Pierwszym wyzwaniem jest praca hybrydowa, którą w oparciu o doświadczenia czasu covidowego wprowadza dziś coraz więcej przedsiębiorstw. Taki model pracy sprawia, że poszerza się infrastruktura firmy i zakres zarządzania nią. Pracownicy są mobilni, korzystają z wielu różnych urządzeń, łączą się z firmowymi sieciami z domowych lub niezabezpieczonych sieci. To wymusza na firmach nowe podejście do ochrony zasobów, w tym do ochrony urządzeń używanych przez pracowników w codziennych działaniach.
Drugie wyzwanie powiązane jest z aktualną sytuacją za wschodnią granicą Polski. Niepokoje w Ukrainie, podwyższone zagrożenie cyberatakami oraz obowiązujący na terenie całego kraju trzeci stopień alarmowy CRP (CHARLIE–CRP) sprawiają, że firmy analizują swoją gotowość do walki z zagrożeniami. Instytucje – zwłaszcza z sektora bankowości i ubezpieczeń oraz obszaru infrastruktury krytycznej – przeprowadzają audyty wewnętrzne. Sprawdzają, gdzie są luki i podatności, oraz analizują, jak lepiej wykorzystać wdrożone narzędzia zabezpieczające, by stawić czoło tym ryzykom.
W obu przypadkach rozwiązaniem, które proponujemy naszym klientom, jest wprowadzenie polityki zero trust, zakładającej ścisłą kontrolę dostępu i domyślny brak zaufania do wszystkich, którzy są lub próbują dostać się do firmowej sieci.
Wieloskładnikowe uwierzytelnianie i kontrola aplikacji
Ważnym elementem tej polityki jest odpowiednie zarządzanie tożsamością cyfrową (Identity Management) i zabezpieczenie jej (Identity Security), między innymi przez wdrożenie wieloskładnikowego uwierzytelniania, czyli MFA. MFA wprowadza do procesu uwierzytelniania drugi lub kolejny składnik. Firmy przestają więc polegać na zawodnych i łatwych do przejęcia hasłach. Coraz częściej sięgają za to po biometrię (odcisk palca czy skan twarzy) lub inny dodatkowy element, taki jak SMS czy powiadomienie push na telefonie. Dzięki nim można mieć pewność, że osoba, która loguje się do firmowych systemów, rzeczywiście jest tą, za którą się podaje.
Coraz większą popularnością cieszą się elastyczne systemy MFA (takie jak choćby CyberArk Identity Adaptive MFA), oparte na sztucznej inteligencji oraz uczeniu maszynowym, które rozpoznają kontekst (biorąc pod uwagę między innymi lokalizację użytkownika, porę dnia, adres IP, typ urządzenia oraz zdefiniowane przez administratora reguły) i pozwalają na indywidualny wybór składników uwierzytelniania.
Jak to działa? Narzędzie to wykorzystuje analizę behawioralną opartą na uczeniu maszynowym, rejestrującym standardowe zachowania użytkownika i alarmującym, gdy jego zachowanie odbiega od normy. Jeśli logowanie przebiega w standardowych okolicznościach, nie jest konieczne zastosowanie dodatkowych elementów uwierzytelniających. Jeśli jednak coś jest nie tak, system może wymusić podanie dodatkowych danych lub zablokować dostęp.
Drugim aspektem zarządzania tożsamością jest definiowanie i monitorowanie tego, co użytkownik robi, gdy już dostanie się do firmowej sieci. Nowoczesne rozwiązania klasy Identity Management pozwalają na stworzenie na urządzeniach końcowych użytkowników listy aplikacji i serwisów, z jakich dany pracownik czy kontraktor ma prawo korzystać. Jeśli będzie chciał uruchomić aplikację, która nie znajduje się na tzw. białej liście, system zablokuje taką możliwość. Co więcej, zrobi to automatycznie. Dodatkowo w razie jakiegokolwiek podejrzenia, że do sieci dostała się niepowołana osoba, system może zastosować tzw. red button, czyli wstrzyma wszystkie dostępy do czasu wyjaśnienia sytuacji. Lepiej jest bowiem odebrać i przywrócić dostęp nawet ważnej osobie na wysokim stanowisku, niż pozwolić oszustowi dostać się do infrastruktury i wyrządzić szkodę, która spowoduje ogromne starty.
Bezpieczeństwo końcowych urządzeń użytkowników
Bezpieczeństwo punktów końcowych to praktyka ochrony sieci przedsiębiorstwa przed zagrożeniami pochodzącymi z urządzeń lokalnych lub zdalnych. Punktem końcowym jest każdy sprzęt używany przez pracowników, kontrahentów czy klientów zewnętrznych do tego, by dostać się do zasobów i aplikacji firmowych. Każdy z nich – a mówię o komputerach stacjonarnych, laptopach, serwerach, stacjach roboczych, smartfonach i tabletach – jest potencjalnym punktem cyberataku. Dlatego tak ważne jest zabezpieczenie wszystkich tego typu urządzeń. Jak to zrobić skutecznie?
Te środki są dziś jednak niewystarczające, bo przedsiębiorstwa coraz częściej stosują w swojej codziennej pracy aplikacje mobilne czy usługi w chmurze. Cyberprzestępcy stają się natomiast coraz bardziej wyrafinowani i każdego dnia lepiej radzą sobie z omijaniem tradycyjnych zabezpieczeń. Dlatego wiele przedsiębiorstw wprowadza obecnie nowe podejście do ochrony punktów końcowych, obejmujące szerszy zakres kontroli bezpieczeństwa. Jego podstawą są systemy EDR oraz EPM.
Systemy Endpoint Detection and Response (EDR)
To narzędzia służące do proaktywnego identyfikowania i badania podejrzanej aktywności na urządzeniach końcowych. Większość rozwiązań EDR stale monitoruje, rejestruje i analizuje takie zdarzenia, pomagając w skutecznym wykrywaniu i ograniczaniu zaawansowanych zagrożeń.
Systemy Endpoint Privilege Management (EPM)
Pozwalają zarządzać uprawnieniami w taki sposób, by przyznawać użytkownikom i procesom minimalny zestaw uprawnień, tylko taki, który jest im potrzebny do wykonywania wymaganych zadań. Taka zasada najmniejszych przywilejów usuwa lokalne prawa administratora na serwerach i komputerach osobistych, ograniczając uprawnienia dostępu do autoryzowanych użytkowników i aplikacji. Rozwiązania tej klasy wprowadzają także tzw. Application Control, czyli możliwość tworzenia bezpiecznych (tzw. white list) lub zabronionych (tzw. black list) list aplikacji. Dodatkową elastyczność daje możliwość zdefiniowania zaakceptowanych aplikacji i polityk obsługi wyjątków (tzw. grey list).
Wprowadzając zmiany w zakresie cyberbezpieczeństwa w swojej firmie, warto pamiętać, że jeśli zero trust ma zadziałać w pełni, musi być wdrożone w całej organizacji. Do tej pory przedsiębiorstwa chroniły głównie systemy krytyczne, a przecież atakujący często wybierają środowiska testowe lub deweloperskie, by stamtąd dostać się do sieci firmowej. Ochrona musi więc objąć całą infrastrukturę. Tylko wtedy instytucja będzie w pełni przygotowana na stawianie czoła wyzwaniom w cyberprzestrzeni.
