku pracownik otrzymał wiadomość e-mail o "spear phishingu", która wyglądała tak, jakby pochodziła z działu IT i poprosiła pracownika o potwierdzenie "hasła administratora". Na szczęście dla firmy, gdy pracownik poprosił o nią menedżera liniowego " hasło administratora "sprawdził dalej i zdał sobie sprawę, że wiadomość e-mail była oszustwem. Aby upewnić się, że tak się nie stanie, poinstruuj wszystkich pracowników, aby skontaktowali się ze swoim menedżerem, lub po prostu podnieś telefon i skontaktuj się bezpośrednio z osobą, która wysłała e-mail. Ważne jest, aby uświadomić pracownikom, czym jest atak typu "phishing spear", i zwracać uwagę na wszystko, co znajduje się w ich skrzynce odbiorczej, które wygląda podejrzanie.
- # 4: Niezabezpieczone bezprzewodowe sieci internetowe. Według doniesień, hakerzy wycofali "największe naruszenie danych w historii" za pośrednictwem sieci bezprzewodowej. W globalnej sieci detalicznej kradzieży ponad 47 milionów klientów skradziono informacje finansowe hakerów, którzy włamali się przez sieć bezprzewodową zabezpieczoną przez najniższą dostępną dla firmy formą szyfrowania. Obecnie naruszenie bezpieczeństwa kosztowało firmę 17 milionów USD, w szczególności 12 milionów USD w ciągu jednej czwartej lub 3 centy za akcję. Aby upewnić się, że tak się nie stanie, musisz skonfigurować sieć bezprzewodową, upewnić się, że domyślne hasło zostało zmienione i upewnij się, że zaszyfrowujesz sieć bezprzewodową za pomocą WPA (Wi-Fi Protected Access).
- # 5: Insider / Disgruntled Employee Threat. Były pracownik firmy obsługującej operacje lotnicze dla dużych firm motoryzacyjnych, usunął krytyczne informacje o zatrudnieniu dwa tygodnie po rezygnacji z zajmowanego stanowiska. Incydent spowodował odszkodowanie w wysokości 34 000 USD. Aby upewnić się, że tak się nie dzieje, należy podzielić krytyczne funkcje i obowiązki między pracowników w organizacji, ograniczając możliwość, że jedna osoba może popełnić sabotaż lub oszustwo bez pomocy innych pracowników w organizacji.
Czytaj dalej poniżej, aby uzyskać więcej informacji i szczegółowych porad dotyczących ochrony systemów komputerowych -
1. Złośliwy kod (Spyware / Viruses / Trojan Horse / Worms)
Według badań FBI Computer Crime Study z 2006 r. Złośliwe oprogramowanie zawierało najwięcej zgłoszonych cyberataków, co spowodowało średnią stratę w wysokości 69 125 USD za każde zdarzenie. Złośliwe oprogramowanie to programy komputerowe, które potajemnie są instalowane na komputerze firmy i mogą powodować wewnętrzne uszkodzenia sieci komputerowej, takie jak usuwanie krytycznych plików, lub mogą służyć do kradzieży haseł lub odblokowania oprogramowania zabezpieczającego, aby haker mógł wykraść informacje o klientach lub pracownikach. Zwykle tego typu programy są wykorzystywane przez przestępców dla zysku finansowego poprzez wymuszenie lub kradzież.
Analiza przypadku:
Północno-wschodnia firma produkcyjna zdobyła kontrakty warte kilka milionów dolarów, aby wykonać urządzenia pomiarowe i oprzyrządowania dla NASA i US Navy. Jednak pewnego poranka pracownicy nie mogli zalogować się do systemu operacyjnego, zamiast tego otrzymywali wiadomość, że system był "w naprawie". Niedługo potem serwer firmy rozbił się, eliminując wszystkie narzędzia i programy produkcyjne zakładu. Kiedy menedżer zdecydował się odzyskać taśmy, stwierdził, że ich nie ma i poszczególne stacje robocze również zostały zmiecione. CFO firmy zeznał, że bomba programowa zniszczyła wszystkie programy i generatory kodu, które pozwoliły firmie dostosować swoje produkty, a tym samym obniżyć koszty. Firma następnie straciła miliony dolarów, została usunięta ze swojej pozycji w branży i ostatecznie musiała zwolnić 80 pracowników. Firma może trochę pocieszyć się tym, że strona winna została ostatecznie aresztowana i skazana.
Rada:
- Zainstaluj i używaj programów antywirusowych, programów antyszpiegowskich i zapór ogniowych na wszystkich komputerach w firmie.
- Upewnij się, że twoje komputery są chronione przez zaporę; Zapory ogniowe mogą być oddzielnymi urządzeniami, wbudowanymi w systemy bezprzewodowe lub zaporą programową, która jest wyposażona w wiele komercyjnych pakietów zabezpieczeń.
- Ponadto upewnij się, że wszystkie programy komputerowe są aktualne i zawierają najnowsze poprawki (tj. System operacyjny, oprogramowanie antywirusowe, antyspyware, anty adware, zapory ogniowe i oprogramowanie do automatyzacji biura).
2. Skradziony / zgubiony laptop lub urządzenie mobilne
Wierzcie lub nie, skradzione lub zagubione laptopy to jeden z najczęstszych sposobów, w jakie firmy tracą krytyczne dane. Według badań Kryminalnych FBI z 2006 r. (PDF), skradziony lub zagubiony laptop zwykle powodował średnią stratę w wysokości 30 570 USD.Jednak incydent o wysokim profilu lub incydent, który wymaga od firmy skontaktowania się ze wszystkimi klientami, ponieważ ich dane finansowe lub osobiste mogły zostać utracone lub skradzione, może skutkować znacznie większymi stratami z powodu utraty zaufania konsumentów, utraty reputacji, a nawet odpowiedzialność prawna.
Analiza przypadku:
W ubiegłym roku pracownik Departamentu Spraw Weteranów wziął do domu laptopa, który zawierał 26,5 milionów weteranów historii medycznej. Kiedy pracownik nie był w domu, włamał się intruz i ukradł laptopa zawierający dane weteranów. W końcu laptop został odzyskany, a dane nie zostały wykorzystane; jednakże VA musiała powiadomić 26,5 miliona weteranów o incydencie, co doprowadziło do przesłuchań w Kongresie i publicznej kontroli. Zjawisko to nie ogranicza się do rządu, w 2006 r. Istniało wiele głośnych spraw korporacyjnych obejmujących zagubione lub skradzione laptopy, które doprowadziły do naruszenia danych. Laptop z 250 000 klientów Ameriprise został skradziony z samochodu. Providential Health Care Hospital System ukradł laptopa, który zawierał tysiące dokumentacji medycznej pacjentów.
Rada:
- Chroń dane klientów podczas transportu w dowolnym miejscu na urządzeniu przenośnym, szyfrując wszystkie znajdujące się w nim dane. Programy szyfrujące kodują dane lub uniemożliwiają ich odczytanie osobom postronnym, dopóki nie wprowadzisz hasła lub klucza szyfrowania. Jeśli laptop z poufnymi danymi zostanie skradziony lub zgubiony, ale dane są zaszyfrowane, jest mało prawdopodobne, że ktokolwiek będzie w stanie odczytać dane. Szyfrowanie to ostatnia linia obrony, jeśli dane zostaną zgubione lub skradzione. Niektóre programy szyfrujące są wbudowane w popularne oprogramowanie finansowe i bazodanowe. Wystarczy sprawdzić podręcznik użytkownika swojego oprogramowania, aby dowiedzieć się, czy ta funkcja jest dostępna i jak ją włączyć. W niektórych przypadkach może być potrzebny dodatkowy program do prawidłowego zaszyfrowania poufnych danych.
3. Włócznia Phishing
Spear phishing opisuje wszelkie wysoce ukierunkowane ataki phishingowe. Spear phishinge wysyłają e-mail, który wydaje się autentyczny dla wszystkich pracowników lub członków określonej firmy, agencji rządowej, organizacji lub grupy. Wiadomość może wyglądać tak, jakby pochodziła od pracodawcy lub od kolegi, który mógłby wysłać wiadomość e-mail do wszystkich osób w firmie, takich jak kierownik zasobów ludzkich lub osoba zarządzająca systemami komputerowymi, i może zawierać prośby o nazwy użytkowników lub hasła.
Prawda jest taka, że informacje o nadawcy wiadomości e-mail zostały sfałszowane lub "sfałszowane". Podczas gdy tradycyjne oszustwa związane z wyłudzaniem informacji mają na celu kradzież informacji od osób, oszustwa typu spear phishing działają, aby uzyskać dostęp do całego systemu komputerowego firmy.
Jeśli pracownik odpowiada za pomocą nazwy użytkownika lub hasła, lub klikniesz łącza lub otworzysz załączniki w wiadomości e-mail spear upu, spear up lub witrynie sieci Web, mogą narazić firmę lub organizację na ryzyko.
Analiza przypadku:
Średniej wielkości producent rowerów, który produkuje motocykle, które były używane w dobrze znanych wyścigach, polegał głównie na e-mailach do prowadzenia działalności gospodarczej. W ciągu zwykłego dnia roboczego firma otrzymała aż 50 000 wiadomości spamowych i phishingowych. W rezultacie firma zainstalowała wiele filtrów spamu, próbując chronić pracowników przed fałszywymi wiadomościami e-mail. Jednak wiele fałszywych wiadomości e-mail nadal przechodzi do pracowników. W jednym przypadku pracownik otrzymał wiadomość e-mail o "spear phishingu", która wyglądała tak, jakby pochodziła z działu IT i poprosiła pracownika o potwierdzenie "hasła administratora". Na szczęście dla firmy, gdy pracownik poprosił o nią menedżera liniowego " hasło administratora "sprawdził dalej i zdał sobie sprawę, że wiadomość e-mail była oszustwem. Chociaż ten przykład nie spowodował straty finansowej, może łatwo mieć i jest powszechnym problemem dla wszystkich firm.
Rada:
- Pracownicy nie powinni nigdy odpowiadać na spam lub wyskakujące wiadomości, które rzekomo pochodzą od firmy lub organizacji, z którymi możesz sobie poradzić, na przykład dostawca usług internetowych (ISP), bank, usługa płatności online, a nawet agencja rządowa. Prawne firmy nie będą prosić o poufne informacje za pośrednictwem poczty elektronicznej lub linku.
- Ponadto, jeśli pracownik otrzymuje wiadomość e-mail podobną do wiadomości od innego pracownika i prosi o podanie hasła lub innego rodzaju informacji o koncie, nie powinien odpowiadać na nią ani przekazywać poufnych informacji za pośrednictwem poczty e-mail. Zamiast tego poinstruuj pracownika, aby skontaktował się ze swoim menedżerem, lub po prostu podnieś telefon i skontaktuj się bezpośrednio z osobą, która wysłała e-mail.
- Ważne jest, aby uświadomić pracownikom, czym jest atak typu "phishing spear", i zwracać uwagę na wszystko, co znajduje się w ich skrzynce odbiorczej, które wygląda podejrzanie. Najlepszym sposobem, aby nie stać się ofiarą ataku phishingu, jest poinformowanie wszystkich o tym, że ktoś straci jakiekolwiek dane osobowe.
4. Niezabezpieczone bezprzewodowe sieci internetowe
Konsumenci i firmy szybko adoptują i wdrażają bezprzewodowe sieci internetowe. Według badania InfoTech, penetracja sieci bezprzewodowych w Internecie osiągnie 80% do 2008 roku. Podczas gdy bezprzewodowe sieci internetowe zapewniają firmom możliwość usprawnienia swoich sieci i zbudowania sieci o bardzo małej infrastrukturze lub kablach, istnieją zagrożenia bezpieczeństwa, które firmy muszą rozwiązywać, podczas gdy korzystanie z bezprzewodowych sieci internetowych. Hakerzy i oszuści mogą uzyskać dostęp do komputerów firm za pośrednictwem otwartej sieci bezprzewodowego internetu, co może doprowadzić do kradzieży informacji o klientach, a nawet informacji zastrzeżonych. Niestety wiele firm nie podejmuje niezbędnych środków w celu zabezpieczenia swoich sieci bezprzewodowych. Według badania Symantec / Small Business Technology Institute z 2005 roku, 60% małych firm ma otwarte sieci bezprzewodowe. Ponadto wiele innych małych firm może nie używać wystarczająco mocnych zabezpieczeń bezprzewodowych, aby chronić swoje systemy. Niewłaściwe zabezpieczenie sieci bezprzewodowej jest jak pozostawienie drzwi firmy szeroko otwartymi w nocy.
Analiza przypadku:
Według doniesień, hakerzy wycofali "największe naruszenie danych w historii" za pośrednictwem sieci bezprzewodowej. W globalnej sieci detalicznej kradzieży ponad 47 milionów klientów skradziono informacje finansowe hakerów, którzy włamali się przez sieć bezprzewodową zabezpieczoną przez najniższą dostępną dla firmy formą szyfrowania. W 2005 r. Dwaj hakerzy rzekomo zaparkowali poza sklepem i użyli bezprzewodowej anteny teleskopu do odkodowania danych między ręcznymi skanerami płatności, umożliwiając im włamanie się do bazy danych firmy macierzystej i dokonanie zapisów kart kredytowych i debetowych blisko 47 milionów klientów. Uważa się, że hakerzy mieli dostęp do bazy danych kart kredytowych przez ponad dwa lata bez wykrycia. Zamiast korzystać z najnowszego oprogramowania szyfrującego w celu zabezpieczenia swojej sieci bezprzewodowej - Wi-Fi Protected Access (WPA), sieć handlowa używała starej formy szyfrowania o nazwie Wireless Equivalent Privacy (WEP), która według niektórych ekspertów może być łatwo zhakowano w zaledwie 60 sekund. Obecnie naruszenie bezpieczeństwa kosztowało firmę 17 milionów USD, w szczególności 12 milionów USD w ciągu jednej czwartej lub 3 centy za akcję.
Rada:
- Podczas konfigurowania sieci bezprzewodowej upewnij się, że zmieniono domyślne hasło. Większość urządzeń sieciowych, w tym bezprzewodowych punktów dostępowych, jest wstępnie skonfigurowana z domyślnymi hasłami administratora, aby uprościć konfigurację. Te domyślne hasła można łatwo znaleźć w Internecie, więc nie zapewniają żadnej ochrony. Zmiana domyślnych haseł utrudnia przejęcie kontroli nad urządzeniem przez intruzów.
- Ponadto upewnij się, że zaszyfrowujesz sieć bezprzewodową za pomocą szyfrowania WPA. WEP (Wired Equivalent Privacy) i WPA (Wi-Fi Protected Access) zarówno szyfrują informacje na urządzeniach bezprzewodowych. Jednak WEP ma wiele problemów z bezpieczeństwem, które czynią go mniej skutecznym niż WPA, więc powinieneś szukać sprzętu, który obsługuje szyfrowanie za pomocą WPA. Szyfrowanie danych uniemożliwiłoby osobom, które mogą monitorować ruch sieciowy, przeglądanie danych.
5. Insider / Disgruntled Employee Threat
Niezadowolony pracownik lub osoba wewnętrzna może być bardziej niebezpieczny niż najbardziej wyrafinowany haker w Internecie. W zależności od polityki bezpieczeństwa firmy i zarządzania hasłami, użytkownicy wewnętrzni mogą mieć bezpośredni dostęp do ważnych danych, co w rezultacie może je łatwo ukraść i sprzedać konkurentowi, a nawet całkowicie usunąć, powodując nieodwracalne szkody. Istnieją kroki i środki, które możesz podjąć, aby uniemożliwić dostęp do kluczowych informacji i uszkodzenie sieci komputerowych przez osoby o ograniczonej sprawności lub niezadowolonych pracowników.
Analiza przypadku:
Były pracownik firmy obsługującej operacje lotnicze dla dużych firm motoryzacyjnych, usunął krytyczne informacje o zatrudnieniu dwa tygodnie po rezygnacji z zajmowanego stanowiska. Incydent spowodował odszkodowanie w wysokości 34 000 USD. Według doniesień, pracownik był zdenerwowany, że został zwolniony przez firmę wcześniej, niż się spodziewał. Podobno zapora ogniowa firmy została naruszona, a sprawca włamał się do bazy danych pracowników i usunął wszystkie rekordy. Wypowiedzi od firmy wskazują, że niezadowolony były pracownik był jedną z zaledwie trzech osób, które znały dane logowania i hasła do zapory, która chroniła bazę danych pracowników.
Rada:
Firma może chronić się przed zagrożeniami ze strony pracowników lub niezadowolonych pracowników na kilka sposobów:
- Podział krytycznych funkcji i obowiązków pomiędzy pracowników w organizacji, ograniczając możliwość, że jedna osoba może popełnić sabotaż lub oszustwo bez pomocy innych pracowników w organizacji.
- Wprowadź ścisłe zasady dotyczące haseł i uwierzytelniania. Upewnij się, że każdy pracownik używa haseł zawierających litery i cyfry, i nie używaj nazw ani słów.
- Co więcej, pamiętaj, aby zmieniać hasła co 90 dni, a co najważniejsze, usunąć konto pracownika lub zmienić hasła do krytycznych systemów po opuszczeniu firmy przez pracownika. Utrudnia to niezadowolonym pracownikom uszkodzenie systemów po ich odejściu.
- Wykonaj należytą staranność PRZED zatrudnieniem kogoś. Czy kontrole w tle, kontrole edukacyjne, itp., Aby zapewnić zatrudnianie dobrych ludzi.
O autorze: Jako dyrektor wykonawczy National Cyber Security Alliance (NCSA), Ron Teixeira jest odpowiedzialny za ogólne zarządzanie programami świadomości bezpieczeństwa cybernetycznego i krajowymi działaniami edukacyjnymi. Teixeira ściśle współpracuje z różnymi agencjami rządowymi, korporacjami i organizacjami non-profit, aby zwiększyć świadomość problemów związanych z bezpieczeństwem w Internecie i wzmocnić pozycję użytkowników domowych, małych firm i społeczności edukacyjnej za pomocą narzędzi i najlepszych praktyk zaprojektowanych w celu zapewnienia bezpiecznego i znaczącego korzystania z Internetu.
9 komentarzy ▼
