7 Korak za varnost podatkov, ki ga mora vaše podjetje opraviti zdaj

Da bo vaše podatke organizirano in varno, boste letos imeli največ pozornosti, ne le zaradi posodobljenih predpisov, kot je Splošna uredba o varstvu podatkov (GDPR), temveč tudi zaradi tega, ker je celotna slika varnosti IT še vedno videti nejasna. V raziskavi, ki jo je raziskovalno podjetje Statista izvedla šele lani, so ameriška podjetja ocenila kibernetske grožnje kot povezane z največjo nevarnostjo za tveganje, tik poleg motenj v ključnem poslovnem procesu, kot je dobavna veriga. Manjša podjetja bodo še posebej ranljiva, ne samo zato, ker imajo na voljo omejene vire, ampak tudi zato, ker hekerji začenjajo ciljati na ta segment posebej in v celoti.

Torej, v čast Nacionalnega tedna malih podjetij (NSBW) si bomo oddahnili od pogovora o ustanovitvi novega podjetniškega podviga in se namesto tega osredotočili na to, da boste lažje zaščitili tistega, ki ga že imate. Na srečo je mogoče zaščito vašega podjetja in njegovih shramb podatkov razgraditi v ponovljiv postopek, kot večina opravil IT. Da bi lažje začeli, smo sestavili seznam sedmih ključnih vprašanj, ki bi jih morali zastaviti, in se prepričajte, da boste dobili odgovor, po možnosti s strani IT-osebja vaše organizacije.

1. Ali uporabljamo varnostno programsko opremo?

Programska oprema za zaščito končnih točk spremlja in brani vaše podjetje pred zunanjimi napravami, ki poskušajo ustvariti vstopne točke za napad. Ta orodja običajno vključujejo kombinacijo protivirusnih, požarnega zidu in zmogljivosti upravljanja mobilnih naprav (MDM) (več o tem kasneje). Z uporabo enega od teh orodij bo vaš namenski tehnološki tim (ob predpostavki, da ga imate) opozorjen na grožnje, če in kdaj se pojavijo.

"Tudi če ste majhno podjetje, je treba vsako končno točko zavarovati z varnostno programsko opremo, saj obstaja veliko groženj, ki lahko objokajo vaše podjetje in podatke o vaši stranki, " je povedal Adrian Liviu Arsene, starejši analitik pri e-grožnjah pri Bitdefender. "Od odškodninske programske opreme do zamika zlonamerne programske opreme in naprednih groženj, katerih namen je vaše podjetje uporabiti kot prehod v vaše stranke, če ste ponudnik storitev, je varnostna programska oprema ne samo priporočljiva, ampak obvezna."

2. Ali pripravljamo varnostne kopije svojih podatkov?

Če je vaše podjetje kdaj vdrlo ali če vašo pisarno poruši orkan, vam bo varnostna kopija vaših najnovejših podatkov pomagala, da se ponovno začnete ukvarjati z minimalnimi težavami, ki temeljijo na podatkih. Varnostno kopiranje podatkov v oblaku bo zagotovilo, da bo po kratkem fizičnem obnavljanju vaše podjetje lahko ponovno zagnano in deluje. Če še nikoli niste naredili varnostne kopije svojih podatkov, potem v bistvu začnete svoje podjetje iz nič. Prav tako varnostno kopiranje podatkov v kombinaciji s programsko opremo za zaščito končnih točk omogoča, da opazite grožnje, ko se pojavijo, jih izženete iz svojega omrežja in nato vrnete omrežje nazaj v zadnje, najbolj varno stanje.

Obstajajo preprosti načini za varnostno kopiranje podatkov, vključno z nastavitvijo samodejnih varnostnih kopij s programsko opremo za obnovitev po katastrofi (DR) in kopiranjem sistemskih datotek v druge regije (v primeru geografskih težav). Ne glede na to, katerega ste izbrali, je nujno, da takoj začnete varnostno kopirati.

"Varnostno kopiranje in odpuščanje sta bistvenega pomena za nepretrganost poslovanja, saj lahko kakršne koli izgube ali motnje pomenijo, da gremo iz podjetja ali da bi bili dlje časa hudo pohabljeni, " je dejal Arsene. "Odkupna programska oprema je odličen primer, kaj se lahko zgodi, če nimate varnostnih kopij. Vendar tudi dejavnik, da strojna oprema včasih ne uspe, in če imate eno kopijo kritičnega premoženja, ne priporočamo."

3. Ali šifriramo svoje podatke?

Večina prodajalcev programske opreme za zaščito končnih točk vam bo pomagala tudi šifrirati podatke, ko se gibljejo znotraj vašega omrežja, ko zapušča omrežje in ko ostane nedotaknjen na vaših strežnikih. Šifriranje v bistvu spremeni vaše oblikovane podatke v preprostem besedilu v šifranten tekst - nesprejemljivo združevanje resničnega zaporedja podatkov v preprostem besedilu. Z vnosom ključa za dešifriranje se vaši podatki razširijo in pošljejo nazaj v normalno obliko. Torej, če kdo kdaj vdre v vaš sistem in ukrade vaše podatke, bo videl šifrirano različico in ne samo različico s preprostim besedilom.

Pazljivo: napadi se lahko zgodijo v različnih fazah prenosa podatkov. Lahko se zgodijo, ko se podatki pošljejo od strežnika do cilja. Napadi se lahko zgodijo, ko podatki sedijo v vaših strežnikih, in lahko se zgodi, ko se podatki prenašajo iz ene naprave v drugo v samem omrežju. Ko se pogovarjate s ponudnikom storitev zaščite končnih točk, se pozanimajte, ali vam lahko pomagajo šifriranje podatkov med prevozom in v mirovanju.

"Obe vrsti podatkov bi morali biti šifrirani, še posebej, če delate z občutljivimi in zasebnimi podatki o svojih strankah, " je dejal Arsene. "Kibernetski kriminalci lahko zaslužijo vsak podatek, hramba vseh informacij pa ne samo otežuje njihovo delo, ampak tudi vaše."

4. Ali uporabljamo pametno shranjevanje v oblaku?

V današnjem času ima večina podjetij, zlasti majhnih za srednje velika podjetja, vsaj nekaj shramb podatkov v oblaku. Ponudniki oblačil za shranjevanje v poslovnem razredu imajo veliko in vrednosti, ki jo ponujajo glede na skupne stroške shranjevanja in upravljane storitvene storitve, v večini primerov preprosto ni mogoče premagati z rešitvami za shranjevanje na kraju samem, ki so ponavadi dražje, ampak tudi tudi lastniško.

Kljub temu, da je vzpostavitev osnovne nastavitve za storitve, kot so Dropbox Business ali celo Amazon S3, lahko razmeroma preprosta, vendar lahko v celoti izkoristite njihove varnostne lastnosti podatkov, kar predstavlja precej učno krivuljo. Kljub temu pa boste zagotovo želeli, da se vaše osebje IT prehranjuje, saj lahko ti ponudniki tudi malim podjetjem omogočijo dostop do naprednih varnostnih zmogljivosti za shranjevanje, za kar bi morali porabiti veliko več denarja za izvajanje na kraju samem.

Na primer, o šifriranju podatkov smo razpravljali že prej, vendar kljub temu, da velika večina ponudnikov storitev v oblaku lahko šifrira podatke, ki so shranjeni v njihovih storitvah, pa vsi to ne izvajajo privzeto. Poleg tega vsi ne šifrirajo podatkov, ko so v prometu med njimi in drugim strežnikom aplikacij ali napravami vaših uporabnikov. Takšne nastavitve je treba raziskati, omogočiti in nadzorovati s pomočjo IT.

Obstajajo tudi bolj napredne funkcije, ki zahtevajo nekaj dela za izvajanje, vendar imajo lahko dolgoročne koristi. Eno je klasifikacija podatkov. To je splošni izraz za različne tehnologije, ki jih ponudniki storitev shranjevanja lahko dovolijo svojim strankam za organiziranje njihovih podatkov v kategorije, ki so pomembne za njihovo posebno dejavnost. To ne samo da olajša iskanje in obdelavo, ampak tudi bolj varno, saj nekatere od teh storitev lahko določenim klasifikacijam dodelijo zaščito na ravni datotek. V nekaterih primerih lahko te zaščite spremljajo datoteko, tudi ko zapusti strežnike ponudnika shranjevanja v oblaku in se premakne na napravo ali strežnik nekoga zunaj organizacije stranke, na primer stranke ali partnerja.

Če se na tak način uporabljajo tajni podatki lahko nadzorujejo ne le, kdo lahko dostopa do datoteke, ampak tudi, kaj lahko z njimi počnejo - ne glede na to, ali jih je mogoče brati, tiskati, spreminjati ali deliti z drugimi. Tako lahko nekatere podatke ohranite veliko varnejše, hkrati pa obdržite možnost, da jih delite zunaj svojega podjetja.

5. Ali imamo požarni zid?

Doma ne bi imeli lastnika brez vhodnih vrat, kajne? Zakaj bi potem vodili omrežje brez požarnega zidu? Vaš požarni zid omogoča preprečevanje vstopa neželenega prometa v vaše podjetje. To pomeni, da boste lahko vzdrževali zasebno notranje omrežje brez izpostavljanja vseh podatkov vašega podjetja javnemu spletnemu strežniku, na katerem se vodi vaše podjetje.

"Požarni zidovi so odlični za preprečevanje vsiljivcev, ki želijo skenirati vaše omrežje ali poiskati odprte storitve in vrata, ki jih je mogoče izkoristiti za oddaljeni dostop, " je dejal Arsene. "S požarnimi zidovi lahko nastavite tudi pravila, do katerih naslovov IP lahko dostopate do različnih virov ali spremljate dohodni in odhodni promet."

Toda podobno kot raziskovanje ponudb ponudnika storitev za shranjevanje v oblaku, je tudi dobra ideja, da se prepričate, da razumete vse zmogljivosti svojega požarnega zidu. Te naprave postajajo bolj izpopolnjene, vključno s tistimi, ki so del splošnega usmerjevalnika malih podjetij Wi-Fi ali virtualnega zasebnega omrežja (VPN). Na primer, čeprav ste morda omogočili osnovni požarni zid omrežja kot del začetne nastavitve usmerjevalnika, verjetno imate možnost omogočiti tudi požarni zid spletnega programa, ki lahko zagotavlja posebne zaščite za podatke, ki se pošiljajo prek spletnih omogočenih aplikacij.

Druga možnost je raziskati storitev upravljanega požarnega zidu. Kot pove že ime, je to preprosto požarni zid, ki ga za vas upravlja naročnik storitev na podlagi naročnine. Pomembno je, da lahko preprosto omogočite naprednejše funkcije, saj strokovnjaki ravnajo z upravljanjem požarnega zidu. To pomeni tudi, da boste prepričani, da bo vaš požarni zid vedno nameščen najnovejše zaščite, popravke in posodobitve programske opreme. Možne pomanjkljivosti vključujejo dejstvo, da svoj požarni zid verjetno delite z drugimi strankami in tudi, da bo v tej konfiguraciji ves vaš spletni promet preusmerjen prek te tretje osebe, preden doseže internet ali vaše uporabnike. To je lahko ozko grlo, če ponudnik ni vešč pri urejanju pretoka prometa, zato morate preizkusiti, če vaše podjetje za določene aplikacije zahteva minimalno izhodišče za spletno uspešnost.

6. Kakšen je naš postopek oddaljenega dostopa?

V teh dneh bo vsaka organizacija, ne glede na to, kako majhna, imela zaposlene potnike, stranke ali drugo osebje, ki mora dostopati do virov podjetja na daljavo. Posedite se s svojim osebjem za IT in natančno ugotovite, kakšen je postopek za take povezave. Ali gre za ponovljiv postopek, enako za vse; ali so se različni ljudje navadili na dostop do vaših virov na različne načine? Če je slednja, je to težava.

Oddaljeni dostop bi moral biti zagotovo enak za vse. To pomeni, da bi se morali vaši IT strokovnjaki osredotočiti ne le na to, kaj se zgodi na njihovi strani požarnega zidu, ko pride do zahteve za prijavo, ampak tudi na to, kaj se mora dogajati na drugi strani požarnega zidu, da bi takšna zahteva postala zakonita. Oddaljene odjemalce je treba skenirati, da se prepričajte, da so naprave pravilno posodobljene in zaščitene s programsko opremo za zaščito končnih točk poslovnega razreda. Prijaviti bi se morali tudi prek VPN-ja, vse te zahteve pa naj bi upravljali prek sistema za upravljanje identitete. Oba ukrepa imata na voljo nizkocenovne različice, ki bi jih morala tudi mala podjetja z manj sredstvi za IT enostavno izvajati.

7. Kakšna je naša splošna politika o napravah?

Pravilniki Bring-Your-Own-Device (BYOD) omogočajo zaposlenim, da izberejo, katero strojno in programsko opremo bodo izvajali med izvajanjem poslovnih procesov. Čeprav te politike zagotavljajo prilagodljivost zaposlenim (in prihranijo stroške podjetjem, ki jim ni več treba kupovati naprav za nove delavce), je z načrti BYOD povezanih več tveganj. Na vrhu seznama: Kako zavarujete podatke, shranjene na teh napravah, če ne izberete programske opreme in sestavite protokola za varnostni dostop?

"Večina malih podjetij se pogosto zanaša na BYOD, vendar običajno nimajo varnostne politike, " je dejal Arsene. "V ta namen priporočamo tudi omejitev dostopa do kritičnih informacij, do katerih dostopajo naprave, ki jih prinesejo zaposleni, bodisi prek ločevalnih omrežij bodisi z izvajanjem pravilnikov o dostopu in upravljate tudi z mobilnimi napravami. Ker se prenosniki uporabljajo tudi za dostop do e-poštnih sporočil in notranjih podatkov, pomembno je, da bodisi upravljate z namensko rešitvijo, bodisi jim omogočite dostop do nekritičnih podatkov."

Programska oprema MDM vam daje moč za daljinsko brisanje, daljinsko zaklepanje, geofence in prilagajanje vsake naprave glede na vaše posebne potrebe. Če zaposleni izgubijo naprave, če v njih vdrejo naprave ali če imajo naprave dostop do več korporativnih podatkov, kot bi jih želeli, boste lahko prilagodili svojo rešitev MDM, ne da bi se dotaknili dejanskih naprav.