Av Ron Teixeira
Under de senaste två åren har det förekommit ett antal högprofilerade överträdelser mot stora företag. Även om detta kan ge uppfattningen att endast stora företag är riktade mot hackare och tjuvar är realiteten att hackare alltmer riktar in småföretag eftersom de vanligtvis inte har resurser eller know-how som stora företag gör.
Det betyder dock inte att småföretag behöver spendera en stor summa pengar och resurser för att skydda sig för de senaste hoten. Faktum är att enligt en ny Symantec-hotrapport kunde 82% av data som antingen försvunnits eller stulits ha kunnat undvikas om verksamheten följde en enkel cybersäkerhetsplan.
För att kunna börja utveckla en cybersäkerhetsplan måste du förstå Internethoten och hur skydda ditt företag från dessa hot direkt påverkar din bottom-line. Som ett resultat av detta utvecklade National Cyber Security Alliance, vars partners hembygdsavdelningen, Federal Bureau of Investigations, Small Business Administration, National Institute for Standards and Technology, Symantec, Microsoft, CA, McAfee, AOL och RSA, utvecklade topp 5 hot som ditt lilla företag kan möta på Internet, affärssaker om hur dessa hot kan skada dig och praktiska åtgärder du kan vidta för att undvika dessa hot.
Här är en sammanfattning av de fem största hoten:
- # 1: Skadlig kod. En nordost tillverkningsföretag mjukvarubomb förstörde alla företagsprogram och kodgeneratorer. Därefter förlorade bolaget miljontals dollar, avvecklades från sin position i branschen och så småningom fick 80 anställda avstå. För att se till att det inte händer att du installerar och använder anti-virusprogram, anti-spywareprogram och brandväggar på alla datorer i din verksamhet. Se till att all datorprogramvara är aktuell och innehåller de senaste patcharna (dvs operativsystem, antivirusprogram, antispionprogram, antiadware, brandvägg och kontorsautomationsprogram).
- # 2: Stolad / förlorad bärbar dator eller mobil enhet. Förra året stal en anställds bärbar dator av departementet Veterans Affairs stolen från sitt hem. Den bärbara datorn innehöll 26,5 miljoner veteraner medicinska historia. I slutändan återhämtades den bärbara datorn och data användes inte; VA hade dock anmält 26,5 miljoner veteraner av händelsen, vilket resulterade i kongresshörningar och allmän granskning. För att säkerställa att det här inte händer, skydda dina kunders data när du transporterar den överallt på en bärbar enhet genom att kryptera all data som finns i den. Krypteringsprogram kodar data eller gör det oläsligt för utomstående, tills du anger ett lösenord eller en krypteringsnyckel.
- # 3: Spjutfiskning. En medelstor cykelstillverkare åberopade kraftigt på e-post för att bedriva verksamhet. Under normal affärsdag mottog företaget så många som 50 000 spam- och phishing-e-postmeddelanden. I ett fall fick en anställd ett "spear phishing" -meddelande som såg ut som det kom från IT-avdelningen och bad arbetstagaren att bekräfta "administratörslösenordet". Lyckligtvis för företaget, när arbetstagaren frågade linjeledaren för " administratörslösenord "han undersökte vidare och insåg att e-posten var en bluff. För att se till att det här inte händer för dig, instruera alla anställda att kontakta sin chef eller helt enkelt hämta telefonen och kontakta den person som skickade e-post direkt. Det är viktigt att göra dina anställda medvetna om vad ett spjutfiskefiskeangrepp är och att vara ute efter något i sin inbox som ser misstänkt ut.
- # 4: Osäker Trådlöst Internet. Enligt nyhetsrapporter drog hackare av sig "den största databrottet någonsin" genom ett trådlöst nätverk. En global detaljhandelskedja hade över 47 miljoner kunders ekonomiska information stulen av hackare som knäckte genom ett trådlöst nätverk som var säkrat av den lägsta krypteringsformen som var tillgänglig för företaget. För närvarande har denna säkerhetsbrott kostat företaget 17 miljoner dollar, och i synnerhet 12 miljoner dollar i ett kvartal enbart eller 3 cent per aktie. För att se till att det inte händer att hönan skapar ett trådlöst nätverk, se till att standardlösenordet ändras och se till att du krypterar ditt trådlösa nätverk med WPA (Wi-Fi Protected Access).
- # 5: Insider / missnöjd medarbetarhot. En tidigare anställd för ett företag som hanterar flygverksamhet för större fordonsföretag, tog bort kritisk anställningsinformation två veckor efter att han avgick från sin position. Händelsen orsakade omkring 34 000 dollar i skadestånd. För att se till att det här inte händer, dela du kritiska funktioner och ansvarsområden bland anställda inom organisationen, vilket begränsar möjligheten att en person kan begå sabotage eller bedrägeri utan hjälp av andra anställda inom organisationen.
Läs vidare nedan för mer information och detaljerad rådgivning om hur du skyddar dina datorsystem -
1. Skadlig kod (Spyware / Virus / Trojan Horse / Worms)
Enligt en 2006 FBI Computer Crime Study omfattades skadliga program som det största antalet rapporterade cyberattacker, vilket resulterade i en genomsnittlig förlust på $ 69 125 per incident. Skadlig programvara är dataprogram installerade i hemlighet på din företags dator och kan antingen orsaka intern skada på ett datornätverk som att ta bort viktiga filer eller kan användas för att stjäla lösenord eller låsa upp säkerhetsprogram så att en hackare kan stjäla kund- eller anställningsinformation. För det mesta används dessa typer av program av brottslingar för ekonomisk vinning genom antingen utpressning eller stöld.
Fallstudie:
Ett nordöst tillverkningsföretag fångade kontrakt värda flera miljoner dollar för att göra mätinstrument för NASA och US Navy. En morgonarbetare kunde dock inte logga in på operativsystemet, istället få ett meddelande om att systemet var "under reparation". Kort efter kraschade företagets server, vilket eliminerade alla anläggningens verktygs- och tillverkningsprogram. När chefen gick för att få tillbaka kassetter fann han att de var borta och de enskilda arbetsstationerna hade också torkats ut. Bolagets CFO bekräftade att mjukvarubomben hade förstört alla program och kodgeneratorer som gjorde det möjligt för företaget att anpassa sina produkter och därigenom sänka kostnaderna. Företaget förlorade sedan miljontals dollar, avvecklades från sin position i branschen, och så småningom fick 80 anställda avstå. Företaget kan ta lite tröst i det faktum att den skyldiga parten till slut greps och dömdes.
Råd:
- Installera och använd antivirusprogram, anti-spywareprogram och brandväggar på alla datorer i din verksamhet.
- Se till att dina datorer skyddas av en brandvägg. brandväggar kan vara separata apparater, inbyggda i trådlösa system eller en brandvägg som följer med många kommersiella säkerhetssatser.
- Se till att all datorprogramvara är aktuell och innehåller de senaste patcharna (dvs operativsystem, antivirusprogram, antispionprogram, antiadware, brandvägg och kontorsautomationsprogram).
2. Stulen / förlorad bärbar dator eller mobil enhet
Tro det eller inte, stulna eller förlorade bärbara datorer är ett av de vanligaste sätten att företag förlorar kritiska data. Enligt en 2006 FBI-brottsstudie (PDF) resulterade en stulen eller förlorad bärbar dator vanligen i en genomsnittlig förlust på $ 30.570.En hög profilhändelse eller en händelse som kräver att ett företag ska kontakta alla sina kunder, eftersom deras ekonomiska eller personliga uppgifter kan ha gått vilse eller stulna kan leda till mycket högre förluster på grund av förlust av konsumenternas förtroende, skadat rykte och till och med juridiskt ansvar.
Fallstudie:
Förra året tog en avdelning för veteranaffärsarbetare ett bärbar dator hem som innehöll 26,5 miljoner veteraner medicinska historia. Medan arbetstagaren inte var hemma, bröt en inkräktare in och stal den bärbara datorn som innehåller veteranernas data. I slutändan återhämtades den bärbara datorn och data användes inte; VA hade dock anmält 26,5 miljoner veteraner av händelsen, vilket resulterade i kongresshörningar och allmän granskning. Det här fenomenet är inte begränsat till regeringen. Under 2006 fanns ett antal högprofilerade företagsärenden med förlorade eller stulna bärbara datorer som resulterade i dataöverträdelser. En bärbar dator som innehöll 250 000 Ameriprise-kunder har stulits från en bil. Providential Health Care Hospital System hade en bärbar dator stulen, som innehöll tusentals patienters journaler.
Råd:
- Skydda dina kunders data när du transporterar den överallt på en bärbar enhet genom att kryptera all data som finns i den. Krypteringsprogram kodar data eller gör det oläsligt för utomstående, tills du anger ett lösenord eller en krypteringsnyckel. Om en bärbar dator med känslig data stulits eller förloras, men data krypteras är det högst osannolikt att någon kommer att kunna läsa data. Kryptering är din sista försvarskod om data förloras eller stulits. Vissa krypteringsprogram är inbyggda i populära finansiella och databasprogram. Kontrollera bara programvarans bruksanvisning för att få reda på om den här funktionen är tillgänglig och hur du slår på den. I vissa fall kan du behöva ett ytterligare program för att korrekt kryptera din känsliga data.
3. Spjutfiskning
Spjutfiskning beskriver en mycket målinriktad phishing-attack. Spjutfiskare skickar e-post som verkar äkta för alla anställda eller medlemmar inom ett visst företag, myndighet, organisation eller grupp. Meddelandet kan se ut som om det kommer från en arbetsgivare eller från en kollega som kan skicka ett e-postmeddelande till alla i företaget, till exempel chefen för mänskliga resurser eller den som hanterar datorsystemen, och kan innehålla förfrågningar om användarnamn eller lösenord.
Sanningen är att informationen om e-post avsändare har blivit falsk eller "spoofed". Traditionella phishing-bedrägerier är utformade för att stjäla information från individer, spjutspetskrämmande bedrägerier arbetar för att få tillgång till ett företags hela datorsystem.
Om en anställd svarar med ett användarnamn eller lösenord, eller om du klickar på länkar eller öppna bifogade filer i ett e-postmeddelande med spjutfiske, popup-fönster eller webbplats, kan de riskera din verksamhet eller organisation.
Fallstudie:
En medelstor cykelstillverkare som producerade cyklar som användes i välkända raser, låg mycket på email för att bedriva verksamhet. Under normal affärsdag mottog företaget så många som 50 000 spam- och phishing-e-postmeddelanden. Som ett resultat av detta installerade företaget många spamfilter i ett försök att skydda anställda från bedrägliga e-postmeddelanden. Men många bedrägliga e-postmeddelanden går fortfarande igenom till anställda. I ett fall fick en anställd ett "spear phishing" -meddelande som såg ut som det kom från IT-avdelningen och bad arbetstagaren att bekräfta "administratörslösenordet". Lyckligtvis för företaget, när arbetstagaren frågade linjeledaren för " administratörslösenord "han undersökte vidare och insåg att e-posten var en bluff. Medan det här exemplet inte resulterade i en ekonomisk förlust, kunde den lätt ha, och är ett vanligt problem för alla företag.
Råd:
- Anställda ska aldrig svara på skräppost eller popup-meddelanden som hävdar att de är från ett företag eller en organisation som du kan ta itu med till exempel en Internetleverantör (ISP), bank, online betalningstjänst eller till och med en statlig myndighet. Legitima företag kommer inte att begära känslig information via e-post eller en länk.
- Dessutom, om en anställd får ett e-postmeddelande som ser ut som det är från en annan anställd, och frågar efter lösenord eller någon typ av kontoinformation, borde de inte svara på det eller ge känslig information via e-post. I stället instruera arbetstagaren att kontakta sin chef eller helt enkelt hämta telefonen och kontakta den person som skickade e-post direkt.
- Det är viktigt att göra dina anställda medvetna om vad ett spjutfiskefiskeangrepp är och att vara ute efter något i sin inbox som ser misstänkt ut. Det bästa sättet att undvika att bli offer för ett phishing-angreppsspel är att låta alla veta att det händer innan någon förlorar personlig information.
4. Unsecured Wireless Internet Networks
Konsumenter och företag antar snabbt och implementerar trådlösa Internet-nätverk. Enligt en InfoTech-studie kommer penetrationen av trådlöst internet att nå 80 procent senast 2008. Medan trådlösa internetnätverk ger företagen möjlighet att effektivisera sina nätverk och bygga upp ett nätverk med väldigt liten infrastruktur eller ledningar finns det säkerhetsrisker som företag måste ta itu med medan använder trådlösa internetnät. Hackare och bedrägerier kan få tillträde till företagens datorer via ett öppet trådlöst internetnät, och som ett resultat kan de eventuellt stjäla kundinformation och till och med proprietär information. Tyvärr tar många företag inte de nödvändiga åtgärderna för att säkra sina trådlösa nätverk. Enligt en studie från Symantec / Small Business Technology Institute i november har 60% av de små företagen öppna trådlösa nätverk. Dessutom kan många andra småföretag inte använda tillräckligt stark trådlös säkerhet för att skydda sina system. Att inte säkra ett trådlöst nätverk är inte som att lämna ett företags dörr vid öppet på natten.
Fallstudie:
Enligt nyhetsrapporter drog hackare av sig "den största databrottet någonsin" genom ett trådlöst nätverk. En global detaljhandelskedja hade över 47 miljoner kunders ekonomiska information stulen av hackare som knäckte genom ett trådlöst nätverk som var säkrat av den lägsta krypteringsformen som var tillgänglig för företaget. År 2005 parkerade två hackare parkerad utanför en butik och använde en teleskop trådlös antenn för att avkoda data mellan handhållna betalningsskannrar, så att de kunde bryta sig in i moderbolagsdatabasen och göra sig av med kredit- och betalkortrekord på nästan 47 miljoner kunder. Man tror att hackarna hade tillgång till kreditkortsdatabasen i över två år utan att detekteras. I stället för att använda den mest aktuella krypteringsprogramvaran för att säkra sitt trådlösa nätverk - Wi-Fi Protected Access (WPA), använde detaljhandelskedjan en gammal form av kryptering som kallas Wireless Equivalent Privacy (WEP), vilket enligt vissa experter lätt kan hackade på så lite som 60 sekunder. För närvarande har denna säkerhetsbrott kostat företaget 17 miljoner dollar, och i synnerhet 12 miljoner dollar i ett kvartal enbart eller 3 cent per aktie.
Råd:
- När du konfigurerar ett trådlöst nätverk kontrollerar du att standardlösenordet har ändrats. De flesta nätverksenheter, inklusive trådlösa åtkomstpunkter, är förkonfigurerade med standard administratörslösenord för att förenkla inställningen. Dessa standardlösenord hittar du enkelt online, så de ger inget skydd. Att ändra standard lösenord gör det svårare för angriparna att ta kontroll över enheten.
- Se till att du krypterar ditt trådlösa nätverk med WPA-kryptering. WEP (Wired Equivalent Privacy) och WPA (Wi-Fi Protected Access) krypterar både information om trådlösa enheter. WEP har dock ett antal säkerhetsproblem som gör det mindre effektivt än WPA, så du bör specifikt leta efter redskap som stöder kryptering via WPA. Kryptering av data skulle förhindra alla som kanske skulle kunna övervaka din trådlösa trådlösa trafik från att visa dina data.
5. Insider / missnöjd medarbetarhot
En missnöjd anställd eller insider kan vara farligare än den mest sofistikerade hackaren på Internet. Beroende på företagets säkerhetspolicyer och lösenordshantering kan insiders ha direkt tillgång till dina kritiska data och som ett resultat kan det enkelt stjäla det och sälja det till din konkurrent eller till och med radera allt, vilket orsakar irreparabel skada. Det finns åtgärder och åtgärder du kan vidta för att förhindra att en insider eller missnöjd anställd får tillgång till viktig information och skadar datornätverk.
Fallstudie:
En tidigare anställd för ett företag som hanterar flygverksamhet för större fordonsföretag, tog bort kritisk anställningsinformation två veckor efter att han avgick från sin position. Händelsen orsakade omkring 34 000 dollar i skadestånd. Enligt rapporter var arbetstagaren upprörd att han släpptes ut av företaget tidigare än han hade förväntat sig. Påstås att företagets brandvägg har äventyras och gärningsmannen bröt in i databasen för anställda och raderade alla poster. Uttalanden från företaget tyder på att den missnöjda tidigare anställda var en av endast tre personer som kände till inloggningen och lösenordsinformationen för brandväggen som skydde personaldatabasen.
Råd:
Det finns ett antal sätt som ditt företag kan skydda sig från insider eller missnöjda medarbetarhot:
- Dela upp kritiska funktioner och ansvarsområden bland anställda inom organisationen, vilket begränsar möjligheten att en enskild person kan begå sabotage eller bedrägeri utan hjälp av andra anställda inom organisationen.
- Implementera strikta lösenord och autentiseringspolicyer. Se till att varje anställd använder lösenord som innehåller bokstäver och siffror, och använd inte namn eller ord.
- Var noga med att ändra lösenord var 90: e dag, och viktigast av allt, ta bort en anställdes konto eller byta lösenord till kritiska system, efter att en anställd lämnar ditt företag. Detta gör det svårare för missnöjda medarbetare att skada dina system efter att de har lämnat.
- Utför due diligence innan du hyr någon. Gör bakgrundskontroller, utbildningar, etc. för att se till att du anställer bra människor.
Om författaren: Som verkställande direktör för National Cyber Security Alliance (NCSA) är Ron Teixeira ansvarig för den övergripande hanteringen av program för säkerhetsmedvetenhet och nationella utbildningsåtgärder. Teixeira samarbetar nära olika myndigheter, företag och ideella organisationer för att öka medvetenheten om säkerhetsfrågor på Internet och att bemyndiga hemmabrukare, småföretag och utbildningsgemenskapen med verktyg och bästa praxis för att säkerställa en säker och meningsfull Internetupplevelse.
9 kommentarer ▼
