Fel kell pörgetni a biztonságtudatossági képzéseket

A jövő évben is nagyon sok teendő vár majd a biztonsági szakemberekre, akiknek minden korábbinál nagyobb figyelmet kell fordítaniuk a felhasználók biztonságtudatossági képzésére.
 

Az ESET IT-biztonsági szakértője, Csizmazia-Darab István a vállalati biztonságtudatosság jelenét és aktuális trendjeit gyűjtötte össze:
 
Az informatikai incidensek jelentős részét emberi hiba okozza
 
Hiába került telepítésre a gépünkön a leghatékonyabb védelmi program, a túlzott naivság, figyelmetlenség vagy hiszékenység továbbra is számos lehetőséget biztosít a támadóknak. A statisztikák szerint az incidensek jelentős része emberi hiba, szándékos károkozás vagy felelőtlen mulasztás miatt történik.
 
A brit dolgozók közel fele gondolja úgy, hogy ha a céges levelezőrendszeren belül nyit meg e-maileket, akkor az biztonságos. Még 2018-ban is történtek olyan elképesztő mulasztásokról, hiányosságokról tanúskodó adatlopások, informatikai incidensek, amelyek azt mutatják, sokat kell még tanulnunk ezen a területen. Csak két rövid példa, 2017-ben a Heathrow repülőtér biztonságával kapcsolatos titkosítatlan USB elvesztése a nyílt utcán, vagy az idén novemberben feltört német Knuddels.de közösségi weboldal, ahol az üzemeltetők a jelszavakat egyszerű, olvasható szövegként tárolták.
 
Biztonsági oktatás a cégeknél
 
Egy 2016-os kutatás rámutatott, hogy a megkérdezett cégeknél egyáltalán nem tartottak biztonságtudatossági képzést, és bár a háttérben ott dolgoztak a rendszergazdák, semmilyen kommunikáció nem folyt azokkal a kollégákkal, akik napi szinten használják a céges felületeket. Ahol tartottak efféle képzést, ott sem lehetett túl alapos az oktatás: mindössze évi egyszeri alkalommal 30 percet fordítottak biztonságtudatosításra. A válaszadók több mint egynegyede pedig soha egyetlen munkahelyén sem részesült ilyen képzésben.
 
A zsarolóvírusok tudatos biztonsági lépésekre sarkallták a cégeket. A károkozók nagy száma és az ilyen incidensek kiemelt média figyelme azzal a mellékhatással járt, hogy azokban a vállalati környezetben, ahol eddig nem alkalmaztak rendszeres és kipróbált biztonsági mentéseket, a továbbiakban már kellő figyelmet kapott ezek fontossága. A felelősök belátták, hogy tudatos tervezés, adatvagyon felmérés és folyamatos kibervédelem nélkül nincs biztonságos és folyamatos üzletmenet.
 
Az alapoktól kezdve biztonságosan
 
Egy számítógépes rendszer akkor üzemeltethető hatékonyan és biztonságosan, ha azt már az alapoktól kezdve, a tervezési fázistól kezdődően szakszerűen fejlesztik.
 
A védelem gyakorlati alkalmazásánál pedig egyaránt fontos a végpontok és a szerverek megfelelő védelme olyan megoldásokkal, amelyek többrétegű biztonságot nyújtanak, proaktív technológiákon alapulnak, és egyúttal hatékony biztonsági felügyeletet tesznek lehetővé, ahol egy központi felületről valós idejű információkat kaphatunk a hálózatunk biztonsági állapotáról, a végpontok és a mobil eszközeink védelmi funkcióiról.
 
A vírusvédelem mellett egy kis- vagy középvállalkozás életében számos adatvédelmi problémára jelenthet megoldást a megfelelő titkosítás alkalmazása. Amellett, hogy ezzel megelőzhető az érzékeny információkhoz való jogosulatlan hozzáférés, a felhasználói adatok lehetséges kiszivárgásából fakadó kockázatok is minimálisra csökkenthetők. Ha ezeket a megoldásokat kiegészítjük például a banki felületre való belépésnél már régóta használt technológiával, a kétfaktoros azonosítással, akkor még magasabb szintű védelem érhető el vállalati környezetben is. 
 
A kis cégek a célpontok a nagyok megtámadásakor
 
Már 2015-ben is napi 12 támadás ért egy átlagos céget; valószínűleg azóta ez a szám sokkal magasabb lett. A "nem történt támadás" vagy a "nem vettem észre" között óriási a különbség, ráadásul a nagy, komoly és gazdag cégek - ahol látszólag minden erőforrás adott ahhoz, hogy a védelmükre költsenek - is szenvednek el érzékeny veszteségeket, adatlopásokat, kibertámadásokat. Sok esetben először szándékosan a kisebb, gyengébben védett alvállalkozói, beszállítói kört támadják a bűnözők, ahol a szűkösebb büdzsé csak korlátozott kibervédelmet tesz lehetővé, majd a kisebb, gyengébben védett partnereken keresztül támadják a nagyobb, kiemelt jelentőségű célpontokat.
 
Munkahelyi eszköz magáncélra és fordítva
 
Sajnos a vállalatok jelentős része még ma sem tekinti biztonsági fenyegetésnek a BYOD-t (Bring Your Own Device). Bizonyos szűkebb tevékenységi körök esetében elképzelhető, hogy még mindig működhet a saját eszköz használat, például MDM-el, ahol a mobileszköz menedzsment felügyeli az eszközparkot. Ám mára ennél sokkal hatékonyabb, megfelelő biztonságot nyújtó korszerűbb megoldás a dedikált, külön céges eszköz, amely mind távmenedzsmentben, mint titkosításban megfelel a szükséges elvárásoknak. Fontos a kockázatok előzetes felmérése, amit már a munkaviszony elején írásban rögzített magállapodásban is illik szabályozni.
 
Az összképet pedig tovább árnyalja, vagy rontja az úgynevezett shadow IT megléte, azaz az olyan rejtett eszközök, erőforrások (például privát dropbox fiók, stb.) használata a céges munkában, amiről sem a cégvezetés, sem az informatikai részleg nem tud.
 
És hogy mi lehet majd a trend 2019-ben?
 
A jövő azért jövő, mert nem ismerjük, ennek ellenére azért tehetünk óvatos becsléseket: például a zsarolóvírusok várhatóan sajnos nem fognak eltűnni 2019-ben sem. Az IoT eszközök, valamint a közművek, infrastruktúrák, erőművek, ipari környezetek a következő évben is egyre inkább a kiberbűnözők célpontjaivá válhatnak. A virtuális valuták tekintetében a titokban megfertőzött számítógépes rendszerek erőforrásaira támaszkodva végzett illegális bányászat mértéke várhatóan tovább fog növekedni. A Bitcoin gyengülése, valamint az újabb, nehezebben lenyomozható Monero, Ether, Feathercoin, Litecoin és hasonló virtuális pénzek növekvő jelenléte miatt a zsaroló kártevők, a bűnözők által DDoS-fenyegetésekre hivatkozott védelmi pénzek követelése is egyre inkább ezekre az új fizetőeszközökre fog áttevődni. Ezen felül várhatóan tovább nő majd az ellátásiláncok elleni támadások és a célzott adathalász támadások száma.