Musíme si začít lámat hlavu i tím, jak se ochránit před hrozbami, které přicházejí přímo od našich vlastních zaměstnanců. Tzv. "vnitřní hrozby" jsou jedním z dalších bezpečnostních problémů, jímž se musí majitelé firem i podniků či bezpečnostní manažeři zabývat a hledat vhodné řešení, jak možným útokům předejít.
Mnoho řadových zaměstnanců nemá tušení o bezpečnostním zajištění svého firemního laptopu a ani si neuvědomují, že by na svém laptopu měli mít aktualizované bezpečnostní záplaty. Nemluvě o tom, že skoro každý z nás do sítě připojuje vlastní zařízení, např. iPody, USB nebo digitální fotoaparáty. Pokud nemá společnost přesně stanovena jasná pravidla pro použití firemních zařízení jako jsou laptopy či např. PDA, představují pro ně zaměstnanci riziko, že se vnitropodnikové počítačové sítě nakazí viry, červy či škodlivými programy.
Aby bylo možné zjistit, jaká panuje situace v Evropě, objednala si společnost McAfee, Inc. průzkum, který proběhl v šesti evropských zemích. Do průzkumu se zapojilo 1 500 profesionálů z různých firem. Některá zjištění z tohoto průzkumu zde nyní uvádíme, abychom si mohli udělat obrázek, jak může vypadat situace na tomto poli u nás.
V Evropě každý pátý zaměstnanec nechává rodinu nebo přátele používat svůj laptop nebo počítače pro přístup na internet. To je zvlášť varující, když si uvědomíte, že 42 % rodičů nesleduje, co si jejich teenageři čtou nebo píší na chatu nebo instant messagingu.
n Z průzkumu vyplývá, že téměř čtvrtina (24 %) všech evropských profesionálů používá firemní laptop pro přístup na internet z domova.
n Bohužel celých 61 % má velmi omezené znalosti o IT bezpečnosti.
n 21 % umožňuje rodině nebo přátelům, aby používali jejich pracovní laptopy/počítače pro přístup na internet - v Itálii je to až 42 %.
n Na pracovním počítači ukládá svoje soubory, např. fotografie, hudbu nebo dokumenty, 60 % zaměstnanců.
n 61 % zaměstnanců buď "vůbec netuší", co je to virus, nebo to "ví jen přibližně".
Každý bezpečnostní incident stojí kolem 45 000 euro a stačí pouze jediný, aby způsobil rozsáhlé škody. Přesto 66 % společností nemá v současnosti žádné plány s odpovídajícími protiopatřeními.
Podle nedávného průzkumu společnosti Datamonitor 46 % společností tvrdí, že zdrojem nákazy podniku byly "divoké systémy" jejich zaměstnanců. Jako "divoké systémy" označujeme takové systémy, které nejsou identifikovatelné, nevedou se o nich záznamy a nejsou centrálně spravované, ale mají přitom přístup k podnikové síti. Jedná se například o mobilní zařízení a laptopy zaměstnanců.
Datamonitor zjistil, že někteří respondenti označili tyto systémy jako odpovědné za více než 50 % nákaz v posledních 12 měsících.
Na základě průzkumu identifikovala společnost McAfee čtyři odlišné profily těchto zaměstnanců:
n Neznalý uživatel: zaměstnanci s velmi omezenými znalostmi o bezpečnosti.
n Nadšenec pro elektroniku: zaměstnanci s několika privátními elektronickými zařízeními, které připojují k síti.
n Squatter: zaměstnanci, kteří používají podnikovou síť nedovoleným způsobem, ale záměrně neškodí - např. stahují hudbu, ukládají fotografie, on-line hry.
n Sabotér: zaměstnanci, kteří záměrně hackují firemní IT systémy a zcizují informace.
Neznalý uživatel: tabulka evropské ligy
Dovolují zaměstnanci rodině a přátelům doma nebo v práci,
aby s pomocí jejich laptopu/pracovního počítače přistupovali
na internet?
Evropský průměr 21 %
Italští zaměstnanci 42 % nejvíce nedbalí
Francouzští zaměstnanci 23 %
Britští zaměstnanci 21 %
Španělští zaměstnanci 16 %
Holandští zaměstnanci 14 %
Němečtí zaměstnanci 12 % nejméně nedbalí
Kolik toho evropští zaměstnanci vědí
o IT bezpečnosti?
Jaké procento zaměstnanců říká, že nemají o IT bezpečnosti ponětí nebo mají velmi omezené znalosti?
Evropský průměr 62 %
Němečtí zaměstnanci 66 % nejmenší znalosti
Španělští zaměstnanci 62 %
Holandští a italští zaměstnanci 62 %
Francouzští zaměstnanci 56 %
Britští zaměstnanci 46 % největší znalosti
Jaké procento zaměstnanců je osobně zodpovědných za aktualizaci virové ochrany na svých firemních laptopech/pracovních PC?
Evropský průměr 22 %
Španělští zaměstnanci 34 % nejvíce
Italští zaměstnanci 22 %
Holandští, němečtí, britští a francouzští zaměstnanci 19 % nejméně
Neznalost významu instalování a aktualizování softwaru ilustrovala studie AOL Online Safety Study - 67 % počítačových uživatelů během posledních sedmi dnů neaktualizovalo virové definice. Celých 72 % uživatelů nemělo správně nakonfigurovaný firewall, ačkoliv 63 % uživatelů mělo na svém počítači virus.
Nadšenec pro elektroniku: tabulka evropské ligy
Jaká procento zaměstnanců připouští, že vlastní nejméně jedno osobní zařízení připojitelné k PC?
Evropský průměr 51 %
Francouzští zaměstnanci 56 % nejvíce
Španělští zaměstnanci 54 %
Britští zaměstnanci 51 %
Italští zaměstnanci 49 %
Holandští zaměstnanci 48 %
Němečtí zaměstnanci 46 % nejméně
Jaké procento zaměstnanců připojuje zařízení nejméně
jednou týdně?
Evropský průměr 52 %
Italští zaměstnanci 56 % nejvíce
Španělští zaměstnanci 53 %
Holandští a francouzští zaměstnanci 52 %
Britští zaměstnanci 47 %
Němečtí zaměstnanci 46 % nejméně
Squatter: tabulka evropské ligy
Jaké procento evropských zaměstnanců potvrdilo, že ukládají
na svých osobních PC/laptopech osobní materiály?
Evropský průměr 60 %
Britští zaměstnanci 64 % nejvíce
Francouzští zaměstnanci 63 %
Italští zaměstnanci 62 %
Španělští zaměstnanci 61 %
Holandští zaměstnanci 60 %
Němečtí zaměstnanci 49 % nejméně
Jaké procento evropských zaměstnanců připouští, že stahují z internetu obsah, který by neměli?
Evropský průměr 12 %
Španělští zaměstnanci 18 % nejvíce
Holandští zaměstnanci 15 %
Italští zaměstnanci 13 %
Němečtí zaměstnanci 9 %
Francouzští zaměstnanci 8 %
Britští zaměstnanci 7 % nejméně
Analytická společnost Gartner Group ve své zprávě uvádí, že 84 % bezpečnostních incidentů s velkými škodami se objevilo, když lidé zevnitř firmy předali tajné informace někomu zvnějšku.
Podle jednotky High Tech Crime Unit:
n 75 % poškození webových stránek je výsledkem interních činů.
n 38 % finančních podvodů má souvislost s interními činy.
n 20 % neautorizovaných přístupů k pracovním systémům je interní záležitostí.
n 68 % krádeží dat je interní záležitostí
Poté co jsme uvedli nejdůležitější fakta z průzkumu, zůstává otázka: jak se mohou firmy chránit?
Vynucování bezpečnostní politiky je obtížné, protože neschválená zařízení není snadné detekovat a kontrolovat. Ke zranitelnosti sítě vůči útokům přitom stačí pouze jedno jediné nezabezpečené zařízení, připojené k podnikové síti.
Dodržování bezpečnostních nařízení se musí stát součástí chodu firmy a musí být včleněno do organizačních předpisů a postupů. Řešení spočívá v kombinaci vzdělávání zaměstnanců a investování do komplexních řešení pro správu bezpečnosti.
Společnost McAfee, Inc. například uvedla na trh řešení s názvem McAfee(r) Total Protection, určené zejména pro podniky. Jedná se o komplexní řešení, které spojuje a řídí všechny elementy systémové bezpečnosti v jediné konzole, což pro podniky znamená značné zjednodušení složitosti správy, zvýšení efektivity a v této souvislosti i dlouhodobé úspory nákladů. Řešení využívá jedinou platformu agentů, nasazenou už na více než 40 milionech koncových stanic. Obsahuje antivir pro všechny vrstvy sítě, antispyware, antispam, desktopový firewall, prevenci host intrusion a kompletní systém kontroly přístupu - vše řízené pomocí jediné konzoly.
Asi nejdůležitějším krokem je určení bezpečnostních priorit. Společnost McAfee vymyslela jednoduchou mnemotechnickou pomůcku, která může pomoci firmám při ochraně před "vnitřními hrozbami".
S - Systems safe (zabezpečte systémy).
E - Everyone knows (všechny poučte).
C - Compliance (zajistěte dodržování pravidel).
U - Update regularly (provádějte automaticky aktualizace).
R - Risk monitoring (Sledujte rizika).
E - Encourage communications (začněte komunikovat).
Jak vidíte, situace v oblasti bezpečnosti není zrovna růžová. Možná si říkáte, že vám se něco takového nemůže nikdy stát. Možná jste v některé popsané skupině poznali i sami sebe a teď se potutelně usmíváte do obrazovky svého počítače. Ale možná, že po přečtení tohoto článku budete prostě jen opatrnější.
Vladimír Brož, Territory Manager firmy McAfee pro ČR a SR.
PŘEDPLATNÉ
ČLÁNKY DO MAILU