7 sfaturi pentru securitatea site-urilor web care v-ar putea salva afacerea de o încălcare a datelor
Publicat: 2018-10-16În altă zi, un alt hacker reușește cu câteva milioane de date ale clienților de la Enormo Bank în cea mai recentă încălcare masivă a securității cibernetice corporative. Întreprinderile mici și mijlocii (IMM-urile) râsesc la sine și oferă mulțumiri pentru care nu sunt suficient de mari pentru ca hackerii să-i acorde atenție. Dacă aceasta este mentalitatea ta, am dori să fim primii care să-ți spună că percepția ta este greșită. Moarte greșit.
Realitatea, conform Comitetului Congresului pentru Afaceri Mici din SUA, este că 71% dintre încălcările securității online sunt vizate de companii cu mai puțin de 100 de angajați. Spune ce? Ai citit corect, așa că, dacă mentalitatea „suntem prea mici pentru ca băieții răi să le înțeleagă” îți pătrunde IMM-ul, acum ar putea fi un moment bun să pui jos băutura energizantă, să stai drept și să fii atent la acestea. 7 sfaturi pentru securitatea site-urilor web care v-ar putea salva afacerea de o încălcare a datelor.
Vei fi bucuros că ai făcut-o.
#1 Firewall-urile nu sunt doar o idee bună
Dacă nu aveți firewall-uri instalate în rețea, ați putea la fel de bine să intrați pe dark web chiar acum și să vă publicați toate parolele pentru a le găsi orice hacker care trece. Realitatea este că ar trebui să considerați un firewall prima linie de apărare în protejarea datelor clienților. Ca o analiză rapidă, un firewall este un sistem de securitate – fie hardware, fie software – care monitorizează fluxul de date dintre rețeaua internă și internet și elimină activitățile suspecte pe baza unor reguli de securitate predeterminate.
Există trei domenii pe care să vă concentrați atunci când vine vorba de instalarea paravanelor de protecție.
Firewall extern: Acest tip de firewall se găsește în mod normal ca parte a unui router sau server. Acesta se află în afara rețelei companiei dvs. și împiedică, în primul rând, orice fel de tentative de hacker să ajungă în sistemul dumneavoastră. Dacă nu ești sigur dacă ai unul sau nu, apelează-ți gazda web și pune câteva întrebări.
Firewall intern: Acest tip de firewall ia forma unui software instalat în rețeaua dumneavoastră. În timp ce îndeplinește un rol similar cu firewall-ul extern, și anume scanarea pentru viruși, programe malware și alte nenorociri cibernetice, ar trebui, de asemenea, configurat pentru a segmenta rețeaua, astfel încât virușii, hackurile și altele asemenea să poată fi puse rapid în carantină și răspândirea. limitat înainte de a infecta întregul sistem.
Al treilea domeniu la care trebuie să acordați atenție este în ceea ce privește angajații care lucrează de acasă care accesează rețeaua companiei. Securitatea ta generală este la fel de bună ca veriga cea mai slabă. Ar merita liniștea să plătiți pentru protecția firewall în astfel de cazuri.
Firewall-urile sunt legate intrinsec de configurația de găzduire a site-ului/rețelei dvs. Pentru cei câțiva bani în plus pe care îi costă pe lună, ați putea lua în considerare să lăsați în urmă zilele de găzduire partajată și să faceți upgrade la ceva mai robust, fie un server dedicat, fie un server privat virtual care permite mai mult control asupra configurațiilor specifice de securitate.
# 2 Securizează acele dispozitive inteligente
Un sondaj Tech Pro din 2016 a constatat că 59% dintre companii urmează o politică Bring Your Own Device (BYOD). Sunt o mulțime de căi potențial nesecurizate în rețeaua companiei care se plimbă prin holuri și birouri. Evident, să vă încrucișați degetele și să sperați că niciun tip rău nu observă această defecțiune masivă de securitate nu este o politică corectă, așa că ce veți face? În acest moment al erei informației, încercarea de a menține dispozitivele personale precum smartphone-uri, tablete, trackere de fitness și ceasuri inteligente departe de locul de muncă ar duce probabil la o renunțare la scară largă a întregii forțe de muncă.
Iată ce să faci.
Creați o politică de securitate care se aplică în mod specific dispozitivelor personale. Anunțați angajații că BYOD este în regulă, dar aceștia trebuie – repetă cu majuscule pentru a sublinia – TREBUIE să respecte regulile care asigură siguranța rețelei. Doi pași specifici de urmat sunt:
- Solicitați setarea ca toate dispozitivele personale să verifice și să instaleze automat actualizări de securitate.
- Solicitați ca toate dispozitivele personale să adere la politica companiei privind parolele. Ai o politică de parole, nu? Este destul de important. Vom vorbi de ce peste puțin.
Dacă începi să te simți ca Grinchul cu toate aceste cerințe, întreabă-te asta. Aș prefera să enervez câțiva angajați cu linii directoare stricte de securitate cibernetică sau să las cel mai valoros bun al meu de afaceri, datele clienților, să iasă pe ușă? Așa am crezut noi.
# 3 Un manual de securitate pentru a-i guverna pe toți
După cum am menționat, IMM-urile de astăzi consideră adesea datele drept cel mai prețios activ al afacerii. Un singur angajat predispus la neglijență cu parolele sau care adoptă o atitudine întâmplătoare față de screening-ul vizual a tuturor e-mailurilor pentru încercări de phishing poate literalmente să vă torpileze afacerea. Un cuvânt către înțelepți. Clienții pot fi destul de neiertători și ezită să patroneze în continuare o companie care este percepută că joacă rapid și liber cu informațiile lor personale. În cazul în care compania dumneavoastră necesită servicii profesionale, un dezvoltator de software de securitate ar putea fi o alegere bună.
Acum, mai mult ca niciodată, instruirea pentru prevenirea încălcării securității online trebuie să fie luată în serios de conducere și de fiecare angajat, de la cel mai înrăit veteran până la începător cu nas. Trebuie să aveți un manual de politică tipărit care să precizeze protocoalele care trebuie urmate și repercusiunile nerespectării acestora până la și inclusiv concedierea. După cum probabil ați observat, infractorii cibernetici sunt foarte pricepuți. Îți testează mereu apărarea și creează noi modalități de a-ți pătrunde în rețea fie prin tehnologie, viclenie sau o combinație a celor două.
Managerii și proprietarii de IMM-uri revine să actualizeze manualul în mod regulat, conform celor mai bune practici din acel moment, precum și să aloce o perioadă adecvată de timp pentru a oferi educație adecvată în timpul proceselor de integrare a noilor angajați. Dacă vrei ca acest efort să fie luat în serios și ar trebui, TU trebuie să-l iei în serios. Cel puțin, orice angajat care accesează rețeaua companiei din orice motiv trebuie să cunoască temeinic cum să o mențină în siguranță. O mare parte din această securitate ține de subiectul securității parolelor, care este suficient de important pentru a obține propria categorie.
#4 Dacă nu faceți nimic altceva, aveți o politică puternică privind parola
Iată câteva statistici care ajută la clarificarea exactă a motivului pentru care un IMM ar putea avea o problemă când vine vorba de securitatea cibernetică.
- Un raport Verizon din 2016 a constatat că 63% dintre încălcările de date au fost cauzate de parole slabe, pierdute sau furate. Aceasta este o problemă.
- Un raport al Institutului Ponemon susține că 65% dintre companiile cu o politică de parole în vigoare nu o aplică. Aceasta este o problemă și mai mare.
De unde începem cu asta? Da, angajații se vor plânge cerului dacă le cereți să creeze parole mai complexe decât „1234” și să le schimbe în mod regulat, dar, cu riscul de a suna ca un record spart, sunteți mai preocupat de iritația minoră a lucrătorilor sau preluarea rețeaua ta de forțe ostile? Dacă ați spus prima, am dori să vă sugerăm politicos să vă vindeți imediat afacerea.
Securitatea prin parolă are nevoie de propria sa secțiune din manualul de securitate, iar cele mai bune practici trebuie urmate. Aceasta înseamnă că ar trebui să solicitați:
- Parolele trebuie schimbate la fiecare 60-90 de zile
- Parolele au cel puțin 8 caractere, dar mai mult este mai bine
- Parolele includ litere mari și mici, cifre și caractere speciale
Pentru a revedea acel număr anterior, odată ce vă deranjați de a crea o politică puternică de parole, nu faceți parte din cei 65% care nu o aplică. E doar o prostie.
Manageri de parole: nu ne place să părăsim această secțiune fără a menționa managerii de parole. Disponibil ca software instalat, serviciu cloud sau chiar dispozitiv fizic, aceste programe vă ajută să generați și să recuperați parole complexe. Face exact ceea ce pretinde numele, și anume gestionarea parolelor și se pare că cei mai mulți dintre noi ar putea folosi ajutor în acest domeniu.
Citiți mai multe despre această măsură de securitate online de top (și ieftină) din Consumer Reports.
#5 Backup-uri? Acum mai mult ca niciodata
Ați decis să urmați fiecare dintre sugestiile noastre până acum precis, exact și complet, fără abateri. Acum puteți respira ușurat că rețeaua companiei dvs. este inatacabilă. De ce să nu te apleci pe spate și să-ți sprijiniți picioarele? Iată de ce nu. În ciuda celor mai bune intenții ale tale și ale întregului tău personal, există cel puțin o posibilitate ca un hacker să reușească totuși să se strecoare și să creeze un scandal. După cum am spus, acești băieți și fete sunt o grupă inteligentă care se dedică răutăților criminale. Odată înăuntru, aceștia pot provoca o varietate de daune, de la înregistrarea apăsărilor de la tastatură la parola, la utilizarea resurselor pentru a lansa un atac complet „bot”, la ștergerea serverului.
În acel moment, îți vei dori să poți derula sistemul înapoi la un moment anterior din timp înainte ca hackerul să pună mâna în amestec. Ați făcut în mod regulat copii de rezervă pentru tot în cloud și chiar ați stocat o altă copie într-o locație fizică îndepărtată, nu, deoarece au loc incendii și inundații? Dacă nu o faceți acum, gândiți-vă bine la crearea de rezervă a documentelor de procesare de text, a foilor de calcul, a bazelor de date, a înregistrărilor financiare, a fișierelor de resurse umane și a conturilor de încasat/de plătit.
Având în vedere că serviciile de backup în cloud devin mai accesibile în fiecare zi, nu există nicio scuză pentru a nu implementa o strategie de backup cuprinzătoare care vă permite să vă readuceți rapid sistemul la starea operațională în cazul unei pătrunderi a rețelei. Dacă nu vă place să reconstruiți fiecare fișier pe care îl utilizați din memorie...
# 6 Anti-Malware nu este opțional
Bine, alegerea dacă instalați sau nu anti-malware este opțional. În schimb, ar fi trebuit să spunem că a decide negativ este o idee proastă. Anti-malware protejează împotriva atacurilor de phishing, care au devenit una dintre tacticile preferate folosite de hackeri dintr-un singur motiv - funcționează ca un farmec. Pentru dovadă, ne întoarcem încă o dată la raportul Verizon din 2016. Potrivit acestui sondaj, 30% dintre angajați au deschis e-mailuri de phishing, ceea ce a crescut cu 7% față de anul precedent!
Pentru revizuire, phishingul este o tehnică prin care un hacker trimite un e-mail menit să atragă un angajat să clincheze pe un link din acesta. Luarea momeală declanșează o instalare de malware în rețea și hacker-ul se află. Este un lucru rău. Prima linie de apărare împotriva phishing-ului este să-ți antrenezi angajații să nu facă clic pe nimic dintr-un e-mail decât dacă sunt dublu siguri că este legitim.
Având în vedere că 30% dintre angajați invită, în esență, un hacker în rețea, anti-malware este cel mai bun pariu pentru a intercepta și închide instalarea software necinstite înainte ca aceasta să poată fi finalizată. Acordați o atenție deosebită angajaților din pozițiile pe care hackerii le place să phishing: directori generali, asistenți de administrare, agenți de vânzări și HR. Acestea s-au dovedit a fi ținte deosebit de populare, deoarece au adesea acces la partea moale a celor mai bune părți ale rețelei.
Dar nu face greșeala de a presupune că toți ceilalți sunt imuni. Orice angajat cu acces la orice parte a rețelei este o țintă potențială.
#7 Autentificare cu mai mulți factori – Devine rapid cea mai bună practică
În ultimii ani, autentificarea multi-factor (MFA) a apărut ca un punct luminos pe radarul celor preocupați de securitatea rețelei lor. Da, ar putea fi un pic o bătaie de cap, dar este o modalitate aproape sigură de a securiza procesul de conectare. Există o mulțime de permutări ale procesului exact, dar iată cum ar putea merge autentificarea unei companii:
- Utilizatorul introduce parola în mod tradițional, introducând-o în promptul sistemului
- O a doua parolă unică este generată și trimisă la telefonul mobil al utilizatorului
- Utilizatorul este dus la pagina finală de conectare unde introduce codul de pe telefonul său
- Intrarea în rețea este permisă
O modalitate și mai ușoară de a implementa MFA este pur și simplu ca numărul de telefon mobil al angajatului să servească drept a doua logare. Gândirea aici este că un hacker este extrem de puțin probabil să aibă acces atât la prima autentificare, cât și la numărul de telefon mobil. Acest strat suplimentar de protecție este relativ simplu de activat pe majoritatea sistemelor și sporește foarte mult securitatea parolei.
O mare parte din munca de pionierat în acest domeniu provine de la Google, care a încheiat recent o perioadă de un an în care niciunul dintre cei 85.000 de ei nu a avut contul Gmail piratat. Au făcut-o prin utilizarea unei chei de securitate fizice numită Titan, care se conectează la un port USB. Chiar și cu un nume de utilizator și o parolă, un hacker nu ar putea intra mai departe în cont fără să aibă acces fizic la cheie.
Gânduri finale
Ideea Big Picture este că cei implicați în IMM-uri trebuie să țină cont de faptul că securitatea site-ului web și a rețelei nu implică aruncarea unui comutator mare și apoi să nu-ți mai faci griji cu privire la criminalii cibernetici. Este un proces iterativ în care linia de gol continuă să avanseze de fiecare dată când faci un pas spre ea. Nu există un proces de setare și uitare. Băieții răi nu încetează niciodată să testeze și să învețe, devenind mai sofisticați cu eforturile lor, așa că nici tu nu poți. În zilele noastre, companiile trebuie să respecte reglementările privind confidențialitatea datelor, astfel încât existența unui sistem de guvernare a datelor va asigura, de asemenea, că toate datele utilizate sunt colectate și gestionate în mod corect.
Dacă nu ați făcut-o deja, fie dvs., fie cineva pe care îl desemnați ar trebui să țineți un deget pe pulsul industriei securității cibernetice pentru a observa noile metode de atac și prevenire pe măsură ce apar. Într-o lume în care adversarul tău nu încetează niciodată să învețe, nici tu nu îți poți permite. Dacă îți pasă de afacerea ta, mulțumirea nu este o opțiune atunci când vine vorba de a te asigura că rețeaua și datele tale private rămân așa, private.
