Η κυβερνοασφάλεια μιας μικρής ή μεσαίας επιχείρησης δεν είναι ένα antivirus, ένα firewall ή ένα backup. Είναι η ικανότητα της επιχείρησης να γνωρίζει τι πρέπει να προστατεύσει, να μειώνει τις πιθανότητες παραβίασης, να εντοπίζει έγκαιρα ύποπτη δραστηριότητα και να μπορεί να συνεχίσει ή να αποκαταστήσει τη λειτουργία της όταν κάτι πάει στραβά.
Για μια ελληνική ΜΜΕ, το ζητούμενο δεν είναι να αγοράσει όσο το δυνατόν περισσότερα security προϊόντα. Είναι να επενδύσει πρώτα στα controls που μειώνουν τον πραγματικό επιχειρηματικό κίνδυνο.
Ο παρακάτω οδηγός οργανώνει αυτή την προσπάθεια σε 10 πρακτικά βήματα, χρησιμοποιώντας ως σημείο αναφοράς τη λογική του NIST Cybersecurity Framework 2.0: Govern, Identify, Protect, Detect, Respond και Recover.
Τι σημαίνει ολοκληρωμένη κυβερνοασφάλεια για μια ΜΜΕ;
Η κυβερνοασφάλεια είναι διαδικασία διαχείρισης επιχειρηματικού κινδύνου. Δεν αφορά μόνο την ομάδα IT.
Ένα περιστατικό μπορεί να επηρεάσει:
- τη λειτουργία της επιχείρησης,
- την πρόσβαση σε αρχεία και εφαρμογές,
- εταιρικό email και cloud υπηρεσίες,
- προσωπικά ή εμπιστευτικά δεδομένα,
- πληρωμές και οικονομικές διαδικασίες,
- πελάτες και συνεργάτες,
- τη φήμη και την αξιοπιστία της εταιρείας.
Για αυτό η σωστή ερώτηση δεν είναι «ποιο security προϊόν χρειαζόμαστε;», αλλά «ποιοι είναι οι σημαντικότεροι κίνδυνοι και ποια μέτρα τους μειώνουν περισσότερο;».
1. Ορίστε ευθύνη και προτεραιότητες κυβερνοασφάλειας
Η ασφάλεια χρειάζεται ιδιοκτησία. Ακόμη και σε μια μικρή επιχείρηση πρέπει να είναι σαφές ποιος είναι υπεύθυνος για αποφάσεις που αφορούν:
- λογαριασμούς και δικαιώματα πρόσβασης,
- νέες συσκευές και εφαρμογές,
- security updates,
- backups,
- προμηθευτές IT και cloud υπηρεσίες,
- αναφορά και αντιμετώπιση περιστατικών.
Το NIST CSF 2.0 περιλαμβάνει πλέον ξεχωριστή λειτουργία Govern, ακριβώς επειδή η κυβερνοασφάλεια πρέπει να συνδέεται με τη διοίκηση, τις πολιτικές, τις ευθύνες και τη συνολική διαχείριση κινδύνου.
Για μια ΜΜΕ αυτό δεν σημαίνει απαραίτητα δημιουργία μεγάλου security department. Σημαίνει ότι κάποιος έχει σαφή ευθύνη και ότι κρίσιμες αποφάσεις δεν αφήνονται στην τύχη.
2. Καταγράψτε συστήματα, συσκευές, λογαριασμούς και δεδομένα
Δεν μπορείτε να προστατεύσετε αποτελεσματικά κάτι που δεν γνωρίζετε ότι υπάρχει.
Δημιουργήστε ένα πρακτικό inventory που να περιλαμβάνει τουλάχιστον:
- servers και βασικά network devices,
- εταιρικά laptops και desktops,
- κινητές συσκευές που έχουν εταιρική πρόσβαση,
- Microsoft 365 ή άλλες cloud υπηρεσίες,
- κρίσιμες επιχειρηματικές εφαρμογές,
- domains και websites,
- administrative accounts,
- βασικούς εξωτερικούς IT/SaaS providers,
- τις κύριες τοποθεσίες αποθήκευσης εταιρικών δεδομένων.
Για κάθε κρίσιμο asset είναι χρήσιμο να γνωρίζετε ποιος είναι ο owner, ποια δεδομένα επεξεργάζεται, αν είναι προσβάσιμο από το Internet και πόσο σοβαρή θα ήταν η διακοπή ή παραβίασή του.
Αυτό είναι η βάση για risk assessment, vulnerability management και incident response.
3. Προστατεύστε πρώτα τα identities
Πολλές σύγχρονες επιχειρηματικές εφαρμογές βρίσκονται στο cloud. Αυτό σημαίνει ότι ο εταιρικός λογαριασμός μπορεί να αποτελεί μία από τις σημαντικότερες πύλες προς email, αρχεία και δεδομένα.
Ξεκινήστε από τα βασικά:
- μοναδικά credentials για κάθε υπηρεσία,
- password manager όπου εξακολουθούν να χρησιμοποιούνται passwords,
- Multi-Factor Authentication (MFA) στους κρίσιμους λογαριασμούς,
- ιδιαίτερα αυστηρή προστασία administrative accounts,
- άμεση απενεργοποίηση πρόσβασης όταν αποχωρεί εργαζόμενος,
- τακτικό έλεγχο των δικαιωμάτων.
Όπου υποστηρίζεται και είναι κατάλληλο για το περιβάλλον, εξετάστε phishing-resistant authentication αντί να βασίζεστε αποκλειστικά σε passwords και χειροκίνητα authentication codes.
Τα passkeys αποτελούν ένα σημαντικό παράδειγμα σύγχρονης passwordless authentication που βασίζεται σε πρότυπα FIDO.
4. Εφαρμόστε Least Privilege
Δεν χρειάζεται κάθε εργαζόμενος να έχει πρόσβαση σε όλα τα εταιρικά δεδομένα και κανένας χρήστης δεν πρέπει να χρησιμοποιεί administrative privileges για καθημερινές εργασίες χωρίς πραγματική ανάγκη.
Η αρχή του least privilege σημαίνει ότι ένας λογαριασμός διαθέτει μόνο τα δικαιώματα που απαιτούνται για τον ρόλο του.
Ελέγξτε ιδιαίτερα:
- local administrators,
- Microsoft 365 και cloud administrators,
- shared accounts,
- πρόσβαση σε οικονομικά και HR δεδομένα,
- δικαιώματα σε shared folders και cloud storage,
- πρόσβαση παλιών εργαζομένων ή εξωτερικών συνεργατών.
Το least privilege δεν εμποδίζει κάθε επίθεση. Περιορίζει όμως τι μπορεί να κάνει ένας παραβιασμένος λογαριασμός και μειώνει το πιθανό blast radius.
5. Διατηρήστε λειτουργικά συστήματα και εφαρμογές ενημερωμένα
Το patch management πρέπει να αποτελεί οργανωμένη διαδικασία και όχι περιστασιακή εργασία όταν «υπάρχει χρόνος».
Η επιχείρηση πρέπει να γνωρίζει:
- ποια συστήματα και εφαρμογές χρησιμοποιεί,
- ποιες εκδόσεις είναι εγκατεστημένες,
- ποια συστήματα είναι internet-facing,
- ποια προϊόντα δεν υποστηρίζονται πλέον,
- ποιος είναι υπεύθυνος για την εφαρμογή updates.
Δεν έχουν όλες οι vulnerabilities την ίδια προτεραιότητα. Ιδιαίτερη προσοχή χρειάζονται ευπάθειες με επιβεβαιωμένη ενεργή εκμετάλλευση, κρίσιμα internet-facing συστήματα και προϊόντα που αποτελούν σημαντικό σημείο πρόσβασης στο δίκτυο.
Όταν δεν υπάρχει ακόμη patch για σοβαρή ευπάθεια, εξετάστε τα επίσημα mitigations του κατασκευαστή και περιορίστε προσωρινά την έκθεση όπου αυτό είναι εφικτό.
6. Προστατεύστε endpoints, δίκτυο και απομακρυσμένη πρόσβαση
Το παραδοσιακό «έχω antivirus και firewall, άρα είμαι ασφαλής» δεν αποτελεί ολοκληρωμένη στρατηγική.
Τα εταιρικά endpoints χρειάζονται κατάλληλη προστασία και διαχείριση. Ανάλογα με το περιβάλλον και τον κίνδυνο, αυτό μπορεί να περιλαμβάνει:
- endpoint protection ή EDR,
- κεντρική διαχείριση security policies,
- περιορισμό μη εγκεκριμένου software,
- disk encryption όπου απαιτείται,
- έλεγχο local administrative privileges,
- monitoring κρίσιμων security events.
Στο δίκτυο, χρησιμοποιήστε firewalls και κατάλληλους access controls για να περιορίσετε την περιττή επικοινωνία και την άμεση έκθεση υπηρεσιών στο Internet.
Εξετάστε επίσης segmentation ώστε ένα παραβιασμένο endpoint να μην αποκτά αυτόματα πρόσβαση σε κάθε κρίσιμο σύστημα.
Για remote access δεν υπάρχει μία λύση που είναι σωστή για κάθε επιχείρηση. VPN, Zero Trust Network Access και cloud-native access controls μπορούν να έχουν διαφορετικό ρόλο ανάλογα με την υποδομή. Η επιλογή πρέπει να βασίζεται στις εφαρμογές, στους χρήστες και στο μοντέλο πρόσβασης και όχι στην υπόθεση ότι «κάθε remote worker χρειάζεται απλώς VPN».
7. Προστατευτείτε από phishing και social engineering
Η εκπαίδευση προσωπικού είναι σημαντική, αλλά δεν πρέπει να αποτελεί το μοναδικό control.
Οι επιθέσεις κοινωνικής μηχανικής μπορούν να χρησιμοποιήσουν email, SMS, τηλεφωνικές κλήσεις, messaging εφαρμογές, πλαστές ιστοσελίδες και άλλες μορφές impersonation.
Η επιχείρηση πρέπει να συνδυάζει:
- security awareness,
- email security controls,
- ισχυρό authentication,
- least privilege,
- διαδικασίες verification για κρίσιμα αιτήματα,
- εύκολο μηχανισμό αναφοράς ύποπτων μηνυμάτων.
Ιδιαίτερα για αλλαγές IBAN, ασυνήθιστες πληρωμές, password/MFA resets και αιτήματα για ευαίσθητες πληροφορίες, χρησιμοποιήστε ανεξάρτητο τρόπο επιβεβαίωσης.
Δείτε επίσης τον αναλυτικό οδηγό για την κοινωνική μηχανική και την προστασία από social engineering.
8. Δημιουργήστε πραγματική στρατηγική Backup και Recovery
Το backup δεν είναι απλώς η ύπαρξη ενός δεύτερου αντιγράφου αρχείων.
Μια χρήσιμη στρατηγική πρέπει να απαντά:
- ποια δεδομένα και συστήματα πρέπει να αντιγράφονται,
- πόσο συχνά δημιουργούνται backups,
- πόσο ιστορικό διατηρείται,
- ποιος μπορεί να διαγράψει ή να τροποποιήσει τα αντίγραφα,
- αν υπάρχουν αντίγραφα προστατευμένα από συμβάν που επηρεάζει το production περιβάλλον,
- πόσο γρήγορα μπορεί να γίνει πραγματική επαναφορά.
Για προστασία από ransomware, τουλάχιστον ένα κατάλληλο επίπεδο backup πρέπει να είναι απομονωμένο ή διαφορετικά προστατευμένο ώστε μια παραβίαση του production περιβάλλοντος να μην μπορεί εύκολα να καταστρέψει και τα αντίγραφα ασφαλείας.
Το σημαντικότερο όμως είναι το restore test. Ένα backup που δεν έχει δοκιμαστεί δεν αποτελεί από μόνο του απόδειξη ότι η επιχείρηση μπορεί να ανακάμψει.
Για περισσότερες λεπτομέρειες, δείτε τον οδηγό γιατί το backup είναι ζωτικής σημασίας για κάθε επιχείρηση.
9. Δημιουργήστε ορατότητα: Logging, Monitoring και Detection
Η πρόληψη από μόνη της δεν αρκεί. Η επιχείρηση πρέπει να μπορεί να εντοπίσει ότι κάτι ύποπτο συμβαίνει.
Ανάλογα με το περιβάλλον, χρήσιμα δεδομένα μπορούν να προέρχονται από:
- identity και authentication logs,
- endpoints,
- firewalls και network devices,
- Microsoft 365 ή άλλες cloud υπηρεσίες,
- critical servers και applications,
- security products.
Δεν χρειάζεται κάθε μικρή επιχείρηση να δημιουργήσει δικό της Security Operations Center. Χρειάζεται όμως να υπάρχει σαφής απάντηση στην ερώτηση: «ποιος παρακολουθεί τα σημαντικά alerts και τι γίνεται όταν εμφανιστεί κάτι σοβαρό;»
Η απλή συλλογή logs χωρίς monitoring, retention και διαδικασία διερεύνησης έχει περιορισμένη αξία.
Για πρακτικά παραδείγματα δικτυακής ορατότητας, δείτε τον οδηγό Πώς να Εντοπίσετε Κακόβουλη Κίνηση στο Εταιρικό Δίκτυο.
10. Προετοιμαστείτε για Incident Response και Recovery
Καμία σοβαρή στρατηγική κυβερνοασφάλειας δεν βασίζεται στην υπόθεση ότι «σε εμάς δεν θα συμβεί».
Ένα απλό incident response plan πρέπει να καθορίζει:
- ποιος λαμβάνει την πρώτη ειδοποίηση,
- ποιος έχει δικαίωμα να απομονώσει συστήματα ή λογαριασμούς,
- ποιος επικοινωνεί με διοίκηση και εξωτερικούς συνεργάτες,
- πού βρίσκονται τα απαραίτητα logs και backups,
- πώς διατηρούνται χρήσιμα στοιχεία για investigation,
- ποια συστήματα πρέπει να αποκατασταθούν πρώτα,
- ποιες νομικές, κανονιστικές ή συμβατικές υποχρεώσεις πρέπει να εξεταστούν.
Το NIST CSF αντιμετωπίζει τα Respond και Recover ως ξεχωριστές αλλά συνδεδεμένες λειτουργίες. Η αντιμετώπιση ενός περιστατικού δεν τελειώνει όταν σταματήσει η επίθεση. Πρέπει να αποκατασταθούν με ασφάλεια τα επηρεαζόμενα assets και να χρησιμοποιηθούν τα lessons learned για βελτίωση.
Δείτε επίσης τον αναλυτικό οδηγό Incident Response: Τι να Κάνει η Επιχείρησή σας μετά από Κυβερνοεπίθεση.
Πώς συνδέονται τα 10 βήματα με το NIST CSF 2.0;
Το NIST Cybersecurity Framework 2.0 οργανώνει τη διαχείριση του cyber risk σε έξι Functions:
- Govern: καθορίστε στρατηγική, πολιτικές, ευθύνες και προτεραιότητες.
- Identify: γνωρίστε assets, δεδομένα, dependencies και κινδύνους.
- Protect: εφαρμόστε safeguards όπως authentication, access control, updates και προστασία δεδομένων.
- Detect: εντοπίστε και αναλύστε πιθανές επιθέσεις ή παραβιάσεις.
- Respond: αναλάβετε οργανωμένη δράση όταν εντοπιστεί περιστατικό.
- Recover: αποκαταστήστε assets και επιχειρηματικές λειτουργίες.
Το framework δεν επιβάλλει σε κάθε επιχείρηση το ίδιο σύνολο τεχνολογιών. Βοηθά να οργανωθούν τα επιθυμητά cybersecurity outcomes και να επιλεγούν προτεραιότητες με βάση το πραγματικό περιβάλλον και τον κίνδυνο.
Πού πρέπει να επενδύσει πρώτα μια μικρή επιχείρηση;
Μια ΜΜΕ με περιορισμένο budget δεν χρειάζεται να υλοποιήσει τα πάντα ταυτόχρονα.
Μια πρακτική σειρά προτεραιότητας είναι:
- καταγραφή κρίσιμων assets και λογαριασμών,
- MFA και προστασία administrative accounts,
- updates και αντιμετώπιση unsupported systems,
- endpoint και email protection,
- αξιόπιστα και δοκιμασμένα backups,
- least privilege και έλεγχος προσβάσεων,
- βασικό logging και monitoring,
- security awareness και verification procedures,
- incident response plan,
- τακτική επανεκτίμηση του κινδύνου.
Η πραγματική σειρά μπορεί να αλλάξει. Μια εταιρεία με internet-facing servers, για παράδειγμα, μπορεί να έχει διαφορετικές άμεσες προτεραιότητες από μια μικρή εταιρεία που λειτουργεί σχεδόν αποκλειστικά μέσα σε SaaS εφαρμογές.
5 ερωτήσεις που πρέπει να μπορεί να απαντήσει η διοίκηση
- Ποια συστήματα και δεδομένα είναι κρίσιμα για να λειτουργήσει η επιχείρηση;
- Ποιοι λογαριασμοί έχουν τις σημαντικότερες προσβάσεις και πώς προστατεύονται;
- Αν δεχθούμε ransomware σήμερα, μπορούμε πράγματι να κάνουμε restore;
- Ποιος θα αντιληφθεί μια παραβίαση και ποιος θα αναλάβει δράση;
- Πόσο καιρό μπορεί η επιχείρηση να λειτουργήσει χωρίς τα κρίσιμα IT συστήματά της;
Αν δεν υπάρχουν σαφείς απαντήσεις, αυτές οι ερωτήσεις αποτελούν καλό σημείο εκκίνησης για το επόμενο security assessment.
Πρακτικό checklist κυβερνοασφάλειας για ΜΜΕ
- Υπάρχει ενημερωμένο inventory συστημάτων και cloud υπηρεσιών;
- Οι κρίσιμοι λογαριασμοί χρησιμοποιούν MFA;
- Τα administrative accounts είναι περιορισμένα και ξεχωριστά όπου απαιτείται;
- Υπάρχει οργανωμένο patching για λειτουργικά συστήματα και εφαρμογές;
- Τα endpoints διαθέτουν κατάλληλη προστασία;
- Οι εργαζόμενοι γνωρίζουν πώς να αναφέρουν phishing και ύποπτα περιστατικά;
- Τα permissions ακολουθούν την αρχή least privilege;
- Υπάρχουν backups προστατευμένα από πιθανή παραβίαση του production περιβάλλοντος;
- Έχει πραγματοποιηθεί πρόσφατα πραγματικό restore test;
- Παρακολουθεί κάποιος τα κρίσιμα security alerts;
- Υπάρχει incident response plan;
- Γνωρίζουμε ποια συστήματα πρέπει να αποκατασταθούν πρώτα;
- Οι προσβάσεις αφαιρούνται άμεσα όταν κάποιος αποχωρεί;
- Οι κρίσιμοι IT providers και SaaS υπηρεσίες έχουν αξιολογηθεί ως προς τον κίνδυνο;
Ποια λάθη πρέπει να αποφύγετε;
«Έχουμε antivirus, άρα είμαστε καλυμμένοι.»
Το endpoint protection είναι ένα μόνο επίπεδο άμυνας.
«Όλα είναι στο cloud, άρα η ασφάλεια είναι ευθύνη του provider.»
Οι cloud providers προστατεύουν συγκεκριμένα τμήματα της υπηρεσίας, αλλά identities, permissions, configurations και η χρήση των δεδομένων παραμένουν σημαντικές ευθύνες του πελάτη ανάλογα με το service model.
«Έχουμε backup, άρα θα επανέλθουμε.»
Χωρίς restore testing, προστασία των backups και recovery planning, αυτό δεν είναι βέβαιο.
«Θα το καταλάβουμε αν μας χακάρουν.»
Χωρίς κατάλληλα logs, alerts και monitoring, μια παραβίαση μπορεί να μην είναι άμεσα εμφανής.
«Το security είναι δουλειά μόνο του IT.»
Το IT υλοποιεί πολλά controls, αλλά η διοίκηση αποφασίζει για risk appetite, budgets, προτεραιότητες, vendors και επιχειρηματικές διαδικασίες.
Πώς μπορεί να βοηθήσει η DataShield
Για πολλές ΜΜΕ, το δύσκολο μέρος δεν είναι να βρουν μια λίστα από security προϊόντα. Είναι να καταλάβουν τι χρειάζεται πραγματικά το δικό τους περιβάλλον και με ποια σειρά.
Η DataShield μπορεί να αξιολογήσει την υφιστάμενη κατάσταση σε identities, endpoints, δίκτυο, Microsoft 365 και cloud υπηρεσίες, backups, monitoring και incident response και να εντοπίσει τα σημαντικότερα κενά με βάση τον πραγματικό επιχειρηματικό κίνδυνο.
Ένα Free IT Audit μπορεί να αποτελέσει το πρώτο βήμα για να αποκτήσετε καθαρή εικόνα των βασικών αδυναμιών και να δημιουργήσετε ένα πρακτικό πλάνο προτεραιοτήτων αντί να επενδύετε αποσπασματικά σε εργαλεία.
Συμπέρασμα
Η αποτελεσματική κυβερνοασφάλεια για μια ΜΜΕ δεν απαιτεί να προβλέψει κάθε πιθανή κυβερνοεπίθεση. Απαιτεί να γνωρίζει τα κρίσιμα assets της, να προστατεύει identities και endpoints, να περιορίζει τις προσβάσεις, να διορθώνει ευπάθειες, να διατηρεί αξιόπιστα backups και να μπορεί να εντοπίσει, να αντιμετωπίσει και να ανακάμψει από ένα περιστατικό.
Τα 10 βήματα αυτού του οδηγού δεν αποτελούν μία εργασία που ολοκληρώνεται μία φορά. Αποτελούν έναν κύκλο συνεχούς διαχείρισης κινδύνου: Govern, Identify, Protect, Detect, Respond και Recover.
Αν θέλετε να γνωρίζετε ποια από αυτά τα βήματα χρειάζονται μεγαλύτερη προτεραιότητα στη δική σας επιχείρηση, επικοινωνήστε με τη DataShield.gr για μια αρχική αξιολόγηση της IT υποδομής και των security controls σας.
