Нові аспекти кібербезпеки в умовах віддаленої роботи

У міру того, як COVID-19 поширювався світом, компанії були змушені швидко переключитися на віддалену роботу. Дехто вже мав необхідну інфраструктуру, яка стала підґрунтям для цього переходу. Згідно зі статистикою US Bureau of Labor Statistics, за 2017–2018 рр. близько 29% американців вже мали можливість працювати з дому, але мало хто з цих компаній підтримував віддалену роботу в таких масштабах раніше. Інші виявились зовсім не підготовленими і налаштовували процеси вже на ходу. У такому середовищі змін питання кібербезпеки підприємств значно ускладняються, а кіберризики вищі, ніж будь-коли. Те, як компанії впораються з цією проблемою, визначить їхню здатність до нормального функціонування у сьогоденні й набуття нових можливостей після зняття обмежень щодо роботи з дому.

Глобальний лідер практики управління ризиками «Делойт» Емілі Моссбург поділилася своїм поглядом на виклики, що постають перед компаніями усього світу в нових умовах – new normal для Forbes. Переклав та адаптував текст українською мовою Юрій Гудзь, менеджер послуг з технологічних ризиків та ризиків даних «Делойт» в Україні спеціально для КО.

Довідка про автора: Емілі Моссбург обіймає у «Делойт» посаду глобального лідера з кіберзахисту. Професіонал з кібербезпеки з двадцятирічним досвідом, Емілі здійснювала супровід і надавала консультації низці клієнтів, які провадять свою діяльність в різних галузях економіки. Супровід включає в себе реалізацію нових процесів та рішень у таких сферах, як ризики втрати даних, реагування на інциденти та витік даних, а також кіберстійкість. Раніше Емілі керувала напрямом з надання консультацій та впровадження рішень у кіберпрактиці «Делойт» у США, де вона очолювала підрозділ з розробки та реалізації кіберрішень, призначених для кращого узгодження стратегії та інвестицій в управління кіберризиками зі стратегічними бізнес-пріоритетами, поліпшення обізнаності про загрози та їхню видимість, а також зміцнення здатності благополучно розвиватися в умовах кіберінцидентів.

Емілі є визнаним у світі лідером з питань кібербезпеки. Нещодавно Cybersecurity Ventures назвав (PDF, EN) її однією зі «100 дивовижних жінок, які борються з кіберзлочинністю».

Адаптація до віддаленої роботи

Незважаючи на те, що горизонти цифрових загроз постійно розширюються, ключовим елементом пазлу кібербезпеки залишаються кінцеві точки (endpoints). Це пристрої користувачів, приєднані до мережі компанії, кожен з яких може бути використаним для розкриття даних організації. Якщо проаналізувати типові офісні конфігурації, виявиться, що кінцеві точки досить легко відстежити – це комп’ютери, мобільні пристрої, сервери, смарт-пристрої тощо. З усіма цими пристроями під одним дахом та за допомогою IT відділів в офісі організації можуть забезпечити належні практики щодо кіберзахисту, залишаючись поза ризиками.

Але небачене збільшення кількості віддалених робітників руйнує цей баланс. Чим більше кінцевих точок, тим складнішим повинен бути підхід до безпеки. Разом з мільйонами працівників, які підключають ноутбуки та мобільні пристрої до своїх мереж, за експонентною зростають і кіберризики. Більшість персональних пристроїв не мають тих засобів захисту, якими оснащені пристрої компанії. Крім того, багато компаній навіть не підозрюють, які пристрої підключені до їхніх систем. Обізнаність щодо наявності та місцезнаходження ваших активів, а також щодо захисту, якого вони потребують, – це основа захищеності компанії. Великий ризик для компанії становить і те, що деякі працівники не розуміють природу кіберзагроз й не усвідомлюють, що певні їхні дії можуть створити одну з них.

У міру того, як компанії пристосовуються до цього безпрецедентного виклику, їхні керівники повинні відповісти на три основні питання:

• чи може моя компанія виявляти та реагувати на кіберзагрози, а також відновлюватися після кіберінцидентів, і як кожна з цих здатностей змінюється щодо загроз, пов’язаних з віддаленою роботою;
• які активи є критичними для нашої компанії (що нам потрібно захистити –інформацію клієнтів, інтелектуальну власність, важливі апаратні системі тощо);
• чи є в моїй компанії культура кіберзахисту і чи навчені наші співробітники розпізнавати кіберінциденти й запобігати їм незалежно від їхнього робочого місця.

Підвищення рівня кіберобізнаності серед працівників

Багато організацій мають політики безпеки та можливості керувати популярними загрозами, тому більшість піде простим шляхом підтримки вже наявних систем. Однак цього може бути недостатньо для стримування ризиків, перелік яких постійно поповнюється. Приміром, з 13 по 26 березня цього року було виявлено понад 400 тис. фішингових листів на тему COVID-19 (PDF, EN). У відповідь на таку статистику американські й британськи органи розвідки опублікували спільне повідомлення, в якому попереджають про дії кіберзлочинців, які, використовуючи пандемію, націлили на компанії та окремих користувачів своє зловмисне програмне забезпечення.

Один клік працівника може становити загрозу для даних усієї компанії, тому організаціям вкрай необхідно переоцінити всі існуючі кінцеві точки на предмет вразливостей. Також належним чином повинні бути захищені всі нещодавно прийняті хмарні рішення та інструменти для відеоконференцій. Без ефективного контролю (PDF, EN) безпеки кіберзлочинці можуть приєднуватися до ділових зустрічей та/чи мати доступ до конфіденційної інформації, що зберігається у хмарних сервісах.

Ключовим фактором успішної екосистеми віддаленої роботи є розуміння працівників їхньої ролі у забезпеченні кібербезпеки. Особиста відповідальність та обізнаність – важливі складники програми кіберризиків кожної організації. Командам, що спеціалізуються на кіберзахисті, потрібно співпрацювати з керівництвом для заохочення комунікації та навчання кращих практик і політик кібербезпеки компанії, а також планів щодо реагування на інциденти. Щоб мати можливість швидше і стійкіше реагувати на кібератаки, необхідно:

• розробити й застосовувати план реагування на кіберінциденти для навчання і тренування працівників. Це допоможе запобігти кібер-інцидентам та уникненню поширення дезінформації;
• підвищити обізнаність працівників про кіберзагрози від фішинг-кампаній в електронних листах, де можуть вимагати гроші;
• вимкнути непідтверджені персональні пристрої з корпоративних мереж і переконатися, що програмне забезпечення корпоративного захисту встановлено на затверджених пристроях до їх підключення у мережу.

Прийняття «кіберреальності»

Криза COVID-19 спричинила кризу в багатьох компаніях, і тепер вони змушені переключитися на режим ‘new normal’. Оскільки мільйони співробітників працюють з дому, керівники підприємств хочуть зосередитися виключно на підтримці операційної спроможності та функціональності за будь-яку ціну. Однак, якщо кібербезпека не буде вбудована у їхні плани відновлення після COVID-19, організації можуть бути серйозно скомпрометовані в короткостроковій перспективі й мають ризик не встояти у світі, де всі готові до нових викликів чи можливостей. Зараз організаціям як ніколи важливо зрозуміти, що кібертехнології скрізь, тому треба розглядати їх як ланцюг, що об'єднує їх організацію, клієнтів, постачальників та громади, дозволяючи інтегрувати кібераспекти у стратегічні рішення, які організації приймають щодня.

У своїй більшості вимушене застосування політик роботи з дому підштовхнуло до цифрового перетворення. Можливо, цей період спричинить нову епоху роботи, де кордони між роботою в офісі та з дому зітруться остаточно. Організації, для яких кібербезпека є одним із пріоритетів, будують для себе хороший фундамент на місяці й навіть роки вперед.

Джерело: Forbes

Переклав і адаптував матеріал для КО Юрій Гудзь, менеджер послуг з технологічних ризиків та ризиків даних «Делойт» в Україні.

Окрема подяка Поліні Щітініній, молодшому консультанту департаменту управління ризиками «Делойт» в Україні, за спільну роботу над перекладом.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365