Dobro smo že zakorakali v december, ki bo letos kljub svoji drugačnosti zagotovo še vedno poln daril in prazničnega pričakovanja novega leta. Sodeč po obvestilih v spletnih trgovinah glede zamikov pri dobavi se letos mnogo več uporabnikov odloča za spletne nakupe kot v prejšnjih letih. Če so statistike že do zdaj kazale, da je december za spletne napadalce najbolj produktiven mesec, v tem oziru letos zagotovo ne bo nič drugače.
Kot navajajo v blogu KnowBe4, je Nizozemska davčna uprava sporočila, da so letos do decembra zabeležili že 150.000 napadov s socialnim inženiringom. To je štirikrat več kot v celem letu 2019. Nizozemska iniciativa Fraudehelpdesk, ki pomaga žrtvam napadov z ribarjenjem, pa je ocenila, da bo v letu 2020 skupno vsaj dvakrat toliko napadov kot v 2019. Na podlagi teh podatkov lahko spletne prevarante označimo kot vojne dobičakarje v času epidemije COVID-19.
Različna delovna okolja in razpršenost podatkov so vaba za napadalce
Kateri dejavniki vplivajo na to, da hekerji s takšno vnemo pripravljajo nove napade in jih usmerjajo v vedno večji krog ljudi? Razdelimo jih lahko v tri glavne segmente.
Delo v različnih delovnih okoljih …
… v pisarni, doma, na vikendu, morda še kje. Delovni okolji v pisarni in doma se infrastrukturno bistveno razlikujeta. Upamo si trditi, da velika večina gospodinjstev svojega domačega omrežja nima tako močno varnostno zaščitenega, kot so poslovna omrežja. V poslovnem okolju že z namenskimi napravami in politikami varovanja podatkov poskrbimo, da so tako uporabniki kot podatki v omrežju ustrezno zaščiteni, blokiramo določene spletne storitve ipd. V domačem omrežju ima uporabnik dostop do širšega in bolj odprtega nabora storitev. Morda se razlike niti ne zaveda, saj ga v pisarni pred pastmi raznih vtičnikov in izvršljivih kod ščiti že sistemska oprema. V drugem okolju pa lahko nevede na računalnik namesti škodljivo programje.
Razpršenost podatkov na različnih napravah…
… na službenem računalniku, prenosniku, tablici in telefonu. Prehajanje med lokacijami običajno pomeni tudi uporabo več različnih naprav. Poleg tega pogosto zasebne naprave uporabljamo v poslovne namene ali obratno. Do tega lahko privedejo obveznosti in potrebe drugih družinskih članov (npr. v času šolanja na daljavo otroci uporabljajo naprave staršev za šolsko delo), kar lahko vodi do nenamernega razkritja podatkov ali namestitve škodljive programske opreme na službene naprave. Ne smemo zanemariti niti dejstva, da lahko nekateri uporabniki ravnajo tudi z miselnostjo »daleč od oči, daleč od srca« – če CISO ne vidi, kaj počnem, lahko malo prekršim pravila.
Drugačna izraba miselnih kapacitet med delovnim časom …
… usklajevanje dela in zasebnega življenja v času dela od doma. Do neprevidnosti pri prepoznavanju spletnih napadov nas lahko enostavno privede tudi preobremenjenost oz. razpršenost naših mislih na (pre)več različnih dejavnosti. Med usklajevanjem dela doma, pripravljanjem kosila in morda še skrbjo za šolanje in varstvo otrok mimogrede prehitro preberemo kakšno sporočilo in kliknemo na povezavo, na katero ne bi smeli.
Vse navedeno prigovarja trditvi, da smo uporabniki najlažja tarča hekerjev. Kako lahko torej kot skrbniki ali odgovorni za informacijsko varnost v organizaciji poskrbite, da bodo vaši uporabniki prepoznali spletne prevare in se bodo vedli odgovorno, ne glede na to, kje in kako delajo? In da bodo vaši podatki varni tako v poslovnem omrežju kot v zasebnih omrežjih vaših zaposlenih?
Ključ do uspeha je trening varnostnega ozaveščanja
Zakaj trening in ne enostavno tečaj ali izobraževanje? Ker je to proces, ki se ne zaključi po tedenskem ali dvotedenskem izobraževanju, temveč traja ves čas, ko je uporabnik dejaven na spletu.
Hekerji sledijo razvoju vedno novih tehnologij in storitev ter svoje napade prilagajajo, tako da prelisičijo najnovejše varnostne popravke in pridejo do najlažje tarče – uporabnika. Izmišljujejo si nove načine, kako doseči, da bo »padel na finto«. Zato se moramo tudi uporabniki ves čas izobraževati. Tako kot morajo športniki ves čas trenirati, če želijo ostati v vrhunski formi. Če bi Ilka Štuhec nehala trenirati, ko je osvojila prvo medaljo v svetovnem pokalu, druge zagotovo ne bi osvojila. Tekmice bi jo »povozile«. In v bolj rekreativnih vodah … če želiš preteči 10 km, boš svoj cilj težko dosegel, če boš šel dvakrat na mesec na Šmarno goro. Pomembno je, da treniramo redno in se odzivamo na spremembe v okolici.
Kot uporabniki informacijske tehnologije smo dolžni spremljati dogajanje na naših napravah s široko odprtimi očmi in se odzivati na vse neobičajne dogodke. Ker pa v realnem življenju pogosto velja rek, da se učimo na napakah, je v naši panogi najbolje, da za nabiranje napak ustvarimo simulirane neobičajne dogodke. Tako bodo uporabniki »padli na finto«, ko ta ne bo dejansko škodljiva. Ko se bodo soočili z resničnim napadom, pa se bodo znali pravilno odzvati.
Realni pentester in virtualni ribič poskrbita za optimalen trening
Kako naj se podjetje loti takšnega treninga? S celostno rešitvijo, ki vključuje:
- začetni pregled in oceno stanja s strani strokovnjaka – realnega (belega) hekerja,
- izvedbo delavnic varnostnega ozaveščanja za uporabnike,
- redno izvajanje simulacij socialnega inženiringa z namenskim orodjem – virtualnim ribičem – vsaj enkrat mesečno,
- spremljanje rezultatov in izdelavo analiz ter
- obdobno (npr. kvartalno) svetovanje in po dogovoru tudi
- izvedbo tematskih delavnic glede na potrebe organizacije.
Takšen pristop k ozaveščanju uporabnikov omogoča stalen razvoj zaposlenih. Ker uporabnik na lastni koži oz. v svoji e-pošti izkusi (simuliran) napad z ribarjenjem, postaja tudi v zasebnem življenju veliko bolj pozoren na svoje ravnanje na spletu. S tem prenaša svoje vedenje in izkušnje tudi na druge, kar dolgoročno ustvarja bolj kibernetsko ozaveščeno družbo.
Ker primanjkuje strokovnjakov pentesterjev, ki bi lahko pri strankah mesečno izvajali simulacije napadov in bi bil to za podjetje hkrati tudi prevelik strošek, smo v Carbonsecu prepoznali dobrega partnerja v podjetju KnowBe4 in njihovem orodju za trening varnostnega ozaveščanja. Orodje omogoča izvajanje raznovrstnih napadov s socialnim inženiringom in spreminja uporabnika v požarno pregrado z dušo in srcem. Tudi v partnerstvu s podjetjem KnowBe4 uresničujemo svojo idejo sodelovanja med človekom in strojem. Tako bo kibernetska varnost uporabnikov – naših strank – zagotovo na najvišji ravni.
KnowBe4 in konkurenčne rešitve
Zavedamo se, da orodje, v katerega verjamemo, ni najcenejše. Prepričani pa smo, da je najboljše. Pogosto se srečamo z vprašanjem, zakaj KnowBe4, če pa so na voljo druge odprtokodne ali celo v drugo programsko opremo vgrajene rešitve, ki prav tako izvajajo simulirane napade z ribarjenjem.
KnowBe4 smo prepoznali kot pravo in najboljšo rešitev, ker:
- vsebuje največji nabor vsebin za simulacijo napadov,
- omogoča napredno analitiko in spremljanje napredka v odpornosti uporabnikov na napade,
- je po podatkih proizvajalca namestitev orodja dvakrat hitrejša kot pri konkurenčnih rešitvah,
- je orodje zasnovano tako, da časovno minimalno posega v delovni proces zaposlenega, hkrati pa zagotavlja merljive rezultate,
- vključuje podporo uporabnikom.
Prvi korak v celostnem pristopu k ozaveščanju uporabnikov lahko storite sami. Poiščite dodatne informacije o ozaveščanju uporabnikov in pobrskajte po orodjarni na naši spletni strani.
Več informacij o naši celostni rešitvi pa vam bomo z veseljem posredovali osebno – smo le klik stran.