0
BEZPIECZEŃSTWO ITRaport opracował:                                             W POLSKICH FIRMACHPartnerzy merytoryczni:  ...
Spis treści Stan oblężenia                                           3   że zabezpieczenie mogło kosztować tylko ułamek te...
źródło: sxc.hu                                                                                 Przeglądając media branżowe...
Globalna sieć                                     Utrata danychzagrożeń                                                  C...
Lawinowy rozwój                               Subiektywna ocena skali zagrożeńcyberprzestępczości                         ...
mogą doprowadzić do utraty danych,a ponadto wypadki losowe, zalecamyczęsty backup wszystkich ważniejszych                 ...
źródło: sxc.hu                                                                                  Stare sposoby,            ...
przyciągać uwagi komunikatami, nowymiikonami na pulpicie czy nadmiernym            Sposoby wykorzystywania Internetuobciąż...
się na wszelkiej maści portalach czyforach. Cyberprzestępcy wykorzystują to,           Infekcje komputerówopracowując nowe...
internetowych darmowych skanerówantywirusowych, które podają fałszywe         Wykorzystywane aplikacje biurowewyniki skano...
Świeżym przykładem takiej wiadomościjest informacja wysyłana do użytkownikówserwisu Allegro.pl. Czynnikami mającymi       ...
Certyfikaty na straży                         Podobnie z uwagi na rosnącą w niesamowitym tempie popularność platform prze- ...
źródło: sxc.hu                                                                                 Minęły już czasy, kiedy cyb...
Backup                                              Planowane inwestycje                                                  ...
rzadko doprowadzają do utraty firmowych     późniejszymi przypadkami utraty, bądźdanych.                                   ...
źródło: sxc.hu                                                                                      W ubiegłym roku 40% śr...
Dodajmy także, że najbardziej kosztownenaruszenie bezpieczeństwa wyniosło                                Wykonywanie kopii...
spowodowanych błędem człowieka bądźniefrasobliwością wynikającą                               Znajomość marek (wystawców) ...
dać całkiem wyraźny obraz działania        wszystkim o poufność tych danych. W tym       2,27 miliona funtów. Dodajmy jesz...
źródło: sxc.huBezpieczeństwo                                                                   Sytuacja rozproszenia danyc...
do krytycznych aplikacji biznesowych         Podpisanie przez pracownika stosownego                                       ...
Dodatkowo, w celu zapewnieniaefektywności wdrożonej polityki              Zasady bezpieczeństwa stosowane wobeckonieczne j...
Internetu jest zabroniony. To rozwiązaniejest na drugim miejscu wśród najczęściej                                         ...
Raport Bezpieczenstwo IT w polskich firmach
Raport Bezpieczenstwo IT w polskich firmach
Raport Bezpieczenstwo IT w polskich firmach
Raport Bezpieczenstwo IT w polskich firmach
Raport Bezpieczenstwo IT w polskich firmach
Raport Bezpieczenstwo IT w polskich firmach
Raport Bezpieczenstwo IT w polskich firmach
Raport Bezpieczenstwo IT w polskich firmach
Raport Bezpieczenstwo IT w polskich firmach
Raport Bezpieczenstwo IT w polskich firmach
Raport Bezpieczenstwo IT w polskich firmach
Raport Bezpieczenstwo IT w polskich firmach
Upcoming SlideShare
Loading in...5
×

Raport Bezpieczenstwo IT w polskich firmach

1,354

Published on

Według autorów raportu „BEZPIECZEŃSTWO IT W POLSKICH FIRMACH”, polskie przedsiębiorstwa mają problemy z zapewnieniem bezpieczeństwa IT na odpowiednim poziomie. D-Link Technology Trend 2011

Published in: Technology
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total Views
1,354
On Slideshare
0
From Embeds
0
Number of Embeds
1
Actions
Shares
0
Downloads
16
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

Transcript of "Raport Bezpieczenstwo IT w polskich firmach"

  1. 1. BEZPIECZEŃSTWO ITRaport opracował: W POLSKICH FIRMACHPartnerzy merytoryczni: D-Link Technology Trend RAPORT | STYCZEŃ 2011
  2. 2. Spis treści Stan oblężenia 3 że zabezpieczenie mogło kosztować tylko ułamek tej Przegląd zagrożeń, którym poddane są dziś firmy kwoty. Proste kalkulacje pokazują, że o wiele bardziej wykorzystujące technologie IT. Jaka będzie przyszłość opłacalne jest stosowanie zabezpieczeń. zabezpieczania systemów informatycznych? Jak polskie firmy będę się broniły przed atakami? Bezpieczeństwo Zagrożenia to też rynek! 7 na wynos 21 Rodzaje zagrożeń ciągle ewoluują. Niestety, Masz w firmie użytkowników mobilnych? Korzystają w złym kierunku. Cyberprzestępcy specjalizują się z laptopów i smartfonów? Łączą się zdalnie w wykradaniu naszych danych i przejmowaniu kontroli z wewnętrznymi zasobami przedsiębiorstwa? Lepiej nad kontami w bankach. sprawdź, na co się narażasz i jak możesz temu skutecznie zapobiec. Internet jest dziś bowiem bardzo Jak polskie firmy zainfekowanym środowiskiem. (nie) dbają o bezpieczeństwo Społeczności na celowniku 26 komputerowe? 13 Jeśli myślisz, że pracownicy nie korzystają w pracy Jaka jest świadomość polskich firm? Jaki jest z sieci społecznościowych, to bardzo się mylisz. Robią stan zabezpieczeń? Co robią dziś przedsiębiorcy, to niemal wszyscy, a dla cyberprzestępców to sytuacja a co powinni robić, żeby nie narazić firmy na idealna do ataku. Pokazujemy, jak budować politykę wielomilionowe straty? bezpieczeństwa w tym zakresie. Bezpieczeństwo? Domowe nawyki 31 Dom jest miejscem, w którym powinniśmy się To się po prostu opłaca 17 relaksować. Rozluźniamy w ten sposób również Większość firm uświadamia sobie konieczność nasze podejście do kwestii bezpieczeństwa w Sieci. stosowania zabezpieczeń dopiero w momencie ataku. Pozwalamy na zbyt dużo sobie samym, a co gorsza – Kiedy tracą miliony złotych, doceniają to, również naszym pociechom. 2 © Webhosting.pl | 2011
  3. 3. źródło: sxc.hu Przeglądając media branżowe, coraz częściej możemy się natknąć na informacje o wyciekach danych, bądź poważnych hakerskich atakach, których ofiarą padły duże przedsiębiorstwa. Skłoniło to firmy home.pl i D-Link do zrealizowania badań na temat bezpieczeństwa komputerowego z naciskiem na stan panujący w polskich sieciach firmowych. Wyniki, jakie otrzymała agencja Millward Brown SMG/KRC, potwierdziły przypuszczenia, że za incydentami stoi dość niski poziom zabezpieczeń, z którymi możemy się spotkaćStan oblężenia w polskich przedsiębiorstwach. Tymczasem poziom zagrożeń, z którymi muszą sobie radzić stosowane rozwiązania ochronne, mocno je przewyższa.Rozwój technologii komputerowych pociągnąłza sobą również znaczny wzrost zagrożeń, z jakimi może Szczegółowe wyniki badań znalazły się w kolejnych rozdziałach, opisującychsię spotkać użytkownik. Duża wartość danych konkretne zagrożenia, ale takżeoraz różnorodność form nieuczciwego zarobku sposoby walki z nimi, metody ochrony zasobów firmy i budowania politykiprzyczyniają się do olbrzymiej skali cyberprzestępczości. bezpieczeństwa. Zachęcamy więcZagrożenia potrafią również przybierać bardziej prozaiczne do lektury naszego raportu, mającformy wynikające np. z eksploatacji sprzętu. Nie da się nadzieję, że przyczyni się on do poprawy jakości ochrony danych w polskichukryć, że zapewnienie bezpieczeństwa komputerowego przedsiębiorstwach i zmniejszy liczbęw dużych sieciach to dziś nie lada wyzwanie. incydentów związanych z ich utratą. 3 © Webhosting.pl | 2011
  4. 4. Globalna sieć Utrata danychzagrożeń Czy w Pana(i) firmie doszło kiedykolwiek do utraty danych? Tak Nie Ogółem (n=973) 38 62Internet stał się powszechnym narzędziemcodziennej pracy. Jego zalety ułatwiające zatrudnienia 1-5 pracowników (n=591) 36 64 Wielkośćszybką komunikację, niestety, ułatwiają 6-20 pracowników (n=177) 38 62również różnego rodzaju szkodliwe powyżej 20 pracowników (n=205) 41 59działania. komputerowych 1-5 stanowisk (n=630) 36 64 stanowiskStałe łącze z Internetem w olbrzymi Liczba 6-20 stanowisk (n=180) 37 63sposób zwiększa ryzyko infekcją powyżej 20 stanowisk (n=163) 46 54złośliwym oprogramowaniem. Tą drogąmogą być również podejmowane próby Produkcja (n=83) 35 65 działalnościwłamań do komputera, szpiegowania Handel (n=206) 34 66 Profil firmy Usługi (n=430) 38 62i kradzieży danych. Media i reklama (n=108) 42 58Zrealizowane badania pokazały,że polscy użytkownicy powszechnie po ujawnieniu krytycznej luki aż dostosują podstawowe zabezpieczeniakomputera w postaci programów Łatanie luk momentu jej załatania.antywirusowych i zapór sieciowych. Niestety, nad wyszukiwaniem słabych Dość ważnym czynnikiem powodującym punktów popularnych programów więcejJednak nie oznacza to, że instalacja wzrost ryzyka ataków hakerskich, bądź ludzi pracuje w celu ich nieuczciwegoodpowiednich aplikacji czyni komputer infekcji wirusami są luki wykorzystania niż usunięcia. W tymw 100% bezpiecznym.Różnorodność ataków oraz lawinowy w oprogramowaniu. Czynnik ten jest aspekcie warto zadbać o odpowiedniąprzyrost wirusów, trojanów i innych szczególnie ważny gdyż administratorzy częstotliwość aktualizowaniaszkodliwych programów czynią to zadanie nie mają na niego żadnego wpływu. Mogą oprogramowania, gdyż może to pozwolićzdecydowanie utrudnionym. jedynie blokować daną aplikację uniknąć wielu nieprzyjemnych następstw. 4 © Webhosting.pl | 2011
  5. 5. Lawinowy rozwój Subiektywna ocena skali zagrożeńcyberprzestępczości Prosimy spróbować określić, jak dużym zagrożeniem dla Pańskiej firmy są poniższe zjawiska: 1 - bardzo małe zagrożenie 2 3 4 5 - bardzo duże zagrożenie Średnia Małe Duże zagrożenie zagrożeniePieniądze, które można zarobić naprzestępstwach realizowanych w utrata danych 13 18 26 21 22 3.2 32% 43%Internecie, przyciągają do tego procederucoraz więcej osób. Nie jest to już tylkozajęcie dla młodych, domorosłych ataki cyberprzestępców 19 25 27 18 11 2.8 44% 29%programistów szukających łatwegozarobku. Obecnie jest to świetniezorganizowany proceder nadzorowany kradzież mienia 29 27 21 10 11 2.5 57% 22%przez tradycyjne grupy przestępcze, dlaktórych stała to się kolejna atrakcyjnagałąź dochodów, jak prostytucja czy nielojalność pracowników 40 19 20 11 9 2.3 60% 20%wyłudzenia.Sprawia to, że coraz trudniej zwalczaćdziałalność cyberprzestępczą, chociaż z kont bankowych, a także phishingiem, do ochrony danych. Niemniej, częstopowoływane są do tego kolejne czyli wyłudzaniem danych. podejście do tego tematu jest mocnowyspecjalizowane jednostki odpowiednich ograniczone. W takim wypadku dopierosłużb. Działania grup cyberprzestępczych w momencie zaistnienia incydentu utratyskupiają się w dużej mierze na budowaniuświatowych botnetów, wykorzystywanych Mądry Polak danych przedsiębiorcy przypominają sobie o zapewnieniu odpowiednich procedurpotem do wysyłania spamu, lubprzeprowadzania ataków na kolejne po szkodzie sporządzania kopii zapasowych.komputery. W blisko 40% badanych firm doszło do Działania mające na celu zapewnienie utraty danych. Koszty takich wypadkówSą jednak również komórki specjalizujące bezpieczeństwa komputerowego w mogą sięgać zawrotnych sum. Biorąc podsię w kradzieżach danych, bądź pieniędzy firmach sprowadzają się w dużej mierze uwagę różnorodność czynników, które 5 © Webhosting.pl | 2011
  6. 6. mogą doprowadzić do utraty danych,a ponadto wypadki losowe, zalecamyczęsty backup wszystkich ważniejszych Przyszłość IT security?zasobów dysków firmowych. Patrząc na to, jak dynamicznie zmienia się branża bezpieczeństwa, prawie niemożliwe jest przewidzenie, jak będzie wyglądał rynek IT Security w przyszłości. Ciągle dopieszczane normy i protokołyCzłowiek ważnym bezpieczeństwa, wprowadzane na każdym poziomie modelu ISO/OSI zabezpieczenia softwarowe i sprzętowe (por. wprowadzone niedawno na rynek konsumencki technologie, takie jak sandboxing,elementem DEP/ASLR) sprawiają, że przestępcom jest coraz trudniej pisać skutecz- ne exploity i przejmować kontrolę nad systemami komputerowymi.W gąszczu zagrożeń komputerowychbardzo ważnym elementem jest człowiek. Warto więc zastanowić się, czy ze względu na powyższe nowym celem przestępców nie stanie się człowiek, który odpowiada za dany system„Warto aby użytkownik komputera był komputerowy, często ma większe uprawnienia niż maszyna, którą steruje,świadom istnienia zagrożeń i zasad ich a przede wszystkim nie posiada prawie żadnej ochro-funkcjonowania. Wiedza, która znalazła ny? Większość ataków komputerowych znajduje eko-się w naszym raporcie, na pewno nomiczne uzasadnienie, np. bankowy trojan Zeus za-pomoże tę świadomość zwiększać. implementował metodę ataku na telefony komórkowe,Ponadto, dane zebrane w poszczególnych dopiero wtedy gdy okazało się to opłacalne dla jegoartykułach budują ogólny obraz poziomu twórców. Jestem więc pewien, że w myśl zasady „czło-zabezpieczeń stosowanych w Polsce, wiek najsłabszym ogniwem w łańcuchu bezpieczeń-a konkretne porady i wskazówki stwa” najbliższe lata to czas niedocenianych do tej po-pomogą w opracowaniu odpowiednich ry ataków socjotechnicznych i tzw. spear phishingu.procedur bezpieczeństwa oraz radzeniusobie z zagrożeniami“ – zapewnia Moim zdaniem za dużo pracy wkładamy w zabez- pieczania maszyn, które prędzej czy później i tak zo-Dariusz Nawojczyk, redaktor naczelny Piotr Konieczny stają przełamywane przez crackerów, a za mało uwa-Webhosting.pl. – szef zespołu pen- gi poświęcamy operatorom tych maszyn. Wierzę testerów i konsultant jednak głęboko, że to się zmieni. Na rynku już po- ds. bezpieczeństwa jawiają się pierwsze usługi związane z social-engi- teleinformatycznego, neeringiem (szkolenia, odpowiednie testy bezpie- Niebezpiecznik.pl. czeństwa) i na pewno warto się nimi zainteresować. 6 © Webhosting.pl | 2011
  7. 7. źródło: sxc.hu Stare sposoby, nowe cele Jednym z głównych zagrożeń dla użytkowników Internetu nadal pozostają infekcje systemu operacyjnego wszelkiego rodzaju szkodliwym oprogramowaniem. Na czele są tutaj oczywiście wirusy, konie trojańskie, programy szpiegujące czy też fałszywe oprogramowanie znane takżeZagrożenia to też rynek! pod nazwą „rogue malware”. Wspólnym mianownikiem dla wymienionych szkodników będzie jednak hasło „zarobek”. Jeszcze kilka lat temu bardzo popularneRosnące zyski, które można osiągnąć z działalności było pisanie wirusów, które niecyberprzestępczej, uczyniły z tego zjawiska masowy robiły większych szkód w systemieproceder na światową skalę. Doszło do tego, że powstają użytkownika. Ich głównym celem był żart, np. zmiana układu klawiatury,komórki, które wzajemnie ze sobą współpracują, np. jedna wyświetlanie komunikatów czy usuwaniegrupa pisze program szpiegujący, inna rozpowszechnia go plików. Obecnie tego typu szkodliwew Sieci i zbiera dane (takie jak numery kart kredytowych), oprogramowanie stanowi niewielki odsetek zagrożeń, na które narażeni są użytkownicy.które są przekazywane osobom zajmującym siękradzieżami z ich pośrednictwem. Ten niebezpieczny Wirusy pisane dla zabawy zostałytrend rynkowych zachowań w dziedzinie zagrożeń zastąpione przez bardziej wyrafinowane i zaawansowane szkodniki. Część z nichkomputerowych powoduje, że zbierają one jeszcze większe funkcjonuje na zasadzie „im późniejżniwo i trudniej się przed nimi chronić. wykryty, tym lepiej”. Starają się one nie 7 © Webhosting.pl | 2011
  8. 8. przyciągać uwagi komunikatami, nowymiikonami na pulpicie czy nadmiernym Sposoby wykorzystywania Internetuobciążeniem systemu. Wszystko po to, by W jakim celu w Pańskiej firmie wykorzystywany jest Internet?jak najdłużej wykradać cenne informacjez zainfekowanego komputera. W tym Wielkość zatrudnienia Liczba stanowisk komputerowychczasie szkodnik zapisuje każde kliknięcie OGÓŁEM 1-5 pracowników 6-20 pracowników >20 pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowisk (n=591) (n=177) (n=205) (n=630) (n=180) (n=163)myszą i każdy wpisany za pomocąklawiatury tekst, a co za tym idzie – hasła 10 10 komunikacja e-mail 99 99 98 99 98i loginy do serwisów. Użytkownicy, nie 0 0widząc typowych dla infekcji objawów, komunikatory 58 60 56 53 58 58 55które jeszcze kilka lat temu były częstą internetoweprzypadłością po „złapaniu wirusa” – np. łączenie różnych 17 18znaczące spowolnienie systemu czy nie oddziałów firmy 29 38 56 37 61wykrywanie nowo podłączanych urządzeń– są przekonani o bezpieczeństwie własnego komunikacja VoIP 27 26 27 30 23 32 34systemu. Im dłużej szkodnik obecny jestw komputerze, tym więcej danych zbierze. wideokonferencje 17 17 15 20 16 16 23By ukryć malware, cyberprzestępcy inne 75 75 74 75 75 76 75chowają niektóre procesy, mogące świadczyćo zainfekowaniu. Wiele osób nie zdaje nie wiem / trudno powiedzieć 1 1 0 1 0 0 1sobie sprawy, że używając tak zarażonegokomputera do przelewów czy płatności kartą Wynik istotnie NIŻSZY niż wynik OGÓŁEM Wynik istotnie WYŻSZY niż wynik OGÓŁEMw sklepie internetowym, bardzo ryzykująutratę wszystkich środków z konta. premium, a nawet profile z serwisów prowadzonym na globalną skalę, świadczy społecznościowych. Wszystkie te chociażby wzrost liczby sygnatur dlaW Internecie funkcjonuje swoisty czarny informacje pochodzą oczywiście programu antywirusowego Kaspersky odrynek, na którym można kupić numery z kradzieży. roku 1998. Tak dynamiczny wzrost możnakart kredytowych wraz z kodami, loginy wytłumaczyć na kilka sposobów. Jednymi hasła do różnych kont pocztowych, O tym, że infekowanie komputera z nich jest fakt, że od kilku lat użytkownicykonta do serwisów świadczących usługi przestało być zabawą, a stało się biznesem Internetu mają możliwość rejestrowania 8 © Webhosting.pl | 2011
  9. 9. się na wszelkiej maści portalach czyforach. Cyberprzestępcy wykorzystują to, Infekcje komputerówopracowując nowe metody infekowania Wzrost liczby sygnatur w programie antywirusowym w latach 1998-2009systemów, dostosowując się do aktualnej 3500000mody. Tak było między innymi z serwisem 3000000Nasza-Klasa.pl. 2500000Atakujący wykorzystali jego popularność 2000000i stworzyli fałszywą witrynę, bardzo 1500000podobną do prawdziwej. Dodatkowo 1000000wysłali bardzo dużą liczbę e-mailizachęcających do logowania się na 500000fałszywej stronie. Po kliknięciu odnośnika 0następowało przeniesienie na spreparowaną rok 1998 1999 2000 2001 2002 2003 2004 2005 2006 2007 2008 2009witrynę, gdzie proszono o zainstalowanienajnowszego odtwarzacza Flash Player,niezbędnego do odczytania wiadomości.Oczywiście program okazywał się DOC i blisko dwieście innych rodzajów. Na koniec na komputerze użytkownika Fałszywekoniem trojańskim, dzięki któremu możnaszpiegować użytkowników i kraść dane. zostawiał informację, w której autor trojana podawał numer konta, na który należy oprogramowanieCała metoda ataku to jedna z odmian przelać niebagatelną sumę 300 USD,coraz popularniejszego phishingu, szerzej celem otrzymania dekodera. Z pewnością Od kilku lat bardzo popularną metodąopisanego w dalszej części tekstu. znalazłyby się osoby, dla których lepszym pozyskiwania pieniędzy przez rozwiązaniem byłoby sformatowanie dysku cyberprzestępców jest oferowanieInnym przykładem ataku wykorzystującego i wgranie nowego systemu, co jednak fałszywego oprogramowaniaszkodliwe oprogramowanie, które w przypadku zaszyfrowania ważnych zabezpieczającego. Do infekcji systemuw żadnym stopniu nie było żartem, dokumentów, jak praca magisterska czy tego typu aplikacjami może dojść na kilkaa nastawione było jedynie na zysk projekt grafiki, nad którym spędziło się sposobów. Każdy z nich sprowadza siędla autora, jest trojan Gpcode. Po ostatnie kilka miesięcy? Znalazło się wiele jednak do socjotechniki i manipulacjizainfekowaniu systemu szyfrował on pliki o osób, które odpowiedziały na szantaż człowiekiem. Jedna z metod polega naróżnych rozszerzeniach np. EXE, RAR, ZIP, i przelały pieniądze. oferowaniu na mało znanych stronach 9 © Webhosting.pl | 2011
  10. 10. internetowych darmowych skanerówantywirusowych, które podają fałszywe Wykorzystywane aplikacje biurowewyniki skanowania, sugerujące, jakoby Jakich aplikacji używa się w Pańskiej firmie?na dysku twardym wykryto bardzo dużoszkodników. Jednocześnie zachęca się do Wielkość zatrudnienia Liczba stanowisk komputerowychzainstalowania programu antywirusowego, OGÓŁEM 1-5 pracowników 6-20 pracowników >20 pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowiskktóry po opłaceniu licencji pomoże (n=591) (n=177) (n=205) (n=630) (n=180) (n=163)pozbyć się kłopotu. Oczywiście lista przeglądarka 99 10 98 98 99 99 97 0rekomendowanych aplikacji kończy się na internetowatych stworzonych przez cyberprzestępców, program pocztowy 90 88 91 94 87 94 94a które nie oferują żadnego poziomubezpieczeństwa i niejednokrotnie same aplikacje biurowe 89 87 92 92 87 94 93instalują komponenty szpiegowskie. 65 63 64 70 60 73 73Dodatkowo, by zwiększyć wiarygodność FTPtych programów, wykorzystuje się komunikator 64 65 63 59 64 63 63kolorystykę i szatę graficzną zbliżoną do internetowytej, jaka jest stosowana przez czołowych aplikacje multimedialne 57 58 53 55 57 53 61przedstawicieli branży antywirusowej. 60 57 65 66 55 68 71 inne nie wiem / trudno 0Najważniejsze 0 1 1 0 0 1 powiedzieć Wynik istotnie NIŻSZY niż wynik OGÓŁEM Wynik istotnie WYŻSZY niż wynik OGÓŁEMto przekonaćMetody ataku opisane do tej pory korzystają Phishing to metoda wyłudzania danych przez cyberprzestępcę e-maili, które sąw dużej mierze z socjotechniki, a więc poprzez podstawianie użytkownikowi wysyłane rzekomo przez administratoramanipulacji i wykorzystywania ludzi do sfałszowanej witryny konkretnej instytucji, danego serwisu do użytkowników. Tychswoich potrzeb. Jednak najbardziej znanym cieszącej się powszechnym zaufaniem, ostatnich prosi się zazwyczaj o zalogowanieatakiem korzystającym z socjotechniki jest na przykład banku. Cały proceder pod konkretnym adresem w celu dokonaniaphishing. rozpoczyna się od masowego wysłania niezbędnych modyfikacji na koncie. 10 © Webhosting.pl | 2011
  11. 11. Świeżym przykładem takiej wiadomościjest informacja wysyłana do użytkownikówserwisu Allegro.pl. Czynnikami mającymi Człowiek najsłabszym ogniwem!zachęcić do kliknięcia linku jest grafika Moim skromnym zdaniem najbliższe lata będą zdecydowanie stały pod znakiem ata-nawiązująca do oryginalnej strony oraz ków wymierzonych w użytkowników końcowych. Przede wszystkim ze względu naadres e-mailowy nadawcy, którego ogromną liczbę osób korzystających z Sieci oraz łatwe metody monetyzacji przeję-domena odnosi się do Allegro.pl, a który tych systemów – takie jak na przykład fałszywe systemy an-jest niestety sfałszowany. Jeżeli mimo tywirusowe (zalecające zakup aplikacji usuwającej fałszywewzbudzającej podejrzenia pisowni ktoś trojany) czy aplikacje szyfrujące dane użytkownika (nakła- niające do zapłacenia za kod umożliwiający odzyskanie in-zdecydował się jednak na zalogowanie formacji). Pierwszorzędną rolę będzie miało tu zastosowaniena fałszywej stronie, był natychmiast wszelkiej maści socjotechnik nakłaniających użytkownika doprzeniesiony na spreparowaną witrynę. samoczynnej instalacji złośliwego oprogramowania. Wszech-Niestety, po wpisaniu nazwy użytkownika obecne rozwiązania webowe zarówno w postaci popularnychi hasła, wszystkie dane były wysyłane serwisów społecznościowych, jak i różnorakich usług i apli-do cyberprzestępcy, który stawał się tym kacji, które bardzo silnie zakorzeniły się w dzisiejszej kultu-samym posiadaczem konta. rze, wciąż będą pełniły bardzo istotną rolę w tym procederze. Mimo coraz częstszego stosowania przez producentów po-Opcji wykorzystania tych informacji pularnego oprogramowania techniki „piaskownicy” (ang. Borys Łąckijest wiele. W najgorszym scenariuszu, sandbox) oraz stosowania wszelkiego rodzaju zabezpieczeń – autor bloga utrudniających ataki (np. ASLR – Address Space Layout Ran-cyberprzestępca może wystawiać aukcje Bothunters.pl, traktu- domization itp.) minie jeszcze kilka lat zanim w większości wy-z drogim sprzętem, zarabiając w ten jącego o bezpieczeń- korzystywanych systemów operacyjnych, tego typu zabez-sposób nawet kilkadziesiąt tysięcy złotych. stwie IT, złośliwym pieczenia będą podstawową i obligatoryjną formą obrony.Ewentualne roszczenia i pretensje z powodu oprogramowaniu W obliczu informacji [1], że przeciętny użytkownik posia-niedotrzymania warunków transakcji i i cyberprzestęp- da zainstalowanych kilkadziesiąt najczęściej podatnych naniewysłania sprzętu poniesie właściciel stwach. Pentester atak aplikacji pochodzących od kilkudziesięciu różnych pro-konta, który padł ofiarą phishingu. i konsultant ds. zabez- ducentów oprogramowania, warto zauważyć, że interneto- pieczeń systemów wi przestępcy jeszcze przez wiele lat będą mieli szerokie spek-Oczywiście portale aukcyjne nie są i struktur teleinfor- trum ataku. Wątpię też, by któryś z największych dostawcówjedynymi serwisami, z których popularności matycznych w firmie systemów operacyjnych zdecydował się na globalne wymusze-korzystają cyberprzestępcy. Najczęściej do LogicalTrust.net nie na twórcach aplikacji, stosowanie tego typu rozwiązań.tego typu procederu używają stron banków. 11 © Webhosting.pl | 2011
  12. 12. Certyfikaty na straży Podobnie z uwagi na rosnącą w niesamowitym tempie popularność platform prze- nośnych z dostępem do Sieci kolejnym miejscem, w które uderzą cyberprze-przesyłanych danych stępcy, będą właśnie wszelkiej maści zaawansowane smartfony. Spodziewam się szybkiego wzrostu ataków w tym obszarze rynku, gdyż przejmując ten seg- ment technologii, możemy w dość prosty sposób monetyzować przejęte urządze-Certyfikaty SSL są jednym z narzędzi, które nia, wysyłając komunikaty SMS lub wykonując połączenia do serwisów obciąża-może skutecznie chronić nasze dane przed jących rachunek wysokimi kosztami. We wrześniu roku 2010 w Chinach w ciąguprzechwyceniem. Pozwala ono bezpiecznie jednego tygodnia wirus zainfekował ponad milion urządzeń przenośnych [2] i na pewno w najbliższych latach usłyszymy o równie spektakularnych atakach.logować się do najróżniejszych serwisów.Zapewnia to szyfrowanie (SSL) oraz firma Nie należy także zapominać o urządzeniach typu embedded, które w posta-poświadczająca autentyczność certyfikatu. ci drukarek, kamer, telefonów, routerów itp. obecne są już w prawie każ- dej firmie czy instytucji. Bardzo często w środowiskach biznesowych ich bez-Niestety, phishing ewoluuje. By było pieczeństwo jest ignorowane i pozostawia wiele do życzenia.jeszcze ciężej odróżnić stronę fałszywą od W kontekście rosnącej popularności wszelkiej maści produktów firmy Appleprawdziwej, a tym samym uśpić czujność i powoli rosnącej świadomości marki w zakresie bezpieczeń-internautów, cyberprzestępcy umieszczają stwa warto mieć na uwadze możliwe zwiększenie zainteresowa-na takich stronach certyfikaty zdobyte nia atakami wymierzonymi w rozwiązania tego producenta.różnymi metodami (na przykład poprzez Oczywiście, będące na topie zagadnienia takie jak przetwarzanie w chmu-włamanie na serwer). Po wejściu na tak rze (ang. Cloud Computing) i systemy wirtualizacji będą systematycz-spreparowaną witrynę, przeglądarka pokaże nie zdobywały zarówno zwolenników jak i tych, którzy będą pragnę-charakterystyczną zamkniętą kłódkę li zaatakować większą liczbę systemów jednocześnie.symbolizującą bezpieczne Wartość przetwarzanych informacji będzie nieustannie rosła, a co za tymi wiarygodne połączenie. Zrealizowane idzie inwestycje w zakresie bezpieczeństwa informacji (urządzenia sprzęto-badania pokazały jednak, że spora liczba we, kopie zapasowe, szkolenia, rozwiązania dedykowane) będą wciąż syste-użytkowników rozpoznaje poszczególne matycznie rosły i nie spodziewam się w tej materii drastycznych zmian.firmy wydające certyfikaty SSL, dziękiczemu mogą oni oceniać ich wiarygodność. [1] – http://secunia.com/gfx/pdf/Secunia_Half_Year_Report_2010.pdfTylko 32% ankietowanych wykazało sięnieznajomością poszczególnych marek [2] – http://news.yahoo.com/s/digitaltrends/20101111/tc_digitaltrends/dostawców certyfikatów. zombievirusinfects1millionchinesecellphones 12 © Webhosting.pl | 2011
  13. 13. źródło: sxc.hu Minęły już czasy, kiedy cyberprzestępcy kojarzeni byli bardziej z nurtem filmów „science fiction” niż rzeczywistością. Nie znaczy to jednak, że większość zagrożeń to sprawka hakerów o niecnych zamiarach. Wystarczy przeanalizować większe awarie i wycieki danych, które miały miejsce w Polsce w ciągu ostatnich lat. Zarówno duże korporacje, jak również niewielkie firmy muszą stawić czoło wielu współczesnym wyzwaniom. W badaniach „Komputery w firmach“ w ramach D-Link Technology Trend,Jak polskie firmy zrealizowanych przez Millward Brown SMG/KRC, skupiono się na tym, jak firmy(nie) dbają o bezpieczeństwo dbają o bezpieczeństwo, jak planują o nie dbać w przyszłości, jakie do tej pory miały problemy i czego się obawiają.komputerowe? AntywirusyBezpieczeństwo komputerowe wraz z rozwojem technik najpopularniejszeinformacyjnych staje się coraz większym priorytetemw działaniu współczesnych przedsiębiorstw. Ale ogólna Zdecydowanym liderem wśródkondycja bezpieczeństwa komputerowego w polskich wykorzystywanych zabezpieczeńfirmach budzi wiele zastrzeżeń. Wyniki badań są raczej komputerów firmowych jest oprogramowanie antywirusowe.zatrważające i podpowiadają jedno - coś trzeba z tym jak Korzystanie z niego zadeklarowało aż 91%najszybciej zrobić. pracowników. Trend ten dotyczy w tym 13 © Webhosting.pl | 2011
  14. 14. Backup Planowane inwestycje w systemy bezpieczeństwateż oszczędnie Czy w najbliższym roku firma planuje inwestycje w systemy związane z bezpieczeństwem? Jeśli tak, to w jakie? Wielkość zatrudnienia Liczba stanowisk komputerowychSystemy archiwizacji danych w przypadku OGÓŁEM 1-5 pracowników 6-20 pracowników >20 pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowiskplanowania wydatków na bezpieczeństwo (n=591) (n=177) (n=205) (n=630) (n=180) (n=163)znalazły się na drugiej pozycji. programy antywirusowe 38 40 39 34 41 36 33Przedsiębiorcy są dość świadomi, że nie systemy archiwizacjimogą sobie pozwolić na lekkomyślną utratę danych 17 15 25 17 15 26 16danych. Jednak w zakresie sporządzania firewalle softwareowe 14 14 18 13 14 18 12kopii danych najszersze zastosowanieznalazły głównie najtańsze i najprostsze sprzętowe zapory sieciowe 10 9 13 12 8 14 13metody archiwizacji, jak nagranie na nośnik monitoring wizyjny 7 7 10 6 7 9 7zewnętrzny lub przesłanie na inny komputer.Robi tak aż 92% przedsiębiorstw, tylko 10% system alarmowy 6 6 6 5 6 7 5korzysta natomiast z backupu online. inne 5 4 6 7 3 6 9Co jest bardzo niepokojące, aż 30% firm firma nie planuje żadnych tego typu 30 32 29 25 33 26 26uważa, że inwestycja w ochronę wirtualnych inwestycjidanych nie jest konieczna. Wojciech nie wiem / trudno powiedzieć 18 14 16 28 14 21 28Głażewski, Country Manager Wynik istotnie NI ŻSZY niż wynik OGÓŁEM Wynik istotnie WYSZY niż wynik OGÓ Ż ŁEMw D-Link Polska, tak podsumowujepanujące trendy: Ponadto, okazało się, że stosowane przez przechowywanych na dyskach firmowych. „Bezpieczeństwo komputerów i zapisanych firmy zabezpieczenia danych często okazują Bardzo wysoki odsetek w przypadkachna nich danych jest jednym z podstawowych się niewystarczające. W 37% przebadanych utraty danych stanowią awarie sprzętu.zadań firmy. Niestety, jest ono często firm mimo wszelkich podjętych starań Jest to według różnych szacunków do 44%bagatelizowane. Potrzeba inwestycji doszło do utraty danych. Często ma udziału we wszystkich takich wypadkach.w zabezpieczenia dotkliwie przypomina to związek z brakiem świadomości Czynniki, które są postrzegane jako jedneo sobie dopiero w momencie utraty danych“. różnorodności zagrożeń wobec danych z największych zagrożeń, np. wirusy, bardzo 15 © Webhosting.pl | 2011
  15. 15. rzadko doprowadzają do utraty firmowych późniejszymi przypadkami utraty, bądźdanych. wycieku danych. W takim przypadku nawet jeżeli firma była ubezpieczona, ciężko uzyskać wypłatę odszkodowania, jeżeliZabezpieczenia okaże się, że odpowiednie kwestie zostały niedopatrzone.offlineOkazuje się że tradycyjne zabezpieczenia Podsumowaniew kontekście ochrony firmowychdanych i komputerów nie cieszą się Analizując poziom zabezpieczeńwielką popularnością. Znaczący wpływ stosowanych w polskich firmach, wyłaniana to mają wysokie koszty rozwiązań się obraz sieci narażonych na różnorodnetakich jak monitoring biura. Najczęściej zagrożenia, przed którymi nie będą sięstosowanym zabezpieczeniemi z tej grupy w stanie obronić. Liczby luk przekładająsą systemy alarmowe, który wskazało 30% się na realne straty finansowe. Dopókirespondentów. Inne tego typu systemy przedsiębiorcy nie zrozumieją, żenie cieszą się znaczną popularnością. łatwiej i taniej zapobiegać incydentom, niż pokrywać ich koszty, odsetek firmWiąże się to również z przekonaniem, że cierpiących z powodu rozmaitychfirmowe dane najlepiej chronią systemy zagrożeń komputerowych dalej będziebezpieczeństwa bezpośrednio związane bardzo wysoki.z komputerami.Tematem, który mocno kuleje w polskichprzedsiębiorstwach są przygotowanei ściśle sprecyzowane procedurybezpieczeństwa. Bardzo niewiele firm możesię na tym polu pochwalić certyfikatami,jak np. ISO 27001:2500, odnoszącymsię do bezpieczeństwa informacji.Często nieregulowane kwestie skutkują 16 © Webhosting.pl | 2011
  16. 16. źródło: sxc.hu W ubiegłym roku 40% średniej wielkości firm zanotowało przypadki naruszenia bezpieczeństwa danych, a 75% firm przyznało, że takie incydenty mogą poważnie zagrozić ich działalności biznesowej. W porównaniu z rokiem 2008 jest to odpowiednio 11 i 5-procentowy wzrost wg informacji firmy Bloor Research zawartych w raporcie „The Ongoing Security Paradox”. Ataki nie przynoszą dziś zniszczeń w infrastrukturze – stały się za to coraz bardziej ukierunkowane na konkretne podmioty i mają na celu głównie pozyskanie danych korporacyjnych oraz własności intelektualnej.Bezpieczeństwo? Milionowe stratyTo się po prostu opłaca Ponemon Instytute, instytucja zajmująca się niezależnymi badaniami dotyczącymi ochrony danych i bezpieczeństwa informacjiW dobie zalewającej nas fali technologii internetowych w USA, wyliczył, że średni koszt naruszeniacoraz większego znaczenia nabiera sama informacja. Dla bezpieczeństwa w tej dziedzinie wyniósł 6,75 milionów dolarów na incydentwielu stała się ona dziś substytutem surowców naturalnych, w 2009 roku i także jest to wzrosta co za tym idzie – konieczne stało się jej chronienie, które w porównaniu z poprzednim rokiem. Cozapewnia ciągłość działań biznesowych każdej firmy. ciekawe, wyliczenia te zostały oparte na podstawie danych 45 firm, które publicznieJak się okazuje, bardziej opłacalne jest zabezpieczanie przyznały się do zaistnienia takichinformacji niż walka ze skutkami jej utraty. incydentów i wyraziły chęć dyskusji o nich. 17 © Webhosting.pl | 2011
  17. 17. Dodajmy także, że najbardziej kosztownenaruszenie bezpieczeństwa wyniosło Wykonywanie kopii bezpieczeństwa danychjednorazowo 31 milionów dolarów, Jak często w Państwa firmie wykonywana jest kopia bezpieczeństwa danych?a najniższy koszt zamknął się w granicach750 tysięcy dolarów (przy czym przez koszt cyklicznie - raz dziennie lub częściej cyklicznie - raz na tydzień cyklicznie - raz na miesiąc rzadziej niż raz na miesiącrozumiemy wartość wszelkich środków pojedynczo / na żądanie nie wykonujemy backupu danychpodjętych w celu neutralizacji skutków). nie wiem/trudno powiedzieć/odmowa Ogółem (n=973) 32 19 12 8 16 7 6Brak świadomości 1-5 pracowników (n=591) 21 20 zatrudnienia 14 10 21 9 4 Wielkość 6-20 pracowników (n=177) 20 11 8 11 5 5Przytoczone przykłady pokazują, że 41 > 20 pracowników (n=205) 13 6 4 5 3 13problem nie może być bagatelizowany 56i że fragmentaryczna świadomość komputerowych 1-5 stanowisk (n=630) 5 stanowisk 21 20 9w zakresie bezpieczeństwa w wielu 14 10 21 Liczba 6-20 stanowisk (n=180) 41 23 10 7 11 3 6firmach prowadzi do traktowania tematu > 20 stanowisk (n=163) 9 4 2 4 2 12bardzo wybiórczo. Zgodnie z badaniem 66D-Link Technology Trend działalność kiedykolwiek do utraty danych? Czy w firmie (Q18a) doszło Doszło (n=366) 18 10 8 19 4 4ta ogranicza się w 90% do stosowania 36 Nie doszło (n=607) 29 19 13 8 14 9 7programów antywirusowych, w 70% doarchiwizacji danych, 60% stosuje firewallesoftware’owe, a mniej niż połowa stosujesprzętowe zapory sieciowe. w zakresie bezpieczeństwa są nieadekwatne i sprawdza aktualność wdrożonych zasad. do potencjalnych zagrożeń. Środki Po części wynika to właśnie z brakuBłędnym założeniem jest również przeznaczane na wprowadzenie świadomości, a po części z powodówprzekonanie, że jeśli przez ostatnie 10 lat i utrzymanie odpowiednich zabezpieczeń finansowych. Oprócz technologicznychnic złego się w firmie nie stało, to zawsze ulegają zmniejszeniu pomimo wzrostubędzie dobrze w dziedzinie bezpieczeństwa. liczby zagrożeń i ataków. zabezpieczeń firmy powinny równieżWiększość firm wg raportu CSI Computer inwestować w edukację użytkowników,Crime and Security Survey przyznaje, że ich Również bardzo mało firm w Polsce gdyż 60% wszystkich incydentówwydatki na edukację użytkowników kontroluje regularnie stan zabezpieczeń związanych z utratą danych jest 18 © Webhosting.pl | 2011
  18. 18. spowodowanych błędem człowieka bądźniefrasobliwością wynikającą Znajomość marek (wystawców) certyfikatów SSLz nieświadomości w tym temacie. Proszę wkazać marki (wystawy certfikatów SSL), które są Panu (i) znaneSama utrata danych wg badania D-Link Wielkość zatrudnienia Liczba stanowisk komputerowychTechnology Trend wykonanego przez OGÓŁEM 1-5 pracowników 6-20 pracowników >20 pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowisk (n=591) (n=177) (n=205) (n=630) (n=180) (n=163)Millward Brown SMG/KRC miała miejsceu 40% respondentów, wśród których były VeriSign 53 51 50 61 48 58 66firmy o profilach działalności takich jak 30 29 37 28 28 37 28 RapidSSLhandel, media, usługi, o zróżnicowanejliczbie pracowników i stanowisk Certum 27 20 29 42 19 34 46komputerowych. GeoTrust 23 23 23 25 21 27 28Prawie 70% Thawte 21 20 19 28 18 24 31 GlobalSign 13 11 14 16 10 19 14oszczędności Comodo 6 5 5 9 5 6 10 AlphaSSL 5 5 7 6 4 8 6Koszty inwestycji w bezpieczeństwo danychstanowią średnio 1/3 kosztów, które może Inne 1 1 0 1 1 1 1ponieść firma narażona na zwiększone Nie znam żadnej z powyższych 32 35 28 26 36 23 23ryzyko utraty danych. Oprócz niższych Wynik istotnie NIŻSZY niż wynik OGÓŁEM Wynik istotnie WYŻSZY niż wynik OGÓŁEMwydatków na bezpieczeństwo w porównaniuz wydatkami na niwelowanie skutków utratydanych niebagatelne znaczenie biznesowe oszacować ryzyko związane z utratą użyte przez kogoś, kto będzie żądałma również ryzyko utraty reputacji danych. Przy tym szacowaniu mogą nam zapłaty za ich zwrot.i wizerunku przez daną firmę. pomóc następujące zasady: • Dane oznaczają komunikację lub informację firmową. Może to być np. • Wszystkie dane mają wartość. treść rozmów VoIP, e-maili, etc.Co zatem należy zrobić w celu poprawy Niezależnie od tego, czy ich utrata • Trzeba założyć, że jawnie przesyłanebezpieczeństwa informacji w firmie? Przede może spowodować nikłe szkody lub dane mogą zostać łatwo przejęte i przywszystkim trzeba najpierw jak najlepiej jest bez znaczenia, mogą one być zebranej odpowiedniej ilości mogą 19 © Webhosting.pl | 2011
  19. 19. dać całkiem wyraźny obraz działania wszystkim o poufność tych danych. W tym 2,27 miliona funtów. Dodajmy jeszcze do przykładowej organizacji. celu można wprowadzić np. szyfrowanie tego koszt usunięcia skutków incydentu.• Raz ukradzione dane mogą być SSL na stronie firmowej. Przyczynia się ono sprzedawane i używane wielokrotnie. do wzrostu zaufania ze strony potencjalnego• Kwestie bezpieczeństwa powinny klienta, świadczy o stabilnej pozycji Ważny jest balans raczej skupiać się na ochronie rynkowej danej firmy, daje przewagę „rzeczy wartościowych” niż na biznesową i zmniejsza współczynnik Obraz wyłaniający się z powyższej zapobieganiu incydentom, gdyż nie da porzuceń koszyka w przypadku sklepów treści ukazuje nam złożoność problemu się przewidzieć, w jaki sposób i kiedy internetowych. bezpieczeństwa oraz to, że należy do niego zostaną skradzione dane. podchodzić kompleksowo – począwszy Wprowadzenie szyfrowania SSL staje się od zasad, poprzez rozwiązania technologiczne,Można skorzystać także z pomocy jeszcze bardziej opłacalne w perspektywie a na czynniku ludzkim kończąc. Za firmęspecjalisty lub też np. z kalkulatorów wzrostu świadomości użytkowników na skutecznie chronioną może zostać uznanaryzyka. Takie narzędzia pokazują, skutek coraz częściej publikowanych taka, która potrafi zachować względnąże około milion złotych rocznie może informacji o atakach phishingowych. równowagę między zasadami bezpieczeństwa,stracić średniej wielkości przedsiębiorstwo, Obecność takiego certyfikatu udowadnia zabezpieczeniami technicznymi, a ciągłąjeśli nie zabezpieczy odpowiednio swoich tożsamość, zwiększa wiarygodność pracą z ludźmi w celu ich uwrażliwianiadanych. Przykładowa symulacja została sprzedawcy i instytucji w Internecie. na zagrożenia związane z naruszeniemprzeprowadzona dla firmy posiadającej bezpieczeństwa informatycznego.160 komputerów o średniej płacy brutto5 tys. złotych i rocznych przychodach Kary dla ignorantów? Z przytoczonych danych wynika również,ok. 4 mln złotych. że wiele jeszcze jest do zrobienia Kolejnym argumentem, że bezpieczeństwo w dziedzinie bezpieczeństwa, ale jednak się opłaca może być fakt, że np.Bezpieczeństwo to w Wielkiej Brytanii zostały wprowadzone z drugiej strony optymizmem nastraja fakt, że niechętnie, ale jednak coraz więcejrównież wizerunek kary finansowe dla firm, które dopuściły do wycieku wrażliwych danych swoich firm ujawnia do wiadomości publicznej incydenty związane z naruszeniem klientów. Taka niemiła okoliczność spotkała bezpieczeństwa ich danych. To równieżOd strony wizerunkowej dla użytkownika brytyjski oddział firmy Zurich Insurance, przyczynia się do wzrostu świadomościkońcowego należy stworzyć obraz firmy która wskutek utraty danych 46 000 klientów zarówno firm, jak i użytkowników w tejrzetelnej, dbającej o dane klienta, a przede została ukarana grzywną w wysokości dziedzinie. 20 © Webhosting.pl | 2011
  20. 20. źródło: sxc.huBezpieczeństwo Sytuacja rozproszenia danych firmowych jest spowodowana między innymi zacieraniem się granicy między stałymna wynos miejscem wykonywania pracy, pracą „w terenie”, a domem. Komputery przeznaczone do pracy są również używane do dokonywania transakcji bankowych,W obliczu coraz szerszej gamy zagrożeń płynących robienia zakupów czy też rozwijaniaz Internetu coraz większej wagi nabierają takie kwestie, kontaktów towarzyskich z naciskiemjak bezpieczeństwo danych w służbowym laptopie, na nierozważne korzystanie z serwisów społecznościowych oraz różnych innychtelefonie, czy też danych dostępnych online dla form rozrywki.pracownika. Jak je chronić? W efekcie istnieje duże ryzyko przyniesienia zainfekowanego komputera do miejsca pracy i wpięcia go do sieci firmowej. Z badań firmy Websense wynika, że prawie wszyscy pracownicy wykorzystują służbowe laptopy do celów prywatnych, ok. 80% podłącza je do Internetu poza biurem, a przeszło 70% korzysta z ich pomocą z bezprzewodowych punktów dostępu. Również korzystanie ze służbowego telefonu w celach prywatnych niesie ze sobą zagrożenie, zwłaszcza że dzisiejsze telefony z powodzeniem mogą aspirować do miana komputerów przenośnych. Wiele przedsiębiorstw przyznaje swoim pracownikom dostęp 21 © Webhosting.pl | 2011
  21. 21. do krytycznych aplikacji biznesowych Podpisanie przez pracownika stosownego Jednak nie można się ograniczać tylkowłaśnie za pomocą telefonu. Potencjalne oświadczenia o znajomości polityki do podpisania takiej polityki – w ramachnaruszenie bezpieczeństwa, które może być bezpieczeństwa daje pracodawcy realizowanej strategii bezpieczeństwa trzebaspowodowane utratą telefonu służbowego, podstawę do jego ukarania w przypadku ciągle i konsekwentnie edukować personel,wydaje się mniej dostrzegalne niż utrata stwierdzonych uchybień oraz pozwala starając się przybliżyć mu jak najlepiejsłużbowego laptopa, choć niesie ze sobą stosować monitoring za pomocą naturę zagrożenia możliwie prostymrównie poważne zagrożenie. wyspecjalizowanych programów (wg opinii i bezpośrednim językiem oraz na bieżąco Generalnego Inspektora Ochrony Danych dostosowywać tę politykę do zmieniającej Osobowych). się sytuacji.Środki zaradcze: Zasady bezpieczeństwa stosowane wobecpolityka pracowników zabierających komputer do domu (1)bezpieczeństwa Jakie zasady bezpieczeństwa stosoują Państwo wobec osób posiadających własny laptop i zabierających go do domu? Wielkość zatrudnienia Liczba stanowisk komputerowychZ punktu widzenia pracodawcy pierwszym OGÓŁEM 1-5 pracowników 6-20 pracowników >20 pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowisk (n=591) (n=177) (n=205) (n=630) (n=180) (n=163)krokiem w celu minimalizacji ryzyka utratycennych danych i zabezpieczenia się przed oprogramowanie antywirusowe 61 58 58 71 56 63 75zagrożeniami na wspomnianej płaszczyźniejest formalizacja odpowiednich zasad. firewall 38 37 36 43 37 34 48Wśród nich powinny znaleźć się m.in. takiesformułowania jak: szyfrowanie danych 17 16 13 25 16 13 29• wstrzymanie się od samodzielnego instalowania oprogramowania na inne 9 7 11 12 6 12 15 komputerze służbowym,• używanie komputera oraz Internetu brak zabezpieczeń 5 6 3 4 6 6 4 tylko w celach służbowych,• zakaz udostępniania komputera nie można wynosić sprzętu komputerowego poza teren 27 29 31 18 30 25 14 firmy użytkownikom spoza firmy,• regularna zmiana hasła z zachowanym nie wiem /trudno powiedzieć 5 4 5 5 5 4 6 wymaganym formatem. 22 © Webhosting.pl | 2011
  22. 22. Dodatkowo, w celu zapewnieniaefektywności wdrożonej polityki Zasady bezpieczeństwa stosowane wobeckonieczne jest pełne wsparcie zarządu pracowników zabierających komputer do domu (2)danej firmy dla działań podnoszących Jakie zasady bezpieczeństwa stosoują Państwo wobec osób posiadających własny laptop i zabierających go do domu?bezpieczeństwo również w postaci Czy w firmie doszło kiedykolwiek do utratyefektywnego egzekwowania kar dla danych? Profil działalności firmywszystkich, niezależnie od zajmowanego OGÓŁEM Doszło Nie doszło Produkcja Handel Usługi Media i reklama (n=366) (n=607) (n=83) (n=206) (n=430) (n=108)stanowiska. oprogramowanie antywirusowe 61 66 57 57 52 60 75Taka postawa może zastąpić wielewysublimowanych rozwiązań firewall 38 41 37 33 32 42 40technologicznych, które są kolejnymśrodkiem do poprawy bezpieczeństwa szyfrowanie danych 17 17 18 13 9 22 14IT i automatycznego zabezpieczenianieświadomego personelu. inne 9 8 9 7 7 10 7Czego się używa brak zabezpieczeń 5 5 5 4 6 5 6na co dzień? nie można wynosić sprzętu komputerowego poza teren 27 22 29 29 33 28 13 firmy nie wiem /trudno powiedzieć 5 4 5 10 5 4 4Z badań MillwardBrown SMG/KRC nazlecenie D-Link Technology Trend wynika, Wynik istotnie NI ŻSZY niż wynik OGÓŁEM Wynik istotnie WYSZY niż wynik OGÓ Ż ŁEMże najczęściej stosowanymi rozwiązaniamitechnicznymi (realizującymi zasady Technologia udostępnia nam również a zabronienie podłączania nośnikówbezpieczeństwa wśród osób zabierających w omawianym zakresie blokadę USB danych, odtwarzaczy MP3 itp.firmowy laptop do domu) są: oprogramowanie z poziomu biosu lub za pomocą aplikacjiantywirusowe (ok. 60%) oraz firewall typu Devicelock, szeroki zakres kontroli Coraz częściej spotykanym rozwiązaniem(ok. 40%), w przypadku jednej trzeciej nad podłączanymi do komputera jest również używanie aplikacji typurespondentów obowiązuje zakaz wynoszenia urządzeniami, np. poprzez zezwolenie na VPN SecureClient. Sprawia ono, że bezsprzętu komputerowego poza teren firmy. korzystanie z myszy, klawiatury, drukarki, odpowiedniego tokena dostęp prywatny do 23 © Webhosting.pl | 2011
  23. 23. Internetu jest zabroniony. To rozwiązaniejest na drugim miejscu wśród najczęściej Dostęp online do danych firmowychstosowanych zabezpieczeń zaraz Czy pracownicy w Pańskiej firmie mają dostęp online do danych firmowych (np. serwery sieciowe, strony WWW).po panelach logowania z wykorzystaniem Jeśli tak, to do jakich?certyfikatów SSL. Tak, za pomocą panelów logowania z wykorzystaniem certyfikatów SSL Tak, za pomocą VPN Tak, chronione loginem i hasłem, bez certyfikatu ssl (https:Wirtualizacja, czyli Tak, ale nie stosujemy żadnych zabezpieczeń (wystarczy wejść na znaną pracownikowi stronę www) Pracownicy nie mają dostępu online Nie wiem / trudno powiedziećseparacja zasobów Ogółem (n=973) 17 15 14 4 45 5 zatrudnienia 1-5 pracowników (n=591) Wielkość 16 8 14 5 51 5Wirtualizacja zasobów firmowych niesie 6-20 pracowników (n=177) 20 17 16 4 41 2ze sobą konkretne korzyści z perspektywy > 20 pracowników (n=205) 15 31 13 2 33 6bezpieczeństwa, gdyż pozwala utworzyć komputerowych stanowiskbezpieczną przestrzeń na komputerze 1-5 stanowisk (n=630) Liczba 16 7 14 5 53 5osobistym lub telefonie. Pracownicy 6-20 stanowisk (n=180) 22 22 18 4 31 3uzyskują dostęp do bezpiecznego, > 20 stanowisk (n=163) 13 36 12 2 30 6 kiedykolwiek dowirtualnego zestawu aplikacji utraty danych? Czy w firmie (Q18a) doszło Doszło (n=366)zlokalizowanych na serwerach firmowych. 16 20 15 7 39 3 Nie doszło (n=607) 17 12 14 3 49 6Dzięki takiemu rozwiązaniu firmowa sieć jestchroniona przed infekcjami z komputerówpracowników oraz przed kopiowaniem popularność tej gałęzi rozwoju niesie ze sobąi przechowywaniem różnej maści informacjiwrażliwych poza obszarem zabezpieczonym. ryzyko większej liczby ataków i zagrożeń, ale w tym przypadku odbicie piłki Dostęp fizycznieRosnąca popularność wirtualizacji pozwalastwierdzić, że coraz więcej firm będzie leży po stronie firm oferujących tego typu rozwiązania. zabronionyw stanie uwolnić się od powiązań międzysprzętem a aplikacjami i zezwalać coraz Również wirtualizacja po stronie Jednym z ostatnich środków na linii walkiwiększej liczbie użytkowników na pracę służbowych telefonów komórkowych z zagrożeniami dla przenoszonych przezz własnym sprzętem. Oczywiście, pozostaje niemałym wyzwaniem. pracowników danych może być fizyczne 24 © Webhosting.pl | 2011
  1. A particular slide catching your eye?

    Clipping is a handy way to collect important slides you want to go back to later.

×