Vodič za Cyber sigurnost za mala preduzeća

U namjeri da pomognu pravnim licima da se zaštite od cyber napada, Imtec d.o.o. Sarajevo je napravio ovaj vodič.

Nažalost, svakodnevno smo svjedoci cyber sigurnosnih incidenata na pojedince, velika i mala preduzeća koji mogu biti poražavajući. Jednostavnim mjerama, koje ako se razumiju i provedu, mogu se značajno izbjeći ili umanjiti najčešći udari na cyber sigurnost.

Razumijemo da vlasnici i uposlenici malih preduzeća ne mogu izdvojiti puno vremena na razumijevanje složenosti interneta ili uspostavljanje složenih reakcija na potencijalne rizike. U isto vrijeme, znamo da će cyber sigurnost poduprijeti ekonomski prosperitet preduzeća i omogućiti malim preduzećima rast, inovacije i pronalaženje novih načina stvaranja vrijednosti za svoje kupce.

Ovaj vodič za cyber sigurnost namijenjen je malim firmama da shvate, poduzmu mjere i povećaju svoju otpornost protiv neprestanih prijetnji. Jezik je jasan, akcije su jednostavne, a smjernice prilagođene.

Ako prvi put učite o cyber sigurnosti ili ste u toku, ovaj vodič je odlično mjesto za početak.

Cyber prijetnje – ključna područja

Na početku vodiča, bitno je naglasiti važnost budnosti i spremnosti malih preduzeća da identificiraju i objasne sebi koje su to najčešće vrste cyber prijetnji i šta možete učiniti kako biste zaštitili svoje poslovanje jer za malo preduzeće čak i najmanji cyber sigurnosni incident može imati štetne posljedice.

• Zlonamjerni softver

Šta je zlonamjerni softver?

Neovlašteni softver dizajniran da nanese štetu

Zlonamjerni softver je zaštićena aplikacija koja uključuje viruse, špijunski softver, trojance i crve.

• Zašto zlonamjerni softver?
• Šteta / Prevara

Tipično za profit.

Zlonamjerni softver pristupa važnim podacima kao što su brojevi i lozinke bankovnih ili kreditnih kartica. Također, može preuzeti kontrolu ili špijunirati računar korisnika. Koje aktivnosti su rezultat kreatora ovakvog softvera kada pristupe podacima:

•     krađa
•     podvale
•     aktivizam
•     špijunaža
•     drugi teški kriminali

Ko je vlasnik zlonamjernog softvera?

Bilo ko, bilo gdje

Tvorci zlonamjernog softvera mogu biti bilo gdje u svijetu. Samo im je potreban računar, tehničke vještine i zla namjera. Kriminalnci mogu lako pristupiti jeftinim alatima za korištenje zlonamjernog softvera protiv vas. To nije ništa lično – ne ciljaju vas posebno – to im je samo posao.

Zaštita od zlonamjernog softvera

1.     Koristite licencirane softvere
2.     Automatski ažurirajte svoj operativni sistem
3.     Instalirajte antivirusno rješenje –preporuka BitDefender
4.     Instalirajte firewall rješenje – preporuka Fortinet
5.     Automatski ažurirajte svoje softverske aplikacije
6.     Redovno pravite sigurnosne kopije podataka / backup – preporuka NAS

Prevare e-poštom  ( krađe identiteta / phishing)

Šta je tzv. phishing?

"Dodgy" e-poruke dizajnirane za prevaru s novcem i podacima

Čuli ste za "fišing"?  To su poruke e-pošte od pojedinaca ili organizacija koje “mislite” da znate. Oni oponašaju fraziranje, označavanje marke i logotipa da bi postali "stvarni" prije nego što korisnike zavedu da kliknu na link ili prilog . Time obmanjuju korisnike tražeći da im daju ili potvrde njihove lične podatke, kao što su lozinke i brojevi kreditnih kartica, ili da plaćaju lažni račun. Također, mogu poslati prilog osmišljen tako da izgleda originalno, a da u njemu ima zlonamjernog softvera.

Ko je žrtva krađe identiteta?

Ljudi s novcem – igra brojeva

E-poruke za krađu identiteta obično se šalju hiljadama ljudi. Čak i ako samo mali postotak primalaca bude prevaren, oni mogu pribaviti značajne podatke i iznose novca.

• Lažno predstavljanje (niska sofisticiranost, mnogo primalaca). Obično se općenita e-pošta s očitim znakovima upozorenja šalje na hiljade primalaca.
• Krađa identiteta (visoka sofisticiranost, manje primalaca). Lažne i sofisticirane poruke poslane na određenu osobu – obično je vlasnik firme, rukovodilac finansija i slično.
• Kitolov (visoka sofisticiranost, manje primalaca, a veće vrijednosti). Spears phishing namijenjen je vrlo „velikim ribama“ poput CEO-a.

Gdje se krade identitet?

E-poruke, SMS, instant poruke, društveni mediji

Lažne prevare nisu ograničene na e-poruke. One su sve sofisticiranije i teže ih je uočiti.

Budite oprezni:

• Zahtjevi za novcem, posebno ako su hitni ili prekasni
• Promjene na bankovnom računu
• Prilozi
• Zahtjevi za provjeru ili potvrdu podataka za prijavu

Ransomware (otkupnina)

NIKADA NE PLAĆAJTE  OTKUPNINU

Ne garantuje vam se povrat pristupa i možete biti ranjivi na drugi napad.

Šta je Ransomware?

Određeni zlonamjerni softver koji zaključava vaš računar i datoteke do otkupnine

Napadi Ransomware-a se obično dešavaju putem e-pošte tako što preuzimanjem ili otvaranjem priloga (slika, arhiva, izvršni fajl) većina ransomwarea- šifrira datoteke korisnika, a zatim zahtijeva otkupninu za vraćanje pristupa – obično se plaća korištenjem kripto valute, poput Bitcoina.

Cyber kriminalci mogu također postaviti zloćudni softver na web stranice. Kada korisnik slučajno posjeti takvu stranicu zloćudni softver će inficirati vaš sistem.

Zašto Ransomware?

Novac

Otkupnina – staromodan i učinkovit kriminal. Ransomware nudi cyber kriminalcima nisko rizične prihode s visokom nagradom. Razviti i distribuirati je lako jer većina malih preduzeća nije spremna nositi se sa napadima otkupnina.

Ko je ciljana skupina za Ransomware?

Mala, srednja i velika preduzeća

Mnoga mala preduzeća često su manje svjesna sigurnosti pa je i manje vjerovatno da će provoditi i potrošiti nešto novca na mjere cyber sigurnosti.

Softver

Ključna područja

Sigurno organiziranje softvera može drastično povećati zaštitu vašeg poslovanja od najčešćih vrsta cyber prijetnji.

Na primjer, vaš operativni sistem je najvažniji dio softvera na vašem računaru. Upravlja hardverom vašeg računara i svim njegovim programima i zato ga je potrebno ažurirati, izraditi sigurnosnu kopiju i održavati.

Poboljšajte otpornost, budite u toku i budite sigurni uz pomoć ovih softverskih razmatranja za male firme.

Automatsko ažuriranje

Šta je ažuriranje softvera?

Nadgradnja softvera

Ažuriranje je nova, poboljšana ili sigurnija verzija softvera ( programa, aplikacija ili operativnog sistema kao što su Microsoft Windows ili Apple iOS ), a vaš je zadatak instalirati ga na svojim računarima ili mobilnim uređajima.

Automatsko ažuriranje je zadani ili " postavi i zaboravi " sistem koji nadgrađuje vaš softver čim je dostupan.

Zašto ažuriranje?

Sigurnije. Brže. Bolje.

• Bolja internetska sigurnost
• Poboljšanazaštita (u stvarnom vremenu, direktno od strane stručnjaka) od gubitka novca, podataka i identiteta
• Poboljšanekarakteristike i efikasnost programa i aplikacija.

Kada radimo ažuriranja?

Danas i svakodnevno – uvijek

• Uključiteili potvrdite automatska ažuriranja, posebno za operativne sisteme
• Redovno provjeravajte ažuriranja
• Instalirajte ažuriranjašto je prije moguće ( ako automatska ažuriranja nisu moguća )
• Postavite prikladno vrijeme za automatska ažuriranjakako biste izbjegli poremećaje u poslu.
• Koristite softver za zaštitu od virusa i provjerite je li uključeno automatsko ažuriranje

NAPOMENA: Ako je vaš hardver ili softver prestar, možda se neće automatski ažurirati i tako izložiti vaše poslovanje tehničkim, softverskim i sigurnosnim problemima. Imtec preporučuje nadogradnju uređaja ili softvera.

Microsoft Windows 7 i Microsoft Office 10 neće biti podržani nakon 14. januara  2020., odnosno 13. oktobra 2020. godine.

Automatske sigurnosne kopije

Šta je backup?

Sigurnosne kopije podataka

Sigurnosna kopija / backup je digitalna kopija najvažnijih podataka, informacija kao što su finansijski podaci, šifranici kupaca, artikala i slično. Kopija se može praviti na vanjskom, nepovezanom tvrdom disku, USB-u ili u oblaku, kao i na mrežnim diskovima tj. NAS storage uređajima.

Automatski backup ili sistem „postaviti i zaboraviti” snima dokumente sa unaprijed definisanih lokacija, bez ljudske intervencije.

Sigurno isključenje i uklanjanje rezervnog uređaja za pohranu nakon svake sigurnosne kopije osiguravat će da na njega ne utječe cyber incident.

Zašto backup?

Sigurnije i brže

• Brži i lakši način za ponovno pokretanje poslovanja ako se podaci izgube, ukradu ili unište
• Štiti vjerodostojnost vašeg poslovanja i pomaže u ispunjavanju zakonskih obaveza.
• Sigurni ste da ste uvijek zaštićeni kako biste se mogli usredotočiti na svoje poslove od kojih imate zaradu.

Kada backup?

Danas i uvijek, svakodnevno

• Odaberite sigurnosni sistem prikladan za vaše poslovanje
• Provjerite da li možete redovno vraćati sigurnosne kopije
• Spremite fizičku sigurnosnu kopiju na neko sigurno mjesto

Višestruka provjera autentičnosti

Šta je provjera autentičnosti?

Mjera sigurnosti koja zahtijeva dva ili više dokaza identiteta da biste mogli pristupiti podacima

Višestruka autentifikacija (MFA) obično zahtijeva kombinaciju nečega što korisnik zna ( pin, tajno pitanje ), što fizički posjeduje ( kartica, žeton ) ili ono što je svojstveno, fiziološko (otisak prsta, mrežnica).

Zašto autentifikacija?

Znatno moćnija sigurnost

Višestruki nivoi provjera, kriminalcima otežavaju napade na vašu firmu. Kriminalci bi mogli ukrasti jedan dokaz o identitetu, npr. PIN, ali potrebno je dobiti i koristiti druge dokaze o identitetu. Dvofaktorska autentifikacija (2FA) najčešća je vrsta MFA.

Gdje provoditi autentifikaciju?

Pristup važnim internim i eksternim računima

Mala preduzeća trebaju provoditi MVP kad god je to moguće. Neke opcije MVP uključuju, ali nisu ograničene na:

• Fizički znak
• Pin
• Biometriju / otisak prsta
• Aplikaciju za provjeru autentičnosti
• E-mail
• SMS

Ljudi i postupci , Ključna područja

Preduzeća, bez obzira koliko bila mala, moraju biti svjesna i svjesno primjenjivati ​​mjere cyber sigurnosti na svim nivoima.

S obzirom da mala preduzeća često nemaju resurse za namjensko IT osoblje, u ovom dijelu vodiča želimo pojasniti kako možete upravljati ko može pristupiti i ko može kontrolisati podatke o vašem poslovanju.

Poznavajući ovu situaciju Imtec doo, nudi usluge tehničke podrške kroz koje obezbjeđujete dodatni vid sigurnosti i stabilnosti vašeg IT sistema .

Vaši unutarnji procesi i vaša radna snaga posljednja su i jedna od najvažnijih linija odbrane u zaštiti vašeg poslovanja od prijetnji cyber napada.

Kontrola pristupa

Šta je kontrola?

Proces definisanja ko može pristupiti onome što je u vašem poslovnom okruženju

Kontrola pristupa je način ograničavanja pristupa IT sistemu. Vlasnicima firmi omogućuje:

• Odlučite kome bi željeli dati privilegije pristupa
• Odredite koje funkcije firme zahtijevaju pristup
• Provedite ograničenja kontrole pristupa osoblju.

Zašto kontrola?

Da se smanji rizik od neovlaštenog pristupa važnim informacijama

Mnoga mala preduzeća zapošljavaju interno osoblje ili ovlašćuju vanjske saradnike, npr. kompanije koje pružaju web hosting.

Sistemi kontrole pristupa pomažu vam da zaštitite svoje poslovanje dopuštajući vam da ograničite pristup osoblja i/ili spoljnog saradnika vašem računaru:

• mreže
• datoteke
• prijave
• osjetljivi podaci

Ko sprovodi kontrolu?

Princip "najmanje privilegije"

Ovisno o prirodi vašeg poslovanja, princip "najmanje privilegije" je najsigurniji pristup za većinu malih preduzeća. Korisnicima se dozvoljava minimalan pristup, onoliko koliko im je potrebno za obavljanje posla čime se smanjuje rizik od slučajnog ili zlonamjernog ugrožavanja poslovanja.

Zaštita od zlonamjernog softvera

1. Ograničite administratorske privilegije
2. Nemojte dijeliti lozinke
3. Ne zaboravite opozvati račune bivših uposlenika

Lozinke

Šta su lozinke?

Kao svoju lozinku koristite frazu ili rečenicu, a ne jednu riječ

Lozinke se koriste za provjeru pristupa računarskom sistemu, programu ili usluzi. Najučinkovitije lozine su kada:

• Se koriste s višestrukom provjerom autentičnosti
• Su jedinstvena– nije poznata fraza ili lirika i ne koristi se ponovo
• Su duže– izrazi su uglavnom duži od riječi
• Su složene– prirodno da se pojavljuje u rečenici s velikim slovima i znakovima interpunkcije
• Se lako pamte– sprječava vas da budete zatvoreni

Zašto lozinke?

Veća sigurnost i veća pogodnost

• Teže je provaliti uuobičajene napade lozinkom
• Lakše za pamćenjeod slučajnih likova
• Jednostavno udovoljava zahtjevima za lozinku– velikim i malim slovima, simbolima i interpunkcijama

Brute Force Attacks i Dictionary Attacks

zajedno izazovu milione napada lozinkom u sekundi

Gdje postaviti lozinke?

Na sve fiksne i mobilne uređaje

Lozinke će značajno povećati sigurnost na svim uređajima vaše firme. Za uporedbu pogledajte tabelu ispod.

UKRATKO

SAVJETI – SOFTVER

Uključite automatska ažuriranja za vaš operativni sistem

Postavite povoljno vrijeme da se oni dogode.

Uključite automatska ažuriranja za svoje softverske aplikacije

Postavite povoljno vrijeme da se one dogode.

Napravite sigurnosnu kopiju podataka, držite sigurnosne kopije odvojene i nepovezane sa svojih uređaja i redovno osiguravajte da možete vratiti sigurnosne kopije.

Omogući Multi faktor kada je to moguće

LJUDI I POSTUPCI

Uspostaviti sistem kontrole pristupa kako bi se utvrdilo ko bi trebao imati pristup

Ograničite privilegije administratora na osnovi “prema potrebi”

• Ne dijelite lozinke, npr. pojedinačne prijave
• Ne zaboravite opozvati račune kada zaposlenici napuste posao

Koristite snažne lozinke

• Koristite s višestrukom provjerom autentičnosti
• Duže
• Složene
• Jedinstvene
• Lake za pamćenje

Redovno ponoviti cyber sigurnosni trening i probuditi svijest među svojim zaposlenicima

1. Kreirati plan aktivnosti u slučaju cyber sigurnosnog napada
2. Nagraditi zaposlenike koji su pronašli prijetnje
3. Napraviti kulturu cyber sigurnosti i potaknuti redovne rasprave
4. Uvijek biti oprezan kod e-pošte sa slijedećim:

• Zahtjevi za novcem, posebno ako su hitni ili kasni
• Promjene na bankovnom računu
• Prilozi, posebno s nepoznate ili sumnjive adrese e-pošte
• Zahtijevima za provjeru ili potvrdu podataka za prijavu.

Pojmovi

Antivirusni softver

Softverski program dizajniran za zaštitu vašeg računara ili mreže od računarskih virusa

Aplikacija

Aplikacija je izraz za softver koji se obično koristi i za pametni telefon ili tablet. Nekada se koristi i termin „mobilna aplikacija“

Autentifikator aplikacija

Aplikacija koja se koristi za potvrđivanje identiteta korisnika računara kako bi se omogućio pristup i kontrola koja se koristi u okviru višestruke provjere identiteta

Biometrika

Identifikacija osobe mjerenjem njihovih bioloških specifičnosti, npr. otiska prsta ili glasa.

Bitcoin

Digitalna valuta ( cryptocurrency ) koja se na Internetu koristi za razne usluge.

Brute Force Attack

Vrsta napada koji stvara milione kombinacija znakova u sekundi. Učinkoviti su protiv kratkih ili lozinki od jedne riječi.

Cyber ​​kriminalac

Svaka osoba koja ilegalno hakira računarski sistem da bi oštetila ili ukrala podatke.

Zadane postavke

Nešto što je, operativni sistem ili program unaprijed konfigurisao za korisnika

Vrsta napada koji generira milione potencijalnih pokušaja temeljenih na pravilima i bazama podataka. Učinkovite su protiv manje složenih i najčešće korištenih lozinki.

Šifriranje

Sprječavanje pristupa drugih sadržaju.

Mreža

Skup računara, servera, mrežnih uređaja, perifernih uređaja ili drugih uređaja koji su međusobno povezani radi razmjene podataka.

Operativni sistem

Softver instaliran na tvrdom disku računara koji računarskom hardveru omogućava komunikaciju i pokretanje računarskih programa.

Softver

Obično se nazivaju programi, zbirka uputa koja korisniku omogućava interakciju s računarom, hardverom ili izvršavanjem zadataka.

Špijunski

Program osmišljen za tajno prikupljanje podataka o korisnikovoj aktivnosti – obično se instalira bez korisnikovog znanja kad klikne link.

Oblak / Cloud

Mreža udaljenih servera koji pružaju ogromnu, distribuiranu pohranu i obradu.

Žeton

Fizički uređaj koji se obično može dodati kao privjesak za ključeve, koji stvara sigurnosni kôd za upotrebu s mrežama ili softverskim aplikacijama.

Trojanci

Vrsta zlonamjernog softvera, često prikriven kao legitimni softver, a koji cyber kriminalci koriste da bi dobili pristup korisničkim sistemima.

Virus

Program dizajniran za oštećenje, krađu ličnih podataka, izmjenu podataka, slanje e-pošte, prikazivanje poruka ili kombinaciju ovih radnji.