Průnik do firemních systémů a neoprávněné nakládání s daty představuje noční můru pro všechny manažery. Bezpečnostní společnost APPSEC radí, jak tomuto problému předcházet.
Viry a další škodlivé kódy nejsou jediným vážným nebezpečím pro firemní sítě. Stejně, ne-li ještě více ohrožují interní systémy hackeři, kteří do nich neoprávněně proniknou a můžou provádět špionáž, phishing nebo ukrást citlivá obchodní data. Není proto divu, že Národní úřad pro kybernetickou a internetovou bezpečnost (NÚKIB) eviduje neautorizovaný přístup k datům a neautorizované změny informací jako jednu z pěti nejčastějších kybernetických hrozeb pro české firmy a instituce.
„Pro zkušeného hackera není problém dostat se prakticky do jakékoli interní sítě. Využít může hned několik prověřených a vyzkoušených technik. Slabou stránkou nebývají jen samotná pracovní zařízení a síť, ale i člověk, tedy koncový uživatel,“ říká Adam Paclt, generální ředitel bezpečnostní společnosti APPSEC, která se zabývá penetračními testy firem, tedy prověřováním zabezpečení firemních sítí a zařízení.
Znáte slabá místa vaší IT infrastruktury?
Nevítaný host se může do firmy „vloupat“ prostřednictvím špatně chráněného zařízení, například když zaměstnanec pracuje na svém osobním zařízení, které nemá takovou úroveň zabezpečení jako firemní počítače a notebooky, ale také díky tomu, že zaměstnanec použije k připojení k internetu veřejnou a otevřenou Wi-Fi síť, případně jednoduše „naletí“ podvodnému e-mailu a vyplní své přihlašovací údaje na falešné webové stránce, která může připomínat firemní rozhraní. Jindy stačí chvíle nepozornosti a ponechání zařízení volně na veřejně přístupném místě.
Slabým místem může být také nezaheslovaná firemní wi-fi síť a neaktualizovaný software, zvláště pak ten bezpečnostní. Potenciální slabinou můžou být i špatně nastavená pravidla pro vzdálený přístup do sítě a úložišť dat. Útočník pak nemusí firmě nebo instituci způsobit viditelnou škodu hned, ale může se nepozorovaně pohybovat v interní síti, sbírat informace, provádět průmyslovou špionáž nebo zneužívat a prodávat citlivá obchodní data, a to nejen samotné firmy, ale i jejích obchodních partnerů.
Nechte se „hacknout“ nanečisto
„Ochrana před těmito útoky je složitější. Spočívá v pravidelném bezpečnostním školení zaměstnanců a také v nasazení dvoufaktorové autentizace, kdy pro přihlašování do interních systémů nestačí jen jméno a heslo, ale i ověření přes jednorázové heslo zaslané sms zprávou nebo e-mailem,“ konstatuje Adam Paclt. Klíčové je ale prověření firemní sítě a zařízení, zda útočníkům zbytečně neusnadňují práci. Spočívá v profesionálním bezpečnostním auditu, který odhalí všechny potenciální zranitelnosti a slabá místa, kudy by se vetřelec mohl dostat do sítě a napáchat škody. Jde o tzv. penetrační testy, při nichž testeři za využití nejmodernějších technologií v podstatě simulují útok na firmu a provádí vše tak, jak by postupovat skutečný útočník.
Za běžného chodu společnosti tak bezpečnostní auditoři vyzkouší nejen používaná bezpečnostní řešení, ale také připravenost zaměstnanců a jejich znalosti v oblasti kybernetické bezpečnosti. Nejkomplexnějším testem je pak Blackhat Test od bezpečnostní společnosti APPSEC, který během tří až čtyř dnů zjistí ty nejvýznamnější nedostatky ve firemní bezpečnosti, jak po stránce organizační, tak po stránce technické. O něco méně časově náročnější je klasický penetrační test, během něhož dokáže APPSEC během jediného dne otestovat webové stránky, firemní síť nebo WiFi. Jde o standardizované penetrační testy podle metodik OWASP, PTES a OSSTMM.
Díky kombinaci využití vlastních nástrojů a zkušenostem z testování velkých organizací je APPSEC schopen zajistit výborný poměr ceny a kvality i pro menší a střední podniky. Bezpečnostním minimem jsou pak skeny zranitelností, díky nimž firma od APPSEC získá rychlý přehled aktuálních potenciálních zranitelností. Kromě konkrétních bezpečnostních testů dokáže APPSEC zorganizovat i školení informační bezpečnosti pro IT personál.