Přechod na home office odhalil bezpečnostní rizika

Po roce od propuknutí koronavirové pandemie vidíme, že si firmy rychle poradily s přechodem na práci z domova a nasazením nástrojů na spolupráci na dálku. Současně se musí potýkat s novými bezpečnostními riziky.

Uplynulý rok byl z pohledu kybernetického zabezpečení podnikových sítí a dat zlomový. Přechod velké části lidí na práci z domova znamenal obrovskou změnu v zabezpečení a hackeři toho neváhali využít. Cílením na často zranitelnější domácí prostředí se totiž útočníci dostávají blíže i k podnikovým sítím. Co se naopak příliš nezměnilo, jsou metody, které kyberzločinci využívají − stále se spoléhají především na sociální inženýrství a phishing a mezi typy hrozeb kraluje ransomware, tedy škodlivý software, který zašifruje data v napadeném počítači nebo serveru a útočník následně požaduje výkupné za jejich opětovné zpřístupnění. Například data laboratoří FortiGuard, dodavatele bezpečnostních řešení Fortinet, ukazují v druhém pololetí roku 2020 sedminásobný nárůst celkové aktivity v oblasti ransomwaru oproti první polovině roku. Útočníci pochopitelně zneužívali i zájem lidí o témata spojená s covidem-19, takže není velkým překvapením, že bylo v roce 2020 zaznamenáno přibližně 16 milionů kampaní cílených právě na covid téma. Útoky využívaly především podvodné internetové stránky, mobilní aplikace se škodlivým kódem a phishingové e-maily.

Kritickým místem zabezpečení jsou také samotní zaměstnanci, kteří mnohdy tvoří první linii obrany před kybernetickým útokem.

Foto: Shutterstock

Čím dál častější jsou také útoky na cloudové služby, které začalo mnoho firem a organizací používat na vzdálenou komunikaci a spolupráci. "V souvislosti se stále intenzivnějším využíváním cloudových řešení získává na popularitě cloud jacking, kdy se útočník za pomoci různých metod snaží získat přístup ke cloudovým účtům uživatele. Obecně jsou útoky čím dál více cílené a velmi roste množství útoků zaměřených na kritickou infrastrukturu, zdravotní zařízení a průmyslové provozy, které jsou tradičně hůře chráněné, a tak i velmi zranitelné," komentuje trendy kybernetických útoků Ondřej Šťáhlavský, senior regional director CEE společnosti Fortinet.

Pro bezpečnou práci z domova nestačí jen antivir

Při rychlém přechodu na práci z domova bylo pro firemní IT prioritou zajistit základní funkčnosti samotného vzdáleného připojení, což se ve většině společností podařilo vyřešit. Postupně se ale ukázalo, že stávající strategie, kdy se bezpečnost soustředí na ochranu na úrovni firemní sítě, přestává stačit a je nutné zajistit zabezpečení i všech koncových zařízení bez ohledu na to, kde se fyzicky nacházejí. Nutnost změn v zabezpečení podnikových sítí potvrzuje i Martin Bratičák, regional director CEE společnosti Zyxel: "Je nesporné, že práce z domova se stala novou normou a bude výrazně ovlivňovat naši budoucnost. Pro organizace bude životně důležité zajistit za všech okolností bezpečné připojení svých vzdálených zaměstnanců. Samozřejmě platí, že organizace musí i nadále chránit svou firemní síť a vzhledem k rostoucímu počtu uživatelů připojujících se z domova ji zabezpečit ještě důkladněji než doposud."

Zabezpečení přechodu na práci z domova či obecně mimo kancelář ale neznamená jen zajistit bezpečné připojení do firemní sítě. Často nedostatečně zabezpečená jsou mobilní zařízení používaná pro práci, která pak představují velké riziko možného úniku dat nebo neautorizovaného přístupu do firemní sítě a systémů. Firmy přitom pořád ve velké míře spoléhají na klasický antivirus, který však na ochranu před současnými kybernetickými hrozbami nestačí. "Adekvátní ochranu proti aktuálním hrozbám nabídnou pouze bezpečnostní řešení nové generace v kombinaci s pokročilou ochranou proti ransomwaru a technologiemi umělé inteligence a hlubokého učení," vysvětluje Patrick Müller, regionální manažer pro východní Evropu ve společnosti Sophos. Další častou chybou je opomíjení instalace bezpečnostních záplat používaného softwaru a odkládání jeho aktualizací. Ve většině podniků nejsou nastavena pravidla, takže není určeno, kdo je zodpovědný za proces aktualizací, co má být aktualizováno, kdy a jakým způsobem. Tento problém přitom mohou řešit specializované nástroje na patch management.

Vzdělávání je tradičně slabé místo v rámci bezpečnostní strategie. Mnoho společností vzdělávání zaměstnanců v oblasti kyberbezpečnosti neřeší vůbec.

Foto: Shutterstock

Kritickým místem zabezpečení jsou také samotní zaměstnanci, kteří mnohdy tvoří první linii obrany před kybernetickým útokem. "Uživatele bych označil za vůbec nejslabší článek zabezpečení. Firmy často neinvestují dostatečné prostředky do vzdělávání svých zaměstnanců, neprovádějí phishingové a penetrační testy a jejich zaměstnanci neumí rozpoznat legitimní e-mail od podvodného," dodává Patrick Müller. Vzdělávání je tradičně slabé místo v rámci bezpečnostní strategie. V poslední době je sice patrný určitý posun k lepšímu, ale týká se spíše menšího počtu firem, které se bezpečnosti intenzivně věnují. Mnoho společností vzdělávání zaměstnanců v oblasti kyberbezpečnosti neřeší vůbec. "Obvykle bývají školení zaměřená na ochranu informací a kybernetická bezpečnost součástí zaškolení nových zaměstnanců. Další vzdělávání zaměstnanců v těchto oblastech už není tak obvyklé, ale výjimkou jsou společnosti, které mají certifikace zaměřené na tuto oblast, například ISO 27001, kde je vzdělávání nastaveno na pravidelné bázi. V poslední době je oblíbená i forma newsletterů, zaměřených vždy na konkrétní téma jako vytváření hesel, používání mobilních zařízení, phishing a další," vysvětluje Kateřina Hůtová, information security management system manager společnosti SoftwareONE.

ICT revue 4/2021

Stáhněte si přílohu v PDF

Důvěřuj, ale prověřuj

Firmy často chybují i v tom, že sice nasadí řešení na zabezpečení své IT infrastruktury, koncových zařízení a dat, ale dál už pravidelně neprověřují jeho funkčnost a spolehlivost. Například pokud jde o zálohování důležitých dat, společnost Veeam Software zjistila v rámci svého průzkumu, kterého se zúčastnily i české podniky, že až 38 procent zazálohovaných dat není možné v případě potřeby obnovit. "Dvě třetiny českých firem se potýkají se zásadním rozporem v tom, jak často jsou jejich data zálohována a jaké množství dat si mohou dovolit ztratit v případě havárie nebo kybernetického útoku mezi dvěma zálohami," dodává Martin Štětka, regionální manažer CEE, Veeam Software.

Kromě schopnosti obnovit data ze zálohy by měly firmy prověřovat také spolehlivost svého kybernetického zabezpečení prostřednictvím auditů a penetračních testů. "Pokud společnost ve spěchu při přechodu do on-line prostředí zanedbala otázku bezpečnosti, měla by co nejdříve provést audit zabezpečení svého prostředí, kterým přehledně ukáže, jakým oblastem se věnovat nejdříve a jaká rizika plynou z nečinnosti," vysvětluje Martin Trněný, cloud security consultant společnosti SoftwareONE. Na českém trhu působí řada organizací poskytujících služby etických hackerů (kteří odhalené chyby nezneužijí, ale informují o nich zadavatele), penetrační testy a simulace bezpečnostních incidentů. "Ročně realizujeme stovky projektů v oblasti penetračních testů. Stále více však našim zákazníkům doporučujeme řešit bezpečnost systémů v jejich celém životním cyklu, tedy nejen pravidelným testováním, které se soustředí na známé zranitelnosti v kódu nebo konfiguraci," dodává Maroš Barabas ze společnosti AEC.

Článek byl publikován v komerční příloze Hospodářských novin ICT revue.