Grzegorz Idzikowski: ubezpieczajmy się od cyberprzestępczości

Streszczenie: BrakOdpowiedziDlaURL

Pokaż więcej

Grzegorz Idzikowski

W opisanym przypadku widać wyraźnie, że organizacje często muszą dokonywać wyboru między komfortem a bezpieczeństwem użytkowania sprzętu. W firmie Compass zdecydowanie wygrał komfort, ale jednocześnie ucierpiała kontrola nad telefonami i komputerami, z jakich korzystają pracownicy. Najważniejszą kwestią wcale nie jest to, czy do ataku doszło za pośrednictwem komputera prywatnego czy służbowego. Do przedstawionego ataku mogło bowiem dojść także wtedy, gdyby zdecydowano się pozostać przy sprzęcie firmowym. Nawet wysokiej klasy oprogramowanie antywirusowe chroni tylko przed wycinkiem zagrożeń, jakie mogą przedostać się z sieci. Zwłaszcza jeśli atak jest skierowany na konkretną osobę, tak jak w opisanym przypadku. Jeśli firma zezwoliła pracownikom na korzystanie z prywatnego sprzętu w pracy, sugerowałbym pozostanie przy tym modelu zamiast powrotu do poprzedniego.

Trzeba przy tym pamiętać, że niezależnie od formalnych zobowiązań podpisywanych przez pracowników firma faktycznie nie ma możliwości wymuszenia skonfigurowania prywatnych komputerów dokładnie według wytycznych działu IT. Utrzymanie zwykłego komputera jest skomplikowanym zadaniem, ponieważ wymaga ciągłego instalowania całego szeregu aktualizacji i poprawek do systemu oraz wszystkich wykorzystywanych programów. Osobną kwestię stanowią uprawnienia administratora, pozwalające na wprowadzanie daleko idących zmian w systemie. W przypadku sprzętu firmowego pracownicy praktycznie nigdy nie uzyskują pełnych uprawnień, natomiast użytkownik zawsze jest administratorem swojego prywatnego komputera. Oznacza to, że prywatny laptop, nawet skonfigurowany precyzyjnie według wskazówek działu IT, jest w praktyce poza kontrolą firmy, bo administrator może zainstalować coś niebezpiecznego. Zresztą nawet opracowanie drobiazgowych standardów konfiguracji sprzętu nie jest łatwe, co wynika z ogromnej różnorodności sprzętu, jaki mogli wybrać pracownicy. Wydawałoby się więc, że decyzja o przejściu na system BYOD była błędna. Pamiętajmy jednak, że pracownik firmy Compass mógł równie dobrze użyczyć córce służbowego komputera i skutek byłby podobny.

Jako firma doradcza umożliwiamy klientom zdalny dostęp do niektórych systemów IT, co pod wieloma względami przypomina model BYOD. Nie mamy bowiem żadnego wpływu na sprzęt, z jakiego korzystają klienci, ani na poziom jego zabezpieczeń. Dlatego opracowaliśmy szereg procedur niepozwalających, aby zagrożenia przeniknęły do naszych zasobów. Decydując się na korzystanie z modelu BYOD, warto zadbać o szyfrowanie danych na dyskach twardych. To jedna z kluczowych metod zapewnienia bezpieczeństwa, zwłaszcza jeżeli korzystamy z komputera poza miejscem pracy. Odpowiednie mechanizmy szyfrowania danych na dysku odcięłyby zatem dostęp do zasobów dysku w przypadku fizycznej utraty laptopa. Jeśli firma zgadza się, aby pracownik korzystał z prywatnego sprzętu w pracy, powinna również zobowiązać go do zainstalowania zapory ogniowej uniemożliwiającej wiele ataków prowadzonych z zewnątrz. Obowiązkowe powinno być również włączenie automatycznych aktualizacji.

Największą, a zarazem najważniejszą, zmianę, jaką polecalibyśmy firmie przechodzącej na system BYOD, jest przeniesienie systemu firmowego ze stron WWW do tzw. zdalnego pulpitu. To rozwiązanie polega na łączeniu się z pulpitem znajdującym się na odpowiednio zabezpieczonym serwerze, do którego trzeba się osobno zalogować. Dzięki temu w sytuacji, gdy ktoś ściągnie na dysk komputera jakiś niebezpieczny załącznik, nie wyrządzi on szkody zasobom przedsiębiorstwa. Wdrożenie nowego modelu korzystania z firmowych komputerów i telefonów bez wątpienia wymaga również odpowiedniego przeszkolenia pracowników, aby zwiększyć ich świadomość zagrożeń związanych z korzystaniem z komputera w pracy.

W firmie Compass zabrakło procedury reagowania. Kiedy ktoś włamuje się do zasobów firmy i grozi kradzieżą danych, kluczowe osoby w organizacji powinny od razu wiedzieć, jakie kroki podjąć. Należy zbadać, czy zagrożenie przyszło z zewnątrz, czy też spowodował je pracownik. Trzeba również możliwie szybko oszacować rozmiary szkody. Postępowanie w podobnych sytuacjach powinien znać również dział PR, by móc zapobiec lub zminimalizować potencjalny kryzys wizerunkowy. Dobrą i coraz powszechniejszą praktyką jest ubezpieczanie się od zagrożeń związanych z cyberprzestępczością. Również w tym przypadku firma powinna sprawdzić, czy umowa z ubezpieczycielem pozwalają na wypłacenie odszkodowania.

Istotną kwestią jest też kontakt z klientami firmy oraz innymi osobami, których może dotyczyć wyciek danych. W opisanym przypadku firma Compass jest zmuszona do uporania się ad hoc ze złamaniem jej zabezpieczeń. Paniki w zarządzie firmy łatwo można było uniknąć.

Przeczytaj pozostałe komentarze: »