Ako nastaviť IT bezpečnosť firmy: 10 základov pre každú veľkosť podniku

Predstavte si pondelkové ráno, keď sa účtovníčka prihlási do systému a všetky súbory sú zašifrované. Žiadny prístup k faktúram, objednávkam ani e-mailom. Útočníci si pýtajú výkupné a vy netušíte, či máte zálohu. Znie to ako scéna z filmu, no slovenským firmám sa to deje bežnejšie, než by ste čakali.

Čo je IT bezpečnosť firmy?

IT bezpečnosť firmy je súbor opatrení, nástrojov a návykov, ktoré chránia dáta, zariadenia a siete pred neoprávneným prístupom, stratou alebo zneužitím. Zahŕňa technickú ochranu ako firewall a aktualizácie, ale aj ľudské správanie, teda to, ako zamestnanci pracujú s heslami, e-mailom a firemnými zariadeniami.

• Silné heslá a dvojfaktorové overenie
• Pravidelné a otestované zálohovanie dát
• Aktuálne operačné systémy a softvér
• Zabezpečená sieť a firewall
• Ochrana koncových zariadení
• Vyškolení zamestnanci
• Riadené prístupové práva
• Pripravenosť na incident

Toto je základná kostra. Poďme sa pozrieť na všetkých desať bodov podrobnejšie, aby ste vedeli presne, kde a ako začať.

Technické základy, bez ktorých sa IT bezpečnosť firmy nezaobíde

1. Silné heslá a dvojfaktorové overenie

Slabé alebo opakovane používané heslo je stále jednou z najčastejších ciest, akou sa útočník dostane do firemného systému. Zaveďte politiku dlhých hesiel a správcu hesiel pre zamestnancov. K tomu pridajte dvojfaktorové overenie všade, kde je to možné, od e-mailu po vzdialenú plochu. Viac o tom, prečo je to naozaj nevyhnutné, nájdete v článku prečo je dvojfaktorové overenie nevyhnutné pre každú firmu.

2. Pravidelné zálohovanie dát

Záloha, ktorá sa nikdy netestovala, nie je záloha, je to len nádej. Dáta by mali byť zálohované automaticky, pravidelne a mimo firemnej siete, ideálne v cloude, aby ich ransomvér nezašifroval spolu so všetkým ostatným. Pozrite si, ako funguje zálohovanie dát v cloude, ak si ešte nie ste istí, že vaše dáta sú naozaj v bezpečí.

3. Aktualizácie operačných systémov a softvéru

Väčšina útokov nevyužíva žiadnu sofistikovanú technológiu, ale neopravenú zraniteľnosť v softvéri, ktorý firma mesiace neaktualizovala. Príklad z praxe je prípad, ktorý sme rozoberali v článku o Metabase zero-day zraniteľnosti. Nastavte automatické aktualizácie všade, kde to ide, a pravidelne kontrolujte zvyšok.

4. Firewall a zabezpečená sieť

Firewall je prvá bariéra medzi firemnou sieťou a internetom, no len vtedy, keď je správne nastavený. Veľa firiem má firewall, ktorý beží s nastaveniami od výrobcu z inštalácie spred piatich rokov. Nechajte si firewall skontrolovať, pretože zle nastavené pravidlá dokážu urobiť viac škody ako úžitku.

5. Ochrana koncových zariadení

Notebook, mobil alebo tablet zamestnanca je dnes rovnako citlivý bod ako server. Moderná ochrana zariadení ide ďaleko za bežný antivírus, sleduje podozrivé správanie a dokáže zariadenie izolovať skôr, než sa infekcia rozšíri do celej siete.

Aké zabezpečenie koncových zariadení odporúčate pre malú firmu?

Pre malú firmu do 20 zariadení odporúčame kombináciu správy aktualizácií, EDR riešenia na detekciu hrozieb a šifrovania diskov na notebookoch. Takéto riešenie sa dá nasadiť centrálne, bez nutnosti chodiť k jednotlivým počítačom, a prvotné nastavenie zvyčajne zaberie do 4 hodín na celú firmu. Dôležité je aj pravidelné vyhodnocovanie upozornení, nielen samotná inštalácia.

Ľudia a procesy rozhodujú rovnako ako technika

6. Školenie zamestnancov a kybernetická hygiena

Najdrahší firewall nepomôže, ak zamestnanec klikne na podvodný odkaz. Kybernetická hygiena, teda základné návyky pri práci s heslami, prílohami a telefonátmi, sa dá naučiť. Podvodníci dnes útočia aj cez telefón, ako sme opisovali v článku o vishingu a smishingu. Pravidelné školenia o IT bezpečnosti patria medzi najlacnejšie opatrenia s najväčším dopadom.

7. Riadenie prístupových práv

Nemá zmysel, aby mal brigádnik prístup k celej účtovnej databáze. Platí princíp najmenších potrebných práv, teda každý má prístup len k tomu, čo nevyhnutne potrebuje pre svoju prácu. Pri odchode zamestnanca by mal byť prístup zrušený hneď v deň odchodu, nie o týždeň neskôr.

8. Pravidelný IT audit a penetračné testy

Ak neviete, kde máte slabé miesta, neviete, čo chrániť prioritne. IT audit ukáže aktuálny stav vašej infraštruktúry a penetračné testy overia, či by sa útočník naozaj dostal dovnútra. Firmy, ktoré pracujú s citlivými dátami klientov, by to mali robiť aspoň raz ročne.

9. Plán pre prípad incidentu

Keď nastane problém, nie je čas rozmýšľať, komu zavolať ako prvému. Firma by mala mať jednoduchý plán, kto rozhoduje, kto odpája siete a ako sa komunikuje so zákazníkmi. Pri väčšom incidente sa oplatí vedieť aj to, že existuje národné centrum SK-CERT, ktoré rieši kybernetické bezpečnostné incidenty na Slovensku.

10. Jasné pravidlá pre vzdialenú prácu

Home office a práca z kaviarne sú bežné, no firemné dáta by nemali putovať cez verejnú Wi-Fi bez VPN. Stanovte jasné pravidlá, ktoré zariadenia sa môžu pripájať k firemným systémom a za akých podmienok. Bez toho je bezpečnosť informačných systémov len na papieri.

Keď je čas overiť si, kde skutočne stojíte

Desať bodov z tohto zoznamu dokáže zvládnuť aj menšia firma svojpomocne, najmä v začiatkoch. Problém nastáva vo chvíli, keď firma rastie, pribúdajú zariadenia, vzdialení zamestnanci a nikto interne nemá čas sledovať aktualizácie, logy a upozornenia zo všetkých systémov naraz. Vtedy sa oplatí mať IT bezpečnosť firmy v rukách niekoho, kto sa jej venuje na plný úväzok, pretože náklady na jeden vážny incident bývajú vyššie než ročná investícia do prevencie. Podľa prehľadu hrozieb agentúry ENISA patrí ransomvér a kompromitácia prístupových údajov dlhodobo medzi najčastejšie typy útokov na firmy v EÚ.

Čo by vás ešte mohlo zaujímať

Čo je IT bezpečnosť?

IT bezpečnosť je súhrn technických a organizačných opatrení, ktoré chránia počítače, siete a dáta firmy pred zneužitím alebo stratou. Patrí sem počítačová bezpečnosť jednotlivých zariadení, zabezpečenie sieťovej infraštruktúry aj správne návyky zamestnancov. Cieľom je, aby firma mohla fungovať aj vtedy, keď niekto zámerne alebo náhodou urobí chybu.

Kde začať s IT bezpečnosťou v malej firme?

Začnite tromi vecami, ktoré majú najväčší dopad za najmenšiu námahu: dvojfaktorové overenie, otestovaná záloha dát a aktuálny softvér. Následne pridajte školenie zamestnancov, pretože aj najlepšia technika zlyhá pri neopatrnom kliknutí. Až keď máte toto zvládnuté, má zmysel riešiť pokročilejšie nástroje.

Čo je kybernetická hygiena?

Kybernetická hygiena sú základné každodenné návyky, ktoré znižujú riziko úspešného útoku, napríklad neklikanie na podozrivé odkazy, pravidelná zmena hesiel alebo zamykanie počítača pri odchode od stola. Je to rovnaký princíp ako umývanie rúk, malý zvyk, ktorý výrazne znižuje pravdepodobnosť problému. Firmy ju budujú najmä pravidelným, krátkym a opakovaným školením.