Агенцията на Европейския съюз за киберсигурност (ENISA) публикува една от най-четените си брошури и на български
Агенцията на Европейския съюз за киберсигурност (ENISA) публикува брошурата с 12 стъпки за киберсигурност на малките и средни предприятия – тя вече е достъпна на 23 езика, включително на български. Започнах да ги публикувам, първо 5 препоръки, днес – и останалите:
6 Сигурни устройства
Осигуряването на сигурността на устройствата, които персоналът използва, независимо дали това са техните настолни компютри, лаптопи, таблети или смартфони, е ключов етап от програмата за киберсигурност.
Поддържане на софтуера с всички последни корекции и актуализации
В идеалния случай трябва да се използва централизирана платформа за управление на корекциите. Силно препоръчително е за МСП:
- да актуализират редовно целия си софтуер;
- да включат функциите за автоматични актуализации, когато е възможно;
- да идентифицират софтуера и хардуера, които изискват ръчно актуализиране;
- да вземат предвид мобилните устройства и устройствата във връзка с интернет на нещата.
Антивирусни решения
На всички видове устройства трябва да бъде внедрено централно управлявано антивирусно решение, което да се поддържа актуално, за да се гарантира неговата постоянна ефективност. Също така, не трябва да се инсталира пиратски софтуер, тъй като може да съдържа зловреден софтуер.
Използване на инструменти за защита на електронна поща и мрежи
Използване на решения за блокиране на спам, електронни съобщения, съдържащи връзки към зловредни уебсайтове или зловредни прикачени файлове като вируси и фишинг съобщения.
Криптиране
Защита на данните чрез криптиране. МСП трябва да гарантират, че данните, съхранявани на мобилни устройства, например лаптопи, смартфони и таблети, са криптирани. За данни, пренасяни по обществени мрежи, като Wi-Fi мрежи на хотели или летища, трябва да се осигури, че данните са криптирани, посредством използване на виртуална частна мрежа (VPN) или достъп до уебсайтовете през защитени връзки с помощта на SSL/TLS протокол. Осигуряване, че собствените уебсайтове използват подходяща технология за криптиране, за да бъдат защитени клиентските данни, когато се обменят през интернет.
Внедряване на управление на мобилните устройства
Когато съдействат на служителите си да работят дистанционно, много МСП позволяват да се използват лични лаптопи, таблети и/или смартфони. Това поражда някои опасения за сигурността на чувствителни данни на предприятията, съхранявани в тези устройства. Един от начините за управление на този риск е да се използва решение за управление на мобилни устройства (MDM), което позволява на МСП:
- да контролират на кои устройства е разрешен достъп до техните системи и услуги;
- да са уверени, че устройството има инсталиран актуален антивирусен софтуер;
- да могат да определят дали устройството е криптирано;
- да проверяват дали устройството има инсталирани актуални софтуерни корекции;
- да прилагат защита с ПИН и/или парола на устройството;
- да изтриват дистанционно от устройството всички данни за МСП, ако собственикът на устройството съобщи, че е изгубено или откраднато, или той повече не работи за това МСП.
7 Защита на собствената мрежа
Използване на защитни стени
Защитните стени управляват трафика, който влиза и напуска мрежата и са средство от критично значение за защитата на системите на МСП. Защитните стени трябва да бъдат прилагани за защита на всички критични системи, и по-специално да се използват за защита на мрежата на МСП от интернет.
Преглед на решенията за отдалечен достъп
МСП трябва редовно да преглеждат всички инструменти за отдалечен достъп, за да се уверят, че са сигурни, и по-специално:
- да се уверят, че целият софтуер за отдалечен достъп е с последните корекции и актуализации;
- да ограничат отдалечения достъп от подозрителни географски точки или определени IP адреси;
- да ограничат отдалечения достъп на персонала само до системите и компютрите, които са необходими за работата;
- да използват сигурни пароли за отдалечен достъп и да активират двуфакторна автентикация, където е възможно;
- да се уверят, че са активиране функциите за наблюдение и сигнализация, за да се предупреждава за предполагаеми атаки или необичайна подозрителна дейност.
8 Подобряване на физическата сигурност
Навсякъде, където има важна информация, трябва да се прилагат подходящи мерки за физически контрол. Например фирмен лаптоп или смартфон не трябва да се оставя без надзор на задната седалка в колата. Всеки път, когато потребител се отдалечи от компютъра си, трябва да го заключи. В противен случай трябва да се активира функцията за автоматично заключване на всяко устройство, използвано за стопански цели. Чувствителните отпечатани документи също не трябва да се оставят без надзор и когато не се използват, да се съхраняват на сигурно място.
9 Сигурни резервни копия
За да има възможност за възстановяване на важна информация, трябва да се правят резервни копия, тъй като те са ефективен начин за възстановяване от инциденти като атаки на софтуер за изнудване. Трябва да се прилагат следните правила за резервно копиране:
- резервни копия да се правят редовно и автоматизирано, когато е възможно;
- резервните копия да се съхраняват отделно от производствената среда на МСП;
- резервните копия да са криптирани, особено ако ще бъдат премествани между обекти;
- да се тества възможността за периодично възстановяване на данни от резервните копия; в идеалния случай трябва периодично да се тества дали може да се извърши пълно възстановяване от началото до края.
10 Работа в облак
Въпреки че предлагат много предимства, облачните решения поставят някои специфични рискове, които МСП трябва да имат предвид, преди да се ангажират с доставчик на облачни услуги. ENISA публикува „Ръководство за МСП за сигурност в облак“2, което МСП трябва да ползват при преминаване към работа в облак.
Когато избират доставчик на облачни услуги, МСП трябва да гарантират, че не нарушават никакви закони или разпоредби, когато съхраняват данни извън ЕС/ЕИП, особено лични данни. Например GDPR/ОРЗД на ЕС изисква личните данни на пребиваващи в рамките на ЕС/ЕИП лица да не се съхраняват или предават извън ЕС/ЕИП, освен при много специфични условия.
2 https://www.enisa.europa.eu/publications/cloud-security-guide-for-smes
11 Сигурни онлайн сайтове
От съществено значение е МСП да гарантират, че техните уебсайтове онлайн са конфигурирани и поддържани по сигурен начин и че всички лични данни или финансова информация, като данни за кредитни карти, са подходящо защитени. Това се изразява в провеждане на редовни тестове за сигурност на уебсайтовете, за да се открият евентуални слабости в сигурността, и извършване на редовни прегледи, за да се гарантира, че сайтът се поддържа и актуализира правилно.
12 Търсене и обмен на информация
Ефективно средство в борбата с киберпрестъпността е споделянето на информация. Споделянето на информация във връзка с киберпрестъпността е от ключово значение, за да могат МСП да разберат по-добре рисковете, пред които са изправени. Дружествата, които научават за предизвикателствата във връзка с киберсигурността и как такива предизвикателства са били преодолени от техни колеги, е по-вероятно да предприемат стъпки за защита на своите системи, отколкото ако научат подобна информация от доклади в сектора или от проучвания за киберсигурността.
На 2 юли писах за доклада на ENISA Кои са 12-те стъпки за осигуряване на киберсигурност за малки и средни предприятия?