Bezpieczeństwo informatyczne w firmie

Jak się miewasz!

Skoro czytasz ten artykuł, to zapewne już wiesz, że bezpieczeństwo informatyczne w firmie jest ważnym zagadnieniem. Utrata danych, to prawdziwa katastrofa, włamanie do systemu, to poważny problem, zagrożeń przybywa, ryzyko rośnie. Co z tym bezpieczeństwem informatycznym! Postaram się przybliżyć temat.

Co to jest, to bezpieczeństwo informatyczne?

Definicji jest wiele, najprościej mówiąc – bezpieczeństwo informatyczne, czy bezpieczeństwo systemów informatycznych polega na tym, że użytkownik może na nich polegać, a zainstalowane oprogramowanie działa zgodnie ze swoją specyfikacją. Bezpieczne środowisko informatyczne pozwala nam mieć pewność, że wprowadzone dzisiaj dane do serwera, komputera będą w nim za tydzień, rok i pięć, nie ulegną zniekształceniu, usunięciu oraz nikt nieuprawniony nie będzie maił do nich dostępu.

Niby nic skomplikowanego, a co chwilę słyszymy o kolejnych atakach hakerskich, wyciekach danych, straconych pieniądzach i ogromnych karach finansowych. Pozwolę sobie wskazać kilka największych problemów ostatnich lat.

Przez opieszałość użytkowników i opóźnienia w instalacji aktualizacji systemów, hakerom udało się wprowadzić do sieci ransomware o nazwie WannaCry. Złośliwe oprogramowanie rozprzestrzeniało się szybko i sparaliżowało pracę nie tylko zwykłych użytkowników Internetu, ale także fabryk, szpitali, firm kurierskich na całym świecie. Swym zasięgiem wirus objął ponad 300 tys. komputerów w 99 krajach!

Atak na Sony Pictures Entertainment w listopadzie 2014 r. złamano zabezpieczenia firmy, a cyberprzestępcy przejęli ogrom (ok. 100TB) bardzo wrażliwych danych, e-maile, listy płac, dane medyczne. Dodatkowo zainstalowano w systemach firmy złośliwe oprogramowanie, które kasowało pliki, to był potężny cios.

Ogromnych problemów na całym świecie przysporzył ransomware NotPetya, określany mianem największego ataku w historii. Był skierowany w systemy informatyczne Ukrainy, po pewnym czasie rozprzestrzenił się na cały świat powodując paraliż lotnisk, sektora energetyki, transportu publicznego oraz usług medycznych. Amerykański rząd obliczył straty na 10 miliardów dolarów!

Czy wyciek 1,2 miliarda rekordów z portali społecznościowych robi wrażenie? Na niezabezpieczonym serwerze ujawniana została baza danych użytkowników portali społecznościowych takich jak LinkedIn, Facebook, czy Twitter, które zajmowały łącznie 4 TB pamięci. To jeden z największych wycieków danych w historii, które udostępniono z jednego źródła. Dane zostały pozyskane w sposób nie legalny, przestępców nie zidentyfikowano.

Chcesz sprawdzić, czy Twój adres e-mail jest zagrożony? Kliknij TUTAJ!

Można by pomyśleć, że to duże firmy i daleko od nas, ale nic bardziej mylnego. Wystarczy jedynie wspomnieć, że pod koniec 2018 roku z jednego z popularnych polskich sklepów internetowych wyciekły dane ponad 2 milionów klientów! Kara sroga prawie 3 miliony złotych!

Przykładów można mnożyć, chciałem wskazać jedynie kilka, skali problemów oraz skutków, jakie pociągają za sobą niezabezpieczone systemy informatyczne.

***  Jak się nie dać?  ***  Od czego zacząć?  ***  Co robić?  ***

Audyt informatyczny!

Pierwszym krokiem prowadzącym do podniesienia bezpieczeństwa systemów IT powinno być wykonanie audytu bezpieczeństwa infrastruktury informatycznej w firmie oraz jej oddziałach. Audyt powinien być wykonany przez specjalistów, z zachowaniem najwyższego poziomu bezpieczeństwa i zaufania. Oni poznają wszelkie słabości firmowych systemów informatycznych. W przypadku posiadania własnego działu IT, również to zadanie powinno zostać zlecone niezależnemu audytorowi, przy obustronnej ścisłej współpracy.

Kilka obowiązkowych obszarów audytu bezpieczeństwa informatycznego:

1. Zabezpieczenia sieci firmowej LAN/WAN;
2. Zabezpieczenia sieci WIFI;
3. Analiza systemu kopii zapasowej;
4. Analiza zabezpieczenia antywirusowego serwerów oraz stacji roboczych;
5. Analiza konfiguracji serwera, stanu systemu operacyjnego, uruchomionych usług, zabezpieczeń;
6. Analiza konfiguracji stacji roboczych, ich stanu technicznego, zabezpieczeń;
7. Weryfikacja procedur z zakresu IT.

To tylko kilka podstawowych elementów, jakie powinny zostać zaudytowane celem przygotowania szczegółowego i rzetelnego raportu.

Raport z audytu powinien zawierać szczegółowy opis stanu faktycznego infrastruktury informatycznej. Jest to kluczowy element raportu opisujący poszczególne zlokalizowane zasoby infrastruktury informatycznej, ich funkcje, stan techniczny, poziom zabezpieczeń. Wykaz zaudytowanych nieprawidłowości w infrastrukturze informatycznej z dokładnym wskazaniem podatności na możliwe zagrożenia. Wyróżnione powinny być zagrożenia, które są krytycznymi wymagającymi podjęcia pilnej reakcji – naprawy np. brak kopi bezpieczeństwa oraz osobne, te które należy naprawić, ale nie powodują zagrożeń krytycznych dla funkcjonowania infrastruktury IT. W raporcie z audytu bezpieczeństwa informatycznego powinny znaleźć się najlepsze wg bieżących standardów formy naprawy zaudytowanych nieprawidłowości w infrastrukturze IT. Kosztorys prac i niezbędnego sprzętu będzie dopełnieniem całości.

Tak opracowany raport z audytu bezpieczeństwa infrastruktury informatycznej pokazuje całokształt kondycji systemu informatycznego organizacji. Pozwala na podejmowanie decyzji dotyczących eliminowania zagrożeń wg wskazanych priorytetów, które stopniowo podniosą poziom bezpieczeństwa informatycznego organizacji.

To oczywiście początek przygody do bezpieczeństwa informatycznego w firmie. Jako ponad dwudziestoletni praktyk w branży IT rekomenduję taki start. Pokazuje stan bieżący, wyznacza kierunek zmian, pozwala na podejmowanie racjonalnych i trafnych decyzji.

Nie ma na co czekać, nie ma co zwlekać…

Ostatnie badania donoszą, że prawie 70% polskich firm doświadczyło cyberprzestępczości w różnej formie. Wzrost lub znaczący wzrost liczby prób cyberataków zanotowało 25% firm w Polsce, a spadek zaledwie 8%. Aż 84% polskich przedsiębiorców obawia się pojedynczych hakerów i prawie 60% zorganizowanej cyberprzestępczości. Być może wskazane dane są tak mało optymistyczne z uwagi na to, że zaledwie 57% przedsiębiorstw w Polsce jest przynajmniej w części przygotowanych na wypadek wystąpienia cyberataku.