Üzleti biztonság

Mivel a vállalati hálózatokon belüli személyes eszközök potenciálisan gyúlékony keveréket alkotnak, a BYOD biztonságának lovagosabb megközelítése nem csökkenti azt.

06 február 2024  •  , 6 perc olvas

Mivel segített a szervezeteknek megszabadulni a járvány okozta zavaroktól, távoli munka (ez később gyakran úgy alakult hibrid munka) megerősítette kitartó erejét. A munka és az otthon közötti határokkal egyre homályosabb, mint valaha, sokan szeretnének, sőt szükségük van rá, hogy ne csak bárhonnan és bármikor, hanem bármilyen eszközről hozzáférjenek a munkaforrásokhoz – írja be a személyes eszközök használata a munka elvégzéséhez és hozzáférhet a vállalati adatokhoz.

A másik oldalon a személyes eszközök munkahelyi használata, legyen az kizárólagosan vagy a munkáltató által kibocsátott eszközökkel együtt, megnövekedett kiberbiztonsági kockázatokkal jár, még inkább, ha ezt nem támasztják alá szilárd biztonsági gyakorlatok és óvintézkedések. Miközben aggályok merülnek fel a „hozza saját készülékét” (BYOD) megállapodásokkal kapcsolatban semmiképpen sem új, a munkahelyi személyes eszközökre való fokozott támaszkodás új életet lehelt a vállalati adatok biztonságának potenciálisan ijesztő kihívásaiba, és szükségessé tette a meglévő szabályzatok újraértékelését és kiigazítását, hogy alkalmazkodjanak a változó munkakörnyezethez.

Hogyan mérsékelhetik tehát az alkalmazottak és a szervezetek az alkalmazottak tulajdonában lévő eszközökkel kapcsolatos kiberkockázatokat, és hogyan segíthetik elő a vállalati adatok és ügyfeleik adatainak veszélyeztetését? Bár nincs „mindenkinek megfelelő” megoldás, néhány intézkedés nagymértékben megvédi a vállalatokat a károktól.

Csökkentse a vállalati támadási felületet

Az IT hatáskörén kívül eső eszközök alkalmazottak használata, különösen, ha figyelmen kívül hagyják, komoly veszélyt jelent a vállalati adatokra nézve. Egy olyan korszakban, amikor a rossz színészek folyamatosan töréseket keresnek a vállalatok páncéljában, az ilyen potenciális belépési pontok számának korlátozása nem probléma. Fontos tehát, hogy a szervezeteknek leltárt kell készíteniük minden, hálózatukhoz hozzáférő eszközről, valamint meg kell határozniuk azokat a biztonsági szabványokat és konfigurációkat, amelyeknek az alkalmazotti eszközöknek meg kell felelniük a védelem alapszintjének biztosítása érdekében.

A nem engedélyezett alkalmazások vagy egyéb szoftverek az alkalmazottak tulajdonában lévő eszközökön gyakori kockázati forrást jelentenek árnyék IT összességében a vállalati adatok és rendszerek integritását, elérhetőségét és bizalmasságát képviseli. A harmadik felek érzékeny adatokhoz való szabályozatlan hozzáférésének megakadályozása érdekében a szervezetek előnyt jelenthetnek, ha „korlátot” hoznak a személyes és a munkával kapcsolatos információk között az eszközökön, és kikényszerítik az alkalmazások feketelistára (vagy engedélyezőlistára) való felvételét. Vannak más módok is az alkalmazottak tulajdonában lévő eszközök ellenőrzésére a dedikált mobileszköz-kezelő szoftver segítségével, ami a következő ponthoz vezet.

Frissítse a szoftvereket és az operációs rendszereket

A biztonsági frissítések telepítésének fontosságát az ismert sebezhetőségek időben történő javítása érdekében nem lehet túlhangsúlyozni, hiszen alig telik el nap anélkül, hogy ne érkezzenek hírek a széles körben használt szoftverek új sebezhetőségeiről.

Biztosítani kell, hogy az alkalmazottak frissített eszközökön dolgozzanak, ha cég által kibocsátott laptopokat és okostelefonokat használnak, és számíthatnak az informatikai részleg támogatására, amely folyamatosan kézben tartja és telepíti a szoftverfrissítéseket a gépeikre a megjelenés után. Manapság sok vállalkozás az eszközkezelő szoftvert használja, hogy ne csak frissítéseket telepítsen az alkalmazottak eszközeire, hanem általánosan szigorítsa biztonságukat.

Ha az eszközeiken lévő szoftverek naprakészen tartása magukra az alkalmazottakra hárul, a szervezetek legalább szorgalmasan emlékeztethetik alkalmazottaikat a javítások elérhetőségére, és útmutatókkal látják el őket. a frissítések alkalmazásához és a haladás nyomon követéséhez.

Biztonságos kapcsolat létrehozása

Ha egy távoli alkalmazottnak hozzá kell férnie a szervezet hálózatához, a szervezetnek tisztában kell lennie ezzel. A távoli dolgozók nemcsak otthoni Wi-Fi-hálózatukat használhatják, hanem nyilvános Wi-Fi-hálózatokat is. Mindkét esetben egy megfelelően konfigurált virtuális magánhálózat (VPN), amely lehetővé teszi a távoli dolgozók hozzáférését a vállalati erőforrásokhoz, mintha az irodában ülnének, egyszerű módja annak, hogy csökkentse a szervezet kitettségét a gyenge pontoknak, amelyeket egyébként a kiberbűnözők kihasználhatnának.

A távoli kapcsolat engedélyezésének másik módja a szervezet informatikai környezetéhez a Remote Desktop Protocol (RDP) használatával. Amikor a világ népességének nagy része átállt az otthoni munkára, az RDP-kapcsolatok száma meredeken emelkedett – és ezzel együtt az RDP-végpontok elleni támadások is. Ott volt jó sok esetben a támadók megtalálják a módját a rosszul konfigurált RDP-beállítások vagy a gyenge jelszavak kihasználásának annak érdekében, hogy hozzáférjenek a vállalati hálózatokhoz. Egy sikeres számítógépes bûnözõ ezeket a nyílásokat felhasználhatja a szellemi tulajdon kiszipolyozására, az összes vállalati fájl titkosítására és tárolására váltságdíjért, ráveheti a könyvelési osztályt, hogy pénzt irányítson az irányítása alatt álló számlákra, vagy pusztítást végezhet a vállalat adatmentéseiben.

A jó hír az, hogy számos módszer létezik az RDP által közvetített támadások elleni védekezésre. RDP hozzáférést kell biztosítani megfelelően konfigurálva, beleértve az internetre néző RDP letiltását, valamint erős és összetett jelszavak megkövetelését minden olyan fiókhoz, amelybe RDP-n keresztül lehet bejelentkezni. A megfelelő RDP-konfiguráció még többről szól, és legutóbbi cikkünkben a következőket tárgyaltuk:

Védje a koronaékszereket

A bizalmas vállalati adatok személyes eszközön való tárolása egyértelműen kockázatot jelent, különösen akkor, ha az eszköz elveszett vagy ellopták, és nincs jelszóval védett, és a merevlemeze nincs titkosítva. Ugyanez vonatkozik arra is, ha valaki másnak engedélyezi az eszköz használatát. Még ha „csak” egy családtagról van szó, ez a gyakorlat a cég koronaékszereinek kompromittálásához vezethet, függetlenül attól, hogy az adatokat helyben tárolják, vagy ahogy az a bárhonnan végzett munka korszakában megszokott, a felhőben.

Néhány egyszerű intézkedés – például az erős jelszavas védelem és az automatikus zárolás előírása, valamint az alkalmazottak tanítása arról, hogy meg kell akadályozni, hogy bárki más használja az eszközt – nagyban megvédi a vállalat adatait a károktól.

Annak elkerülése érdekében, hogy a bizalmas információkhoz illetéktelen személyek hozzáférjenek, a szervezeteknek titkosítaniuk kell az érzékeny adatokat mind továbbítás közben, mind nyugalmi állapotban, többtényezős hitelesítést és biztonságos hálózati kapcsolatokat kell megvalósítaniuk.

Biztonságos videokonferencia

A videokonferencia-szolgáltatások fellendülést tapasztaltak a járványnak köszönhetően, mivel az eredetileg személyesen zajló találkozók a virtuális világba kerültek. A szervezeteknek iránymutatást kell készíteniük a videokonferencia-szolgáltatások használatára vonatkozóan, például, hogy milyen szoftvert kell használniuk és hogyan biztosítják a kapcsolatot.

Pontosabban, tanácsos olyan szoftvert használni, amely robusztus biztonsági funkciókkal rendelkezik, beleértve a végpontok közötti titkosítást és a hívások jelszavas védelmét, amelyek megvédik a bizalmas adatokat a kíváncsi szemektől. Mondanom sem kell, hogy a videokonferencia-szoftvereket naprakészen kell tartani a legújabb biztonsági frissítésekkel annak érdekében, hogy az esetleges szoftverhézagokat sietve betömjék.

Szoftver és emberek

Könnyen nem említenénk meg, hogy a jó hírű többrétegű biztonsági szoftverről való lemondás azokon az eszközökön, amelyek hozzáférnek a vállalati rendszerekhez, katasztrófa receptje. Az ilyen szoftverek – különösen, ha a cég biztonsági vagy informatikai csapata kezeli – sok fejfájást, végső soron időt és pénzt takaríthatnak meg mindenki számára. Ez többek között védelmet nyújthat a legújabb rosszindulatú programok ellen, biztonságos vállalati adatokat akkor is, ha az eszköz rossz helyen van, és végső soron segíthet a rendszergazdáknak abban, hogy az eszközök megfeleljenek a vállalat biztonsági szabályzatának.

Az eszközök és adatok rendszeres biztonsági mentésének biztosítása (és a biztonsági másolatok tesztelése), valamint a személyzet biztonságtudatosságáról szóló tréningek készítése nem túl ügyetlen dolog – a technikai ellenőrzések nem lennének teljesek, ha az alkalmazottak nem értenék meg a megnövekedett kockázatokat, amelyek a személyes eszközök használata a munkához.