Τους τελευταίους μήνες, όλοι μας ζούμε μία πρωτοφανή παγκόσμια κρίση που έχει οδηγήσει δισεκατομμύρια ανθρώπους να υποχωρήσουν για λόγους ασφάλειας στα σπίτια τους στο πλαίσιο της κοινωνικής αποστασιοποίησης για να ανακοπεί επιτυχώς η εξάπλωση του νέου κορωνοϊού SARS–CoV-2 που προκαλεί τη νόσο COVID-19. Η πανδημία του κορωνοϊού έχει αναγκάσει οργανισμούς και επιχειρήσεις σε όλο το πλανήτη να έρθουν αντιμέτωπες με ένα νέο εργασιακό και τεχνολογικό περιβάλλον, για το οποίο ελάχιστες ήταν πραγματικά έτοιμες.
Γιώργος Καπανίρης
Executive Director , NSS
www.nss.gr
Οι σημερινές εταιρείες έπρεπε να διερευνήσουν και τελικά να ενεργοποιήσουν, την «απομακρυσμένη εργασία» για να συνεχίσουν να λειτουργούν και να λειτουργούν ακόμα και κάτω από αυτές τις πρωτόγνωρες για την ανθρωπότητα συνθήκες.
Από τη στιγμή που υπάρχει θέληση και επιμονή όλα είναι απολύτως εφικτά μέσω της τεχνολογίας, των αυτοματοποιημένων διαδικασιών και των εφαρμογών που βρίσκονται στη διάθεση των εταιρειών και των υπαλλήλων τους, ώστε να συνεχίσουν να θριαμβεύουν στην «εποχή του κορωνοϊού». Όμως, παρόλο που υπάρχουν όλα όσα χρειάζεστε για να εφαρμόσετε την «απομακρυσμένη εργασία», υπάρχουν παγίδες και πολλά προβλήματα που πρέπει να λάβετε υπόψη σας ώστε να βοηθήσετε τους υπαλλήλους και τους χρήστες σας να παραμείνουν ασφαλείς και παραγωγικοί, αλλά παράλληλα και τα δεδομένα και περιουσιακά στοιχεία της εταιρείας να είναι προστατευμένα και ασφαλή.
Βέλτιστες πρακτικές
Αρχικά, θα πρέπει να διευκολύνετε τους υπαλλήλους σας να ξεκινήσουν και να εφαρμόσουν όσα χρειάζονται για την ενεργοποίηση της «απομακρυσμένης εργασίας.
Αυτό σημαίνει ότι οι απομακρυσμένοι χρήστες ενδέχεται να χρειαστεί να «ρυθμίσουν» τις συσκευές τους ή να τους δοθούν προ-διαμορφωμένες και προ-ρυθμισμένες εταιρικές συσκευές, για να συνδεθούν με τους σημαντικούς εταιρικούς πόρους και υπηρεσίες (email, εσωτερικές εταιρικές εφαρμογές, υπηρεσίες, CRM κλπ.).
Επιπλέον, θα πρέπει το λογισμικό και τα μέσα που χρησιμοποιείτε να είναι όσο το δυνατόν απλούστερα στη χρήση, καθώς το τμήμα πληροφορικής δεν θα έχει φυσική πρόσβαση στις συσκευές. Αναζητήστε προϊόντα (ασφάλειας κ.λπ) που προσφέρουν μια πύλη αυτοεξυπηρέτησης (Self Service Portal ή SSP) που επιτρέπει στους χρήστες να κάνουν όσα πράγματα είναι απαραίτητο να γίνουν μόνοι τους.
Έπειτα, βεβαιωθείτε ότι οι συσκευές και τα συστήματα είναι πλήρως προστατευμένα. Ακολουθήστε λοιπόν τις πολύτιμες, βασικές πρακτικές ασφαλείας και διασφαλίστε ότι όλες οι συσκευές, τα λειτουργικά συστήματα και οι εφαρμογές λογισμικού είναι ενημερωμένες (με τα τελευταία patches και ότι βρίσκονται στις πλέον σύγχρονες εκδόσεις τους). Μην ξεχνάτε ότι το κακόβουλο λογισμικό συχνά παραβιάζει τις αμυντικές ικανότητες ενός οργανισμού μέσω μιας συσκευής που δεν είναι «ενημερωμένη» ή που δεν είναι προστατευμένη. Αν υπάρχει η δυνατότητα μπορείτε να ενεργοποιήσετε τη διαδικασία αυτόματης ενημέρωσης για όλες τις εφαρμογές.
Για να διασφαλίσετε ότι όλα τα εταιρικά αλλά και προσωπικά δεδομένα των χρηστών είναι ασφαλή και προστατευμένα σε περίπτωση απώλειας, κλοπής ή παραβίασης της συσκευής, φροντίστε όταν είναι δυνατόν, να είναι κρυπτογραφημένες. Άλλωστε δεν είναι μυστικό, ότι όταν οι άνθρωποι βρίσκονται εκτός γραφείου, ο κίνδυνος να χαθούν ή να κλαπούν συσκευές είναι μεγαλύτερος. Για παράδειγμα, υπάρχουν περιπτώσεις που υπάλληλοι έχουν ξέχασαν το κινητό τους σε καφετέριες ή σε ταξί και αυτοκίνητα ενώ δεν είναι λίγες οι κλοπές που έχουν γίνει όταν οι εταιρικές συσκευές μένουν δίχως επιτήρηση ακόμα και για μικρό διάστημα.
Εργαλεία υλοποίησης
Οι περισσότερες συσκευές περιλαμβάνουν διάφορα εργαλεία κρυπτογράφησης, όπως το BitLocker για Windows και το Filevault για Mac οπότε φροντίστε χρησιμοποιούνται. Αυτή τη χρονική περίοδο, και επειδή υπάρχουν μέτρα απαγόρευσης της κυκλοφορίας και του αυτοπεριορισμού λόγω της πανδημίας του κορωνοϊού, οι εταιρικές συσκευές παραμένουν στα σπίτια. Σε κάθε περίπτωση ωστόσο, καλό είναι να πάρετε τα μέτρα σας αφού δεν κινδυνεύουν λιγότερο σε καμία περίπτωση. Οι φορητές συσκευές (κινητά, tablet, laptops κ.λπ) κινδυνεύουν σε κάθε περίπτωση περισσότερο από το να χαθούν ή να κλαπούν οπότε θα πρέπει να έχετε διασφαλίσει ότι είστε σε θέση να τις κλειδώσετε ή να τις διαγράψετε σε περίπτωση απώλειας ή κλοπής. Εφαρμόστε τους περιορισμούς εγκατάστασης εφαρμογών και μια λύση Endpoint Management για τη διαχείριση και τη προστασία των φορητών εταιρικών συσκευών. Το Sophos Endpoint αλλά και το Sophos Mobile που διατίθενται μέσω της κεντρικής κονσόλας το Sophos Central στο Cloud, είναι η απόλυτη λύση διαχείρισης και προστασίας φορητών συσκευών.
Η χρήση ενός εικονικού ιδιωτικού δικτύου (VPN) εξασφαλίζει ότι όλα τα δεδομένα που μεταφέρονται μεταξύ των οικιακών χρηστών και του εταιρικού δικτύου είναι κρυπτογραφημένα και προστατευμένα κατά τη διακίνησή τους. Επιπλέον, μία σύνδεση VPN διευκολύνει τους υπαλλήλους να κάνουν τη δουλειά τους ευκολότερα. Φροντίστε επίσης να κάνετε ξεκάθαρο στους υπαλλήλους σας ότι θα πρέπει να είναι ιδιαίτερα προσεκτικοί στη χρήση του ηλεκτρονικού ταχυδρομείου και πως πρέπει να ακολουθούν τις βέλτιστες πρακτικές. Η εργασία από το σπίτι οδηγεί σε μεγάλη αύξηση του αριθμού των μηνυμάτων ηλεκτρονικού ταχυδρομείου, καθώς οι άνθρωποι δεν έχουν τη δυνατότητα πλέον να συνομιλούν σε προσωπικό επίπεδο έχοντας φυσική επαφή με τους συναδέλφους τους. Και επειδή, οι κυβερνοεγκληματίες το γνωρίζουν αυτό, έχουν ήδη ξεκινήσει να χρησιμοποιούν τον κορωνοϊό σε μηνύματα ηλεκτρονικού ψαρέματος (phishing emails) εκμεταλλευόμενοι τον φόβο που υπάρχει ή την αγωνία για περισσότερη πληροφορία με στόχο να προσελκύσουν τους χρήστες να κάνουν κλικ σε κακόβουλους συνδέσμους. Βεβαιωθείτε ότι η προστασία του ηλεκτρονικού ταχυδρομείου σας είναι ενημερωμένη και είναι σε θέση να σας προστατεύσει σε ότι αφορά το ηλεκτρονικό «ψάρεμα» (phishing).
Η εφαρμογή φιλτραρίσματος ιστού (web filtering) στις εταιρικές συσκευές είναι επίσης κρίσιμης σημασίας και εξασφαλίζει ότι οι χρήστες μπορούν να έχουν πρόσβαση μόνο σε περιεχόμενο κατάλληλο για «εργασία» ενώ ταυτόχρονα θα παραμείνουν μακριά από κακόβουλους ιστοτόπους που μπορεί να αποτελέσουν κίνδυνο για τα εταιρικά δεδομένα. Τα XG Firewall και XG Virtual Firewall της Sophos καθώς και Sophos Central Web Gateway που λειτουργεί 100% στο cloud, αποτελούν τις καλύτερες λύσεις για να κάνετε όλα τα παραπάνω και ακόμα περισσότερα.
Η εργασία από το σπίτι μπορεί να αυξήσει την πιθανότητα σύνδεσης μη ασφαλών συσκευών στους εταιρικούς υπολογιστές, πχ.κατά την αντιγραφή δεδομένων από ένα USB flash drive (USB stick) ή κατά την φόρτιση ενός κινητού που συνδέεται στον υπολογιστή. Έχοντας κατά νου ότι το 14% των απειλών εισέρχεται σε εταιρικούς υπολογιστές ή σε εταιρικά δίκτυα μέσω USB sticks ή άλλων συσκευών περιφερειακής μνήμης, καλό θα είναι να είναι ενεργοποιημένος ο έλεγχος συσκευών (device control) στη λύση Sophos Endpoint Protection που μπορεί να βοηθήσει στο να αποτρέψετε τον κίνδυνο.
Η χρήση κάποιας υπηρεσίας αποθήκευσης στο σύννεφο (cloud storage) επιτρέπει στους χρήστες να έχουν πρόσβαση στα δεδομένα τους όπου και αν βρίσκονται. Μην αφήσετε ωστόσο τα αρχεία και τα δεδομένα σας στο σύννεφο απροστάτευτα ή προσβάσιμα από οποιονδήποτε. Λάβετε μέτρα, ώστε εκείνοι που έχουν πρόσβαση στα εταιρικά δεδομένα είναι σε θέση να πιστοποιήσουν τη ταυτότητα τους. Ο έλεγχος ταυτότητας πολλαπλών παραγόντων (multi factor authentication) είναι απαραίτητος. Επιπλέον, η ενεργοποίηση της διαδικασίας αυτόματης δημιουργίας αντιγράφων ασφαλείας (backup) είναι απολύτως απαραίτητη αν θέλετε να διασφαλίσετε τα δεδομένα σας.
Δεδομένου ότι το προσωπικό εργάζεται από το σπίτι, δεν είναι δυνατόν να έχουν την άμεση βοήθεια του τμήματος πληροφορικής / ασφαλείας στην εταιρεία για να λύσουν κάποιο πρόβλημα που προκύπτουν. Είναι απαραίτητο λοιπόν να παρέχετε στους εργαζόμενους έναν εύκολο και γρήγορο τρόπο αναφοράς ζητημάτων που έχουν σχέση με την ασφάλεια ή ενδεχομένως κάποια λειτουργία. Επίσης πρέπει να υπάρχει εύκολη στη μνήμη διεύθυνση ηλεκτρονικού ταχυδρομείου για την άμεση αναφορά προβλημάτων ασφαλείας πχ. security@company.gr
Λάβετε υπόψη σας, ότι έχοντας ένα τόσο μεγάλο αριθμό ατόμων να εργάζονται από το σπίτι, το λεγόμενο Shadow IT [όπου το προσωπικό και οι υπάλληλοι εκτός του τμήματος πληροφορικής / ασφαλείας βρίσκουν τις δικές τους λύσεις σε προβλήματα που ενδέχεται να εμφανιστούν] πιθανότατα θα αυξηθεί. Η Sophos ανακάλυψε πρόσφατα δημόσια boards στο Trello που εμπεριείχαν ονόματα, μηνύματα ηλεκτρονικού ταχυδρομείου, ημερομηνίες γέννησης, αριθμούς ταυτότητας και πληροφορίες τραπεζικών λογαριασμών. Βεβαιωθείτε ότι οι χρήστες αναφέρουν τη χρήση τέτοιων εργαλείων ή εφαρμογών ή ότι μπορείτε να τα εντοπίσετε και να αποτρέψετε τη χρήση τους. Η τυποποίηση και η έγκριση των εργαλείων που χρησιμοποιούνται εντός της επιχείρησης είναι μία εξαιρετικά σημαντική διαδικασία.
