Ze wzrostem wykorzystania internetu jako podstawowego narzędzia pracy znacznie wzrosły zagrożenia dla firmowych danych.
Firmy z sektora MSP zazwyczaj pozostawiają problem bezpieczeństwa administratorowi, nie podnosząc świadomości pracowników w kwestii zagrożeń internetowych. Brakuje w nich nie tylko stałego aktualizowania systemów, ale także szkolenia pracowników w kwestii bezpieczeństwa oraz opracowania procedur postępowania w razie zagrożeń.
Do wzrostu zagrożenia przyczyniają się często sami administratorzy. W małych przedsiębiorstwach stałą praktyką jest na przykład nadużywanie uprawnień administratora przez osoby wykonujące codzienną pracę, co ułatwia zainstalowanie trojanów lub programów szpiegujących w sieci. Do rzadkości należy informowanie pracowników o możliwych konsekwencjach używania komputerów do ściągania plików przez sieć P2P.
— Większość zatrudnionych w ogóle nie zdaje sobie sprawy z zagrożeń albo zbytnio ufa programom ochronnym. Tymczasem sieć nie różni się bardzo od realnego świata. Osoba idąca oświetloną i monitorowaną ulicą jest mniej narażona na niebezpieczeństwo i niespodziewany atak niż wchodząca w ciemne zaułki. Podobnie korzystający z oficjalnych stron są bardziej bezpieczni niż odwiedzający witryny, których zawartość jest nielegalna czy choćby tylko nieoficjalna — mówi Michał Iwan, szef kanału partnerskiego F-Secure.
Sam program antywirusowy już nie wystarczy. Bardzo ważny jest osobny firewall oraz funkcja do walki z programami szpiegującymi (antispyware).
— W obawie o swoje poufne dane coraz częściej zwraca się również uwagę, czy program zawiera moduł do walki ze zjawiskiem phishingu, polegającym na wykradaniu poufnych danych, np. bankowych — wyjaśnia Piotr Walas z działu technicznego Panda Software.
Innym rozwiązaniem przeciwdziałającym nie tylko próbom przełamania zabezpieczeń, ale również skutkom pomyłek człowieka jest zaawansowane oprogramowanie do automatyzacji procesów bezpieczeństwa.
— Taki dedykowany system informatyczny minimalizuje wpływ tzw. czynnika ludzkiego — pomyłki, działania nieumyślnego, np. otworzenia załączonego do e-maila pliku z wirusami, działania celowego, np. włamania. Im większa infrastruktura, tym bardziej w obszarze zarządzania wymagane są rozwiązania zautomatyzowane — zaznacza Marcin Fryzik, specjalista oprogramowania Tivoli w IBM Polska.
Oprogramowanie mające na celu autoryzację procesów „obronnych” wspomaga egzekwowanie stosowania zaleceń polityki bezpieczeństwa, informuje o bieżącym stanie zabezpieczeń w stosunku do wymagań, natychmiast powiadamiając o zdarzeniu krytycznym, bez względu na źródło wystąpienia.
Stopień ryzyka
Przede wszystkim należy pamiętać, że to bezpieczeństwo jest dla biznesu, a nie odwrotnie. Dlatego też zawsze powinno się dostosowywać środki adekwatnie do wartości chronionych zasobów i do prawdopodobieństwa wystąpienia zagrożenia.
W jednym z centrów danych w San Jose (Kalifornia) zainstalowano zdublowany generator prądotwórczy, napędzany silnikiem Diesla. W celu skrócenia czasu rozruchu na wypadek przerwy w dostawie prądu maszyna ta ma koło zamachowe bezustannie napędzane silnikiem elektrycznym. Koszt takiego generatora to około 1 mln USD. Jeżeli więc ktoś zdecydował o takiej inwestycji, to znaczy, że umowy z klientami przewidują odpowiednio wysokie opłaty za zapewnienie ciągłości działania i odpowiednie kary za brak ciągłości. Trudno wymagać takiego poziomu usługi od właściciela np. kafejki internetowej, tam zapewne wystarczy UPS.
Filip Rościszewski z grupy bezpieczeństwa w Altkom Akademia
