2020. március elején rengeteg cégnek kellett home office üzemmódra váltania – akár – egyik napról a másikra. Hogyan hatott ez az adatbiztonság kérdésére? Milyen változások zajlottak az elmúlt évben? Mire érdemes és mire elengedhetetlen odafigyelnünk, ha a lehető legnagyobb biztonságban akarjuk tudni adatainkat ebben az új helyzetben?
Az adat az új olaj. És amennyire értékes, úgy tűnik, épp annyira nem vagyunk – remélhetőleg, mire ezt az anyagot olvasod, már csak voltunk – tudatában annak, hogyan is védjük meg. A cégvezetők többségének rá kellett ébrednie, a home office korszak kezdetével, azokra a hiányosságaira, hogy: nem tud eleget a szerverei biztonságáról, nem tudja, hogy szerverei elérhetőek-e távolról, hogy adataihoz a mostanra exxé vált kollégák vagy egyéb illetéktelenek is hozzáférhetnek-e vagy sem. Arról, hogy milyen támadásoknak lehet kitéve egy vállalkozás, ha nem foglalkozik eleget a kiberbiztonsággal, Gölcz Dénest, a PAV Hungary1 tulajdonos ügyvezetőjét kérdeztük.
*
„Készítettünk egy felmérést, aminek eredménye szerint a cégek 60%-a (!) nem volt felkészülve a 2020-ban bekövetkezett helyzetre adatbiztonság szempontjából. Nem tudták hogyan érhetik el adataikat, mire kell odafigyelniük, hogyan támadhatják meg őket.” – Gölcz Dénes
Mi történt az elmúlt időszakban?
Rövid összefoglaló a home office kezdeteiről
„Sokként érte Magyarországot is az új helyzet, melyben rengeteg cégnek kellett hirtelen átállnia az akár több száz embert is otthonról foglalkoztató működésmódra. Akadtak, akik évek óta készültek egy ilyen váltásra, hiszen a home office növeli a rugalmasságot és a költségek csökkentésének szempontjából sem utolsó lépés. Amikor azonban ennek a feladatnak a megoldása egyik napról a másikra vált szükségszerűvé, az mégis leterhelte az iparágat. A rendszergazdáknak tömegével kellett megfelelő infrastruktúrát biztosítani és gyorsan előtérbe került a biztonságosság kérdése is. Ennek a kérdéskörnek ugyan kevesebb jelentőséget tulajdonítottunk a járványhelyzet kezdetén, azonban hamar rá kellett ébrednünk, hogy nem egy egyhamar lecsengő ügyről van szó.” – kezdi Dénes. – „Az egyik legfontosabb pont, hogy kollégáink pontosan tudják, mit kerüljenek és mire figyeljenek. Sok cégvezető a mai napig sincs tisztában a ténnyel, hogy a technológia csupán 20-30%-ban képes ellátni egy rendszer védelmét. A fennmaradó 70-80% emberi tényező. Ez az, amit a hackerek kihasználnak.”
- A dolgozók a home office munkavégzéssel olyan környezetbe kerültek, ami kívül esik a védett zónán. (Egy zárt, hivatalos munkahelyi környezetben sokkal könnyebb megvédeni a gépparkot, mint egy otthoni hálózat esetén, ahol előfordulhat, hogy akár a gyerekekkel közös gépet használ kollégánk…stb.)
- Ennek következtében a támadások, és ami rosszabb, a sikeres kibertámadások száma világszerte megugrott.
A veszélyek
Sokan nem tudják, hogy ma már nem szükséges nagytudású IT szakembernek lenni egy támadószoftver megírásához, mert vásárolni és bérelni is lehet ilyen szoftvereket, hovatovább be is tanítanak a használatukra. Kis kereséssel komplett árlistákat találhatunk, melyeken 10 dollártól, akár 200.000 dollárig terjedő összegben vásárolhatunk alkalmazásokat, programokat. A legnagyobb gond, hogy a támadások egyre szofisztikáltabbá válnak, hiszen a támadók már mesterséges intelligenciát is használnak. De mégis milyen veszélyekkel kell szembenéznünk és mit kell tudnunk a zsarolóvírusokkal kapcsolatban?
- Nagyban növeli a jelenség veszély-faktorát, hogy nem beszélünk róla eleget, vagy elbagatellizáljuk, csak akkor kommunikáljuk a minket ért támadást, mikor már elkerülhetetlen, hogy nyilatkozzunk. Ezzel sebezhetőbbé válik mindenki. Fontos, hogy láthatóvá tegyük a kiberbűnözést és a következményeit!
- Az elmúlt időszakban Magyarországon ijesztő gyorsasággal jelentek meg akár az APEH, akár a bankok, illetve egyéb szolgáltatók nevében érkező információs e-mailek, amik a felhasználót jóformán azonnal kattintásra „csábították” és onnantól már igen hamar igen nagy bajba kerülhettek sokan.
„A kiberbűnözés nem csak az olyan cégeket érinti, mint mondjuk egy Yahoo! vagy egy több százezer felhasználóval rendelkező vállalat, hanem mindenkit! Magyarországon tömegével kerülnek bajba KKV-k is, legyen szó egy kicsi könyvelőirodáról vagy egy pár főt számláló cégről.”
- A leglátványosabb támadási forma az adathalászat. Gondoljunk csak egy bankszámlaszámra. A kiberbűnözők akár többszintű mentést is képesek titkosítani.
- Az úgynevezett kiberháború mára valóság. Kínának a legutolsó információk szerint 30.000 kiberkatonája van.
- Keresőkkel, ingyenesen elérhető szoftverekkel könnyen és gyorsan hozzájuthat lényegében bárki olyan információkhoz, mint melyik wifi routeren nincs kicserélve a gyári jelszó (amit a gyártó nyilvánossá tesz saját oldalán). Ha nem vigyázunk, felnőtt siteokon láthatjuk viszont belső kameráink képeit! A támadók nem csak cégek adataira vadásznak.
- A hagyományos vírusirtók egy 30 éves technológián alapulnak és értelemszerűen nem képesek már a ma elvárt védelmet biztosítani. A védelmünk ma már nem állhat egyetlen tűzfalból, egy vírusirtóból és egy adatmentésből!
- Már 30 dollárért rendelhetőek a neten wifi jelszavakat lopó eszközök. Ha egy ilyennel a zsebében beül valaki mellénk a kávézóba, gyorsan leszívhatja a belépési adatainkat is. A mobil eszközökkel kapcsolatban felmerülő legnagyobb probléma, hogy a gyártó igen ritkán telepít vírusvédelmet vagy bármilyen védelmi eszközt a telefonokra. Jó, ha ezzel tisztában vagyunk.
A legrosszabb esetben…
Egy kicsi magyar gyártónak 2020 nyarán ellopták az adatait, majd titkosították őket. Nem rendelkezett gyártási dokumentációkkal, nem tudta követni az adatai nélkül a megrendeléseit. Egy másik esetben szállítmányozó cégeket ért és teljes fejetlenséget okozott a támadás, mivel a cég nem tudta mi található adott autókban, mi a raktárban, minek hova és mikorra kellene odaérnie. Gölcz Dénes arról a szomorú tényről is beszámol, hogy két ügyfelüktől a gyártási dokumentumaikat lopták el, így be kellett zárniuk.
Azt gondolod, a telefonodon lévő kontaktok senkit nem érdekelnek? Egy nagy magyar cég tulajdonosának magán e-mailjét törték fel, onnan küldtek üzenetet a pénzügyre azzal a kéréssel, hogy adják ki egy bankszámla belépési adatait. (Hogy a kollégák nem is gyanakodtak, nem kérdeztek vissza a magán e-mail címről érkezett kérésre, az jól példázza a magyarországi munkahelyi hierarchiában, munkahelyi struktúrákban magukat sok helyütt még mindig tartó viszonyokat.) Itt az adatokat ugyan már kiszolgáltatták, de az utolsó pillanatban sikerült megváltoztatni a jelszót.
„A napjainkban tapasztalható gyors és igen nagymértékű változás figyelmeztető jel, amit nem kifizetődő negligálni. Figyelni kell a szokatlan levelekre, a megváltozott számlaszámokra, a gyanút keltő megfogalmazásokra és az olyan alapvetésekre, mint nem kattintunk bele ismeretlen e-mail címekről érkezett levelek csatolmányaiba!
A cég legfontosabb vagyoneleme az adat. De mégis mennyire fontos és hogyan védhető jól?
Az adatok fontossága abban – is – rejlik, mi mindenre lehet őket felhasználni. Nem véletlen, hogy óriási támadások érnek adatbázisokat. Amit sok cég nem mér fel, az az, hogy milyen mértékben függ az IT-tól. A válasz: szinte 100%-ban. Mindegy, hogy marketingről, webshopról, számlázásról beszélünk, ezek mind az informatikától függenek, hiszen ez őrzi az említett területek adatait. Azonban épp ez az, amit a támadók nálunk már előbb felismertek és épp ezért igyekeznek az üzembiztonságot és az adatállományokat célba venni. Ennek megfelelően, nekünk azt kell tudatosítanunk, mekkora veszteség érhet bennünket, ha nem mérjük fel megfelelően egy rendszerleállás hatásait, következményeit, ha nem számolunk azzal, hogy előfordulhat, hogy nem férünk hozzá adatainkhoz, illetve ha nem vagyunk tisztában azzal, kinek a számára értékesek még az adataink rajtunk kívül?
Végpontvédelem | Megfelelő mentés | Kockázatok felmérése | Adataink értékének pontos ismerete | testreszabott kiberbiztonsági oktatás
„A zsarolóvírusok témája elkoptatottnak tűnik, azért lehetnek mégis sikeresek a mai napig is, mert a támadók arra jöttek rá, hogy a saját adatai mindenkinek fontosak. Annyira fontosak, hogy fizetni is hajlandóak vagyunk, hogy visszaszerezzük őket.”
- A legfontosabb: mérjük fel, mi történne velünk/ a cégünkkel, ha egy órára, egy napra, egy hétre vagy akár örökre elvennék tőlünk az adatainkat!
- Legyünk tisztában azzal, hogy nincs 100%-os biztonság! Nincs feltörhetetlen rendszer!
- A kiberbűnözők akár 3000 milliárd dollárt (!) is keresnek, azaz igencsak motiváltak. Ez a bűnözői iparág csúcsra pörgött az elmúlt években.
- A változás – jelen esetben a home office-ra való váltás – mindig bizonytalansággal jár, az új környezetbe kerülés megnöveli a hibázás esélyét. Erre a bűnözők felkészülnek. Készüljünk fel mi is!
- Ha a mentésünket jól rakjuk össze, azzal nagy lépést tettünk a nagyobb biztonság felé. Ma már elengedhetetlen, hogy szakembert kérjünk fel egy ilyen munkára, ne próbáljuk „okosba’” megoldani vagy ezt is a „házi rendszergazdánkra” bízni. Vannak specialisták, kérjük fel őket. Megéri.
- Mindegy milyen felületen (sms, chat, e-mail, magán vagy céges felület…stb.) kapjuk a gyanús vagy szokatlan üzenetet, járjunk utána a hitelességének! Ha kell, hívjuk fel telefonon a személyt, a szolgáltatót, aki küldte, hogy valóban ő áll-e a kérés mögött. Különösen érvényes ez az olyan helyzetekre, mikor az illetővel/partnerrel/szolgáltatóval hosszabb ideje nem vagyunk semmilyen kapcsolatban! Belépési adatokat semmilyen körülmények közt ne adjunk ki, míg a fogadó fél identitásáról nem győződtünk meg!
- Hajlamosak vagyunk előtérbe helyezni az üzletet. Ütemezve van egy munkafázis, de még nincs teljesen kész a hozzá szükséges rendszer, azonban az üzleti érdek azt diktálja, hogy kapcsoljuk be/indítsuk el idő előtt. Az ilyen hozzáállás komoly hibákhoz vezet. A biztonság legyen az első. Hosszútávon az üzleti érdek is meghálálja, ha így gondolkodunk, működünk!
- Nem csak a cégünk adatainak ellopására kell készülnünk. Arra is figyelnünk kell, hogyan, kiken keresztül akarhatnak eljutni a támadók a céges adatainkhoz!
- Az elmúlt években inkább a határvédelemre, a hálózatra koncentráltunk. Most a végpontok védelme került előtérbe, mert a leggyakrabban ezeken a pontokon találhatóak az adataink.
- Elengedhetetlen a megfelelő oktatás! Ami korábban egy tűzvédelmi oktatás volt, annak kell(ene) lennie ma egy felkészült, testreszabott kiberbiztonsági oktatásnak!
„Azt javaslom minden vezetőnek, hogy gondolja át, pontosan mit használ a cégében, hogyan dolgozik, mekkora veszteség érheti, egész pontosan mi van a birtokában, aminek védelme elengedhetetlen. Gondolja át, hogy amit eddig használt, az valóban működik-e még, az újabb technológiák ismeretében és vizsgáltassa felül időről-időre még addig jól működő rendszereit is. Beszéljen IT szakemberekkel, külső szolgáltatókkal, kiberbiztonsági szakértőkkel minderről! Végül: nem csak drága eszközökkel, gazdaságilag komoly megterhelést jelentő beruházásokkal érhetünk el javulást. Már egy informatikai szabályzat létrehozása is nagy előrelépés lehet! És az oktatás: edukáljuk kollégáinkat, ez a legbiztosabb és hosszútávon leginkább kifizetődő befektetés adataink biztonságának megőrzésére!”
1.Az interjú időpontjában a PAV Hungary volt a Panda Security magyarországi képviselője.
