A digitalizáció ma már a kisvállalkozások működésének is természetes része. Az ügyféladatok, számlák, szerződések, levelezések, felhőalapú rendszerek és távoli hozzáférések azonban nemcsak kényelmesebbé teszik a munkát, hanem új biztonsági kockázatokat is teremtenek.
Egy sikeres kibertámadás következménye nem feltétlenül csak néhány elveszett fájl. Leállhat a munkavégzés, hozzáférhetetlenné válhatnak az üzleti adatok, illetéktelenek férhetnek hozzá az ügyfelek információihoz, vagy akár a vállalkozás nevében is küldhetnek megtévesztő leveleket.
A kisvállalkozások gyakran nem rendelkeznek külön informatikai biztonsági csapattal, ezért különösen fontos, hogy a legfontosabb védelmi intézkedések rendszerszinten legyenek kialakítva. Egy tapasztalt rendszergazda nemcsak a hibák elhárításában segít, hanem megelőző intézkedésekkel is csökkenti a támadások és az adatvesztés kockázatát.
Az alábbi tíz lépés jó kiindulópontot jelenthet egy kisvállalkozás informatikai biztonságának felméréséhez és fejlesztéséhez.
A feltört felhasználói fiókok egyik leggyakoribb oka továbbra is a gyenge, újrahasznált vagy kiszivárgott jelszó. Különösen veszélyes, ha ugyanazt a jelszót használják a levelezéshez, a felhőalapú tárhelyhez, az ügyviteli rendszerhez és más online szolgáltatásokhoz.
A megfelelő védelemhez érdemes vállalati jelszókezelőt használni, amely minden szolgáltatáshoz külön, hosszú és véletlenszerű jelszót képes létrehozni. Így a munkatársaknak nem kell több tucat jelszót fejben tartaniuk vagy bizonytalan helyen tárolniuk.
A többtényezős hitelesítést, más néven 2FA-t, legalább az alábbi rendszereknél célszerű kötelezővé tenni:
vállalati levelezés;
felhőalapú tárhely;
könyvelési és ügyviteli rendszer;
weboldalak adminisztrációs felülete;
távoli elérés;
rendszergazdai fiókok.
A hitelesítő alkalmazás vagy fizikai biztonsági kulcs általában erősebb védelmet nyújt, mint az SMS-ben érkező kód. A 2FA nem teszi lehetetlenné a fiókfeltörést, de jelentősen megnehezíti, hogy egy megszerzett jelszóval önmagában be lehessen lépni.
A támadók gyakran nem új vagy különösen bonyolult módszereket alkalmaznak, hanem már ismert, régóta javított sérülékenységeket használnak ki. Ezért kockázatos lehet egy elavult operációs rendszer, böngésző, irodai program, weboldalbővítmény vagy hálózati eszköz használata.
A frissítések kezelését nem célszerű kizárólag a munkatársakra bízni. A rendszergazdának nyilvántartást kell vezetnie a használt eszközökről és szoftverekről, valamint ellenőriznie kell, hogy mely rendszerek támogatottak és melyek nem kapnak már biztonsági javításokat.
Kiemelt figyelmet igényelnek:
a számítógépek és szerverek operációs rendszerei;
a böngészők és levelezőprogramok;
a routerek, tűzfalak és Wi-Fi hozzáférési pontok;
a weboldalak és azok bővítményei;
a távoli elérést biztosító alkalmazások;
a számlázó-, ügyviteli és könyvelési rendszerek.
Egy frissítés előtt szükség lehet tesztelésre és biztonsági mentésre is, különösen olyan rendszereknél, amelyek kiesése közvetlenül akadályozná a vállalkozás működését.
A vírusirtó önmagában nem jelent teljes körű védelmet. A korszerű végpontvédelmi megoldások nemcsak ismert kártevőket keresnek, hanem a gyanús folyamatokat, szokatlan fájlműveleteket és támadásra utaló viselkedést is képesek felismerni.
Fontos, hogy a védelem minden üzleti célra használt eszközön működjön, beleértve a laptopokat és a távolról használt számítógépeket is. A rendszergazda központilag ellenőrizheti, hogy az eszközök védelme aktív-e, megtörténtek-e a frissítések, illetve jelentkezett-e riasztás.
A tűzfal beállításánál alapelv, hogy csak azok a szolgáltatások legyenek elérhetők az internetről, amelyekre valóban szükség van. A ritkán használt vagy indokolatlanul nyitott portok növelik a támadási felületet.
A tűzfal naplóit és riasztásait is érdemes rendszeresen ellenőrizni. Egy biztonsági eszköz kevésbé hasznos, ha a jelzéseit senki nem vizsgálja meg.
A biztonsági mentés nemcsak hardverhiba vagy véletlen törlés esetén fontos. A zsarolóvírusok gyakran a számítógépen elérhető fájlokat és a csatlakoztatott hálózati meghajtókat is titkosítják.
Ezért nem elegendő, ha az adatokat időnként egy külső merevlemezre másolják, amely folyamatosan csatlakoztatva marad ugyanahhoz a számítógéphez.
Megbízhatóbb megoldást jelent a 3-2-1 mentési elv:
legalább három példány az adatokról;
legalább két különböző adathordozón;
legalább egy fizikailag vagy logikailag elkülönített helyen.
A mentési rendszer kialakításakor előre meg kell határozni, hogy mely adatokat kell menteni, milyen gyakran történjen mentés, mennyi ideig kell megőrizni a korábbi állapotokat, és mennyi idő alatt kell helyreállítani a működést.
A mentés megléte önmagában nem elegendő. Rendszeresen visszaállítási próbát is kell végezni. Sok vállalkozás csak adatvesztés után szembesül azzal, hogy a mentés hiányos, sérült vagy nem tartalmazza a szükséges fájlokat.
A legtöbb támadó nem közvetlenül a technikai rendszert próbálja feltörni, hanem egy munkatársat igyekszik megtéveszteni. Az adathalász levelek egyre gyakrabban utánoznak valós számlákat, csomagküldő értesítéseket, banki figyelmeztetéseket vagy vezetői utasításokat.
A képzésnek nem általános elméleti előadásból kell állnia. A munkatársaknak konkrét példákon keresztül kell megtanulniuk felismerni:
a gyanús feladókat és domainneveket;
a sürgető vagy fenyegető megfogalmazást;
a váratlan mellékleteket;
a hamis bejelentkezési oldalakat;
a megváltoztatott bankszámlaszámot tartalmazó leveleket;
az ismeretlen programok telepítésére vonatkozó kéréseket.
Egyértelmű belső szabályra is szükség van arra, hogy a munkatársak kinek és milyen módon jelezzék a gyanús eseményeket. Nem célszerű hibáztatni azt, aki időben bejelent egy téves kattintást. A gyors jelzés sokszor jelentősen csökkentheti a károkat.
Nem minden munkatársnak van szüksége minden adathoz és rendszerhez hozzáférésre. A jogosultságokat a munkakör alapján kell kialakítani, és csak a feladat elvégzéséhez szükséges szintet célszerű biztosítani.
A túl széles hozzáférések növelik a kockázatot, mert egy feltört felhasználói fiókkal a támadó több adatot és rendszert érhet el. Ugyanez igaz a véletlen törlésre vagy belső visszaélésre is.
Különösen fontos:
a normál és rendszergazdai fiókok szétválasztása;
a megosztott felhasználói fiókok kerülése;
a kilépő munkatársak hozzáférésének azonnali megszüntetése;
az inaktív fiókok letiltása;
a jogosultságok időszakos felülvizsgálata;
a külső partnerek ideiglenes hozzáférésének korlátozása.
A jogosultságkezelés akkor hatékony, ha dokumentált folyamat kapcsolódik az új munkatársak beléptetéséhez, a munkakörváltáshoz és a kilépéshez.
A nem megfelelően beállított Wi-Fi hálózat hozzáférést biztosíthat a vállalkozás belső eszközeihez. A gyári jelszavak, elavult titkosítási módok és ritkán frissített hálózati eszközök komoly kockázatot jelenthetnek.
A vállalati (belső) és vendégforgalmat külön hálózatra kell helyezni. A vendégek, ügyfelek vagy személyes mobileszközök számára biztosított Wi-Fi-ről ne legyenek elérhetők a szerverek, nyomtatók, hálózati adattárolók és munkaállomások (csak az internet felé forgalmazhatnak).
A biztonságosabb kialakítás része lehet:
korszerű WPA2 vagy WPA3 titkosítás;
erős, egyedi adminisztrátori jelszó;
a router rendszeres frissítése;
a távoli adminisztráció kikapcsolása, ha nincs rá szükség;
külön vendéghálózat;
az irodai, szerver- és IoT-eszközök hálózati elkülönítése.
Egy intelligens kamera, nyomtató vagy beléptetőrendszer is jelenthet támadási pontot, ezért ezeket az eszközöket sem célszerű korlátozás nélkül a belső hálózatra csatlakoztatni.
A távoli munkavégzésnél nemcsak az adatforgalom titkosítására kell figyelni. Az otthoni hálózat, a használt számítógép, a bejelentkezési mód és a távoli elérés konfigurációja egyaránt befolyásolja a biztonságot.
A vállalati rendszerekhez lehetőség szerint menedzselt céges eszközről történjen a hozzáférés. Ezeken az eszközökön központilag beállítható a titkosítás, a végpontvédelem, a frissítés és a képernyőzár.
A VPN megfelelő megoldás lehet, de nem minden esetben elegendő. A VPN-hozzáférést többtényezős hitelesítéssel kell védeni, és csak azokhoz a hálózati erőforrásokhoz célszerű hozzáférést adni, amelyekre az adott munkatársnak szüksége van.
A közvetlenül internetre nyitott távoli asztali kapcsolatokat érdemes kerülni. Ezek gyakran automatizált jelszópróbálgatás és sérülékenység-kihasználás célpontjai.
A hordozható eszközök elveszhetnek, ellophatják őket, vagy illetéktelen személy kezébe kerülhetnek. A rajtuk tárolt adatok védelmét ezért nem szabad kizárólag a bejelentkezési jelszóra alapozni.
A laptopokon teljes lemeztitkosítást kell alkalmazni. Így a háttértár tartalma az eszköz eltávolítása vagy másik számítógépbe helyezése után sem olvasható egyszerűen.
További fontos intézkedések:
automatikus képernyőzár;
PIN-kód vagy biometrikus védelem;
távoli zárolási és törlési lehetőség;
eszköznyilvántartás;
rendszeres frissítés;
céges és személyes adatok elkülönítése;
ismeretlen USB-eszközök használatának korlátozása.
A vállalati levelezést és dokumentumokat kezelő telefonokra is célszerű egységes biztonsági szabályokat alkalmazni. Előre meg kell határozni azt is, hogyan kell eljárni egy eszköz elvesztése esetén.
Teljesen támadásbiztos rendszer nem létezik. Ezért nemcsak a megelőzésre, hanem a gyors és szervezett reagálásra is fel kell készülni. Az incidenskezelési tervnek egyszerűen követhetőnek kell lennie. Tartalmaznia kell:
kit kell értesíteni;
ki jogosult döntést hozni;
hogyan kell leválasztani egy fertőzött eszközt;
hogyan őrizhetők meg a naplók és bizonyítékok;
hogyan történik a mentésből való visszaállítás;
mikor szükséges ügyfeleket, partnereket vagy hatóságot értesíteni;
milyen külső szakértő vagy szolgáltató vonható be.
A tervben szereplő elérhetőségeknek internet- és levelezési kiesés esetén is hozzáférhetőnek kell maradniuk. Nem elegendő, ha a dokumentum kizárólag azon a szerveren található, amelyet egy támadás érinthet.
Az incidenskezelési tervet időnként próbával is ellenőrizni kell. Egy egyszerű szimuláció során kiderülhet, hogy a munkatársak tudják-e, mit kell tenni egy feltört postafiók, zsarolóvírus vagy elveszett laptop esetén.
A kisvállalkozások kiberbiztonsága nem egyetlen vírusirtó programon vagy tűzfalon múlik. Hatékony védelem akkor alakul ki, ha a technikai intézkedések, a jogosultságkezelés, a mentések, a munkatársak felkészítése és az incidenskezelés egymásra épül.
Első lépésként érdemes felmérni:
milyen adatokat kezel a vállalkozás;
mely rendszerek nélkül állna le a működés;
kik és honnan férnek hozzá ezekhez;
milyen mentések állnak rendelkezésre;
mi történne egy fiókfeltörés vagy többnapos rendszerleállás esetén.
Egy megfelelően felkészült rendszergazda ezek alapján nem általános biztonsági csomagot alkalmaz, hanem a vállalkozás tényleges működéséhez igazítja a védelmet. A cél nem minden kockázat megszüntetése, hanem annak elérése, hogy egy támadás esélye, hatása és helyreállítási ideje elfogadható szintre csökkenjen.