Prověrka bezpečnostní architektury, kterou společnost Dimension Data provedla v systémech svých klientů, přinesla důkazy o tom, že koncoví uživatelé jsou stále častěji cílem kybernetických zločinců.
Zaměstnanci si stále více zvykají na přístup k firemním datům v reálném čase a v důsledku toho se stávají cílem zločinců. Uživatelé se ve skutečnosti stávají vstupními dveřmi, kterými útočník proniká do společnosti.
Podle Jasona Harrise ze společnosti Dimension Data pro otázky bezpečnosti a výpočetní techniky koncových uživatelů, se uživatelé stávají „novou bojovou linií“. Zpráva 2015 Global Threat Intelligence Report od NTT ukázala, že sedm z deseti slabin ve společnosti se týká koncových uživatelů – zejména těch, kteří mají přístup ke klíčovým systémům a datům – prostřednictvím zařízení, která často nejsou v plné míře spravována společností.
„Pozorujeme nárůst počtu koncových uživatelů, kteří se stávají cílem útoků. Důvodem je větší počet možných cest, kterými lze na uživatele zaútočit. Dnes již nestačí, aby se společnosti zabývaly pouze tradičními koncovými body. Kybernetické hrozby se rozšířily i do mobilních zařízení a sociálních sítí,“ říká Harris.
Kybernetičtí zločinci jsou si vědomi toho, že pokud získají přístup k uživatelům, mají šanci zajistit si přístup k datům nebo profilu uživatele, popř. převzít kontrolu nad jeho zařízením. „Jedná se o znepokojující trend. Pozorujeme významné nedostatky u pracovníků, procesů a strategií, zejména u strategie „Přineste si vlastní zařízení“ a výpočetní techniky pro koncové uživatele. Většina společností má zavedenu určitou formu monitoringu a kontroly. Stávající standardní opatření však často nestačí k tomu, aby ochránila společnost před nejnovější verzí hrozeb,“ varuje Harris.
Jedním z nejvýznamnějších nedostatků firemních bezpečnostních prvků je reakce na mimořádnou událost. V současnosti u 74 % společností chybí formální plán reakce na mimořádné události. „Pokud dojde k průniku do zařízení uživatele, je poté obtížné zmírňovat jeho dopad, rovněž chybí postup reakce na mimořádné události, který by průnik odhalil a okamžitě vedl k přijetí opatření na ochranu klíčových dat.“
Jaco Hattingh, generální ředitel skupiny Dimension Data pro oblast mobility společnosti, vysvětluje, že řada společností přehodnocuje své strategie „Přineste si vlastní zařízení“ ve snaze chránit se před kybernetickými útoky zaměřenými na koncové uživatele. „Nicméně platí, že nepozorujeme žádné omezování těchto strategií, nýbrž posun směrem k větší standardizaci zařízení, která zjednodušuje podporu pro koncové uživatele a zajišťuje odpovídající opravné verze softwaru, které pomáhají zmírňovat hrozby,“ popisuje Jaco Hattingh.
Regionální rozdíly
Vyspělost kybernetické bezpečnosti se různí podle regionů. Svou roli hrají také některé zajímavé kulturní odlišnosti:
- V Austrálii, na Novém Zélandu, v USA a Velké Británii společnosti uplatňují přístup „správce techniky“, což obnáší správu počítačů, tabletů i mobilních telefonů.
- V USA si získává oblibu přístup „Přineste si vlastní zařízení“. Uživatelé obdrží seznam zařízení, ze kterého si mohou vybrat svůj oblíbený přístroj. Společnost se stará o správu zařízení, poskytuje však uživatelům určitou míru flexibility, např. jim umožňuje nahrát si do zařízení osobní aplikace.
- V Asii však konzumerizace informačních technologií nabírá rychlejší obrátky. Společnosti se přiklánějí ke strategii, která staví mobilitu na první místo, a zavádějí mobilní zařízení rychleji než společností spravovaná zařízení. To znamená, že prostor k útokům na tzv. měkké cíle – uživatele – se zvětšuje. Dále platí, že v Asii strategie „Přineste si vlastní zařízení“ získávají podobu tzv. strategií COPE, což v překladu znamená zařízení vlastněná společností, avšak svěřená do rukou koncových uživatelů.
Burden, Hattingh a Harris sestavili klíčové zásady, které lze snadno zavést do praxe a které jsou dostatečné účinné, aby se vypořádaly s aktuálními bezpečnostními hrozbami a odhalily porušení zásad bezpečnosti.
- Učinit z pravidel prioritu
Cílem těchto pravidel je řídit nebo prosazovat ve společnosti určité chování. V tomto případě prosazovat určité chování zaměstnanců, které je v souladu s obecnými cíli společnosti, a současně vštěpovat chování, které citlivě přistupuje k nejcennějšímu majetku společnosti – informacím. Rozdíly mezi společnostmi jsou značné, pravidla by proto měla být vytvářena tak, aby zohledňovala povahu společnosti, její firemní model a regionální kulturní odlišnosti týkající se mobilních pracovních sil. - Reakce na mimořádné události
Společnosti si musí vytvořit přístup k bezpečnosti, jehož ústředním bodem jsou data a který zahrnuje pokročilejší kontroly a monitoring. U takového přístupu platí, že i když budou mít uživatelé z určitých zařízení přístup k určitým datům a systémům, společnosti budou mít jistotu, že uživatelé nebudou provádět nic, co se vymyká běžné činnosti, například neočekávaně přenášet dva gigabajty dat z databáze na mobilní zařízení připojené k síti. Tímto způsobem mohou společnosti aktivně sledovat mimořádné události a reagovat na ně. - Informovanost a vzdělávání uživatelů
Informovanost a vzdělávání uživatelů je během na dlouhou trať a má za cíl minimalizovat rizika. Je důležité, aby společnosti vybízely zaměstnance chovat se konzistentně a dodržovat jasně sdělené a centrálně vytvořené a monitorované procesy a postupy, které se vztahují na všechna používaná zařízení. I když to nutně nezabrání pokusům o útok, uvedená pravidla bezpochyby zvyšují bezpečnost ve společnosti.
Neil Campbell, generální ředitel skupiny Dimension Data pro otázky bezpečnosti, říká: „Lidé mohou být nejslabším, ale i nejsilnějším článkem bezpečnostního řetězu, přičemž rozdíl mezi oběma stavy vychází ze vzdělávání a informovanosti. Platilo to před 20 lety, kdy jsem pracoval v oblasti prosazování zákonů a vyšetřování kybernetické kriminality, a platí to i dnes.“
-of-
