Jak s omezeným rozpočetem eliminovat hrozby útoků v SMB?

Albert Ryba | 19.11.2011 | Analýzy, Bezpečnost | Žádné komentáře

Symantec informoval o výsledcích studie s názvem SMB Threat Awareness Poll, která se zaměřila na hrozby v malých a středních firmách (segment SMB), konkrétně na to, jak tyto firmy případné hrozby hodnotí, resp. jak jsou v tomto směru informované a jak jsou na ně připravené. V této souvislosti pak také Symantec zveřejnil rady, co je pro zvýšení bezpečnosti možné i s omezenými prostředky a zdroji udělat.

Zatímco velké firmy jsou obvykle proti útokům dobře zabezpečeny, v segmentu SMB je tomu jinak. Výsledek studie společnosti Symantec totiž vypovídá o tom, že i když jsou zaměstnanci těchto firem obvykle o hrozících rizicích dobře informováni, příliš dobře na ně připraveni nejsou a žijí v iluzi, že jsou vůči nim imunní. Nicméně o to snáze se pak mohou stát obětí takovéhoto útoku. Díky tomu přístupu ve firmách v segmentu SMB často chybí odpovídající bezpečnostní opatření, která by útokům zabránila a data firem jsou díky tomu vystavena riziku. Výzkumu pro studii SMB Treat Awareness Pool se účastnilo 1 900 organizací z celého světa, které byly rovnoměrně rozděleny podle velikosti a respondenty byly zaměstnanci, kteří spravovali IT zdroje firmy.

Ze studie konkrétně vyplynulo, že více než polovina firem v segmentu SMB si je vědoma hrozeb. 54 % dotázaných respondentů je přesvědčeno, že malware může vést ke ztrátě produktivity ve firmě a 46 % si je vědomo, že cílený útok hackerů by měl nepříznivý vliv na tržby firmy, podle 20 % by dokonce odlákal její klienty. 36 % dotázaných respondentů v SMB segmentu považuje možnost úspěšného útoku na firemní data v jejich organizaci za pravděpodobnou.

Přes tato stanoviska si ale zástupci malých a středních firem myslí, že jim přímé nebezpečí nehrozí a nemají pocit bezprostředního ohrožení. Polovina dotázaných si například myslí, že je před útočníky chrání jejich velikost, tedy že nejsou pro útok dostatečně atraktivní a že tyto hrozby se týkají převážně velkých korporací. Nicméně realita je opačná a podle údajů společnosti Symantec bylo celých 40 % cílených útoků vedeno proti firmám s nejvýše 500 zaměstnanci (což je obvykle hranice, která v západním světě odděluje střední firmu od velké, v ČR jsou tato měřítka trochu jiná). Naopak na velké podniky a korporace podle Symantecu cílilo jen 28 % ze všech útoků.

Díky tomu, že malé a střední firmy žijí v mýtu bezpečí, zanedbávají často důležitá bezpečnostní opatření. Například alarmujících 61 % společností v segmentu SMB nemá na všech počítačích ani nainstalovaný žádný antivirový program, téměř polovina, konkrétně 47 % nijak nechrání svoje poštovní servery či služby proti možnému napadení  a třeba 63 % jich nijak nezabezpečuje ani počítače, které jsou využívány pro účely internetových finančních transakcí.

Steven Cullen, viceprezident Symantecu k výsledku říká, že i když je dnes nyní důležitější než kdy jindy, aby firmy svá data a informace co nejlépe zabezpečily, jsou paradoxně kyberútoky velmi snadno zranitelné. Cullen je přesvědčen, že základní bezpečnostní opatření lze udělat i s limitovaným rozpočtem či omezenými lidskými zdroji a důležité je podle něj nepodceňovat vzdělávání zaměstnanců a zavádění osvědčených postupů v této oblasti, tzv. best practices. Ty mohou firmám pomoci případným útokům lépe odolat.

Symantec proto doporučuje zavést ve firmách alespoň následující opatření:

-    Nepodceňovat vzdělávání zaměstnanců. I když nejrůznější školení a další vzdělávací akce nebývají příliš populární a řada firem se spokojí s podpisem zaměstnanců, že si vše potřebné nastudovali na firemním intranetu, podceňování vzdělávacích aktivit může být jednou z nejzávažnějších chyb. Zaměstnanci by měli být dobře obeznámeni s aktuálními hrozbami a s jejich podobou včetně postupů, jak se bránit. Školení by mělo zahrnovat problematiku hesel, které jsou často slabým článkem firemního IT (např. tvorbou hesel z tzv. passfráze), ochranu mobilních zařízení a nebo také instrukce, jak rozeznat sociální hacking, který se obvykle využívá k získání citlivých informací od nezkušených pracovníků.

-    Posoudit stav zabezpečení ve firmě. Pokud se chce firma dostat do nějakého cílového stavu, musí znát dobře výchozí situaci. Je proto důležité identifikovat, co je nutné chránit, určit rizika a udělat soupis možných nedostatků. Na základě toho pak až lze dělat efektivní kroky ke zvýšení bezpečnosti, v opačném případě půjde pravděpodobně o ad hoc řešení, které bude mít jen omezenou účinnost a nebude odpovídat na všechny možné situace.

-    Připravit se na možné hrozby a mít bezpečnostní plán. V oblasti bezpečnosti je potřeba jednat proaktivně, nikoliv až poté, co incident nastane. Základem je v takovém případě bezpečnostní plán. Do něj je vhodné zapracovat zejména pravidla pro hesla používaná ve firmě, zabezpečení webu a elektronické pošty, případně i dalších typů komunikace, ochranu koncových bodů či šifrování citlivých dat uložených ve firemních databázích. Od věci není ani zvážit, zda je pro firmu lepší řešit bezpečnost vlastními prostředky nebo zvolit hostovaná řešení.

Zanechte komentář

Vaše emailová adresa nebude zveřejněna. Vyžadované informace jsou označeny *


devět − = tři

Můžete používat následující HTML značky a atributy: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>

Copyright © ICT manažer | ISSN 1805-5486 | SEO optimalizace a přizpůsobení SEO-care.cz