Najczęstsze zagrożenia bezpieczeństwa IT w firmach - jak się przed nimi chronić?

Cyberbezpieczeństwo przestało być problemem dotyczącym wyłącznie dużych korporacji. Ataki coraz częściej obejmują również małe i średnie przedsiębiorstwa, które nie zawsze posiadają rozbudowane zespoły IT oraz odpowiednie procedury bezpieczeństwa.Dla cyberprzestępcy wielkość organizacji często ma drugorzędne znaczenie. Liczy się przede wszystkim możliwość przejęcia konta użytkownika, zaszyfrowania danych, uzyskania dostępu do systemów albo wykorzystania infrastruktury do dalszych ataków.W praktyce wiele incydentów rozpoczyna się od stosunkowo prostych zdarzeń: kliknięcia w fałszywy link, wykorzystania słabego hasła, nieaktualnego systemu czy błędnie skonfigurowanego dostępu zdalnego.Jakie zagrożenia występują w firmach najczęściej i jakie działania pozwalają znacząco ograniczyć ryzyko?
 

Phishing nadal jest jednym z najczęstszych sposobów ataku

Jednym z podstawowych sposobów uzyskania dostępu do firmowych danych jest podszywanie się pod zaufane osoby lub instytucje.

Pracownik może otrzymać wiadomość wyglądającą jak:

• informacja od banku,
• wiadomość od operatora płatności,
• powiadomienie z Microsoft 365,
• faktura od kontrahenta,
• prośba od przełożonego,
• informacja od firmy kurierskiej,
• komunikat o konieczności zmiany hasła.

Celem może być nakłonienie użytkownika do podania danych logowania, otwarcia złośliwego załącznika albo wykonania przelewu.

Problem polega na tym, że współczesne wiadomości phishingowe mogą być bardzo dobrze przygotowane. Nie zawsze zawierają błędy językowe czy podejrzaną grafikę.

Dlatego nie można opierać bezpieczeństwa wyłącznie na czujności pracownika.
 

Jak ograniczyć ryzyko phishingu?

Podstawą powinno być połączenie zabezpieczeń technicznych z edukacją użytkowników.

Warto wdrożyć między innymi:

• filtrowanie wiadomości e-mail,
• ochronę przed złośliwymi załącznikami i linkami,
• uwierzytelnianie wieloskładnikowe,
• regularne szkolenia pracowników,
• procedurę zgłaszania podejrzanych wiadomości,
• odpowiednią konfigurację domeny pocztowej.

Pracownicy powinni wiedzieć, że nietypowa prośba dotycząca płatności, zmiany numeru rachunku czy podania hasła powinna zostać dodatkowo zweryfikowana.

Szczególnie ważne jest, aby w firmie istniał prosty sposób zgłoszenia podejrzanej wiadomości zespołowi IT.
 

Przejęcie konta użytkownika może otworzyć drogę do całej organizacji

Kradzież hasła do poczty nie zawsze kończy się jedynie na odczytaniu wiadomości.

Przejęte konto może zostać wykorzystane do:

• wysyłania phishingu do innych pracowników,
• kontaktowania się z kontrahentami,
• uzyskania dostępu do dokumentów,
• przejęcia dodatkowych usług,
• resetowania haseł,
• podszywania się pod pracownika.

Szczególnie niebezpieczne są konta posiadające uprawnienia administracyjne.

Jeżeli administrator korzysta wyłącznie z hasła, jego przejęcie może zapewnić atakującemu bardzo szeroki dostęp do infrastruktury.
 

MFA powinno być standardem

Jednym z najważniejszych mechanizmów ograniczających skutki kradzieży hasła jest uwierzytelnianie wieloskładnikowe.

Po jego wdrożeniu samo poznanie loginu i hasła nie wystarcza do uzyskania dostępu do konta.

MFA warto stosować przede wszystkim dla:

• poczty elektronicznej,
• Microsoft 365 lub Google Workspace,
• VPN,
• paneli administracyjnych,
• systemów biznesowych,
• hostingu,
• domen,
• narzędzi używanych przez administratorów.

Szczególnej ochrony wymagają konta uprzywilejowane.

W dobrze zabezpieczonym środowisku administratorzy powinni korzystać z indywidualnych kont i możliwie ograniczonych uprawnień zamiast jednego wspólnego konta znanego wielu osobom.
 

Ransomware może zatrzymać pracę całej firmy

Ransomware to rodzaj złośliwego oprogramowania, którego skutkiem może być zaszyfrowanie danych i uniemożliwienie dostępu do systemów.

W poważniejszych przypadkach atakujący przed zaszyfrowaniem środowiska może również wykraść dane i wykorzystać je do wywierania dodatkowej presji na przedsiębiorstwo.

Skutki takiego incydentu mogą obejmować:

• brak dostępu do dokumentów,
• niedostępność systemów biznesowych,
• zatrzymanie pracy użytkowników,
• utratę części danych,
• konieczność odbudowy infrastruktury,
• problemy z ciągłością działania.

Najbardziej niebezpieczne są sytuacje, w których firma posiada kopie zapasowe, ale nie są one odpowiednio odseparowane od podstawowego środowiska.

Jeżeli ransomware uzyska dostęp również do backupu, możliwość szybkiego odtworzenia systemów może zostać znacząco ograniczona.
 

Backup musi być odporny na awarię i atak

Samo wykonywanie kopii zapasowych nie oznacza jeszcze, że dane są właściwie zabezpieczone.

Należy odpowiedzieć na kilka pytań:

• jak często wykonywany jest backup,
• gdzie jest przechowywany,
• kto posiada do niego dostęp,
• czy jest odseparowany od głównego środowiska,
• jak długo przechowywane są kopie,
• czy backup obejmuje wszystkie istotne systemy,
• czy możliwe jest skuteczne odtworzenie danych.

Jednym z częstych błędów jest przyjęcie założenia, że skoro system backupu nie zgłasza błędu, kopia na pewno nadaje się do wykorzystania.

Dlatego ważne są okresowe testy odtwarzania.

W przypadku krytycznych systemów warto znać również przewidywany czas potrzebny do przywrócenia działania po awarii.
 

Nieaktualne oprogramowanie tworzy niepotrzebne ryzyko

Każde oprogramowanie może zawierać podatności.

Po wykryciu poważnej luki producent może opublikować aktualizację, która ją usuwa. Jeżeli organizacja przez długi czas nie instaluje poprawek, potencjalny atakujący otrzymuje więcej czasu na wykorzystanie znanego problemu.

Dotyczy to nie tylko komputerów użytkowników.

Aktualizacji wymagają również:

• serwery,
• firewalle,
• urządzenia sieciowe,
• systemy VPN,
• hypervisory,
• aplikacje biznesowe,
• systemy zarządzania,
• oprogramowanie urządzeń.

W firmie powinien istnieć uporządkowany proces zarządzania aktualizacjami.

Nie wszystkie poprawki muszą być instalowane natychmiast, jednak krytyczne podatności powinny być analizowane i usuwane odpowiednio szybko.
 

Antywirus nie zawsze wystarcza

Tradycyjne oprogramowanie antywirusowe pozostaje ważnym elementem ochrony, ale współczesne środowisko wymaga często bardziej zaawansowanego podejścia.

Rozwiązania klasy EDR mogą monitorować zachowanie urządzenia i reagować na nietypowe aktywności.

W zależności od systemu mogą między innymi:

• wykrywać podejrzane procesy,
• analizować zachowanie aplikacji,
• blokować zagrożenia,
• dostarczać informacji o incydencie,
• pozwalać na izolowanie urządzenia od sieci.

Szczególnie przydatna może być możliwość szybkiego odizolowania zainfekowanego komputera, zanim problem rozprzestrzeni się na kolejne urządzenia.

Należy jednak pamiętać, że samo wdrożenie narzędzia nie rozwiązuje problemu.

Alerty muszą być odpowiednio analizowane i obsługiwane.
 

Brak kontroli nad uprawnieniami zwiększa skutki incydentu

Jedną z podstawowych zasad bezpieczeństwa jest nadawanie użytkownikom tylko takich dostępów, których rzeczywiście potrzebują.

W praktyce wraz z rozwojem organizacji często pojawia się problem stopniowego gromadzenia uprawnień.

Pracownik:

• rozpoczyna pracę w jednym dziale,
• później zmienia stanowisko,
• otrzymuje dostęp do kolejnych systemów,
• ale poprzednie uprawnienia pozostają aktywne.

Po kilku latach może posiadać dostęp do znacznie większej liczby zasobów, niż wynika to z jego aktualnych obowiązków.

Jest to problem również w przypadku przejęcia konta – atakujący otrzymuje wtedy wszystkie uprawnienia przypisane użytkownikowi.

Dlatego warto regularnie przeglądać dostęp do najważniejszych systemów.
 

Odebranie dostępów po odejściu pracownika powinno być procesem

Ryzyko pojawia się również przy zakończeniu współpracy.

Firma powinna posiadać procedurę pozwalającą szybko:

• zablokować konto użytkownika,
• odebrać dostęp do VPN,
• wylogować aktywne sesje,
• zabezpieczyć pocztę i dane,
• usunąć dostęp do zewnętrznych aplikacji,
• odebrać urządzenia,
• zmienić współdzielone hasła, jeżeli takie występują.

Proces offboardingu powinien być powiązany z działem odpowiedzialnym za kadry lub zarządzanie personelem.

Dzięki temu administrator otrzymuje informację o zakończeniu współpracy w odpowiednim momencie.
 

Słabo zabezpieczony dostęp zdalny może stać się punktem wejścia

Praca zdalna znacząco zwiększyła liczbę usług dostępnych spoza firmowej sieci.

VPN, pulpity zdalne, panele administracyjne czy aplikacje chmurowe powinny być szczególnie dobrze zabezpieczone.

Ryzyko zwiększają między innymi:

• słabe hasła,
• brak MFA,
• nieaktualne urządzenia,
• otwarte bezpośrednio do Internetu usługi,
• korzystanie ze wspólnych kont.

Dostęp zdalny powinien być ograniczony wyłącznie do osób, które rzeczywiście go potrzebują, a jego konfiguracja regularnie kontrolowana.
 

Sieć firmowa również wymaga zabezpieczenia

W wielu organizacjach bezpieczeństwo koncentruje się na komputerach, podczas gdy sama sieć traktowana jest jako element infrastruktury, który po konfiguracji nie wymaga większej uwagi.

Tymczasem odpowiednia architektura sieci może znacząco ograniczyć skutki incydentu.

Warto rozważyć rozdzielenie różnych grup urządzeń, na przykład:

• komputerów pracowników,
• serwerów,
• telefonów,
• urządzeń IoT,
• monitoringu,
• sieci dla gości.

Segmentacja może utrudnić przemieszczanie się atakującego pomiędzy poszczególnymi częściami środowiska.

Istotna jest również odpowiednia konfiguracja firewalla oraz regularne przeglądanie istniejących reguł.
 

Firmowe Wi-Fi nie powinno być jedną siecią dla wszystkich

Prostym przykładem jest dostęp bezprzewodowy.

Goście odwiedzający biuro nie powinni korzystać z tej samej sieci, co urządzenia posiadające dostęp do wewnętrznych zasobów przedsiębiorstwa.

Oddzielna sieć dla gości pozwala zapewnić dostęp do Internetu bez udostępniania infrastruktury firmowej.

W przypadku przedsiębiorstw posiadających biura w Warszawie i wiele osób pojawiających się okresowo w siedzibie – klientów, kontrahentów czy pracowników z innych oddziałów – takie rozdzielenie może być szczególnie przydatne.
 

Brak monitoringu sprawia, że incydent może pozostać niezauważony

Nie każde włamanie powoduje natychmiastową awarię.

Atakujący może uzyskać dostęp do środowiska i przez pewien czas pozostawać niezauważony.

Dlatego istotną rolę odgrywają logi oraz monitoring zdarzeń.

Analizować można między innymi:

• nieudane logowania,
• logowania z nietypowych lokalizacji,
• działania administratorów,
• alerty z urządzeń bezpieczeństwa,
• zdarzenia na serwerach,
• aktywność urządzeń końcowych.

Im większa organizacja, tym trudniejsze staje się ręczne analizowanie informacji pochodzących z wielu systemów.

W bardziej rozbudowanych środowiskach warto rozważyć ich centralizację oraz automatyczne generowanie alertów.
 

Urządzenia pracowników muszą być kontrolowane

Laptop służbowy często opuszcza zabezpieczoną sieć firmową.

Pracownik korzysta z niego:

• w domu,
• hotelu,
• pociągu,
• podczas spotkania,
• w publicznej sieci Wi-Fi.

Dlatego ochrona urządzenia nie może zależeć wyłącznie od zabezpieczeń znajdujących się w biurze.

Komputer powinien posiadać między innymi:

• aktualny system,
• rozwiązanie chroniące przed złośliwym oprogramowaniem,
• szyfrowanie dysku,
• odpowiednio skonfigurowane konto użytkownika,
• automatyczne blokowanie ekranu.

W przypadku urządzeń mobilnych warto również posiadać możliwość centralnego zarządzania ich konfiguracją.
 

Utrata laptopa nie powinna oznaczać utraty danych

Szyfrowanie dysków jest szczególnie ważne w przypadku urządzeń przenośnych.

Jeżeli laptop zostanie zgubiony lub skradziony, osoba posiadająca fizyczny dostęp do urządzenia nie powinna móc po prostu wyjąć dysku i odczytać znajdujących się na nim danych.

W organizacjach wykorzystujących większą liczbę laptopów warto wdrożyć centralne zarządzanie szyfrowaniem oraz przechowywaniem kluczy odzyskiwania.
 

Cień IT może być trudny do kontrolowania

Pracownicy często szukają prostych sposobów na usprawnienie swojej pracy.

W efekcie mogą samodzielnie zakładać konta w zewnętrznych aplikacjach, korzystać z prywatnych chmur albo przesyłać firmowe dokumenty przez narzędzia, których organizacja oficjalnie nie zatwierdziła.

Zjawisko takie określane jest często jako Shadow IT.

Problem polega na tym, że firma może nie wiedzieć:

• gdzie znajdują się jej dane,
• kto ma do nich dostęp,
• jakie zabezpieczenia stosuje dostawca,
• czy konto zostanie usunięte po odejściu pracownika.

Zamiast wyłącznie zakazywać nowych narzędzi, warto stworzyć jasną procedurę ich zgłaszania i zatwierdzania.
 

Człowiek pozostaje ważnym elementem bezpieczeństwa

Najlepsze zabezpieczenia techniczne nie eliminują wszystkich zagrożeń.

Pracownicy powinni wiedzieć:

• jak rozpoznać podejrzaną wiadomość,
• jak zgłosić incydent,
• dlaczego nie należy udostępniać haseł,
• jak bezpiecznie korzystać z urządzeń,
• jak reagować na nietypowe prośby dotyczące płatności lub danych.

Szkolenia nie powinny jednak ograniczać się do jednorazowej prezentacji podczas zatrudnienia.

Bezpieczeństwo warto przypominać regularnie i odnosić je do realnych sytuacji, które mogą spotkać pracownika podczas codziennej pracy.
 

Co zrobić, gdy dojdzie do incydentu?

Nawet dobrze zabezpieczona organizacja powinna zakładać możliwość wystąpienia problemu.

Dlatego potrzebny jest plan działania.

Pracownicy powinni wiedzieć:

• komu zgłaszać podejrzane zdarzenia,
• jakie informacje przekazać,
• czego nie robić samodzielnie.

Zespół techniczny powinien natomiast posiadać procedury umożliwiające między innymi:

• odizolowanie urządzenia,
• zablokowanie konta,
• zabezpieczenie logów,
• zmianę danych uwierzytelniających,
• analizę zakresu zdarzenia,
• przywrócenie systemów.

Chaos podczas incydentu może znacząco zwiększyć jego konsekwencje.
 

Od czego zacząć poprawę bezpieczeństwa?

Nie każda firma musi od razu wdrażać najbardziej zaawansowane technologie.

Znacznie ważniejsze jest uporządkowanie podstaw.

Dobrym punktem wyjścia jest sprawdzenie:

• czy wszystkie kluczowe konta posiadają MFA,
• czy komputery są aktualizowane,
• czy dyski laptopów są szyfrowane,
• czy backup działa i jest testowany,
• czy urządzenia posiadają odpowiednią ochronę,
• czy pracownicy mają tylko potrzebne uprawnienia,
• czy konta byłych pracowników są blokowane,
• czy dostęp zdalny jest odpowiednio zabezpieczony,
• czy infrastruktura jest monitorowana,
• czy firma posiada aktualną dokumentację.

Takie działania mogą wyeliminować wiele najczęściej spotykanych słabości.
 

Regularny audyt pomaga wykrywać problemy wcześniej

Środowisko informatyczne zmienia się wraz z organizacją.

Pojawiają się nowe urządzenia, użytkownicy, systemy, lokalizacje i dostawcy.

Konfiguracja, która była prawidłowa dwa lata wcześniej, dzisiaj może już nie odpowiadać rzeczywistej sytuacji.

Dlatego bezpieczeństwo warto okresowo weryfikować.

Przegląd może obejmować zarówno kwestie techniczne, jak i organizacyjne:

• urządzenia,
• sieć,
• serwery,
• chmurę,
• dostęp użytkowników,
• backup,
• monitoring,
• dokumentację,
• procedury.

W przypadku przedsiębiorstw posiadających bardziej rozbudowane środowisko pozwala to stworzyć plan dalszych działań zamiast wdrażać pojedyncze zabezpieczenia bez jasno określonych priorytetów.
 

Podsumowanie

Najczęstsze zagrożenia dla firm nie zawsze wynikają z wyjątkowo zaawansowanych ataków. Znaczna część incydentów wykorzystuje podstawowe słabości: przejęte hasła, brak MFA, nieaktualne systemy, niewłaściwie zabezpieczony backup, nadmierne uprawnienia czy błędy użytkowników.

Skuteczna ochrona powinna więc opierać się na kilku uzupełniających się warstwach – odpowiedniej konfiguracji infrastruktury, zabezpieczeniu urządzeń i kont, regularnym monitoringu, kopiach zapasowych, procedurach oraz świadomości pracowników.

Dla przedsiębiorstw działających w Warszawie ważne może być również posiadanie partnera, który nie tylko wdraża poszczególne zabezpieczenia, ale później stale nadzoruje całe środowisko i reaguje na wykryte problemy. Takie podejście do bezpieczeństwa infrastruktury IT realizuje E-SUPPORT, łącząc bieżące utrzymanie systemów z działaniami ograniczającymi ryzyko awarii i incydentów bezpieczeństwa.

zagrożenia bezpieczeństwa IT firma ochrona