Beztroscy pracownicy są zagrożeniem dla firm

Czy pracownicy używający urządzeń mobilnych (czyli niemal wszyscy) mogą być zagrożeniem dla swoich firm? Niestety tak. Urządzenia mobilne umożliwiające zdalny dostęp do firmowej infrastruktury są słabym punktem bezpieczeństwa firmowych sieci. Potwierdzają to badania amerykańskiej organizacji Computing Technology Industry Association (CompTIA).

Z danych wynika, że obecnie ponad połowa przedsiębiorstw na świecie trzyma poufne dane na mobilnych urządzeniach pracowniczych. Według analiz Check Point, już 93 proc. pracowników korzysta z możliwości łączenia się z firmową siecią za pomocą takiego sprzętu. Wszystko to powoduje, że wzmaga się aktywność hakerów polujących na firmowe dane. Na ich celowniku są nie tylko korporacje, ale również małe i średnie przedsiębiorstwa.

Dekada z wirusami

Potencjalnie każdy tablet czy smartfon może zostać zaatakowany przez złośliwy kod tak samo jak komputer. A przecież są to narzędzia pracy, na których przechowuje się cenne dane. Nie powinny więc pozostawać bez ochrony. Niedawno Cisco opublikowało raport dotyczący bezpieczeństwa (Cisco 2014 Annual Security Report), w którym używanie przez pracowników prywatnych urządzeń mobilnych do celów służbowych zostało uznane za jedno z podstawowych zagrożeń dla przedsiębiorstw.

Telefony komórkowe już dawno przestały być sprzętem omijanym przez cyberataki. 10 lat temu, w 2004 r., pojawił się pierwszy robak, Cabir. Od 2010 r. wysyłanie złośliwego oprogramowania na urządzenia mobilne stało się zorganizowaną działalnością przestępczą na skalę światową. Urządzenia te są atrakcyjne dla przestępców ze względu na coraz powszechniejsze płatności mobilne i możliwość przeniknięcia do firmowych sieci. W dodatku większość smartfonów i tabletów jest wyposażona w takie funkcje jak geolokalizacja, mikrofon, wbudowany odbiornik GPS, kamera. Wszystko to otwiera szerokie możliwości szpiegowania użytkowników.

W 2013 r. ataki na platformy mobilne stały się w pełni profesjonalne. Pojawił się m.in. FakeDefend – pierwsze oprogramowanie typu ransomware na telefony z systemem Android. Jest to koń trojański, który (tak jak fałszywe programy antywirusowe na PC) blokuje urządzenie i żąda od ofiary zapłacenia okupu.

Najbardziej zagrożone są urządzenia wykorzystujące system operacyjny Android. Jak wynika z raportu „Blurring Boundaries: Trend Micro Security Predictions for 2014 and Beyond", liczba złośliwych aplikacji oraz programów „wysokiego ryzyka" wymierzonych w system Android w 2014 r. wzrośnie do 3 mln.

Nie oznacza to jednak, że użytkownicy iPhonów czy iPadów mogą się czuć bezpieczni. Ich rosnąca sprzedaż (31 mln iPhone'ów i 15 mln iPadów w IV kwartale 2013 r.) powoduje, że cyberprzestępcy stają się aktywniejsi. Produkty Microsoft są również zagrożone. Złośliwe programy atakują też system Windows.

Według raportu CompTIA, aż 60 proc. respondentów przyznało się do problemów z naruszeniem bezpieczeństwa z powodu korzystania z  handheldów, smartfonów czy notebooków. Niestety, firmy nie reagują odpowiednio na nowe zagrożenia. Z kolei użytkownicy urządzeń mobilnych nie doceniają niebezpieczeństwa.

Według badania Harris Interactive wykonanego na zlecenie organizacji CTIA, mniej niż połowa użytkowników sprzętu mobilnego w ogóle korzysta z tak banalnych zabezpieczeń jak hasła czy numery PIN. Ludzie wykazują się dużą beztroską podczas korzystania z publicznych sieci Wi-Fi. Wchodzą za ich pomocą na strony banków i do systemów firmowych, przeglądają firmową pocztę elektroniczną.

Aplikacje monitorujące

Jak bronić danych przedsiębiorstwa?

– Bezpieczeństwo zależy od kilku czynników. Potrzebne jest zintegrowane zarządzanie flotą urządzeń mobilnych. Zdalny dostęp powinien odbywać się na podstawie uprawnień. Przesył danych powinien być kontrolowany m.in. poprzez zdalne tworzenie kopii zapasowych oraz usuwanie danych w razie zgubienia lub kradzieży np. smartfona czy tabletu – mówi Adam Goljan, ekspert ds. rozwiązań mobilnych w SAP Polska.

Połączenia z firmową siecią powinny być realizowane przede wszystkim przy użyciu oprogramowania VPN (szyfrowanie połączeń). Jest to dobra i skuteczna forma ochrony. Cały przepływ danych jest zabezpieczany przez centralne systemy zapór ogniowych. Do tego dochodzi odpowiednia aplikacja, filtrowanie web, ochrona antywirusowa.

– Istnieją komercyjne rozwiązania do zabezpieczenia sieci. Jednak najprostszą i najtańszą metodą, która może przynieść spore korzyści, jest wydzielenie odrębnej sieci dla urządzeń mobilnych i wprowadzenie zabezpieczeń w ramach tej sieci – mówi Aleksander Kijewski, kierownik ds. IT w  EMC Poland.

Coraz częściej polskie firmy sięgają po oprogramowanie do zarządzania platformami mobilnymi, czyli MDM (mobile device management) oraz integrują te rozwiązania z systemami kontroli dostępu do sieci bezprzewodowej w przedsiębiorstwie. Oprogramowanie MDM nie musi być drogie. Coraz częściej można z niego korzystać bez opłat w chmurze (np. Cisco Cloud Networking Meraki, SAP Afaria i wiele innych). Jest to bardzo dobre rozwiązanie dla małych i średnich firm.

– Na rynku dostępne są także rozwiązania do monitorowania pracy na serwerach firmowych bez konieczności instalowania oprogramowania na urządzeniach pracowników. Dzięki rejestracji i bieżącej analizie poczynań użytkowników możemy szybko reagować na podejrzane działania – mówi Paweł Jakub Dawidek z Wheel Systems.

Po pierwsze edukacja

Ważnym elementem polityki bezpieczeństwa firmowych sieci są szkolenia. W większości przedsiębiorstw, które nie mają specjalnych wymagań dotyczących ochrony informacji, proces edukacji powinien być raczej nastawiony na uświadamianie pracowników, jakie zagrożenia wiążą się z technologiami mobilnymi i jakie proste zabiegi mogą je skutecznie ograniczyć (choć nie wyeliminują całkowicie ryzyka). Niestety, według CmopTIA jedynie co trzecie przedsiębiorstwo prowadzi jakiekolwiek szkolenia dla załogi z zakresu bezpieczeństwa. Tylko 10 proc. firm planuje przeprowadzenie szkoleń dotyczących korzystania z urządzeń mobilnych. Warto podkreślić, że 90 proc. przedsiębiorstw, które zorganizowały takie szkolenia, odnotowało wyraźny spadek incydentów związanych z bezpieczeństwem.

Powiedzieli dla „Rz"

Tomasz Pietrzyk | inżynier systemowy w firmie FireEye