Na mala i srednja preduzeća usmereno je čak 46 odsto svih sajber napada

Mnoga mala ili srednja preduzeća misle da mogu bez ikakvih rešenja za sajber bezbednost, jer veruju da ne mogu postati plen sajber kriminalaca. Međutim, nedavna studija kompanije Kasperksy otkriva da je skoro 46 odsto svih sajber napada usmereno na mala i srednja preduzeća. Prema podacima Svetskog ekonomskog foruma, 95 odsto kršenja sajber bezbednosti pripisuje se ljudskoj grešci.

Ove brojke upućuju da mala i srednja preduzeća možda nisu svesna da njihovi zaposleni mogu nenamerno – ili čak i namerno – da nanesu štetu „dobrobitu“ kompanije. Neka neprikladna ponašanja mogu dovesti do finansijskih gubitaka, oštećenja reputacije ili smanjenja produktivnosti čitavog biznisa.

Nemar česta pojava

Prema istraživanju Kaspersky 2022 IT Security Economics, koje je uključivalo intervjue sa više od 3.000 menadžera za IT bezbednost u 26 zemalja, oko 22 procenta curenja podataka u sektoru malih i srednjih preduzeća izazvali su zaposleni. Skoro istu proporciju su imali i sajber napadi, koji u nekom trenutku čine zaposlene gotovo jednako opasnim kao i hakere. Naravno, u većini slučajeva to se dešava zbog nemara zaposlenih ili nedostatka svesti.

Postoje različiti načini na koje radnje zaposlenih mogu nenamerno dovesti do ozbiljnih narušavanja bezbednosti i naneti štetu sajber bezbednosti malih i srednjih preduzeća. Glavni su:

1. Slabe lozinke: Zaposleni mogu koristiti jednostavne ili lako pogodne lozinke, koje bi sajber kriminalci mogli bez napora da otkriju, što na kraju rezultira neovlašćenim pristupom osetljivim podacima. Postoji čak i lista najčešće hakovanih lozinki - proverite da li se vaša nalazi među njima.

2. Prevare koje lako „upecaju“: Zaposleni mogu slučajno ili nesvesno da kliknu na phishing veze u e-porukama, što dovodi do zaraze malverom i neovlašćenog pristupa mreži. Većina prevaranta može imitirati adresu e-pošte koja navodno pripada legitimnoj kompaniji, a kada pošalju e-poštu sa priloženim dokumentom ili arhivom, ispostavi se da je to uzorak malvera. Nedavni primer je napad Agenta Tesle koji je pogodio korisnike širom sveta.

Primer masovnog malicioznog mail-a

3. Politika Donesite svoj sopstveni uređaj (BIOD): BIOD je dobio veći zamah kao rezultat uzastopnih zatvaranja tokom vrhunca pandemije COVID-19. U to vreme, osoblje u sektorima koji nisu od suštinske važnosti, bilo je prinuđeno da radi od kuće i kontinuitet poslovanja, a ne bezbednost, bila je primarna.

Zaposleni često koriste lične uređaje za povezivanje sa korporativnim mrežama, što može predstavljati ozbiljnu bezbednosnu pretnju ako ovi uređaji nemaju adekvatnu zaštitu od sajber pretnji. S obzirom na to da se svakodnevno pojavljuje preko 400.000 novih zlonamernih programa, a broj ciljanih napada na kompanije raste, preduzeća se nalaze u veoma opasnoj situaciji. Istovremeno, većina kompanija ne planira (ili smatra da je nemoguće) da potpuno blokira pristup ličnim uređajima korporativnim podacima.

Nezaštićeni poslovni podaci uskladišteni na ličnom laptopu (koji se izgubi bilo gde) su tipična noćna mora nespremnog IT odeljenja. Jedan broj kompanija to rešava tako što dozvoljava zaposlenima da rade samo u kancelariji na odobrenim računarima sa veoma ograničenim mogućnostima slanja podataka i zabranom korišćenja USB fleš diskova. Ovaj pristup, u stvari, neće funkcionisati u kompaniji koju vodi BIOD. Prvo, zaposleni koriste sopstvene računare radi veće fleksibilnosti; ali to ne bi trebalo da znači da je bezbednost ugrožena. Idealno rešenje za problem gubitka uređaja je potpuna ili delimična enkripcija korporativnih podataka, nametnuta politikom. Na ovaj način, čak i ako je laptop ili USB disk ukraden, podaci na njemu ne bi bili dostupni bez lozinke.

4. Nedostatak ažuriranja: Ako zaposleni koriste lične uređaje, IT osoblje možda neće moći da nadgleda bezbednost tih uređaja ili da reši bilo kakve bezbednosne probleme. Štaviše, zaposleni možda neće redovno primenjivati ažuriranja na svoje sisteme i softver, ostavljajući ranjivosti koje mogu da iskoriste sajber kriminalci.

5. Ransomvare: U slučaju napada ransomvare-a, važno je da napravite rezervnu kopiju vaših podataka – da imate pristup šifrovanim informacijama čak i ako su sajber kriminalci uspeli da preuzmu sistem kompanije.

6. Društveni inženjering: Zaposleni mogu nenamerno da odaju osetljive informacije kao što su detalji za prijavu, lozinke ili drugi poverljivi podaci kao odgovor na taktiku društvenog inženjeringa ili prevare sa phishingom. Oni koji će lakše biti prevareni su novi zaposleni koji nisu svesni „rituala“ kompanije. Na primer, prevarant se može pretvarati da je „šef“ pridošlici, a zatim pokušati da ukrade neke važne informacije o kompaniji ili iznudi novac.

Jedan primer načina na koji prevaranti funkcionišu je slanje e-pošte koji se predstavlja kao šef ili neko od nadređenih (koristeći nezvaničnu adresu) tražeći od zaposlenog da uradi „hitan“ zadatak. Novajlija će se rado obavezati. Zadatak bi mogao biti, recimo, transfer sredstava izvođaču ili kupovina poklon bonova određene vrednosti, dok poruka jasno govori da je „brzina od suštinskog značaja“ i „biće vam vraćeno do kraja dana“. Prevaranti ističu hitnost kako ne bi dali zaposlenom vremena da razmisli ili proveri sa nekim drugim.

To su greške koje zaposleni mogu napraviti iz nemara. Ali šta se može dogoditi kada zaposleni namerno nastoji da ugrozi sigurnost kompanije dok je zaposlen ili odmah nakon što napusti posao? Tada može nastati više nevolja.

Želja za osvetom

Počnimo sa nekim statistikama koje je prikupila kompanija Kaspersky. Iako su iza većine curenja stajale slučajne greške ili ignorisanje politike sajber bezbednosti, menadžeri bezbednosti su izvestili da su oko trećine (36 procenata) curenja koje su pokrenuli zaposleni bili namerni akti sabotaže ili špijunaže.

Jedan primer desio se kada je bivši dobavljač medicinskih uređaja sabotirao isporuke kupcima: nakon što je otpušten iz svog entiteta, izvršni direktor zdravstvene zaštite je koristio tajni nalog da odloži proces isporuke. Pošto zdravstvena kompanija nije mogla da isporuči zalihe na vreme, bila je prinuđena da privremeno zatvori sve poslovne procese, a prekidi su nastavljeni i mesecima kasnije. Na kraju, kompanija je morala da se obrati organima za sprovođenje zakona.

Šta je rešenje za mala i srednja preduzeća?

Veliki broj sajber incidenata koji proističu iz radnji zaposlenih pokazuje da je svim organizacijama potrebna temeljna obuka za podizanje svesti o sajber bezbednosti kako bi se osoblje naučilo kako da izbegne uobičajene bezbednosne greške.

Preduzeća treba da koriste zaštitu krajnjih tačaka sa mogućnostima za otkrivanje pretnji i reagovanje kako bi se smanjio rizik od napada i kršenja podataka. Upravljane službe zaštite će takođe pomoći organizacijama u istrazi napada i profesionalnom reagovanju. Da bi se smanjila mogućnost incidenata do kojih dovedu zaposleni, neophodna je i temeljna obuka za podizanje svesti o sajber bezbednosti.

kako biste bili zaista sigurni da je sve u redu sa sajber bezbednošću vaše firme, kompanija Kaspersky pripremila je listu saveta:

o Koristite rešenje za zaštitu krajnjih tačaka i servera e-pošte sa anti-phishing mogućnostima, kako biste smanjili šansu za krađu identiteta putem e-pošte.

o Preduzmite ključne mere zaštite podataka. Uvek zaštitite korporativne podatke i uređaje, uključujući uključivanje zaštite lozinkom, šifrovanje radnih uređaja i obezbeđivanje rezervne kopije podataka.

o Važno je da radni uređaji budu fizički bezbedni – ne ostavljajte ih bez nadzora u javnosti, uvek ih zaključavajte i koristite jake lozinke i softver za šifrovanje.

o Čak i male kompanije treba da se zaštite od sajber pretnji, bez obzira da li zaposleni rade na korporativnim ili ličnim uređajima. Kaspersky Small Office Security se može instalirati na daljinu i njime se može upravljati putem cloud-a; ne zahteva mnogo vremena, resursa ili specifičnog znanja za primenu i upravljanje.

o Pronalaženje namenskog rešenja za mala i srednja preduzeća sa jednostavnim upravljanjem i proverenim zaštitnim karakteristikama poput Kaspersky Endpoint Security Cloud. Alternativno, delegirajte održavanje sajber bezbednosti dobavljaču usluga koji može da ponudi potrebnu zaštitu.