ფიშინგის ერთი ელფოსტა, თანამშრომლის სუსტი პაროლი ან გაუთიშავი დისტანციური წვდომა ხშირად საკმარისია იმისთვის, რომ კომპანიამ დაკარგოს მონაცემები, შეჩერდეს ოპერაციები ან მიიღოს გამოსასყიდის მოთხოვნა. კიბერუსაფრთხოება არ არის მხოლოდ ანტივირუსის დაყენება. ბიზნესისთვის ეს არის პროცესების, ადამიანების, მოწყობილობებისა და მონაცემთა ისეთი მართვა, რომელიც ინციდენტის ალბათობას ამცირებს და პრობლემის შემთხვევაში სწრაფ აღდგენას უზრუნველყოფს.

10–200 თანამშრომლის მქონე ორგანიზაციაში დაცვის სტრატეგია განსაკუთრებით პრაქტიკული უნდა იყოს. მცირე გუნდს ხშირად არ ჰყავს ცალკე უსაფრთხოების ოპერაციების ცენტრი, ხოლო დიდი საწარმოსთვის მრავალი ფილიალის, სერვერისა და მომხმარებლის კონტროლია საჭირო. ორივე შემთხვევაში პრიორიტეტი ერთია: განისაზღვროს, რა არის ყველაზე ღირებული, ვის აქვს მასზე წვდომა და რა მოხდება, თუ ეს წვდომა დაიკარგება ან ბოროტად გამოიყენება.

კიბერუსაფრთხოება იწყება აქტივების ინვენტარიზაციით

დაცვის დაგეგმვამდე კომპანიამ უნდა იცოდეს, რას იცავს. პრაქტიკაში ხშირად აღმოჩნდება ხოლმე, რომ IT გუნდს არ აქვს განახლებული სია: რომელ თანამშრომელს რომელი ლეპტოპი აქვს, სად ინახება ფინანსური დოკუმენტები, რომელი სერვერი ამუშავებს საბუღალტრო სისტემას, ან რომელ ქსელურ მოწყობილობაზეა დამოკიდებული ინტერნეტი და Wi-Fi.

ინვენტარიზაცია უნდა მოიცავდეს სამუშაო სადგურებს, ნოუთბუქებს, ფიზიკურ და ვირტუალურ სერვერებს, NAS-საცავს, მარშრუტიზატორებს, კომუტატორებს, წვდომის წერტილებს, UPS სისტემებს, პროგრამულ ლიცენზიებსა და ღრუბლოვან ანგარიშებს. თითოეული აქტივისთვის სასარგებლოა დაფიქსირდეს პასუხისმგებელი პირი, ოპერაციული სისტემა, სერიული ნომერი, მხარდაჭერის ვადა, გამოყენებული პროგრამები და კრიტიკულობა.

ეს პროცესი ადმინისტრაციულ ფორმალობად არ უნდა იქცეს. თუ უცნობია, სად მუშაობს მოძველებული Windows-ის ვერსია ან რომელ მოწყობილობას არ აქვს მხარდაჭერა, მისი დროული განახლება ვერ მოხერხდება. სწორედ ასეთი „უხილავი“ მოწყობილობები ხდება ხშირად თავდასხმის საწყისი წერტილი.

იდენტობების დაცვა უფრო მნიშვნელოვანია, ვიდრე მხოლოდ პაროლი

კომპანიების დიდ ნაწილში თავდამსხმელი ქსელში პირველ წვდომას იღებს არა სერვერის გატეხვით, არამედ მომხმარებლის ანგარიშით. თანამშრომელი შეიძლება შევიდეს ყალბ Microsoft 365-ის, საბანკო სისტემის ან დოკუმენტების გაზიარების გვერდზე და თავად გადასცეს ავტორიზაციის მონაცემები.

პაროლების პოლიტიკა აუცილებელია, თუმცა მხოლოდ სიგრძის მოთხოვნა საკმარისი არ არის. თანამშრომლებს სჭირდებათ უნიკალური, გრძელი პაროლები და პაროლების მენეჯერის გამოყენება. უფრო მნიშვნელოვანი ნაბიჯია მრავალფაქტორიანი ავთენტიფიკაცია — განსაკუთრებით ელფოსტაზე, VPN-ზე, დისტანციურ სამუშაო გარემოზე, ადმინისტრაციულ პანელებსა და ღრუბლოვან პლატფორმებზე.

წვდომა უნდა გაიცეს მინიმალური პრივილეგიის პრინციპით. გაყიდვების მენეჯერს არ სჭირდება სერვერის ადმინისტრატორის უფლებები, ხოლო გარე ბუღალტერს არ უნდა ჰქონდეს წვდომა ყველა შიდა საქაღალდეზე. თანამშრომლის პოზიციის შეცვლის ან კომპანიიდან წასვლის დღეს ანგარიშის გამორთვა და უფლებების გადახედვა ისეთივე მნიშვნელოვანი ოპერაციაა, როგორც ახალი თანამშრომლისთვის კომპიუტერის მომზადება.

ელფოსტა და ფიშინგი

ფიშინგი ტექნიკური და ადამიანური პრობლემის გადაკვეთაა. ელფოსტის ფილტრები ამცირებს საფრთხეს, მაგრამ ვერ აჩერებს ყველა დამაჯერებელ შეტყობინებას. ამიტომ თანამშრომლებმა უნდა იცოდნენ, როგორ შეამოწმონ გამომგზავნის დომენი, გადახდის რეკვიზიტების ცვლილების მოთხოვნა, საეჭვო დანართები და გადაუდებლობის ხელოვნურად შექმნილი ტექსტი.

სასარგებლოა მარტივი შიდა წესი: გადახდის, საბანკო ანგარიშის ცვლილების, ხელშეკრულების ან პაროლის მოთხოვნა მოწმდება მეორე არხით — ზარით, შიდა ჩატით ან წინასწარ ცნობილ კონტაქტთან. ეს წესი ბევრ ბიზნეს-ელფოსტის კომპრომეტირების (BEC) შემთხვევას აჩერებს, მიუხედავად იმისა, თუ რამდენად დამაჯერებლად გამოიყურება წერილი.

სამუშაო სადგურები: დაცვა და მართვადობა ერთად

ბიზნეს-კომპიუტერი მხოლოდ წარმადობის მიხედვით არ უნდა შეირჩეს. მოწყობილობას სჭირდება მხარდაჭერილი ოპერაციული სისტემა, TPM მოდული, დისკის შიფრაციის შესაძლებლობა, ცენტრალიზებული მართვა და მწარმოებლის გრძელვადიანი სერვისი. განსაკუთრებით მნიშვნელოვანია ეს ჰიბრიდული მუშაობისას, როდესაც ლეპტოპი ხშირად ტოვებს ოფისს და უკავშირდება სხვადასხვა ქსელს.

ყველა სამუშაო სადგურზე უნდა იყოს ჩართული დისკის შიფრაცია. დაკარგული ან მოპარული ლეპტოპი ამ შემთხვევაში მაინც არ ნიშნავს ავტომატურად მომხმარებელთა ბაზის, კომერციული შეთავაზებების ან ფინანსური ფაილების გაჟონვას. ასევე საჭიროა ეკრანის ავტომატური დაბლოკვა, ოპერაციული სისტემისა და ბრაუზერის განახლებები და თანამედროვე Endpoint-დაცვის გადაწყვეტა.

ანტივირუსი სასარგებლოა, მაგრამ მისი დანიშნულება სწორად უნდა განისაზღვროს. ორგანიზაციას სჭირდება არა მხოლოდ მავნე ფაილის აღმოჩენა, არამედ შეტყობინება უცნაური ქცევის შესახებ: ფაილების მასობრივი დაშიფვრა, საეჭვო PowerShell-ბრძანებები, ადმინისტრაციული უფლებების მოულოდნელი გამოყენება ან უცნობ სერვერთან კავშირი. 20-ზე მეტი მოწყობილობის შემთხვევაში ცენტრალური მართვის კონსოლი მნიშვნელოვნად ამარტივებს პოლიტიკების, განახლებებისა და ინციდენტების კონტროლს.

ქსელის სეგმენტაცია ამცირებს ზარალს

ერთიანი, ბრტყელი ქსელი მოსახერხებელია დასაწყისში, მაგრამ სარისკოა ზრდასთან ერთად. თუ სტუმრების Wi-Fi, კამერები, სალაროები, პრინტერები და თანამშრომლების კომპიუტერები ერთ სეგმენტში მუშაობს, ერთი კომპრომეტირებული მოწყობილობიდან თავდამსხმელს გვერდითი გადაადგილება (lateral movement) უადვილდება.

ქსელის დაყოფა VLAN-ებად ამ პრობლემას პრაქტიკულად აგვარებს. თანამშრომლების მოწყობილობები, სტუმრების ქსელი, VoIP-ტელეფონები, ვიდეოთვალთვალი, სერვერები და მართვის ინტერფეისები ერთმანეთისგან უნდა იყოს გამოყოფილი, ხოლო მათ შორის დაშვებული კავშირები მკაფიო წესებით განისაზღვროს. ამისთვის საჭიროა მართვადი კომუტატორები, სწორად კონფიგურირებული firewall და ქსელის დოკუმენტაცია.

დისტანციური წვდომა ცალკე ყურადღებას მოითხოვს. სერვერის ან ქსელური მოწყობილობის ადმინისტრაციული პანელის ინტერნეტში პირდაპირ გახსნა დაუშვებელია. VPN, მრავალფაქტორიანი ავთენტიფიკაცია, შეზღუდული IP-წვდომა და ადმინისტრაციული ჟურნალების (logs) მონიტორინგი ბევრად უსაფრთხო მოდელია. კონკრეტული გადაწყვეტა დამოკიდებულია თანამშრომლების რაოდენობაზე, ფილიალების არქიტექტურასა და იმაზე, გამოიყენება თუ არა შიდა სისტემები თუ ღრუბლოვანი სერვისები.

სარეზერვო ასლი უნდა იყოს აღდგენადი

რანსომვერის (გამოსასყიდის მომთხოვნი ვირუსის) დროს ყველაზე მნიშვნელოვანი კითხვა არ არის „გვაქვს თუ არა ბექაფი?“, არამედ „რამდენ ხანში და სრულად აღვადგენთ თუ არა ოპერაციებს?“. სარეზერვო ასლი, რომელიც იმავე ქსელშია მუდმივად ხელმისაწვდომი, შეიძლება თავდამსხმელმა დაშიფროს ძირითად მონაცემებთან ერთად.

პრაქტიკული მიდგომაა 3-2-1 პრინციპი: მონაცემთა მინიმუმ სამი ასლი, ორი განსხვავებული ტიპის საცავზე და ერთი ასლი ოფისის ან ძირითადი ინფრასტრუქტურის გარეთ. კრიტიკული სისტემებისთვის საჭიროა ასლების უცვლად შენახვის (immutability) ფუნქცია, დაშიფვრა და ცალკე ადმინისტრაციული ანგარიშები. ფაილების ბექაფი, ვირტუალური მანქანების snapshot-ები და მონაცემთა ბაზის ლოგიკური ასლები ერთმანეთის შემცვლელი ყოველთვის არ არის.

აღდგენა უნდა შემოწმდეს გრაფიკით. მაგალითად, საბუღალტრო მონაცემთა ბაზის ან ფაილური სერვერის ასლი შეიძლება არსებობდეს, მაგრამ რეალურ აღდგენაზე გამოვლინდეს არასწორი წვდომის უფლებები, დაზიანებული არქივი ან არასაკმარისი საცავის მოცულობა. ტესტი აჩვენებს როგორც ტექნიკურ პრობლემას, ისე ბიზნესის მისაღებ შეჩერების პერიოდს.

აღდგენის გეგმა ტექნოლოგიაზე მეტია

ინტერნეტის გათიშვა, დისკის მწყობრიდან გამოსვლა, ელექტროენერგიის პრობლემა და კიბერინციდენტი სხვადასხვა მოვლენაა, თუმცა ყველა მათგანი საოპერაციო უწყვეტობაზე მოქმედებს. UPS სისტემა სერვერსა და ქსელურ მოწყობილობას იცავს ძაბვის რყევისა და მოკლე გათიშვისგან, მაგრამ ის არ ანაცვლებს ბექაფს. RAID ამცირებს ერთი დისკის დაზიანებით გამოწვეულ რისკს, მაგრამ არც ის არის ბექაფი.

კომპანიამ წინასწარ უნდა განსაზღვროს, ვინ იღებს გადაწყვეტილებას ინციდენტის დროს, ვინ თიშავს კომპრომეტირებულ მოწყობილობას, როგორ ხდება თანამშრომლების ინფორმირება და რომელ სისტემას ენიჭება აღდგენის პირველი პრიორიტეტი. მცირე ბიზნესშიც კი ერთგვერდიანი, განახლებული რეაგირების გეგმა ბევრად ეფექტიანია, ვიდრე კრიზისის დროს სპონტანური კომუნიკაცია.

კიბერუსაფრთხოებაში შესყიდვა უნდა ემსახურებოდეს არქიტექტურას

ინფრასტრუქტურის შესყიდვისას ყველაზე იაფი მოწყობილობა ყოველთვის ყველაზე დაბალი ღირებულების არჩევანი არ არის. მხარდაჭერის ვადის, სათადარიგო ნაწილების, გარანტიის, ენერგომოხმარების, მართვადობისა და თავსებადობის გათვალისწინება ხშირად ამცირებს ხანგრძლივ საოპერაციო ხარჯს. მაგალითად, მართვადი კომუტატორი VLAN-ებითა და ცენტრალური მონიტორინგით შესაძლოა თავდაპირველად უფრო ძვირი ჩანდეს, მაგრამ ქსელის გაყოფას, პრობლემის დიაგნოსტიკასა და მომავალ გაფართოებას ამარტივებს.

იგივე მიდგომა ვრცელდება სერვერებზე, საცავებსა და სამუშაო სადგურებზე. სწორად შერჩეული ბიზნეს-კლასის ტექნიკა ქმნის წინაპირობას, რომ შიფრაცია, განახლებები, წვდომის კონტროლი და მონიტორინგი სტანდარტულად იმუშაოს და არ დარჩეს ცალკეული თანამშრომლის მეხსიერებაზე დამოკიდებული.

დაცვა იწყება არა ყველაზე ძვირი უსაფრთხოების პროდუქტით, არამედ ზუსტად ჩამოყალიბებული სურათით: რომელი მონაცემები გაჩერებს ბიზნესს, ვინ იყენებს მათ და როგორ აღადგენთ მათ ხვალ დილით. ამ სამ კითხვაზე მკაფიო პასუხი უკვე სწორი ტექნიკური გადაწყვეტილებებისკენ მიგითითებთ.