Avtor Ron Teixeira
V zadnjih dveh letih je bilo več pomembnih primerov kršitev podatkov, ki so vključevali velike družbe. Čeprav lahko to naredi dojemanje, da so samo velike korporacije ciljno usmerjene s strani hekerjev in tatov, realnost pa je, da se hekerji vse bolj usmerjajo v mala podjetja, ker običajno nimajo virov ali znanja, ki ga imajo velike korporacije.
Vendar to ne pomeni, da morajo mala podjetja porabiti veliko denarja in sredstev, da se zaščitijo pred najnovejšimi grožnjami. V skladu z nedavnim poročilom Symantec o grožnjah bi bilo 82% podatkov, ki so bili izgubljeni ali ukradeni, mogoče preprečiti, če bi podjetje sledilo preprostemu načrtu za kibernetsko varnost.
Da bi lahko začeli razvijati načrt za kibernetsko varnost, morate razumeti internetne grožnje in kako zaščita vašega podjetja pred temi grožnjami neposredno vpliva na vašo spodnjo mejo. Kot rezultat, National Cyber Security Alliance, katere partnerji so Ministrstvo za domovinsko varnost, Zvezni urad za preiskave, Small Business Administration, Nacionalni inštitut za standarde in tehnologijo, Symantec, Microsoft, CA, McAfee, AOL in RSA, razvili vrh 5 grožnje, s katerimi se lahko srečujejo mala podjetja na internetu, poslovne primere, kako te grožnje lahko poškodujejo in praktične ukrepe, ki jih lahko sprejmete, da se izognete tem grožnjam.
Tukaj je povzetek prvih petih groženj:
- # 1: Zlonamerna koda. Programska oprema za severovzhodno proizvodno podjetje je uničila vse programe podjetja in generatorje kod. Kasneje je podjetje izgubilo na milijone dolarjev, umaknilo se je s položaja v industriji in na koncu moralo odpustiti 80 delavcev. Če se želite prepričati, da se to ne zgodi vam, namestite in uporabite protivirusne programe, protivohunske programe in požarne zidove na vseh računalnikih v podjetju. Poleg tega zagotovite, da je vsa računalniška programska oprema posodobljena in vsebuje najnovejše popravke (tj. Operacijski sistem, protivirusno programsko opremo, protivohunsko programsko opremo, programsko opremo za preprečevanje adwarea, požarnega zidu in avtomatizacijo pisarne).
- # 2: Ukraden / izgubljen prenosni računalnik ali mobilna naprava. Lani so iz njegovega doma ukradli prenosni računalnik uslužbenca Ministrstva za veterane. Prenosni računalnik je vseboval 26,5 milijona veteranov. Na koncu je bil laptop obnovljen in podatki niso bili uporabljeni; Vendar pa je morala VA obvestiti 26,5 milijona veteranov o incidentu, kar je privedlo do zaslišanj na kongresu in javnega nadzora. Če se želite prepričati, da se vam to ne zgodi, zaščitite podatke svojih strank, ko jih prevažate kjerkoli na prenosni napravi, tako da šifrirate vse podatke, ki so v njem. Programi za šifriranje kodirajo podatke ali jih naredijo neberljive zunanjim uporabnikom, dokler ne vnesete gesla ali ključa za šifriranje.
- # 3: Podvodna predstavitev. Proizvajalec koles srednje velikosti se je močno zanašal na elektronsko pošto, da bi posloval. V običajnem delovnem dnevu je podjetje prejelo kar 50.000 spam in phishing e-poštnih sporočil. V enem primeru je zaposleni prejel e-poštno sporočilo o „podvodnem phishingu“, ki je izgledalo, kot da je prišlo iz IT oddelka, in prosil zaposlenega, da potrdi »skrbniško geslo«. Na srečo za podjetje, ko je zaposleni vprašal upravljavca za » skrbniško geslo “je nadalje preiskal in spoznal, da je e-pošta prevara. Če se želite prepričati, da se to ne zgodi vam, naročite vsem zaposlenim, da se obrnejo na svojega vodjo, ali pa preprosto dvignite telefon in se obrnite na osebo, ki je neposredno poslala e-poštno sporočilo. Pomembno je, da se vaši zaposleni zavedajo, kaj je napad s podvodnim lažnim predstavljanjem in da ste pozorni na karkoli v njihovem ohišju, ki izgleda sumljivo.
- # 4: Nezavarovana brezžična internetna omrežja. Po poročilih novinarjev so hekerji s pomočjo brezžičnega omrežja izvlekli "največjo kršitev podatkov doslej". V svetovni trgovski verigi je hekerjem ukradenih več kot 47 milijonov finančnih informacij, ki so jih ukradli hekerji, ki so prekrivali brezžično omrežje, ki je bilo zavarovano z najnižjo obliko šifriranja, ki je na voljo podjetju. Trenutno je ta kršitev varnosti podjetja stala 17 milijonov dolarjev, zlasti 12 milijonov dolarjev samo v eni četrtini ali 3 centa na delnico. Če se želite prepričati, da se to ne zgodi vam, če nastavite brezžično omrežje, se prepričajte, da je privzeto geslo spremenjeno in se prepričajte, da ste brezžično omrežje šifrirali z WPA (Wi-Fi Protected Access).
- # 5: Insider / nezadovoljna grožnja zaposlenim. Nekdanji zaposleni v podjetju, ki je opravljal letalske operacije pri večjih avtomobilskih podjetjih, je dva tedna po tem, ko je odstopil s položaja, izbrisal ključne informacije o zaposlitvi. Incident je povzročil okoli 34.000 dolarjev odškodnine. Da bi se prepričali, da se vam to ne zgodi, delite ključne funkcije in odgovornosti med zaposlenimi v organizaciji in omejite možnost, da bi posameznik lahko storil sabotažo ali goljufijo brez pomoči drugih zaposlenih v organizaciji.
Za več informacij in podrobnejše nasvete o zaščiti vaših računalniških sistemov preberite spodaj.
1. Zlonamerna koda (vohunska programska oprema / virusi / trojanski konj / črvi)
Po podatkih študije o kriminaliteti, ki jo je objavil FBI za leto 2006, je program zlonamerne programske opreme vseboval največje število poročanih kibernetskih napadov, kar je povzročilo povprečno izgubo 69.125 $ na incident. Zlonamerna programska oprema so računalniški programi, ki so skrivaj nameščeni na računalniku vašega podjetja in lahko povzročijo notranjo škodo na računalniškem omrežju, kot je brisanje kritičnih datotek, ali se lahko uporabijo za krajo gesel ali odklepanje varnostne programske opreme, tako da lahko heker ukrade informacije o strankah ali zaposlenih. Večino časa takšne programe uporabljajo kriminalci za finančni dobiček z izsiljevanjem ali krajo.
Študija primera:
Severovzhodno proizvodno podjetje je zajemalo pogodbe v vrednosti več milijonov dolarjev za izdelavo merilnih in instrumentacijskih naprav za NASA in ameriško mornarico. Toda eno jutro se delavci niso mogli prijaviti v operacijski sistem, namesto da bi dobili sporočilo, da je sistem "v popravilu". Kmalu zatem se je strežnik podjetja zrušil in odstranil vse orodne in proizvodne programe. Ko je vodja odšel, da se vrne na kasete, je ugotovil, da jih ni več in da so bile tudi posamezne delovne postaje izbrisane. Finančni direktor podjetja je potrdil, da je programska bomba uničila vse programe in generatorje kod, kar je podjetju omogočilo, da prilagodi svoje izdelke in s tem zmanjša stroške. Družba je kasneje izgubila na milijone dolarjev, umaknila se je s položaja v industriji in na koncu morala odpustiti 80 delavcev. Podjetje lahko sprejme tolikšno tolažbo, da je bila krivca na koncu aretirana in obsojena.
Nasvet:
- Namestite in uporabite protivirusne programe, protivirusne programe in požarne zidove na vseh računalnikih v vašem podjetju.
- Zagotovite, da so vaši računalniki zaščiteni s požarnim zidom; požarni zidovi so lahko ločeni aparati, vgrajeni v brezžične sisteme, ali programski požarni zid, ki je opremljen s številnimi komercialnimi varnostnimi paketi.
- Poleg tega zagotovite, da je vsa računalniška programska oprema posodobljena in vsebuje najnovejše popravke (tj. Operacijski sistem, protivirusno programsko opremo, protivohunsko programsko opremo, programsko opremo za preprečevanje adwarea, požarnega zidu in avtomatizacijo pisarne).
2. Ukraden / izgubljen prenosni računalnik ali mobilna naprava
Verjeli ali ne, ukradeni ali izgubljeni prenosni računalniki so eden najpogostejših načinov, kako podjetja izgubijo pomembne podatke. Glede na študijo o kriminaliteti FBI iz leta 2006 (PDF) je ukraden ali izgubljen prenosnik navadno povzročil povprečno izgubo 30.570 $.Vendar lahko velik incident ali incident, ki zahteva, da podjetje stopi v stik z vsemi svojimi strankami, ker so bili njihovi finančni ali osebni podatki morda izgubljeni ali ukradeni, lahko povzroči veliko večje izgube zaradi izgube zaupanja potrošnikov, poškodovanega ugleda in celo pravne odgovornosti.
Študija primera:
V preteklem letu je uslužbenec Oddelka za veteranske zadeve vzel dom za prenosni računalnik, ki je vseboval 26,5 milijona veteranov zdravstvene zgodovine. Medtem ko zaposleni ni bil doma, je vdrl napadalec in ukradel prenosni računalnik, v katerem so bili podatki veteranov. Na koncu je bil laptop obnovljen in podatki niso bili uporabljeni; Vendar pa je morala VA obvestiti 26,5 milijona veteranov o incidentu, kar je privedlo do zaslišanj na kongresu in javnega nadzora. Ta pojav ni omejen le na vlado, leta 2006 pa je bilo veliko poslovnih primerov, v katere so bili vključeni izgubljeni ali ukradeni prenosniki, kar je povzročilo kršitve podatkov. V avtu so ukradli prenosni računalnik, ki je vseboval 250.000 ameriprise strank. Sistem bolnišnične zdravstvene bolnišnice je ukradel prenosni računalnik, ki je vseboval na tisoče bolnikove zdravstvene dokumentacije.
Nasvet:
- Zaščitite podatke svojih strank, kadar jih prenašate kjerkoli na prenosni napravi, tako da šifrirate vse podatke, ki so v njem. Programi za šifriranje kodirajo podatke ali jih naredijo neberljive zunanjim uporabnikom, dokler ne vnesete gesla ali ključa za šifriranje. Če je ukraden ali izgubljen prenosni računalnik z občutljivimi podatki, vendar so podatki šifrirani, je malo verjetno, da bi lahko kdorkoli prebral podatke. Šifriranje je vaša zadnja obrambna vrstica, če so podatki izgubljeni ali ukradeni. Nekateri programi za šifriranje so vgrajeni v priljubljeno finančno in podatkovno programsko opremo. Preverite priročnik lastnika programske opreme in ugotovite, ali je ta funkcija na voljo in kako jo vklopite. V nekaterih primerih boste morda potrebovali dodaten program za pravilno šifriranje občutljivih podatkov.
3. Podvodni phishing
Podvodna phishing opisuje vse ciljno usmerjene phishing napade. Podvodne fišerji pošiljajo e-pošto, ki se zdi pristna vsem zaposlenim ali članom v določenem podjetju, vladni agenciji, organizaciji ali skupini. Sporočilo bi lahko izgledalo, kot da prihaja od delodajalca ali od kolega, ki bi lahko poslal e-poštno sporočilo vsem v podjetju, kot so vodja kadrovskih služb ali oseba, ki upravlja računalniške sisteme, in lahko vključuje zahteve za uporabniških imen ali gesel.
Resnica je, da so bili podatki o pošiljatelju e-pošte ponarejeni ali „ponarejeni“. Medtem ko so tradicionalni phishing prevare zasnovani tako, da kradejo informacije od posameznikov, kopje phishing prevar deluje tako, da dostopajo do celotnega računalniškega sistema podjetja.
Če se zaposleni odzove z uporabniškim imenom ali geslom ali če kliknete povezave ali odprete priponke v elektronski pošti, v pojavnem oknu ali na spletnem mestu, lahko ogrozijo vaše podjetje ali organizacijo.
Študija primera:
Proizvajalec koles srednje velikosti, ki je izdeloval kolesa, ki so se uporabljala v dobro znanih dirkah, se je v veliki meri zanašal na elektronsko pošto za poslovanje. V običajnem delovnem dnevu je podjetje prejelo kar 50.000 spam in phishing e-poštnih sporočil. Zaradi tega je družba namestila številne filtre za neželeno pošto, da bi zaščitila zaposlene pred goljufivimi e-poštnimi sporočili. Vendar pa veliko goljufivih e-poštnih sporočil še vedno prehaja do zaposlenih. V enem primeru je zaposleni prejel e-poštno sporočilo o „podvodnem phishingu“, ki je izgledalo, kot da je prišlo iz IT oddelka, in prosil zaposlenega, da potrdi »skrbniško geslo«. Na srečo za podjetje, ko je zaposleni vprašal upravljavca za » skrbniško geslo “je nadalje preiskal in spoznal, da je e-pošta prevara. Čeprav ta primer ni povzročil finančne izgube, bi lahko zlahka imel to in je pogost problem za vsa podjetja.
Nasvet:
- Zaposleni se nikoli ne smejo odzivati na neželena sporočila ali pojavna sporočila, ki trdijo, da so podjetja ali organizacije, s katerimi se lahko ukvarjate, na primer ponudnika internetnih storitev (ISP), banko, spletno plačilno storitev ali celo vladno agencijo. Zakonita podjetja ne bodo zahtevala občutljivih informacij po e-pošti ali povezavi.
- Poleg tega, če zaposleni prejme e-poštno sporočilo, ki je videti kot od drugega zaposlenega, in zahteva geslo ali katero koli vrsto podatkov o računu, se na to ne bi smelo odzvati ali posredovati občutljivih podatkov po e-pošti. Namesto tega naročite zaposlenemu, da se obrne na svojega vodjo, ali pa preprosto dvignete telefon in se obrnite na osebo, ki je neposredno poslala e-poštno sporočilo.
- Pomembno je, da se vaši zaposleni zavedajo, kaj je napad s podvodnim lažnim predstavljanjem in da ste pozorni na karkoli v njihovem ohišju, ki izgleda sumljivo. Najboljši način, da ne postanete žrtev napada podvodnega phishinga, je, da vsi vedo, da se to dogaja, preden kdorkoli izgubi osebne podatke.
4. Nezavarovana brezžična internetna omrežja
Potrošniki in podjetja hitro sprejemajo in izvajajo brezžična internetna omrežja. V skladu s InfoTech študijo bo prodor brezžičnih internetnih omrežij do leta 2008 dosegel 80%. Brezžična internetna omrežja podjetjem omogočajo racionalizacijo omrežij in izgradnjo omrežja z zelo malo infrastrukture ali žic. uporabo brezžičnih internetnih omrežij. Hekerji in goljufi lahko pridobijo dostop do računalnikov podjetij prek odprtega brezžičnega internetnega omrežja, zaradi česar bi lahko ukradli informacije o strankah in celo zaščitene informacije. Na žalost številna podjetja ne sprejmejo potrebnih ukrepov za zaščito svojih brezžičnih omrežij. V skladu z raziskavo Symantec / Small Business Technology Institute iz leta 2005 ima 60% malih podjetij odprta brezžična omrežja. Poleg tega številna druga mala podjetja morda ne uporabljajo dovolj močne brezžične varnosti za zaščito svojih sistemov. Nepravilno varovanje brezžičnega omrežja je podobno, kot da pustite poslovna vrata odprta ponoči.
Študija primera:
Po poročilih novinarjev so hekerji s pomočjo brezžičnega omrežja izvlekli "največjo kršitev podatkov doslej". V svetovni trgovski verigi je hekerjem ukradenih več kot 47 milijonov finančnih informacij, ki so jih ukradli hekerji, ki so prekrivali brezžično omrežje, ki je bilo zavarovano z najnižjo obliko šifriranja, ki je na voljo podjetju. Leta 2005 sta dva hekerja domnevno parkirala pred trgovino in uporabila brezžično anteno za dešifriranje podatkov med ročnimi skenerji plačil, kar jim je omogočilo, da vnesejo v podatkovno bazo matične družbe in zapišejo s kreditnimi in debetnimi karticami skoraj 47 milijonov strank. Domnevajo, da so hekerji imeli dostop do baze podatkov o kreditnih karticah že več kot dve leti, ne da bi bili zaznani. Namesto uporabe najsodobnejše programske opreme za šifriranje za zaščito svojega brezžičnega omrežja - Wi-Fi Protected Access (WPA), je maloprodajna veriga uporabila staro obliko šifriranja, imenovano Wireless Equivalent Privacy (WEP), ki je po mnenju nekaterih strokovnjakov lahko preprosto vdrl v samo 60 sekundah. Trenutno je ta kršitev varnosti podjetja stala 17 milijonov dolarjev, zlasti 12 milijonov dolarjev samo v eni četrtini ali 3 centa na delnico.
Nasvet:
- Pri nastavljanju brezžičnega omrežja se prepričajte, da je privzeto geslo spremenjeno. Večina omrežnih naprav, vključno z brezžičnimi dostopnimi točkami, je prednastavljena s privzetimi skrbniškimi gesli za poenostavitev nastavitve. Ta privzeta gesla se zlahka najdejo na spletu, tako da ne zagotavljajo nobene zaščite. Spreminjanje privzetih gesel napadalcem otežuje prevzem nadzora nad napravo.
- Poleg tega se prepričajte, da brezžično omrežje šifrirate s šifriranjem WPA. WEP (Wired Equivalent Privacy) in WPA (Wi-Fi Protected Access) šifrirata informacije o brezžičnih napravah. Vendar ima WEP številne varnostne težave, zaradi katerih je manj učinkovit kot WPA, zato bi morali posebej iskati orodje, ki podpira šifriranje prek WPA. Šifriranje podatkov bi preprečilo, da bi kdor koli, ki bi lahko spremljal vaš brezžični promet omrežja, gledal vaše podatke.
5. Insider / nezadovoljna grožnja zaposlenim
Nezadovoljni zaposleni ali notranji delavec je lahko nevarnejši od najbolj prefinjenega hekerja na internetu. Glede na varnostne usmeritve vašega podjetja in upravljanje gesel imajo notranji posredniki lahko neposreden dostop do vaših kritičnih podatkov, zaradi česar ga lahko preprosto ukradejo in prodajo vašemu konkurentu ali celo izbrišejo in povzročijo nepopravljivo škodo. Obstajajo koraki in ukrepi, ki preprečujejo, da bi notranji ali nezadovoljni zaposleni dobili dostop do ključnih informacij in poškodovali vaša računalniška omrežja.
Študija primera:
Nekdanji zaposleni v podjetju, ki je opravljal letalske operacije pri večjih avtomobilskih podjetjih, je dva tedna po tem, ko je odstopil s položaja, izbrisal ključne informacije o zaposlitvi. Incident je povzročil okoli 34.000 dolarjev odškodnine. Po poročilih je bil zaposleni vznemirjen zaradi tega, ker ga je podjetje izpustilo prej, kot je predvideval. Domnevno je bil ogrožen požarni zid podjetja in storilec je vdrl v podatkovno bazo zaposlenih in izbrisal vse zapise. Izjave podjetja kažejo, da je bil nezadovoljen nekdanji zaposleni eden od samo treh ljudi, ki so poznali podatke o vpisu in geslu za požarni zid, ki je zaščitil bazo podatkov zaposlenih.
Nasvet:
Vaše podjetje se lahko zaščiti pred notranjimi ali nezaželenimi grožnjami zaposlenih na več načinov:
- Razdelite kritične funkcije in odgovornosti med zaposlene v organizaciji in omejite možnost, da bi posameznik lahko storil sabotažo ali goljufijo brez pomoči drugih zaposlenih v organizaciji.
- Izvajajte stroga pravila za geslo in preverjanje pristnosti. Prepričajte se, da vsak zaposleni uporablja gesla, ki vsebujejo črke in številke, in ne uporabljajte imen ali besed.
- Poleg tega morate spremeniti gesla vsakih 90 dni in, kar je najpomembneje, izbrisati račun zaposlenega ali spremeniti gesla na kritične sisteme, potem ko zaposleni zapusti podjetje. Zaradi tega je nezadovoljnim zaposlenim težje poškodovati vaše sisteme, ko jih zapustijo.
- Opravite skrbni pregled PREDEN da najemate nekoga. Ali preverjanje preteklosti, izobraževalne kontrole, itd, da se zagotovi, da ste najem dobre ljudi.
O avtorju: Ron Teixeira, kot izvršni direktor Nacionalne zveze za kibernetsko varnost (NCSA), je odgovoren za splošno upravljanje programov za ozaveščanje o kibernetski varnosti in nacionalnih izobraževalnih prizadevanjih. Teixeira tesno sodeluje z različnimi vladnimi agencijami, korporacijami in neprofitnimi organizacijami, da bi povečala ozaveščenost o vprašanjih varnosti interneta in okrepila domače uporabnike, mala podjetja in izobraževalno skupnost z orodji in najboljšimi praksami, namenjenimi zagotavljanju varne in pomembne internetne izkušnje.
9 Komentarji ▼
