Bezpieczeństwa IT nie powinno rozpatrywać się pod kątem rozmiaru. Grupa hakerów może liczyć setki tysięcy członków rozsianych po całym świecie, jak np. Anonymous, lub tylko kilka osób. Jednak w obu przypadkach straty dla ofiar ataków są jednakowo dotkliwe. To samo dotyczy przedsiębiorstw, które są celem przestępców – to, że dana firma jest nieduża, wcale nie oznacza tego, że jest bezpieczna. Małe i średnie przedsiębiorstwa stają się celem ataków w ramach poszerzania siatki cyberprzestępców.

Dlaczego ja?

Biorąc pod uwagę obecny trend w atakach, koncentrujący się na wykorzystywaniu spersonalizowanych wiadomości typu spear phishing oraz możliwości, jakie dają media społecznościowe, cyberprzestępcy na swoje ofiary wybierają firmy posiadające wartościowe dla hakerów dane. Atak na małe przedsiębiorstwo może być fragmentem większego przedsięwzięcia, np. ataku na firmę współpracującą, w którym będzie można wykorzystać zdobyte w ten sposób informacje.

W jakie więc środki bezpieczeństwa powinny inwestować firmy?

Jeśli chodzi o ochronę, reguła jest taka sama dla firm każdego rozmiaru: należy zdecydować, które zasoby są krytyczne dla firmy, a następnie zastosować odpowiednie rozwiązania i polityki bezpieczeństwa w celu ich zabezpieczenia i zminimalizowania ryzyka włamania. Do niedawna wymagało to od małych firm nieproporcjonalnie dużych inwestycji w bezpieczeństwo. Jednak dwa nowo powstałe rozwiązania pozwoliły małym i średnim przedsiębiorstwom zadbać o bezpieczeństwo swoich danych na poziomie korporacyjnym.

Po pierwsze, model oparty o chmurę pozwala przedsiębiorstwu na szybkie wdrożenie rozwiązania bezpieczeństwa wraz z możliwością zarządzania nim zdalnie (aktualizacje oraz bazy wirusów obsługiwane są przez dostawcę) przy jednoczesnym niewielkim lub zerowym koszcie początkowym i przewidywalnym koszcie miesięcznego abonamentu. Co więcej, w ten sposób mogą być dostarczane zaawansowane i zintegrowane usługi – od antywirusów i firewalli aż po kontrolę aplikacji webowych i mediów społecznościowych.

Drugim wyjściem jest skorzystanie z tego, że znacznie spadły ceny sprzętu, który jest elastyczny w konfiguracji i posiada możliwości ulepszenia. Pozwala to na uzyskanie spójnych, zintegrowanych funkcji bezpieczeństwa (przykładowo VPN, IPS, antyspam, kontrola aplikacji, filtracja URL), na które wcześniej mogły sobie pozwolić tylko wielkie korporacje. Dla wielu firm jest to możliwość wdrożenia zaawansowanego rozwiązania bezpieczeństwa przy zachowaniu niewielkiego budżetu przeznaczonego na ochronę danych. 

Rozmiar przedsiębiorstwa nie powinien mieć wpływu na bezpieczeństwo firmy. Kluczowa jest tutaj świadomość pracowników na temat zagrożeń bezpieczeństwa IT. Z naszego raportu bezpieczeństwa z 2013 roku wynika, że atakujący chcą wykorzystać proste ludzkie błędy i manipulują nic niepodejrzewających pracowników. Dlatego też ich edukacja może mieć kluczową rolę w polepszeniu jakości bezpieczeństwa i zminimalizowaniu ryzyka włamania.

Często te proste metody mogą sprawić, że firma będzie „normalnie funkcjonować” zamiast walczyć z incydentami bezpieczeństwa.

Autor: Krzysztof Wójtowicz, dyrektor Check Point