Μια κυβερνοεπίθεση δεν αφορά μόνο τις τράπεζες, τις κυβερνήσεις ή τις μεγάλες εταιρείες. Ένα λογιστικό γραφείο, ένα ηλεκτρονικό κατάστημα, ένα ξενοδοχείο ή μια μικρή εταιρεία παροχής υπηρεσιών μπορεί επίσης να βρεθεί αντιμέτωπη με κλοπή κωδικών, παραβίαση ηλεκτρονικού ταχυδρομείου ή κακόβουλο λογισμικό που κλειδώνει τα αρχεία της.
Για μια μικρή επιχείρηση, ακόμη και ένα περιορισμένο περιστατικό μπορεί να διακόψει τη λειτουργία της, να καθυστερήσει πληρωμές, να εκθέσει προσωπικά δεδομένα και να πλήξει την εμπιστοσύνη των πελατών.
Η προστασία δεν απαιτεί πάντοτε ακριβά συστήματα. Ορισμένα βασικά μέτρα μπορούν να μειώσουν σημαντικά τόσο την πιθανότητα μιας επιτυχημένης επίθεσης όσο και τη ζημιά που θα προκαλέσει.
Οι συχνότερες απειλές
Μία από τις πιο συνηθισμένες μεθόδους είναι το ηλεκτρονικό «ψάρεμα», γνωστό ως phishing. Ο εργαζόμενος λαμβάνει ένα μήνυμα που φαίνεται να προέρχεται από τράπεζα, πελάτη, προμηθευτή ή διευθυντικό στέλεχος και καλείται να ανοίξει ένα αρχείο, να ακολουθήσει έναν σύνδεσμο ή να καταχωρίσει τον κωδικό του σε πλαστή σελίδα.
Ιδιαίτερα επικίνδυνη είναι η παραβίαση επαγγελματικού email. Ο επιτιθέμενος αποκτά πρόσβαση στον λογαριασμό ή προσποιείται ένα γνωστό πρόσωπο και ζητά επείγουσα πληρωμή ή αλλαγή τραπεζικών στοιχείων.
Άλλες απειλές είναι το κακόβουλο λογισμικό που κρυπτογραφεί αρχεία και απαιτεί λύτρα, η χρήση κλεμμένων κωδικών, η παραβίαση ιστοσελίδων και η εκμετάλλευση εφαρμογών ή συσκευών που δεν έχουν ενημερωθεί.
Τα βασικά μέτρα προστασίας
1. Διαφορετικοί κωδικοί σε κάθε υπηρεσία
Οι ίδιοι κωδικοί δεν πρέπει να χρησιμοποιούνται σε πολλούς λογαριασμούς. Είναι προτιμότερο να αποθηκεύονται σε αξιόπιστο διαχειριστή κωδικών και όχι σε αρχεία, σημειωματάρια ή κοινόχρηστα μηνύματα.
2. Έλεγχος ταυτότητας πολλαπλών παραγόντων
Πρέπει να ενεργοποιείται ιδιαίτερα στο ηλεκτρονικό ταχυδρομείο, στις τραπεζικές υπηρεσίες, στην αποθήκευση αρχείων και στους διαχειριστικούς λογαριασμούς. Έτσι, η κλοπή ενός κωδικού δεν αρκεί από μόνη της για την είσοδο στον λογαριασμό.
3. Τακτικές ενημερώσεις
Οι ενημερώσεις ασφαλείας πρέπει να εγκαθίστανται χωρίς αδικαιολόγητη καθυστέρηση σε υπολογιστές, κινητά, ιστοσελίδες, εφαρμογές και δικτυακές συσκευές. Ένα παλαιό πρόγραμμα ή πρόσθετο ιστοσελίδας μπορεί να αποτελέσει σημείο εισόδου.
4. Ασφαλή αντίγραφα δεδομένων
Η επιχείρηση χρειάζεται τακτικά αντίγραφα των κρίσιμων δεδομένων της. Τουλάχιστον ένα αντίγραφο πρέπει να είναι απομονωμένο από τα κύρια συστήματα και τους ίδιους λογαριασμούς πρόσβασης, ώστε να μην μπορεί να κρυπτογραφηθεί ή να διαγραφεί μαζί με τα υπόλοιπα αρχεία.
Τα αντίγραφα πρέπει επίσης να δοκιμάζονται για να επιβεβαιώνεται ότι μπορούν πράγματι να επαναφερθούν.
5. Περιορισμένη πρόσβαση
Κάθε εργαζόμενος πρέπει να έχει πρόσβαση μόνο στα συστήματα και στα δεδομένα που απαιτούνται για τη δουλειά του. Οι λογαριασμοί πρώην υπαλλήλων ή συνεργατών πρέπει να απενεργοποιούνται άμεσα.
6. Δεύτερη επιβεβαίωση για πληρωμές
Αν ένας προμηθευτής ζητήσει μέσω email αλλαγή τραπεζικού λογαριασμού, η επιχείρηση πρέπει να επικοινωνήσει μαζί του σε ήδη γνωστό αριθμό τηλεφώνου. Δεν πρέπει να χρησιμοποιεί τα στοιχεία επικοινωνίας που περιλαμβάνονται στο ύποπτο μήνυμα.
Ένα απλό σχέδιο πριν από την επίθεση
Κάθε επιχείρηση χρειάζεται ένα σύντομο σχέδιο που να καθορίζει ποιος λαμβάνει τις αποφάσεις, ποιος τεχνικός συνεργάτης θα κληθεί, πού βρίσκονται τα αντίγραφα ασφαλείας και ποια συστήματα πρέπει να επανέλθουν πρώτα.
Τα τηλέφωνα του τεχνικού συνεργάτη, της τράπεζας, της ασφαλιστικής εταιρείας και των αρμόδιων αρχών πρέπει να είναι διαθέσιμα και εκτός των εταιρικών συστημάτων. Αν το email ή ο διακομιστής σταματήσει να λειτουργεί, ένας κατάλογος αποθηκευμένος μόνο εκεί δεν θα είναι προσβάσιμος.
Τι πρέπει να γίνει τις πρώτες ώρες
Η πρώτη προτεραιότητα είναι ο περιορισμός της εξάπλωσης. Οι επηρεαζόμενες συσκευές μπορεί να χρειαστεί να αποσυνδεθούν από το δίκτυο και το διαδίκτυο, χωρίς να διαγραφούν αρχεία ή να γίνει βιαστική επανεγκατάσταση. Όπου είναι δυνατόν, οι ενέργειες πρέπει να γίνονται με την καθοδήγηση ειδικού.
Η επιχείρηση πρέπει να καταγράψει πότε εντοπίστηκε το περιστατικό, ποια συστήματα φαίνεται να επηρεάστηκαν και ποιες ενέργειες πραγματοποιήθηκαν. Τα ύποπτα μηνύματα και τα διαθέσιμα αρχεία καταγραφής πρέπει να διατηρηθούν για την τεχνική διερεύνηση.
Αν έχουν παραβιαστεί λογαριασμοί, οι κωδικοί πρέπει να αλλάξουν από καθαρή και αξιόπιστη συσκευή. Πρέπει επίσης να ελεγχθούν οι ενεργές συνδέσεις, οι μέθοδοι ανάκτησης και οι κανόνες αυτόματης προώθησης email που μπορεί να έχει προσθέσει ο επιτιθέμενος.
Σε περίπτωση ύποπτης πληρωμής, η τράπεζα πρέπει να ενημερωθεί αμέσως. Ο χρόνος μπορεί να είναι καθοριστικός για την προσπάθεια ανάκλησης ή δέσμευσης της συναλλαγής.
Τι γίνεται με τα λύτρα
Η πληρωμή λύτρων δεν εγγυάται ότι τα δεδομένα θα αποκατασταθούν, ότι δεν θα δημοσιοποιηθούν ή ότι οι δράστες δεν θα επιστρέψουν. Μπορεί επίσης να δημιουργήσει νομικούς, ασφαλιστικούς ή κανονιστικούς κινδύνους.
Μια επιχείρηση δεν πρέπει να διαπραγματεύεται μόνη της ή να αποφασίζει βιαστικά. Χρειάζεται τεχνική και νομική συμβουλή, ενημέρωση της ασφαλιστικής εταιρείας εάν υπάρχει σχετική κάλυψη και επικοινωνία με τις αρμόδιες αρχές.
Πού γίνεται αναφορά στην Κύπρο
Το Εθνικό CSIRT-CY δέχεται αναφορές περιστατικών μέσω της επίσημης ηλεκτρονικής φόρμας, μέσω του [email protected] ή τηλεφωνικά στο 1490.
Ανάλογα με το περιστατικό, μπορεί επίσης να απαιτείται καταγγελία στην Αστυνομία ή ενημέρωση άλλης αρμόδιας αρχής. Επιχειρήσεις που υπάγονται σε ειδικό κανονιστικό πλαίσιο ενδέχεται να έχουν πρόσθετες υποχρεώσεις.
Όταν παραβιάζονται προσωπικά δεδομένα
Μια κυβερνοεπίθεση δεν αποτελεί αυτομάτως παραβίαση προσωπικών δεδομένων. Αν, όμως, χαθούν, αλλοιωθούν ή καταστούν προσβάσιμα χωρίς άδεια στοιχεία πελατών, εργαζομένων ή άλλων φυσικών προσώπων, η επιχείρηση πρέπει να αξιολογήσει αμέσως τις υποχρεώσεις της βάσει του Γενικού Κανονισμού Προστασίας Δεδομένων.
Όταν η παραβίαση είναι πιθανό να δημιουργήσει κίνδυνο για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων, ο υπεύθυνος επεξεργασίας οφείλει, εφόσον είναι δυνατόν, να τη γνωστοποιήσει στην Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εντός 72 ωρών από τη στιγμή που αποκτά γνώση της.
Αν ο κίνδυνος για τα επηρεαζόμενα πρόσωπα είναι υψηλός, μπορεί να απαιτείται και η ενημέρωσή τους χωρίς αδικαιολόγητη καθυστέρηση. Η επιχείρηση πρέπει να τεκμηριώνει το περιστατικό και την αξιολόγησή της, ακόμη και όταν κρίνει ότι δεν απαιτείται γνωστοποίηση.
MoneyMatters Insight
Για μια μικρή επιχείρηση, η κυβερνοασφάλεια είναι θέμα επιχειρηματικής συνέχειας, οικονομικής προστασίας και εμπιστοσύνης.
Οι σημαντικότερες κινήσεις δεν είναι πάντοτε οι ακριβότερες: έλεγχος ταυτότητας πολλαπλών παραγόντων, ενημερωμένα συστήματα, ασφαλή αντίγραφα, περιορισμένη πρόσβαση και δεύτερη επιβεβαίωση πληρωμών μπορούν να περιορίσουν σημαντικά τον κίνδυνο.
Καμία επιχείρηση δεν μπορεί να αποκλείσει εντελώς μια επίθεση. Μπορεί, όμως, να είναι προετοιμασμένη ώστε να αντιδράσει γρήγορα και να περιορίσει τη ζημιά.
The post Οδηγός για επιχειρήσεις: Πώς προστατεύεται μια μικρή επιχείρηση από κυβερνοεπιθέσεις appeared first on moneymatters.cy.
