PREVENCE NARUŠENÍ ZABEZPEČENÍ IT A DAT PRAKTICKÁ PŘÍRUČKA Návod, jak čelit rizikům v IT prostředí
Posílení podniku díky zabezpečení www.kaspersky.cz #securebiz
PREVENCE NARUŠENÍ ZABEZPEČENÍ IT A DAT
Podnikové sítě jsou stále komplexnější, a zabezpečení se proto stává náročným úkolem. Uživatelé se připojují k nezabezpečeným veřejným sítím a spouštějí řadu aplikací na podnikových i osobních zařízeních, což umožňuje přístup k k citlivým podnikovým datům z více koncových bodů. Je tedy třeba vzít v potaz celou řadu faktorů. A pokud chcete, aby byly vaše zásady zabezpečení skutečně účinné, musíte mít jejich prostřednictvím pod kontrolou všechna zařízení a aplikace uživatelů včetně jejich chování. Tyto zásady navíc musejí být realistické. I když to zní obtížně, je to snazší, než se zdá. Tato příručka vám danou problematiku zjednoduší. Přináší totiž praktické tipy, které vám pomohou ochránit vaši síť i data, a vašim zaměstnancům poskytne informace potřebné k tomu, aby byli oni sami i váš podnik v bezpečí.
OBSAH: • Zaměstnanci: Osvědčené způsoby prevence zabezpečení IT • Aplikace: Aktualizace zařaďte vždy na první místo • Zařízení: Nedávejte šanci malwaru • Vzdálený přístup: Chraňte své zaměstnance, ať pracují odkudkoli • Web a sociální sítě: Najděte rovnováhu mezi svobodou a kontrolou
2
ZAMĚSTNANCI: OSVĚDČENÉ ZPŮSOBY PREVENCE ZABEZPEČENÍ IT PŘÍBĚH
PŘEHLED
Tomáš je výkonným ředitelem společnosti. Potřebuje být neustále online, a proto při práci využívá nejen notebook, ale také firemní chytrý telefon a osobní tablet.
Ať už jste tedy zavedli jakákoli zabezpečení, řiďte se raději pořekadlem „prevence nad zlato“. Vydejte se na cestu, na jejímž startu je třeba zajistit, že vaši zaměstnanci podnikají základní kroky k vlastní ochraně, a v cíli se můžete těšit na snížení rizika narušení zabezpečení.
Všechna tato zařízení samozřejmě obsahují citlivé informace. Je si vědom toho, že vyžadují zabezpečení, takže si ve všech zařízeních nastavil heslo a PIN kód. Pomocí stejného hesla se přihlašuje do e-mailu a sociálních sítí. A stejný PIN kód má také jeho platební karta. To je typický případ nedostatečné prevence. I kdyby došlo k napadení jen jediného z jeho účtů, výsledkem by mohla být kritická ztráta podnikových dat.
59
FAKT
%
uživatelů svá hesla neukládá bezpečným způsobem.
Zdroj: Infografika k heslům Kaspersky
3
K úspěchu stačí něco tak jednoduchého, jako je silné a jedinečné heslo. Ale nikdo není dokonalý. Přestože víme, že bychom neměli, rádi si život usnadňujeme. Z toho důvodu celých 63 % uživatelů používá snadno rozluštitelná hesla a 39 % uživatelů používá stejné heslo pro všechny své účty. Často se také stává, že si zaměstnanci nejsou vědomi rizik, kterým čelí. I když pro vás podezřelé odkazy a nebezpečné e-mailové přílohy představují jasnou hrozbu, nemusí je tak vnímat všichni ve vaší společnosti. Proto je důležité věnovat se vzdělávání i kontrole systémů. Díky této kombinaci se osvědčené postupy postupně přemění v zásady zabezpečení, které si osvojí všichni zaměstnanci podniku a budou je dodržovat.
PRAKTICKÉ RADY
1 Jste to vy, kdo určuje pravidla pro délku, složitost a opakované použití hesel. Využijte tedy zásady na maximum a předejděte tomu, aby zaměstnanci pravidla obcházeli.
2
3
Zajistěte, aby všichni zaměstnanci znali charakteristické rysy phishingu a potenciálně nebezpečných webových adres. Doporučte jim, aby neotvírali odkazy z neznámých zdrojů, aby jakékoli pochybné odkazy neotvírali v samostatných oknech a aby kontrolovali konzistenci adres URL.
TIP PRO VÁS Hesla by měla obsahovat alespoň osm znaků a velká i malá písmena, číslice i speciální znaky
V žádném případě by nikdo neměl otvírat soubory z neznámých zdrojů, ať už se týkají osobních či pracovních záležitostí. Toto pravidlo by se mělo stát základním stavebním kamenem vašich zásad zabezpečení.
TIP PRO VÁS Než zaměstnanec klikne na odkaz, měl by na něj pokaždé najet myší a ověřit, zda skutečně odkazuje na předpokládanou stránku.
4
APLIKACE: AKTUALIZACE ZAŘAĎTE VŽDY NA PRVNÍ MÍSTO PŘÍBĚH
PŘEHLED
Jako účetní má Marie stále plné ruce práce. Ani dnešek není výjimkou. Nemá čas čekat, až se nainstalují aktualizace všech aplikací. Prostě klikne na tlačítko „Připomenout později“ a pokračuje v urgentnějších záležitostech.
Pokud zaměstnanci neprovedou aktualizaci softwaru, nemusí jim to sice znemožňovat každodenní úkoly, ale může se zvýšit riziko narušení zabezpečení. Většina malwaru je navržena tak, aby zneužívala zranitelná místa v aplikacích. A čím déle zůstanou aplikace neaktualizované, tím více času mají počítačoví zločinci ke zneužití těchto citlivých míst.
Pracuje ve starších verzích aplikací Microsoft Office, Adobe Acrobat a dalších. Fungují bez problémů, takže Marie zobrazené připomenutí vždy ignoruje. Zvládne všechny své náročné úkoly, a dokonce a dokonce nemusí výjimečně pracovat přesčas. Když spokojeně dorazí domů, netuší, že program, který si během dne stáhla ze serveru pro sdílení souborů, byl nakažen malwarem a škodlivý kód již využil její neaktualizované aplikace a rozšířil se do zbytku sítě.
V naprosté většině útoků vedených prostřednictvím aplikací jsou opravy pro dané aplikace již k dispozici. To je dobrá zpráva. Znamená to, že bylo možné útokům jednoduše předejít. Proto byste měli podniknout všechna opatření zaměřená na vyhledání a nasazení veškerých dostupných oprav. Také ze sítě nezapomeňte odebrat software, který nechcete nebo nepotřebujete.
49 58
FAKTA
%
5
%
uživatelů neprovádí pravidelnou instalaci aktualizací či oprav softwaru a operačního systému.
podniků dosud neprovedlo kompletní implementaci správy aplikací.
Zdroj: Průzkum globálních rizik IT, 2014
Zdroj: Zpráva o globálních rizicích IT, 2014
PRAKTICKÉ RADY
1 Vyhledávání oprav a určování jejich priority je časově náročné, nemluvě o jejich nasazování. Pomocí funkcí pro správu zranitelných míst a oprav řešení Kaspersky Endpoint Security for Business můžete tento proces zcela automatizovat a snížit tak své vytížení i riziko pro svou firmu.
2 Získejte možnost detekce a blokování nežádoucího softwaru a aplikací, kterým se podařilo dostat do vaší sítě. Řešení Kaspersky Endpoint Security for Business poskytuje přehled a kontrolu nad softwarem používaným zaměstnanci a usnadňuje identifikaci, registraci a sledování hardwaru a vyměnitelných zařízení.
3 Získejte nástroje pro vynucování bezpečnostních zásad pro aplikace. Správa aplikací umožňuje povolovat, blokovat a regulovat aplikace. Díky zásadě „implicitního zákazu“ lze pak v síti určité aplikace automaticky eliminovat. Další možnou vrstvu zabezpečení představuje správa práv aplikací. Ta sleduje a omezuje aplikace, které se chovají podezřele. I v případě, že je program napaden, lze smazat zabránit jeho škodlivým aktivitám.
TIP PRO VÁS Chcete-li zajistit, aby důležité aktualizace nebylo možné ignorovat, můžete deaktivovat tlačítko „Připomenout později“.
6
ZAŘÍZENÍ: NEDÁVEJTE ŠANCI MALWARU
PŘÍBĚH
PŘEHLED
Tomáš se zúčastnil konference. Navázal spoustu zajímavých kontaktů a těší se, až si přečte informace, které dostal na jednotce USB.
Šíření malwaru nemusí probíhat jen pomocí URL adres, souborů a příloh, ale také prostřednictvím fyzických zařízení. Pokud obsah jednotky předem nezkontrolujete, nikdy si nemůžete být jistí, co se na ní nachází. Dokonce ani logo společnosti nezaručuje bezpečnost zařízení.
Po návratu do kanceláře hned odpojí MP3 přehrávač, připojí jednotku USB a soubory nahraje do sítě. S myslí upnutou k příležitostem, které by mohly z předešlých rozhovorů vyplynout, soubory otevře, aniž by pomyslel na to, co všechno by ještě mohly obsahovat.
Problém však nepředstavují pouze USB jednotky. Nakažené může být jakékoli zařízení, které přišlo do kontaktu s neznámou sítí. I když Tomášovo USB nebylo nakaženo, přesto existuje riziko, a to v podobě MP3 přehrávače, který předtím nabíjel. Vyměnitelná zařízení, jako jsou USB disky a SD karty, mají na svědomí 30 % případů nakažení malwarem. I v tomto případě existují automatické postupy, které vašim zaměstnancům zabrání zbytečně riskovat úkonů. Pokud jsou však dostatečně informovaní o potřebné míře opatrnosti, riziko výskytu malwaru v síti se výrazně sníží.
FAKT Vyměnitelná zařízení, jako jsou USB disky a SD karty, mají na svědomí 30 % případů nakažení malwarem.
Zdroj: Blog společnosti Kaspersky
7
PRAKTICKÉ RADY
1
2
Zajistěte, aby vaši zaměstnanci kontrolovali externí zařízení a jednotky před každým použitím, a to i v případě, že jejich zdroj považují za důvěryhodný. Dobrou volbou může být také zakázání automatického spouštění. Zaměstnanci tak otevřou pouze zvolené soubory.
Doporučte zaměstnancům, aby stejné zásady dodržovali také při používání svých osobních zařízení. Pokud si například všimnou, že jejich chytrý telefon nepracuje správně, nebo mají podezření, že mohl být nakažen malwarem, měli by vědět, že jej nesmí připojit k notebooku.
3 Funkce správy zařízení řešení Kaspersky Endpoint Security for Business umožňuje stanovit, které typy zařízení se mohou připojit k vaší síti a jaké akce mohou provádět.
4 Správa aplikací umožňuje blokovat škodlivé programy v zařízení i v případě, že jsou právě spuštěné.
TIP PRO VÁS Nastavte ochranu proti malwaru tak, aby automaticky skenovala všechna zařízení a na základě potřeb jednotlivých zaměstnanců blokovala všechny typy zařízení, které pro jejich práci nejsou nezbytné.
FAKT Virus Stuxnet nejprve přes USB pronikl do íránských jaderných zařízení, posléze se stejným způsobem dostal i do ruských elektráren. Malwaru se dokonce podařilo proniknout i na mezinárodní vesmírnou stanici. Zdroj: Tisková zpráva společnosti Kaspersky k viru Stuxnet
8
VZDÁLENÝ PŘÍSTUP CHRAŇTE SVÉ ZAMĚSTNANCE, AŤ PRACUJÍ ODKUDKOLI PŘÍBĚH
PŘEHLED
Tomáš potřebuje svůj čas využít co nejefektivněji. Když tedy není v kanceláři, používá pro přístup k e-mailu a klientským datům svůj tablet.
Používání mobilních zařízení je stále na vzestupu, a proto už nestačí uplatňovat bezpečnostní opatření pouze na hardware v kanceláři. Mnoho zaměstnanců navíc využívá model „Přineste si své vlastní zařízení“ (BYOD). Chránit pouze firemní zařízení již prostě nestačí.
Mezi schůzkami má nečekaně dvacetiminutovou pauzu, kterou se rozhodne strávit finálními úpravami prezentace nad šálkem kávy v blízké kavárně. Využije bezplatnou Wi-Fi síť, aby kolegům poslal e-mail s nejnovější verzí prezentace. Rozhodně by si nepřál, aby se informace obsažené v tomto souboru dostaly do rukou konkurence. V tu chvíli ho ale nenapadne, že když soubor odešle přes nezabezpečenou síť, může právě k něčemu takovému dojít.
FAKTA
13 Téměř
firem se setkala se ztrátou či odcizením mobilního zařízení svých zaměstnanců.
Tyto pracovní postupy přinášejí firmám celou řadu výhod. Zároveň však výrazně zvyšují komplikovanost vašeho prostředí IT. Široká dostupnost bezplatných a nezabezpečených sítí, ve kterých může dojít k zachycení dat, situaci ještě více komplikuje. Tento vývoj však nelze ignorovat. Mobilním zařízením by měla být věnována hlavní část vašich celkových zásad zabezpečení IT. Když budete aktivní, můžete předejít ztrátě dat způsobené sofistikovanými hrozbami, mezi které patří malware, a také nehodám, jako je ztráta zařízení.
a¼
Zdroj: Infografika k MDM Kaspersky
9
těchto firem v důsledku toho zaznamenala ztrátu dat.
PRAKTICKÉ RADY
1
2
Pokud o existenci nějakého zařízení nevíte, těžko jej můžete chránit. Je tedy nezbytné, aby zaměstnanci pochopili důležitost zabezpečení mobilních zařízení a význam informování IT oddělení o veškerých zařízeních, která používají.
TIP PRO VÁS Vysvětlete všem zaměstnancům, že by měli k podnikovým datům (včetně e-mailu) přistupovat pouze přes zabezpečenou síť. To ovšem neznamená, že by nemohli využívat bezplatné sítě Wi-Fi, musí však zároveň používat síť VPN.
Díky řešení Kaspersky Security for Mobile můžete zařízením poskytnout ochranu proti malwaru a další technologie zabezpečení mobilních zařízení. Správa mobilních zařízení (MDM) vám pak přinese možnost kontroly nad správou všech zařízení v síti. Funkce zabezpečení a správy mobilních zařízení jsou součástí řešení Kaspersky Endpoint Security for Business. Díky tomu lze zabezpečení mobilních zařízení integrovat do celkového přístupu k IT bez potřeby implementace samostatného řešení.
TIP PRO VÁS Pokud dojde ke ztrátě zařízení, nemusí to nutně znamenat ztrátu dat. Lze totiž oddělit podniková data od osobních údajů uživatelů. Citlivá data lze poté zašifrovat, aby je v případě odcizení zařízení nebylo možné přečíst. A nakonec když třeba zaměstnanec z firmy odchází, lze firemní schránku vymazat.
FAKT V nezabezpečených sítích Wi-Fi může dojít k zachycení všech dat a úpravě dat na obrazovce. 34 % uživatelů veřejných sítí Wi-Fi však nepodniká žádná opatření k vlastní ochraně. Zdroj: Infografika k BYOD Kaspersky
10
WEB A SOCIÁLNÍ SÍTĚ: SPRÁVNÁ KONTROLA PŘÍSTUPU PŘÍBĚH
PŘEHLED
O polední přestávce Marii napadne, že by se mohla podívat, co je nového na facebooku. Při prohlížení kanálu vybraných příspěvků narazí na zajímavý odkaz. Článek je ale o něčem jiném, než si myslela, a tak jej zavře. Poté zazvoní telefon, takže se odhlásí a vrátí se k práci.
Sociální sítě jsou, stejně jako model BYOD, dalším příkladem toho, jak může prolínání pracovního a osobního života negativně ovlivnit online zabezpečení. Představují nejen příležitost pro šíření malwaru, ale mohou také zločincům pomoci ve shromažďování informací o potenciálních cílech.
Zmíněná stránka však spustila virový útok. A protože od chvíle, kdy notebook dostala, neprovedla aktualizaci prohlížeče, nezobrazilo se žádné upozornění na podezřelou stránku. Malware okamžitě prohledá otevřené firemní i osobní e-mailové schránky, což má za následek ohrožení důležitých finančních informací.
Je velmi důležité, aby zaměstnanci tyto zákonitosti pochopili. I když totiž procházejí web z osobních důvodů, možné riziko může ohrozit celou společnost. Podporou správného chování můžete implementovat zásady, které zajistí bezpečnost vaší sítě i dat, aniž by to mělo nepříznivý vliv na kvalitu pracovního života zaměstnanců.
FAKTA
Využívání sociálních sítí, které se rozšířilo do různých zařízení, je dnes na denním pořádku.
66
%
38
%
uživatelů sociálních sítí uživatelů sociálních sítí přistupuje přistupuje na tyto weby z počítače na tyto weby z chytrého telefonu Zdroj: Infografika k sociálním sítím Kaspersky
11
23
%
uživatelů sociálních sítí přistupuje na tyto weby z tabletu
PRAKTICKÉ RADY
1
2
Vysvětlete zaměstnancům, že je třeba kontrolovat původ stahovaných souborů a před kliknutím na odkaz na něj nejdříve najet myší a ověřit, zda odpovídá popisu. To platí zvláště v případech, kdy cílovou stránku neznají nebo působí nedůvěryhodně.
3
Je důležité, aby vaše zásady zahrnovaly také pravidla chování zaměstnanců na sociálních sítích. Zaměstnanci by nikdy neměli sdílet citlivé informace firemního ani osobního rázu. Dále je třeba, aby převzali odpovědnost za prověřování svých kontaktů.
Pokud jsou určité stránky zcela nevhodné pro práci, měly by být vyloučeny ze zásad procházení. Díky funkci pro správu přístupu na web řešení Kaspersky Endpoint Security for Business lze pomocí předem nastavených nebo vlastních databází vytvořit seznam zakázaných kategorií webových stránek, které jsou zaměstnancům zapovězené.
4 Někdy není jednoduché odhalit nenápadné triky k šíření malwaru. Řešení Kaspersky Systems Management, jehož součástí je také správa oprav, vám pomůže zajistit, aby zaměstnanci používali aktualizované verze prohlížečů, čímž se sníží riziko možných problémů.
TIP PRO VÁS Řešení Kaspersky Endpoint Security for Business disponuje předem vytvořenými a přizpůsobitelnými seznamy zakázaných položek, které lze využít k blokování určitých typů stránek. Uživatele lze rozdělit do skupin. To znamená, že omezení nemusejí mít celofiremní působnost. Pokud váš marketingový tým potřebuje využívat facebook, ale ostatní zaměstnanci jej ke své práci nepotřebují, můžete přístup povolit pouze danému týmu.
FAKT Nejčastější cíle phishingu z řad sociálních sítí: Facebook – 56 %
Twitter – 8 %
Pinterest – 3 %
Zdroj: Infografika k sociálním sítím Kaspersky
12
SHRNUTÍ
Chcete-li pro svou firmu zajistit maximální možnou úroveň ochrany, je třeba se zaměřit nejen na prosazování zásad, ale také na vzdělávání. Zaměstnanci mají víc svobody než kdy dřív - to však také znamená, že pro svou vlastní bezpečnost musejí převzít víc zodpovědnosti. Vy sami se můžete velkou měrou zasadit o úplnou eliminaci rizikového chování. Pokud máte v rukou Pokud navíc máte v rukou nástroje do rychlé a snadné zavedení zásad pro praxe, pak můžete strávit méně času řešením problémů a více se věnovat obecnějším aspektům jejich vzniku, například předvídaní nebezpečí a zavádění preventivních opatření. Nejdůležitější je být aktivní. Hrozby, kterým vaše firma čelí, už znáte. Na základě rad v této příručce nyní můžete podniknout kroky k jejímu zabezpečení.
13
ZAČNĚTE NYNÍ: 30DENNÍ BEZPLATNÁ ZKUŠEBNÍ VERZE
Objevte, jak naše špičkové zabezpečení dokáže chránit váš podnik před malwarem a počítačovou kriminalitou se zkušební verzí bez závazků. Zaregistrujte se ještě dnes a stáhněte si kompletní verze produktů, abyste mohli zhodnotit, jak úspěšně chrání vaši infrastrukturu IT, koncové body a důvěrná obchodní data. ZÍSKEJTE BEZPLATNOU ZKUŠEBNÍ VERZI PRÁVĚ TEĎ
PŘIPOJTE SE K DISKUZI.
#securebiz
Sledujte nás na YouTube.
Podívejte se na nás na serveru SlideShare.
Klikněte na To se mi líbí na facebooku.
Podívejte se na náš blog.
Sledujte nás na Připojte se twitteru. k nám ve službě LinkedIn.
Další informace najdete na adrese http://www.kaspersky.com/cz/business-security
O SPOLEČNOSTI KASPERSKY LAB
Společnost Kaspersky Lab je světově největším soukromě vlastněným prodejcem řešení pro ochranu koncových bodů. Společnost se řadí mezi čtyři nejvýznamnější světové prodejce bezpečnostních řešení pro uživatele koncových bodů.* Společnost Kaspersky Lab poskytuje efektivní digitální řešení zabezpečení pro spotřebitele a malé, střední i velké podniky a ve své více než 17leté historii byla vždy inovátorem v oblasti zabezpečení IT. Společnost Kaspersky Lab, spolu se svou holdingovou společností registrovanou ve Velké Británii, působí v současné době v téměř 200 zemích na celém světě, přičemž poskytuje ochranu více než 400 miliónům uživatelů. Více informací najdete na adrese www.kaspersky.cz * V hodnocení „IDC Worldwide Endpoint Security Revenue by Vendor“ (Příjmy dodavatelů zabezpečení koncových bodů, celosvětový přehled) v roce 2013 byla společnost hodnocena jako čtvrtá nejlepší. Toto hodnocení bylo zveřejněno ve zprávě „IDC Worldwide Endpoint Security 2014–2018 Forecast and 2013 Vendor Shares“ (Podíl prodejců zabezpečení koncových bodů v roce 2013 a odhad na roky 2014–2018, celosvětový přehled od společnosti IDC, IDC #250210, srpen 2014). Prodejci softwaru byli ve zprávě uvedeni v pořadí podle příjmů z prodeje řešení pro zabezpečení koncových bodů v roce 2013.
