Մեկ ֆիշինգային էլ. նամակը, աշխատակցի թույլ գաղտնաբառը կամ չանջատված հեռահար հասանելիությունը հաճախ բավական են, որպեսզի ընկերությունը կորցնի տվյալները, դադարեցնի գործառնությունները կամ ստանա փրկագնի պահանջ: Կիբեռանվտանգությունը միայն հակավիրուս տեղադրելը չէ: Բիզնեսի համար դա գործընթացների, մարդկանց, սարքերի և տվյալների այնպիսի կառավարում է, որը նվազեցնում է միջադեպերի հավանականությունը և ապահովում է արագ վերականգնում խնդիրների դեպքում:

10–200 աշխատակից ունեցող կազմակերպությունում պաշտպանության ռազմավարությունը պետք է լինի առանձնապես գործնական: Փոքր թիմը հաճախ չունի առանձին անվտանգության գործառնությունների կենտրոն (SOC), իսկ խոշոր ձեռնարկության համար անհրաժեշտ է վերահսկել բազմաթիվ մասնաճյուղեր, սերվերներ և օգտատերեր: Երկու դեպքում էլ առաջնահերթությունը մեկն է. որոշել, թե որն է ամենաարժեքավորը, ով ունի հասանելիություն դրան և ինչ կպատահի, եթե այդ հասանելիությունը կորչի կամ չարաշահվի:

Կիբեռանվտանգությունը սկսվում է ակտիվների գույքագրումից

Պաշտպանությունը պլանավորելուց առաջ ընկերությունը պետք է իմանա, թե ինչ է պաշտպանում: Պրակտիկայում հաճախ պարզվում է, որ IT թիմը չունի թարմացված ցուցակ, թե որ աշխատակիցն որ նոութբուքն ունի, որտեղ են պահվում ֆինանսական փաստաթղթերը, որ սերվերն է մշակում հաշվապահական համակարգը, կամ որ ցանցային սարքից է կախված Ինտերնետը և Wi-Fi-ը:

Գույքագրումը պետք է ներառի աշխատանիստերը, նոութբուքերը, ֆիզիկական և վիրտուալ սերվերները, NAS պահոցները, երթուղիչները (router), կոմուտատորները (switch), մուտքի կետերը (access point), UPS համակարգերը, ծրագրային լիցենզիաները և ամպային հաշիվները: Յուրաքանչյուր ակտիվի համար օգտակար է ֆիքսել պատասխանատու անձին, օպերացիոն համակարգը, սերիական համարը, աջակցման ժամկետը, օգտագործվող ծրագրերը և կարևորության աստիճանը:

Այս գործընթացը չպետք է վերածվի վարչական ձևականության: Եթե հայտնի չէ, թե որտեղ է աշխատում Windows-ի հնացված տարբերակը կամ որ սարքը չունի աջակցում, դրա ժամանակին թարմացումն անհնար կլինի: Հենց այդպիսի «անտեսանելի» սարքերն են հաճախ դառնում հարձակման ելակետը:

Ինքնությունների պաշտպանությունն ավելի կարևոր է, քան միայն գաղտնաբառը

Ընկերությունների մեծ մասում հարձակվողը ցանցին առաջնային հասանելիություն է ստանում ոչ թե սերվերը կոտրելով, այլ օգտատիրոջ հաշվի (account) միջոցով: Աշխատակիցը կարող է մուտք գործել կեղծ Microsoft 365, բանկային կամ փաստաթղթերի փոխանակման էջ և ինքնուրույն փոխանցել վավերացման տվյալները:

Գաղտնաբառերի քաղաքականությունն անհրաժեշտ է, սակայն միայն երկարության պահանջը բավարար չէ: Աշխատակիցներին անհրաժեշտ են եզակի, երկար գաղտնաբառեր և գաղտնաբառերի կառավարչի (password manager) օգտագործում: Առավել կարևոր քայլ է բազմագործոն վավերացումը (MFA) — հատկապես էլ. փոստի, VPN-ի, հեռահար աշխատանքային միջավայրի, վարչական վահանակների և ամպային հարթակների համար:

Հասանելիությունը պետք է տրամադրվի նվազագույն արտոնությունների սկզբունքով: Վաճառքի մենեջերին անհրաժեշտ չեն սերվերի ադմինիստրատորի իրավունքներ, իսկ արտաքին հաշվապահը չպետք է հասանելիություն ունենա բոլոր ներքին թղթապանակներին: Աշխատակցի պաշտոնի փոփոխման կամ ընկերությունից հեռանալու օրը հաշվի անջատումը և իրավունքների վերանայումը նույնքան կարևոր գործողություն է, որքան նոր աշխատակցի համար համակարգչի պատրաստումը:

Էլ. փոստ և ֆիշինգ

Ֆիշինգը տեխնիկական և մարդկային գործոնների հատման կետում է: Էլ. փոստի ֆիլտրերը նվազեցնում են սպառնալիքը, սակայն չեն կարող կանգնեցնել բոլոր համոզիչ նամակները: Ուստի աշխատակիցները պետք է իմանան, թե ինչպես ստուգել ուղարկողի դոմեյնը, վճարման տվյալների փոփոխման պահանջը, կասկածելի հավելվածները և արհեստականորեն ստեղծված շտապողականության տեքստը:

Օգտակար է պարզ ներքին կանոն. վճարման, բանկային հաշվի փոփոխության, պայմանագրի կամ գաղտնաբառի պահանջը ստուգվում է երկրորդ ուղիով — զանգով, ներքին չաթով կամ նախապես հայտնի կոնտակտի միջոցով: Այս կանոնը կանգնեցնում է Business Email Compromise (BEC) բազմաթիվ դեպքեր՝ անկախ նրանից, թե որքան համոզիչ է թվում նամակը:

Աշխատանիստեր. պաշտպանություն և կառավարելիություն միասին

Բիզնես համակարգիչը չպետք է ընտրվի միայն արտադրողականությամբ: Սարքին անհրաժեշտ է աջակցվող օպերացիոն համակարգ, TPM մոդուլ, սկավառակի կոդավորման (encryption) հնարավորություն, կենտրոնացված կառավարում և արտադրողի երկարաժամկետ սպասարկում: Սա հատկապես կարևոր է հիբրիդային աշխատանքի դեպքում, երբ նոութբուքը հաճախ է դուրս գալիս գրասենյակից և միանում տարբեր ցանցերի:

Բոլոր աշխատանիստերում պետք է միացված լինի սկավառակի կոդավորումը: Կորած կամ գողացված նոութբուքն այս դեպքում ավտոմատ կերպով չի նշանակում հաճախորդների բազայի, կոմերցիոն առաջարկների կամ ֆինանսական ֆայլերի արտահոսք: Անհրաժեշտ են նաև էկրանի ավտոմատ արգելափակում, օպերացիոն համակարգի և բրաուզերի թարմացումներ ու Endpoint պաշտպանության ժամանակակից լուծում:

Հակավիրուսն օգտակար է, սակայն դրա նշանակությունը պետք է ճիշտ սահմանվի: Կազմակերպությանը պետք է ոչ միայն վնասակար ֆայլի հայտնաբերում, այլև ծանուցում անսովոր վարքագծի մասին. ֆայլերի զանգվածային կոդավորում, կասկածելի PowerShell հրամաններ, վարչական իրավունքների անսպասելի օգտագործում կամ կապ անհայտ սերվերի հետ: 20-ից ավելի սարքերի դեպքում կառավարման կենտրոնական վահանակը զգալիորեն պարզեցնում է քաղաքականությունների, թարմացումների և միջադեպերի վերահսկողությունը:

Ցանցի сегմենտավորումը նվազեցնում է վնասը

Մեկ, հարթ ցանցը հարմար է սկզբում, սակայն ռիսկային է աճին զուգընթաց: Եթե հյուրերի Wi-Fi-ը, տեսախցիկները, դրամարկղերը, տպիչները և աշխատակիցների համակարգիչները աշխատում են նույն сегմենտում, մեկ կոմպրոմետացված սարքից հարձակվողին ավելի հեշտ է դառնում կողմնակի տեղաշարժը (lateral movement):

Ցանցի բաժանումը VLAN-ների գործնականում լուծում է այս խնդիրը: Աշխատակիցների սարքերը, հյուրերի ցանցը, VoIP հեռախոսները, տեսահսկումը, սերվերները և կառավարման ինտերֆեյսները պետք է առանձնացված լինեն միմյանցից, իսկ դրանց միջև թույլատրված կապերը սահմանվեն հստակ կանոններով: Դրա համար անհրաժեշտ են կառավարվող կոմուտատորներ, ճիշտ կոնֆիգուրացված firewall և ցանցի փաստաթղթավորում:

Հեռահար հասանելիությունը առանձին ուշադրություն է պահանջում: Սերվերի կամ ցանցային սարքի վարչական վահանակն Ինտերնետում ուղղակիորեն բացելն անթույլատրելի է: VPN-ը, բազմագործոն վավերացումը, սահմանափակ IP հասանելիությունը և վարչական մատյանների (logs) մոնիտորինգն ավելի անվտանգ մոդել են: Կոնկրետ լուծումը կախված է աշխատակիցների թվից, մասնաճյուղերի ճարտարապետությունից և նրանից, թե արդյոք օգտագործվում են ներքին համակարգեր, թե ամպային ծառայություններ:

Պահուստային պատճենը պետք է լինի վերականգնելի

Ransomware (փրկագին պահանջող վիրուսի) ժամանակ ամենակարևոր հարցը «Ունե՞նք պահուստային պատճեն (backup)» հարցը չէ, այլ «Որքա՞ն ժամանակում և ամբողջությա՞մբ կվերականգնենք գործառնությունները»: Պահուստային պատճենը, որը մշտապես հասանելի է նույն ցանցում, հարձակվողը կարող է կոդավորել հիմնական տվյալների հետ միասին:

Գործնական մոտեցումը 3-2-1 սկզբունքն է. տվյալների առնվազն երեք պատճեն, երկու տարբեր տեսակի կրիչների վրա և մեկ պատճեն գրասենյակից կամ հիմնական ենթակառուցվածքից դուրս: Կրիտիկական համակարգերի համար անհրաժեշտ է պատճենների անփոփոխելիության (immutability) ֆունկցիա, կոդավորում և առանձին վարչական հաշիվներ: Ֆայլերի backup-ը, վիրտուալ մեքենաների snapshot-ները և տվյալների բազայի տրամաբանական պատճենները միշտ չէ, որ փոխարինում են միմյանց:

Վերականգնումը պետք է ստուգվի ժամանակացույցով: Օրինակ, հաշվապահական տվյալների բազայի կամ ֆայլային սերվերի պատճենը կարող է գոյություն ունենալ, սակայն իրական վերականգնման ժամանակ ի հայտ գան հասանելիության սխալ իրավունքներ, վնասված արխիվ կամ պահոցի ոչ բավարար ծավալ: Թեստը ցույց է տալիս ինչպես տեխնիկական խնդիրը, այնպես էլ բիզնեսի համար ընդունելի դադարի ժամանակահատվածը:

Վերականգնման պլանն ավելին է, քան տեխնոլոգիան

Ինտերնետի անջատումը, սկավառակի խափանումը, էլեկտրաէներգիայի խնդիրը և կիբեռմիջադեպը տարբեր իրադարձություններ են, սակայն բոլորն էլ ազդում են գործառնական անընդհատության վրա: UPS համակարգը պաշտպանում է սերվերը և ցանցային սարքավորումը լարման տատանումներից և կարճատև անջատումներից, սակայն այն չի փոխարինում backup-ին: RAID-ը նվազեցնում է մեկ սկավառակի վնասման ռիսկը, սակայն դա նույնպես backup չէ:

Ընկերությունը նախապես պետք է որոշի, թե ով է որոշում կայացնում միջադեպի ժամանակ, ով է անջատում կոմպրոմետացված սարքը, ինչպես է իրականացվում աշխատակիցների իրազեկումը և որ համակարգին է տրվում վերականգնման առաջնահերթությունը: Փոքր բիզնեսում նույնիսկ մեկ էջանոց, թարմացված արձագանքման պլանն ավելի էֆեկտիվ է, քան ճգնաժամի ժամանակ տարերային հաղորդակցությունը:

Կիբեռանվտանգությունում գնումները պետք է ծառայեն ճարտարապետությանը

Ենթակառուցվածքի գնումների ժամանակ ամենաէժան սարքը միշտ չէ, որ ամենացածր արժեքով ընտրությունն է: Աջակցման ժամկետի, պահեստամասերի, երաշխիքի, էներգասպառման, կառավարելիության և համատեղելիության հաշվի առնումը հաճախ նվազեցնում է երկարաժամկետ գործառնական ծախսերը: Օրինակ, VLAN-ներով և կենտրոնական մոնիտորինգով կառավարվող կոմուտատորը սկզբում կարող է ավելի թանկ թվալ, սակայն պարզեցնում է ցանցի բաժանումը, խնդիրների ախտորոշումը և ապագա ընդլայնումը:

Նույն մոտեցումը տարածվում է սերվերների, պահոցների և աշխատանիստերի վրա: Ճիշտ ընտրված բիզնես-դասի տեխնիկան ստեղծում է նախադրյալներ, որպեսզի կոդավորումը, թարմացումները, հասանելիության վերահսկողությունը և մոնիտորինգն աշխատեն ստանդարտ կերպով և չմնան առանձին աշխատակցի հիշողության վրա:

Պաշտպանությունը սկսվում է ոչ թե ամենաթանկ անվտանգության ապրանքից, այլ ճշգրիտ ձևավորված պատկերացումից. որ տվյալներն են կանգնեցնում բիզնեսը, ով է դրանք օգտագործում և ինչպես եք դրանք վերականգնելու վաղն առավոտյան: Այս երեք հարցերի հստակ պատասխաններն արդեն Ձեզ ցույց կտան ճիշտ տեխնիկական լուծումները: