Nem kell „világpolitikai” helyzet ahhoz, hogy a vállalkozások informatikai rendszere veszélybe kerüljön, netán kompromittálódjon. Épp elég, ha nem készülnek fel a kibervilág kihívásaira.
Garantált biztonság az online világban nem létezik. Tudomásul kell vennünk, hogy a kibertérben kiberháború folyik, amelyben bármely állami szerv, önkormányzat, közműszolgáltató, vállalat és vállalkozás – a legkisebb is – lehet célpont, de bárkinek a bankszámlája is – figyelmeztet Stecher Tamás, a Telekom csoport kiberbiztonsági konzulense.
Jelenlétünk a kibertérben számos formát ölthet az e-mail-fióktól a honlapon és a webbolton keresztül az online könyvelésig, számlázásig, vállalatirányítási rendszerig és bankolásig. Ennek megfelelően érheti vállalkozásunkat támadás a webfelületen, a nem megfelelően kialakított infrastruktúrán, vírussal fertőzött elektronikus levélen vagy pendrive-on, netán egy nem eléggé lojális alkalmazotton keresztül. Érdemes elgondolkodnunk azon, van-e egyáltalán védvonalunk, vagy cégünk az online térben (szinte) teljesen nyitva áll a világ előtt.
A pékség védelme
Képzeljük magunkat annak a pékséget vezető vállalkozónak a helyébe, aki kovászos kenyerének, franciás péksüteményeinek köszönheti a megélhetését! A receptek a féltett kincsei, és – mivel ma már nem csak receptfüzetet használunk – azok egy-két számítógépen, pendrive-on, netán felhős alkalmazásban (Google, Dropbox stb.) találhatók meg.
Kisvállalkozóként – mert nemigen engedhet meg magának komoly informatikai hátteret és ahhoz megfelelő szakembergárdát – érdemes a felhőbe költöztetnie a teljes IT-rendszert, ahol a szolgáltató szavatol annak védelméért. Így számára elég lesz a kezében lévő eszközök: a laptop és a mobiltelefon biztonságáról gondoskodni.
A gondoskodás nem azt jelenti, hogy bedobja a receptekkel teli pendrive-ot egy fiókba – amit bárki kihúzhat –, vagy feltölti valamelyik webes „széfbe”, majd annak jelszavát megosztja minden munkatárssal, netán a céges laptopon tárolja, amelyet jelszó sem véd – mert ezzel az erővel akár közzé is tehetné az adatokat.
Honnan jön a támadás?
A kiberkalózok egyik kedvence a nulladik napi (zero day) sérülékenységek kihasználása; amikor a népszerű szoftverekben frissen felfedezett programozási hibákon keresztül jutnak be informatikai rendszerekbe, és tesznek szert adatokra, vagy helyeznek el olyan hátsó ajtókat, amelyeken keresztül később is be tudnak hatolni. Ilyennel bárki szembetalálkozhat, ezért fontos rendszeresen frissíteni minden alkalmazást, a mobiltelefonosakat is.
Leterheléses (DOS) és szolgáltatásmegtagadásos (DDoS) támadáshoz számítógépek sokaságából álló úgynevezett botneteket használnak, amelyek addig árasztják el lekérdezések sokaságával a célba vett informatikai rendszereket, amíg azok fel nem mondják a szolgálatot. Ezeket főleg nagy célpontok ellen vetik be, rendszerint kiberháborús fegyverként.
Nagyon megszaporodtak a zsarolóvírusos támadások, amelyek elkövetői például a merevlemez tartalmának törlésével, titkosításával vagy az ellopott adatok áruba bocsátásával fenyegetve követelnek pénzt – általában kriptovalutában, és elég nagy összeget – a megtámadottól. Ezek is lehetnek célzott támadások, amikor az elkövetők pontos tervvel rendelkeznek, de bárki lehet zsarolóvírus-támadás áldozata, akár a pékségünk is.
Zsarolás jó okkal
Hajlamosak vagyunk alulbecsülni a cégünk informatikai rendszerében – vagy akár csak a mobiltelefonunkban – őrzött adatok értékét. Pedig a névjegyeink, a belépési kódjaink, jelszavaink, ügyfél- és bankszámlaadataink stb. rossz kezekben pénzzé tehető értékek. A támadók éppen ilyenekre vadásznak, mert a sötét weben jó pénzt fizetnek a felhasználónév–jelszó párokért, a bankkártya- vagy a személyi adatokért. S ha nem a zsarolónak fizetünk, akkor a rosszul őrzött személyi adatok miatt a hatóságnak leszünk kénytelenek GDPR-büntetést fizetni.
Pékség a láncban
Tegyük fel, hogy pékségünk egy komoly, nagy cégnek szállít szendvicsalapanyagot, vagy például autóalkatrész-gyártó vállalkozásunk valamely világmárkának készít üléshuzatot. Míg a nagy cég komoly biztonsági infrastruktúrát tart fenn, addig a miénk majdnem olyan lyukas, mint az ementáli sajt. Rajtunk keresztül a támadók fontos adatokhoz, ipari titkokhoz vagy más, pénzzé tehető információkhoz juthatnak, és ezzel a mi jövőnk a beszállítói láncban legalábbis megkérdőjeleződhet.
Lehet a behatolók célja az is, hogy hozzáférjenek a biztonsági kameráinkhoz, számítógépeinkhez, internetre csatlakoztatott IoT-eszközeinkhez, amelyeket botnethez kapcsolva a tudtunk nélkül részesei lehetünk leterheléses támadásoknak.
Kockázatarányos védelem
Mérettől, gazdasági súlytól majdnem függetlenül minden célpontot érhet vírus- vagy adathalász, zsarolóvírus-támadás. Mindenekelőtt tehát végpontvédelmet, összetett malware-védelmet kell használnunk, ajánlja a Telekom csoport kiberbiztonsági konzulense. Ezek az alkalmazások sok szempont alapján képesek vizsgálni a számítógépek működését, az adatok mozgását. Nem csupán a vírusok jelenlétét mutatják ki, hanem az éppen bedugott pendrive-ot vagy a felhőből letöltött adatállományt is átvizsgálják.
A végponti védelem része lehet az adatok kimásolásának, ellopásának, vagyis az adatszivárgásnak a megakadályozása. Ezt például kódolt védelemmel, esetleg ujjlenyomat-olvasóval ellátott pendrive-okkal lehet segíteni, amelyeket egyrészt nem lehet vírussal megfertőzni, másrészt a céges adatok kimásolására sem használhatók.
Hasonló módon erősíthetjük a webes tartalmak védelmét például a munkahelyi számítógépekről elérhető egyes weboldalak (például szerencsejáték, pornó, warez vagy torrent) kizárásával és a kétfaktoros azonosítás bevezetésével.
Megéri?
A szakértelemnek megkérik az árát – ahogy a jó kenyérnek is –, de itt is érvényes elv, hogy ésszerű keretek között megéri a befektetés. Az adatvédelem ökölszabálya, hogy annyit áldozzunk rá, amennyit feltétlenül megér – se többet, se kevesebbet.
Következő három cikkünkben részletesen kitérünk arra, mit tehet egy vállalkozó, hogy a legfőbb veszélyforrásokat hárítsa.
Összefoglalva:
- A legkisebb vállalkozás is lehet célpont.
- Hogyan NE vigyázzunk az adatainkra?
- Beszállítóként rajtunk keresztül vezethet az út.
- Használjunk összetett malware-ellenes védelmet!
- Nem kell mindenkinek mindenhez hozzáférést adni.
- Értékarányos adatvédelem
Szerző:
Kelenhegyi Péter – Telekom Hello Biznisz szerkesztőség
