Najsłabszym ogniwem jest człowiek – świadomość użytkowników jako pierwsza linia obrony przed cyberatakiem
2021-01-27 Łukasz Walicki
Chociaż w wielu firmach pandemia niejako wymusiła przejście w znacznym stopniu na model pracy zdalnej, to jednak w licznych przypadkach stało się jasne, że model ten sprawdził się znakomicie, a co za tym idzie może się okazać, że po zakończeniu pandemii (oby jak najszybciej!) rozgości się w naszej biznesowej rzeczywistości na dłużej.
Praca zdalna – hierarchia potrzeb i priorytetów
„Zadomowiliśmy” się już trochę na „Home Office”. Pierwsze problemy związane z organizacją pracy i dostosowaniem narzędzi niezbędnych do komfortowego realizowania codziennych obowiązków są już chyba za nami. Teraz coraz częściej zaczynamy sobie na poważnie zadawać pytania: „Czy moja praca zdalna jest bezpieczna? Czy ja i mój komputer jesteśmy odpowiednio zabezpieczeni przed wszelkiego rodzaju cyberzagrożeniami?” Oczywiście, pytanie to zapewne pojawiało się także znacznie wcześniej, a nie dopiero po prawie roku zdalnej pracy – jednak prawdopodobnie wcześniej bardzo często schodziło na dalszy plan, ponieważ najważniejsze było (zarówno ze strony działów IT, jak i ze strony użytkowników) zapewnienie możliwości zdalnej pracy w komfortowych warunkach, co w zestawieniu z nową rzeczywistością sprawiało, że temat „security” traktowany był często po macoszemu.
Nie(świadomość) zagrożeń
Niestety, zagrożeń, które „czyhają” na nieświadomego użytkownika w sieci jest bardzo wiele – nie sposób ich wszystkich wymienić w tym artykule. Linie obrony przed cyberatakiem, zarówno tym zamierzonym, skierowanym w konkretną organizację, jak i tym przypadkowym, są zasadniczo dwie: technologia oraz świadomość użytkowników, którzy z tej technologii korzystają. Musimy zrozumieć, że same zabezpieczenia technologiczne, choćby nie wiem jak zaawansowane i drogie, nie zapewnią nam 100% ochrony, jeśli to człowiek popełni błąd, jeśli to człowiek, nieświadomie nawet, „zaprosi” złośliwe oprogramowanie do swojego systemu.
Zatem jak budować tę „świadomość użytkowników”? Jak sprawić, żeby na widok podejrzanego maila zapalało się żółte światło i jak sprawić, żeby człowiek, tak jak na skrzyżowaniu, nie chciał spróbować „zdążyć na żółtym”? Na pewno w tej chwili w Waszych głowach pojawia się oczywista odpowiedź: „No jak to jak? SZKOLIĆ!”. I oczywiście jest to odpowiedź jak najbardziej poprawna! Tylko w tym obszarze należy sobie zadać kilka ważnych pytań. Kto i jak ma nas z tego szkolić? Firmy zewnętrzne? (A czy mamy na to budżety?) Szkolenia online? (A jaka jest jakość tych szkoleń i jaką mamy pewność, że nie zostaną one po prosty „przeklikane” przez naszych pracowników?).
Rola działów IT w budowaniu świadomości użytkowników
I w tym miejscu zaryzykowałbym stwierdzenie, że budowanie prawdziwej świadomości wśród użytkowników jest tak naprawdę budowaniem relacji z Waszymi działami IT. Bo kto zna lepiej Wasze problemy związane z komputerami niż właśnie dział IT? Do kogo w pierwszej kolejności dzwonicie, jeśli zauważycie, że Wasz komputer zachowuje się… dziwnie?
To właśnie na działach IT często spoczywa ciężar edukowania użytkowników w zakresie tego, jak reagować na potencjalne zagrożenia i jak poruszać się w cyberprzestrzeni, aby nasze dane były bezpieczne. Oczywiście, kolejnym aspektem jest to, żeby ta edukacja była „szyta na miarę”. Jeśli w firmie pracuje 50 użytkowników, to skopiowanie standardów, które być może sprawdzają się w innych, większych firmach, niekoniecznie będzie dobrym wyjściem. Przecież to właśnie dział IT wie najlepiej, z jakimi problemami w codziennej pracy borykają się użytkownicy w jego firmie – może niekoniecznie trzeba suchego, 4-godzinnego szkolenia na temat technologii zabezpieczenia pracy zdalnej? Może wystarczy zwrócić uwagę na te małe codzienne detale pracy użytkownika, na które on sam dotąd nie zwracał uwagi? Poniżej kilka najważniejszych aspektów, o które powinniśmy zadbać:
– dysk lokalny Twojego komputera przenośnego powinien być zaszyfrowany. Dbaj o swoje dane, wówczas nawet jeśli okaże się, że komputer został skradziony lub „zginął” – nie musisz się martwić, że te dane zostaną odczytane przez niepowołane osoby.
– staraj się (jeśli to możliwe) nie podłączać nieautoryzowanych przez dział IT nośników danych (pendrive, przenośny dysk twardy itd.). Mogą one być źródłem złośliwego oprogramowania.
– nie pracuj na komputerze prywatnym – Twój dział IT nie może odpowiadać za jego bezpieczeństwo. Jeśli brakuje Ci narzędzi do komfortowej pracy – skontaktuj się z działem IT.
– nie korzystaj z otwartych sieci WiFi (lotniska, restauracje, hotele). Jeśli musisz być online w takim miejscu, wykorzystaj służbowy telefon komórkowy do stworzenia „mobilnego hotspotu”. Pamiętaj jednak, aby odpowiednio zabezpieczyć taką udostępnianą z telefonu sieć. A jeśli masz z tym problem, poproś o pomoc dział IT.
– zadbaj o bezpieczeństwo swojego domowego Internetu. W dobie pracy zdalnej to również jest Twoje narzędzie pracy. Jeśli sprawi Ci to trudność – skontaktuj się z działem IT.
– jeśli musisz zabezpieczyć jakiś zasób hasłem – zadbaj o to, by było ono bezpieczne:
- Nie stosuj tych samych haseł w różnych serwisach (wyciek danych może narazić na niebezpieczeństwo Twoje dane na różnych kontach).
- Stosuj silne hasła (lub wyrażenia hasłowe).
- Jeśli musisz przesłać hasło do pliku udostępnianego kontrahentowi zewnętrznemu – prześlij je inną drogą niż wysyłasz plik (link do pliku).
- Jeśli masz wiele kont i wiele haseł w różnych serwisach – używaj managera haseł.
A jeśli masz problem z którymś z powyższych… po prostu skontaktuj się z działem IT 😉
Podsumowanie
Podsumowując – budowanie owej świadomości użytkowników może w znaczący sposób podnieść poziom bezpieczeństwa w organizacji. Choć wielu z nas powyższe przykłady wydają się oczywiste, to jednak wierzcie mi, warto o nich mówić. I może wcale nie trzeba szukać wysoce zaawansowanych szkoleń z „security”? Może zamiast tego warto wypracować model w którym ci, którzy są najbliżej naszych codziennych zmagań z systemami IT będą w stanie powiedzieć nam najwięcej o jego bezpieczeństwie?
I jeśli w którymś momencie codziennością dla Was stanie się wysyłanie takich wiadomości, a dla Waszego działu IT odbieranie ich, to możecie być pewni, że wykonaliście wspólnie kawał dobrej roboty 😊
“FROM: anna.kowalska@adresmojejfirmy.pl
TO: helpdesk@adresmojejfirmy.pl
SUBJECT: Podejrzana wiadomość w mojej skrzynce..
Cześć chłopaki,
dziś rano dostałam na maila wiadomość o jakiejś dziwnej przesyłce z firmy kurierskiej. Niczego się nie spodziewam, podejrzewam, że to jakiś SPAM. Ale przesyłam jeszcze do Was, żebyście rzucili okiem. W link w tej wiadomości oczywiście nie klikałam! J
Pozdr
Ania”
