Weitere ähnliche Inhalte Ähnlich wie Raport Bezpieczenstwo IT w polskich firmach (20) Mehr von D-Link Polska (14) Raport Bezpieczenstwo IT w polskich firmach2. Spis treści
Stan oblężenia 3 że zabezpieczenie mogło kosztować tylko ułamek tej
Przegląd zagrożeń, którym poddane są dziś firmy kwoty. Proste kalkulacje pokazują, że o wiele bardziej
wykorzystujące technologie IT. Jaka będzie przyszłość opłacalne jest stosowanie zabezpieczeń.
zabezpieczania systemów informatycznych? Jak polskie
firmy będę się broniły przed atakami? Bezpieczeństwo
Zagrożenia to też rynek! 7 na wynos 21
Rodzaje zagrożeń ciągle ewoluują. Niestety, Masz w firmie użytkowników mobilnych? Korzystają
w złym kierunku. Cyberprzestępcy specjalizują się z laptopów i smartfonów? Łączą się zdalnie
w wykradaniu naszych danych i przejmowaniu kontroli z wewnętrznymi zasobami przedsiębiorstwa? Lepiej
nad kontami w bankach. sprawdź, na co się narażasz i jak możesz temu
skutecznie zapobiec. Internet jest dziś bowiem bardzo
Jak polskie firmy zainfekowanym środowiskiem.
(nie) dbają o bezpieczeństwo Społeczności na celowniku 26
komputerowe? 13 Jeśli myślisz, że pracownicy nie korzystają w pracy
Jaka jest świadomość polskich firm? Jaki jest z sieci społecznościowych, to bardzo się mylisz. Robią
stan zabezpieczeń? Co robią dziś przedsiębiorcy, to niemal wszyscy, a dla cyberprzestępców to sytuacja
a co powinni robić, żeby nie narazić firmy na idealna do ataku. Pokazujemy, jak budować politykę
wielomilionowe straty? bezpieczeństwa w tym zakresie.
Bezpieczeństwo? Domowe nawyki 31
Dom jest miejscem, w którym powinniśmy się
To się po prostu opłaca 17 relaksować. Rozluźniamy w ten sposób również
Większość firm uświadamia sobie konieczność nasze podejście do kwestii bezpieczeństwa w Sieci.
stosowania zabezpieczeń dopiero w momencie ataku. Pozwalamy na zbyt dużo sobie samym, a co gorsza –
Kiedy tracą miliony złotych, doceniają to, również naszym pociechom.
2 © Webhosting.pl | 2011
3. źródło: sxc.hu
Przeglądając media branżowe, coraz
częściej możemy się natknąć na informacje
o wyciekach danych, bądź poważnych
hakerskich atakach, których ofiarą padły
duże przedsiębiorstwa. Skłoniło to firmy
home.pl i D-Link do zrealizowania
badań na temat bezpieczeństwa
komputerowego z naciskiem na stan
panujący w polskich sieciach firmowych.
Wyniki, jakie otrzymała agencja Millward
Brown SMG/KRC, potwierdziły
przypuszczenia, że za incydentami stoi
dość niski poziom zabezpieczeń, z którymi
możemy się spotkać
Stan oblężenia
w polskich przedsiębiorstwach.
Tymczasem poziom zagrożeń, z którymi
muszą sobie radzić stosowane rozwiązania
ochronne, mocno je przewyższa.
Rozwój technologii komputerowych pociągnął
za sobą również znaczny wzrost zagrożeń, z jakimi może Szczegółowe wyniki badań znalazły się
w kolejnych rozdziałach, opisujących
się spotkać użytkownik. Duża wartość danych konkretne zagrożenia, ale także
oraz różnorodność form nieuczciwego zarobku sposoby walki z nimi, metody ochrony
zasobów firmy i budowania polityki
przyczyniają się do olbrzymiej skali cyberprzestępczości. bezpieczeństwa. Zachęcamy więc
Zagrożenia potrafią również przybierać bardziej prozaiczne do lektury naszego raportu, mając
formy wynikające np. z eksploatacji sprzętu. Nie da się nadzieję, że przyczyni się on do poprawy
jakości ochrony danych w polskich
ukryć, że zapewnienie bezpieczeństwa komputerowego przedsiębiorstwach i zmniejszy liczbę
w dużych sieciach to dziś nie lada wyzwanie. incydentów związanych z ich utratą.
3 © Webhosting.pl | 2011
4. Globalna sieć Utrata danych
zagrożeń
Czy w Pana(i) firmie doszło kiedykolwiek do utraty danych?
Tak Nie
Ogółem (n=973) 38 62
Internet stał się powszechnym narzędziem
codziennej pracy. Jego zalety ułatwiające
zatrudnienia
1-5 pracowników (n=591) 36 64
Wielkość
szybką komunikację, niestety, ułatwiają 6-20 pracowników (n=177) 38 62
również różnego rodzaju szkodliwe powyżej 20 pracowników (n=205) 41 59
działania.
komputerowych
1-5 stanowisk (n=630) 36 64
stanowisk
Stałe łącze z Internetem w olbrzymi
Liczba
6-20 stanowisk (n=180) 37 63
sposób zwiększa ryzyko infekcją powyżej 20 stanowisk (n=163) 46 54
złośliwym oprogramowaniem. Tą drogą
mogą być również podejmowane próby Produkcja (n=83) 35 65
działalności
włamań do komputera, szpiegowania Handel (n=206) 34 66
Profil
firmy
Usługi (n=430) 38 62
i kradzieży danych.
Media i reklama (n=108) 42 58
Zrealizowane badania pokazały,
że polscy użytkownicy powszechnie po ujawnieniu krytycznej luki aż do
stosują podstawowe zabezpieczenia
komputera w postaci programów Łatanie luk momentu jej załatania.
antywirusowych i zapór sieciowych.
Niestety, nad wyszukiwaniem słabych
Dość ważnym czynnikiem powodującym punktów popularnych programów więcej
Jednak nie oznacza to, że instalacja
wzrost ryzyka ataków hakerskich, bądź ludzi pracuje w celu ich nieuczciwego
odpowiednich aplikacji czyni komputer
infekcji wirusami są luki wykorzystania niż usunięcia. W tym
w 100% bezpiecznym.
Różnorodność ataków oraz lawinowy w oprogramowaniu. Czynnik ten jest aspekcie warto zadbać o odpowiednią
przyrost wirusów, trojanów i innych szczególnie ważny gdyż administratorzy częstotliwość aktualizowania
szkodliwych programów czynią to zadanie nie mają na niego żadnego wpływu. Mogą oprogramowania, gdyż może to pozwolić
zdecydowanie utrudnionym. jedynie blokować daną aplikację uniknąć wielu nieprzyjemnych następstw.
4 © Webhosting.pl | 2011
5. Lawinowy rozwój Subiektywna ocena skali zagrożeń
cyberprzestępczości Prosimy spróbować określić, jak dużym zagrożeniem dla Pańskiej firmy są poniższe zjawiska:
1 - bardzo małe zagrożenie 2 3 4 5 - bardzo duże zagrożenie Średnia
Małe Duże
zagrożenie zagrożenie
Pieniądze, które można zarobić na
przestępstwach realizowanych w utrata danych 13 18 26 21 22 3.2 32% 43%
Internecie, przyciągają do tego procederu
coraz więcej osób. Nie jest to już tylko
zajęcie dla młodych, domorosłych ataki cyberprzestępców 19 25 27 18 11 2.8 44% 29%
programistów szukających łatwego
zarobku. Obecnie jest to świetnie
zorganizowany proceder nadzorowany kradzież mienia 29 27 21 10 11 2.5 57% 22%
przez tradycyjne grupy przestępcze, dla
których stała to się kolejna atrakcyjna
gałąź dochodów, jak prostytucja czy
nielojalność pracowników 40 19 20 11 9 2.3 60% 20%
wyłudzenia.
Sprawia to, że coraz trudniej zwalczać
działalność cyberprzestępczą, chociaż z kont bankowych, a także phishingiem, do ochrony danych. Niemniej, często
powoływane są do tego kolejne czyli wyłudzaniem danych. podejście do tego tematu jest mocno
wyspecjalizowane jednostki odpowiednich ograniczone. W takim wypadku dopiero
służb. Działania grup cyberprzestępczych w momencie zaistnienia incydentu utraty
skupiają się w dużej mierze na budowaniu
światowych botnetów, wykorzystywanych Mądry Polak danych przedsiębiorcy przypominają sobie
o zapewnieniu odpowiednich procedur
potem do wysyłania spamu, lub
przeprowadzania ataków na kolejne po szkodzie sporządzania kopii zapasowych.
komputery. W blisko 40% badanych firm doszło do
Działania mające na celu zapewnienie utraty danych. Koszty takich wypadków
Są jednak również komórki specjalizujące bezpieczeństwa komputerowego w mogą sięgać zawrotnych sum. Biorąc pod
się w kradzieżach danych, bądź pieniędzy firmach sprowadzają się w dużej mierze uwagę różnorodność czynników, które
5 © Webhosting.pl | 2011
6. mogą doprowadzić do utraty danych,
a ponadto wypadki losowe, zalecamy
częsty backup wszystkich ważniejszych
Przyszłość IT security?
zasobów dysków firmowych. Patrząc na to, jak dynamicznie zmienia się branża bezpieczeństwa,
prawie niemożliwe jest przewidzenie, jak będzie wyglądał rynek
IT Security w przyszłości. Ciągle dopieszczane normy i protokoły
Człowiek ważnym bezpieczeństwa, wprowadzane na każdym poziomie modelu
ISO/OSI zabezpieczenia softwarowe i sprzętowe (por. wprowadzone
niedawno na rynek konsumencki technologie, takie jak sandboxing,
elementem DEP/ASLR) sprawiają, że przestępcom jest coraz trudniej pisać skutecz-
ne exploity i przejmować kontrolę nad systemami komputerowymi.
W gąszczu zagrożeń komputerowych
bardzo ważnym elementem jest człowiek.
Warto więc zastanowić się, czy ze względu na powyższe nowym celem
przestępców nie stanie się człowiek, który odpowiada za dany system
„Warto aby użytkownik komputera był komputerowy, często ma większe uprawnienia niż maszyna, którą steruje,
świadom istnienia zagrożeń i zasad ich a przede wszystkim nie posiada prawie żadnej ochro-
funkcjonowania. Wiedza, która znalazła ny? Większość ataków komputerowych znajduje eko-
się w naszym raporcie, na pewno nomiczne uzasadnienie, np. bankowy trojan Zeus za-
pomoże tę świadomość zwiększać. implementował metodę ataku na telefony komórkowe,
Ponadto, dane zebrane w poszczególnych dopiero wtedy gdy okazało się to opłacalne dla jego
artykułach budują ogólny obraz poziomu twórców. Jestem więc pewien, że w myśl zasady „czło-
zabezpieczeń stosowanych w Polsce, wiek najsłabszym ogniwem w łańcuchu bezpieczeń-
a konkretne porady i wskazówki stwa” najbliższe lata to czas niedocenianych do tej po-
pomogą w opracowaniu odpowiednich ry ataków socjotechnicznych i tzw. spear phishingu.
procedur bezpieczeństwa oraz radzeniu
sobie z zagrożeniami“ – zapewnia
Moim zdaniem za dużo pracy wkładamy w zabez-
pieczania maszyn, które prędzej czy później i tak zo-
Dariusz Nawojczyk, redaktor naczelny Piotr Konieczny stają przełamywane przez crackerów, a za mało uwa-
Webhosting.pl. – szef zespołu pen- gi poświęcamy operatorom tych maszyn. Wierzę
testerów i konsultant jednak głęboko, że to się zmieni. Na rynku już po-
ds. bezpieczeństwa jawiają się pierwsze usługi związane z social-engi-
teleinformatycznego, neeringiem (szkolenia, odpowiednie testy bezpie-
Niebezpiecznik.pl. czeństwa) i na pewno warto się nimi zainteresować.
6 © Webhosting.pl | 2011
7. źródło: sxc.hu
Stare sposoby,
nowe cele
Jednym z głównych zagrożeń dla
użytkowników Internetu nadal pozostają
infekcje systemu operacyjnego wszelkiego
rodzaju szkodliwym oprogramowaniem.
Na czele są tutaj oczywiście wirusy, konie
trojańskie, programy szpiegujące czy też
fałszywe oprogramowanie znane także
Zagrożenia to też rynek! pod nazwą „rogue malware”. Wspólnym
mianownikiem dla wymienionych
szkodników będzie jednak hasło „zarobek”.
Jeszcze kilka lat temu bardzo popularne
Rosnące zyski, które można osiągnąć z działalności było pisanie wirusów, które nie
cyberprzestępczej, uczyniły z tego zjawiska masowy robiły większych szkód w systemie
proceder na światową skalę. Doszło do tego, że powstają użytkownika. Ich głównym celem był
żart, np. zmiana układu klawiatury,
komórki, które wzajemnie ze sobą współpracują, np. jedna wyświetlanie komunikatów czy usuwanie
grupa pisze program szpiegujący, inna rozpowszechnia go plików. Obecnie tego typu szkodliwe
w Sieci i zbiera dane (takie jak numery kart kredytowych), oprogramowanie stanowi niewielki odsetek
zagrożeń, na które narażeni są użytkownicy.
które są przekazywane osobom zajmującym się
kradzieżami z ich pośrednictwem. Ten niebezpieczny Wirusy pisane dla zabawy zostały
trend rynkowych zachowań w dziedzinie zagrożeń zastąpione przez bardziej wyrafinowane
i zaawansowane szkodniki. Część z nich
komputerowych powoduje, że zbierają one jeszcze większe funkcjonuje na zasadzie „im później
żniwo i trudniej się przed nimi chronić. wykryty, tym lepiej”. Starają się one nie
7 © Webhosting.pl | 2011
8. przyciągać uwagi komunikatami, nowymi
ikonami na pulpicie czy nadmiernym Sposoby wykorzystywania Internetu
obciążeniem systemu. Wszystko po to, by W jakim celu w Pańskiej firmie wykorzystywany jest Internet?
jak najdłużej wykradać cenne informacje
z zainfekowanego komputera. W tym Wielkość zatrudnienia Liczba stanowisk komputerowych
czasie szkodnik zapisuje każde kliknięcie OGÓŁEM
1-5
pracowników
6-20
pracowników
>20
pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowisk
(n=591) (n=177) (n=205) (n=630) (n=180) (n=163)
myszą i każdy wpisany za pomocą
klawiatury tekst, a co za tym idzie – hasła 10 10
komunikacja e-mail 99 99 98 99 98
i loginy do serwisów. Użytkownicy, nie 0 0
widząc typowych dla infekcji objawów, komunikatory 58 60 56 53 58 58 55
które jeszcze kilka lat temu były częstą internetowe
przypadłością po „złapaniu wirusa” – np.
łączenie różnych 17 18
znaczące spowolnienie systemu czy nie oddziałów firmy
29 38 56 37 61
wykrywanie nowo podłączanych urządzeń
– są przekonani o bezpieczeństwie własnego komunikacja VoIP 27 26 27 30 23 32 34
systemu. Im dłużej szkodnik obecny jest
w komputerze, tym więcej danych zbierze. wideokonferencje 17 17 15 20 16 16 23
By ukryć malware, cyberprzestępcy inne 75 75 74 75 75 76 75
chowają niektóre procesy, mogące świadczyć
o zainfekowaniu. Wiele osób nie zdaje nie wiem / trudno
powiedzieć
1 1 0 1 0 0 1
sobie sprawy, że używając tak zarażonego
komputera do przelewów czy płatności kartą Wynik istotnie NIŻSZY niż wynik OGÓŁEM Wynik istotnie WYŻSZY niż wynik OGÓŁEM
w sklepie internetowym, bardzo ryzykują
utratę wszystkich środków z konta. premium, a nawet profile z serwisów prowadzonym na globalną skalę, świadczy
społecznościowych. Wszystkie te chociażby wzrost liczby sygnatur dla
W Internecie funkcjonuje swoisty czarny informacje pochodzą oczywiście programu antywirusowego Kaspersky od
rynek, na którym można kupić numery z kradzieży. roku 1998. Tak dynamiczny wzrost można
kart kredytowych wraz z kodami, loginy wytłumaczyć na kilka sposobów. Jednym
i hasła do różnych kont pocztowych, O tym, że infekowanie komputera z nich jest fakt, że od kilku lat użytkownicy
konta do serwisów świadczących usługi przestało być zabawą, a stało się biznesem Internetu mają możliwość rejestrowania
8 © Webhosting.pl | 2011
9. się na wszelkiej maści portalach czy
forach. Cyberprzestępcy wykorzystują to, Infekcje komputerów
opracowując nowe metody infekowania Wzrost liczby sygnatur w programie antywirusowym w latach 1998-2009
systemów, dostosowując się do aktualnej 3500000
mody. Tak było między innymi z serwisem
3000000
Nasza-Klasa.pl.
2500000
Atakujący wykorzystali jego popularność 2000000
i stworzyli fałszywą witrynę, bardzo 1500000
podobną do prawdziwej. Dodatkowo
1000000
wysłali bardzo dużą liczbę e-maili
zachęcających do logowania się na 500000
fałszywej stronie. Po kliknięciu odnośnika 0
następowało przeniesienie na spreparowaną rok 1998 1999 2000 2001 2002 2003 2004 2005 2006 2007 2008 2009
witrynę, gdzie proszono o zainstalowanie
najnowszego odtwarzacza Flash Player,
niezbędnego do odczytania wiadomości.
Oczywiście program okazywał się
DOC i blisko dwieście innych rodzajów.
Na koniec na komputerze użytkownika
Fałszywe
koniem trojańskim, dzięki któremu można
szpiegować użytkowników i kraść dane.
zostawiał informację, w której autor trojana
podawał numer konta, na który należy
oprogramowanie
Cała metoda ataku to jedna z odmian przelać niebagatelną sumę 300 USD,
coraz popularniejszego phishingu, szerzej celem otrzymania dekodera. Z pewnością Od kilku lat bardzo popularną metodą
opisanego w dalszej części tekstu. znalazłyby się osoby, dla których lepszym pozyskiwania pieniędzy przez
rozwiązaniem byłoby sformatowanie dysku cyberprzestępców jest oferowanie
Innym przykładem ataku wykorzystującego i wgranie nowego systemu, co jednak fałszywego oprogramowania
szkodliwe oprogramowanie, które w przypadku zaszyfrowania ważnych zabezpieczającego. Do infekcji systemu
w żadnym stopniu nie było żartem, dokumentów, jak praca magisterska czy tego typu aplikacjami może dojść na kilka
a nastawione było jedynie na zysk projekt grafiki, nad którym spędziło się sposobów. Każdy z nich sprowadza się
dla autora, jest trojan Gpcode. Po ostatnie kilka miesięcy? Znalazło się wiele jednak do socjotechniki i manipulacji
zainfekowaniu systemu szyfrował on pliki o osób, które odpowiedziały na szantaż człowiekiem. Jedna z metod polega na
różnych rozszerzeniach np. EXE, RAR, ZIP, i przelały pieniądze. oferowaniu na mało znanych stronach
9 © Webhosting.pl | 2011
10. internetowych darmowych skanerów
antywirusowych, które podają fałszywe Wykorzystywane aplikacje biurowe
wyniki skanowania, sugerujące, jakoby Jakich aplikacji używa się w Pańskiej firmie?
na dysku twardym wykryto bardzo dużo
szkodników. Jednocześnie zachęca się do Wielkość zatrudnienia Liczba stanowisk komputerowych
zainstalowania programu antywirusowego, OGÓŁEM
1-5
pracowników
6-20
pracowników
>20
pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowisk
który po opłaceniu licencji pomoże (n=591) (n=177) (n=205) (n=630) (n=180) (n=163)
pozbyć się kłopotu. Oczywiście lista przeglądarka 99
10
98 98 99 99 97
0
rekomendowanych aplikacji kończy się na internetowa
tych stworzonych przez cyberprzestępców, program pocztowy 90 88 91 94 87 94 94
a które nie oferują żadnego poziomu
bezpieczeństwa i niejednokrotnie same aplikacje biurowe 89 87 92 92 87 94 93
instalują komponenty szpiegowskie.
65 63 64 70 60 73 73
Dodatkowo, by zwiększyć wiarygodność FTP
tych programów, wykorzystuje się komunikator 64 65 63 59 64 63 63
kolorystykę i szatę graficzną zbliżoną do internetowy
tej, jaka jest stosowana przez czołowych aplikacje multimedialne 57 58 53 55 57 53 61
przedstawicieli branży antywirusowej.
60 57 65 66 55 68 71
inne
nie wiem / trudno 0
Najważniejsze
0 1 1 0 0 1
powiedzieć
Wynik istotnie NIŻSZY niż wynik OGÓŁEM Wynik istotnie WYŻSZY niż wynik OGÓŁEM
to przekonać
Metody ataku opisane do tej pory korzystają Phishing to metoda wyłudzania danych przez cyberprzestępcę e-maili, które są
w dużej mierze z socjotechniki, a więc poprzez podstawianie użytkownikowi wysyłane rzekomo przez administratora
manipulacji i wykorzystywania ludzi do sfałszowanej witryny konkretnej instytucji, danego serwisu do użytkowników. Tych
swoich potrzeb. Jednak najbardziej znanym cieszącej się powszechnym zaufaniem, ostatnich prosi się zazwyczaj o zalogowanie
atakiem korzystającym z socjotechniki jest na przykład banku. Cały proceder pod konkretnym adresem w celu dokonania
phishing. rozpoczyna się od masowego wysłania niezbędnych modyfikacji na koncie.
10 © Webhosting.pl | 2011
11. Świeżym przykładem takiej wiadomości
jest informacja wysyłana do użytkowników
serwisu Allegro.pl. Czynnikami mającymi
Człowiek najsłabszym ogniwem!
zachęcić do kliknięcia linku jest grafika Moim skromnym zdaniem najbliższe lata będą zdecydowanie stały pod znakiem ata-
nawiązująca do oryginalnej strony oraz ków wymierzonych w użytkowników końcowych. Przede wszystkim ze względu na
adres e-mailowy nadawcy, którego ogromną liczbę osób korzystających z Sieci oraz łatwe metody monetyzacji przeję-
domena odnosi się do Allegro.pl, a który tych systemów – takie jak na przykład fałszywe systemy an-
jest niestety sfałszowany. Jeżeli mimo tywirusowe (zalecające zakup aplikacji usuwającej fałszywe
wzbudzającej podejrzenia pisowni ktoś trojany) czy aplikacje szyfrujące dane użytkownika (nakła-
niające do zapłacenia za kod umożliwiający odzyskanie in-
zdecydował się jednak na zalogowanie
formacji). Pierwszorzędną rolę będzie miało tu zastosowanie
na fałszywej stronie, był natychmiast wszelkiej maści socjotechnik nakłaniających użytkownika do
przeniesiony na spreparowaną witrynę. samoczynnej instalacji złośliwego oprogramowania. Wszech-
Niestety, po wpisaniu nazwy użytkownika obecne rozwiązania webowe zarówno w postaci popularnych
i hasła, wszystkie dane były wysyłane serwisów społecznościowych, jak i różnorakich usług i apli-
do cyberprzestępcy, który stawał się tym kacji, które bardzo silnie zakorzeniły się w dzisiejszej kultu-
samym posiadaczem konta. rze, wciąż będą pełniły bardzo istotną rolę w tym procederze.
Mimo coraz częstszego stosowania przez producentów po-
Opcji wykorzystania tych informacji pularnego oprogramowania techniki „piaskownicy” (ang.
Borys Łącki
jest wiele. W najgorszym scenariuszu, sandbox) oraz stosowania wszelkiego rodzaju zabezpieczeń
– autor bloga utrudniających ataki (np. ASLR – Address Space Layout Ran-
cyberprzestępca może wystawiać aukcje
Bothunters.pl, traktu- domization itp.) minie jeszcze kilka lat zanim w większości wy-
z drogim sprzętem, zarabiając w ten
jącego o bezpieczeń- korzystywanych systemów operacyjnych, tego typu zabez-
sposób nawet kilkadziesiąt tysięcy złotych.
stwie IT, złośliwym pieczenia będą podstawową i obligatoryjną formą obrony.
Ewentualne roszczenia i pretensje z powodu
oprogramowaniu W obliczu informacji [1], że przeciętny użytkownik posia-
niedotrzymania warunków transakcji i
i cyberprzestęp- da zainstalowanych kilkadziesiąt najczęściej podatnych na
niewysłania sprzętu poniesie właściciel
stwach. Pentester atak aplikacji pochodzących od kilkudziesięciu różnych pro-
konta, który padł ofiarą phishingu. i konsultant ds. zabez- ducentów oprogramowania, warto zauważyć, że interneto-
pieczeń systemów wi przestępcy jeszcze przez wiele lat będą mieli szerokie spek-
Oczywiście portale aukcyjne nie są i struktur teleinfor- trum ataku. Wątpię też, by któryś z największych dostawców
jedynymi serwisami, z których popularności matycznych w firmie systemów operacyjnych zdecydował się na globalne wymusze-
korzystają cyberprzestępcy. Najczęściej do LogicalTrust.net nie na twórcach aplikacji, stosowanie tego typu rozwiązań.
tego typu procederu używają stron banków.
11 © Webhosting.pl | 2011
12. Certyfikaty na straży Podobnie z uwagi na rosnącą w niesamowitym tempie popularność platform prze-
nośnych z dostępem do Sieci kolejnym miejscem, w które uderzą cyberprze-
przesyłanych danych stępcy, będą właśnie wszelkiej maści zaawansowane smartfony. Spodziewam
się szybkiego wzrostu ataków w tym obszarze rynku, gdyż przejmując ten seg-
ment technologii, możemy w dość prosty sposób monetyzować przejęte urządze-
Certyfikaty SSL są jednym z narzędzi, które nia, wysyłając komunikaty SMS lub wykonując połączenia do serwisów obciąża-
może skutecznie chronić nasze dane przed jących rachunek wysokimi kosztami. We wrześniu roku 2010 w Chinach w ciągu
przechwyceniem. Pozwala ono bezpiecznie jednego tygodnia wirus zainfekował ponad milion urządzeń przenośnych [2] i na
pewno w najbliższych latach usłyszymy o równie spektakularnych atakach.
logować się do najróżniejszych serwisów.
Zapewnia to szyfrowanie (SSL) oraz firma Nie należy także zapominać o urządzeniach typu embedded, które w posta-
poświadczająca autentyczność certyfikatu. ci drukarek, kamer, telefonów, routerów itp. obecne są już w prawie każ-
dej firmie czy instytucji. Bardzo często w środowiskach biznesowych ich bez-
Niestety, phishing ewoluuje. By było pieczeństwo jest ignorowane i pozostawia wiele do życzenia.
jeszcze ciężej odróżnić stronę fałszywą od W kontekście rosnącej popularności wszelkiej maści produktów firmy Apple
prawdziwej, a tym samym uśpić czujność i powoli rosnącej świadomości marki w zakresie bezpieczeń-
internautów, cyberprzestępcy umieszczają stwa warto mieć na uwadze możliwe zwiększenie zainteresowa-
na takich stronach certyfikaty zdobyte nia atakami wymierzonymi w rozwiązania tego producenta.
różnymi metodami (na przykład poprzez Oczywiście, będące na topie zagadnienia takie jak przetwarzanie w chmu-
włamanie na serwer). Po wejściu na tak rze (ang. Cloud Computing) i systemy wirtualizacji będą systematycz-
spreparowaną witrynę, przeglądarka pokaże nie zdobywały zarówno zwolenników jak i tych, którzy będą pragnę-
charakterystyczną zamkniętą kłódkę li zaatakować większą liczbę systemów jednocześnie.
symbolizującą bezpieczne Wartość przetwarzanych informacji będzie nieustannie rosła, a co za tym
i wiarygodne połączenie. Zrealizowane idzie inwestycje w zakresie bezpieczeństwa informacji (urządzenia sprzęto-
badania pokazały jednak, że spora liczba we, kopie zapasowe, szkolenia, rozwiązania dedykowane) będą wciąż syste-
użytkowników rozpoznaje poszczególne matycznie rosły i nie spodziewam się w tej materii drastycznych zmian.
firmy wydające certyfikaty SSL, dzięki
czemu mogą oni oceniać ich wiarygodność.
[1] – http://secunia.com/gfx/pdf/Secunia_Half_Year_Report_2010.pdf
Tylko 32% ankietowanych wykazało się
nieznajomością poszczególnych marek [2] – http://news.yahoo.com/s/digitaltrends/20101111/tc_digitaltrends/
dostawców certyfikatów. zombievirusinfects1millionchinesecellphones
12 © Webhosting.pl | 2011
13. źródło: sxc.hu
Minęły już czasy, kiedy cyberprzestępcy
kojarzeni byli bardziej z nurtem filmów
„science fiction” niż rzeczywistością. Nie
znaczy to jednak, że większość zagrożeń
to sprawka hakerów o niecnych zamiarach.
Wystarczy przeanalizować większe awarie
i wycieki danych, które miały miejsce
w Polsce w ciągu ostatnich lat. Zarówno
duże korporacje, jak również niewielkie
firmy muszą stawić czoło wielu
współczesnym wyzwaniom.
W badaniach „Komputery w firmach“
w ramach D-Link Technology Trend,
Jak polskie firmy zrealizowanych przez Millward Brown
SMG/KRC, skupiono się na tym, jak firmy
(nie) dbają o bezpieczeństwo dbają o bezpieczeństwo, jak planują o nie
dbać w przyszłości, jakie do tej pory miały
problemy i czego się obawiają.
komputerowe? Antywirusy
Bezpieczeństwo komputerowe wraz z rozwojem technik najpopularniejsze
informacyjnych staje się coraz większym priorytetem
w działaniu współczesnych przedsiębiorstw. Ale ogólna Zdecydowanym liderem wśród
kondycja bezpieczeństwa komputerowego w polskich wykorzystywanych zabezpieczeń
firmach budzi wiele zastrzeżeń. Wyniki badań są raczej komputerów firmowych jest
oprogramowanie antywirusowe.
zatrważające i podpowiadają jedno - coś trzeba z tym jak Korzystanie z niego zadeklarowało aż 91%
najszybciej zrobić. pracowników. Trend ten dotyczy w tym
13 © Webhosting.pl | 2011
15. Backup Planowane inwestycje
w systemy bezpieczeństwa
też oszczędnie Czy w najbliższym roku firma planuje inwestycje w systemy związane z bezpieczeństwem? Jeśli tak, to w jakie?
Wielkość zatrudnienia Liczba stanowisk komputerowych
Systemy archiwizacji danych w przypadku OGÓŁEM
1-5
pracowników
6-20
pracowników
>20
pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowisk
planowania wydatków na bezpieczeństwo (n=591) (n=177) (n=205) (n=630) (n=180) (n=163)
znalazły się na drugiej pozycji. programy antywirusowe 38 40 39 34 41 36 33
Przedsiębiorcy są dość świadomi, że nie
systemy archiwizacji
mogą sobie pozwolić na lekkomyślną utratę danych
17 15 25 17 15 26 16
danych. Jednak w zakresie sporządzania firewalle software'owe 14 14 18 13 14 18 12
kopii danych najszersze zastosowanie
znalazły głównie najtańsze i najprostsze sprzętowe zapory
sieciowe
10 9 13 12 8 14 13
metody archiwizacji, jak nagranie na nośnik
monitoring wizyjny 7 7 10 6 7 9 7
zewnętrzny lub przesłanie na inny komputer.
Robi tak aż 92% przedsiębiorstw, tylko 10% system alarmowy 6 6 6 5 6 7 5
korzysta natomiast z backupu online.
inne 5 4 6 7 3 6 9
Co jest bardzo niepokojące, aż 30% firm firma nie planuje
żadnych tego typu 30 32 29 25 33 26 26
uważa, że inwestycja w ochronę wirtualnych inwestycji
danych nie jest konieczna. Wojciech nie wiem / trudno
powiedzieć
18 14 16 28 14 21 28
Głażewski, Country Manager Wynik istotnie NI
ŻSZY niż wynik OGÓŁEM Wynik istotnie WYSZY niż wynik OGÓ
Ż ŁEM
w D-Link Polska, tak podsumowuje
panujące trendy:
Ponadto, okazało się, że stosowane przez przechowywanych na dyskach firmowych.
„Bezpieczeństwo komputerów i zapisanych firmy zabezpieczenia danych często okazują Bardzo wysoki odsetek w przypadkach
na nich danych jest jednym z podstawowych się niewystarczające. W 37% przebadanych utraty danych stanowią awarie sprzętu.
zadań firmy. Niestety, jest ono często firm mimo wszelkich podjętych starań Jest to według różnych szacunków do 44%
bagatelizowane. Potrzeba inwestycji doszło do utraty danych. Często ma udziału we wszystkich takich wypadkach.
w zabezpieczenia dotkliwie przypomina to związek z brakiem świadomości Czynniki, które są postrzegane jako jedne
o sobie dopiero w momencie utraty danych“. różnorodności zagrożeń wobec danych z największych zagrożeń, np. wirusy, bardzo
15 © Webhosting.pl | 2011
16. rzadko doprowadzają do utraty firmowych późniejszymi przypadkami utraty, bądź
danych. wycieku danych. W takim przypadku nawet
jeżeli firma była ubezpieczona, ciężko
uzyskać wypłatę odszkodowania, jeżeli
Zabezpieczenia okaże się, że odpowiednie kwestie zostały
niedopatrzone.
offline
Okazuje się że tradycyjne zabezpieczenia
Podsumowanie
w kontekście ochrony firmowych
danych i komputerów nie cieszą się Analizując poziom zabezpieczeń
wielką popularnością. Znaczący wpływ stosowanych w polskich firmach, wyłania
na to mają wysokie koszty rozwiązań się obraz sieci narażonych na różnorodne
takich jak monitoring biura. Najczęściej zagrożenia, przed którymi nie będą się
stosowanym zabezpieczeniemi z tej grupy w stanie obronić. Liczby luk przekładają
są systemy alarmowe, który wskazało 30% się na realne straty finansowe. Dopóki
respondentów. Inne tego typu systemy przedsiębiorcy nie zrozumieją, że
nie cieszą się znaczną popularnością. łatwiej i taniej zapobiegać incydentom,
niż pokrywać ich koszty, odsetek firm
Wiąże się to również z przekonaniem, że
cierpiących z powodu rozmaitych
firmowe dane najlepiej chronią systemy
zagrożeń komputerowych dalej będzie
bezpieczeństwa bezpośrednio związane
bardzo wysoki.
z komputerami.
Tematem, który mocno kuleje w polskich
przedsiębiorstwach są przygotowane
i ściśle sprecyzowane procedury
bezpieczeństwa. Bardzo niewiele firm może
się na tym polu pochwalić certyfikatami,
jak np. ISO 27001:2500, odnoszącym
się do bezpieczeństwa informacji.
Często nieregulowane kwestie skutkują
16 © Webhosting.pl | 2011
17. źródło: sxc.hu
W ubiegłym roku 40% średniej wielkości
firm zanotowało przypadki naruszenia
bezpieczeństwa danych, a 75% firm
przyznało, że takie incydenty mogą
poważnie zagrozić ich działalności
biznesowej. W porównaniu z rokiem 2008
jest to odpowiednio 11 i 5-procentowy
wzrost wg informacji firmy Bloor Research
zawartych w raporcie „The Ongoing
Security Paradox”. Ataki nie przynoszą dziś
zniszczeń w infrastrukturze – stały się za to
coraz bardziej ukierunkowane na konkretne
podmioty i mają na celu głównie pozyskanie
danych korporacyjnych oraz własności
intelektualnej.
Bezpieczeństwo? Milionowe straty
To się po prostu opłaca Ponemon Instytute, instytucja zajmująca
się niezależnymi badaniami dotyczącymi
ochrony danych i bezpieczeństwa informacji
W dobie zalewającej nas fali technologii internetowych w USA, wyliczył, że średni koszt naruszenia
coraz większego znaczenia nabiera sama informacja. Dla bezpieczeństwa w tej dziedzinie wyniósł
6,75 milionów dolarów na incydent
wielu stała się ona dziś substytutem surowców naturalnych, w 2009 roku i także jest to wzrost
a co za tym idzie – konieczne stało się jej chronienie, które w porównaniu z poprzednim rokiem. Co
zapewnia ciągłość działań biznesowych każdej firmy. ciekawe, wyliczenia te zostały oparte na
podstawie danych 45 firm, które publicznie
Jak się okazuje, bardziej opłacalne jest zabezpieczanie przyznały się do zaistnienia takich
informacji niż walka ze skutkami jej utraty. incydentów i wyraziły chęć dyskusji o nich.
17 © Webhosting.pl | 2011
18. Dodajmy także, że najbardziej kosztowne
naruszenie bezpieczeństwa wyniosło Wykonywanie kopii bezpieczeństwa danych
jednorazowo 31 milionów dolarów, Jak często w Państwa firmie wykonywana jest kopia bezpieczeństwa danych?
a najniższy koszt zamknął się w granicach
750 tysięcy dolarów (przy czym przez koszt cyklicznie - raz dziennie lub częściej cyklicznie - raz na tydzień
cyklicznie - raz na miesiąc rzadziej niż raz na miesiąc
rozumiemy wartość wszelkich środków pojedynczo / na żądanie nie wykonujemy backupu danych
podjętych w celu neutralizacji skutków). nie wiem/trudno powiedzieć/odmowa
Ogółem (n=973) 32 19 12 8 16 7 6
Brak świadomości
1-5 pracowników (n=591) 21 20
zatrudnienia
14 10 21 9 4
Wielkość
6-20 pracowników (n=177) 20 11 8 11 5 5
Przytoczone przykłady pokazują, że
41
> 20 pracowników (n=205) 13 6 4 5 3 13
problem nie może być bagatelizowany 56
i że fragmentaryczna świadomość
komputerowych
1-5 stanowisk (n=630) 5
stanowisk
21 20 9
w zakresie bezpieczeństwa w wielu
14 10 21
Liczba
6-20 stanowisk (n=180) 41 23 10 7 11 3 6
firmach prowadzi do traktowania tematu
> 20 stanowisk (n=163) 9 4 2 4 2 12
bardzo wybiórczo. Zgodnie z badaniem
66
D-Link Technology Trend działalność
kiedykolwiek do
utraty danych?
Czy w firmie
(Q18a)
doszło
Doszło (n=366) 18 10 8 19 4 4
ta ogranicza się w 90% do stosowania 36
Nie doszło (n=607) 29 19 13 8 14 9 7
programów antywirusowych, w 70% do
archiwizacji danych, 60% stosuje firewalle
software’owe, a mniej niż połowa stosuje
sprzętowe zapory sieciowe. w zakresie bezpieczeństwa są nieadekwatne i sprawdza aktualność wdrożonych zasad.
do potencjalnych zagrożeń. Środki Po części wynika to właśnie z braku
Błędnym założeniem jest również przeznaczane na wprowadzenie świadomości, a po części z powodów
przekonanie, że jeśli przez ostatnie 10 lat i utrzymanie odpowiednich zabezpieczeń
finansowych. Oprócz technologicznych
nic złego się w firmie nie stało, to zawsze ulegają zmniejszeniu pomimo wzrostu
będzie dobrze w dziedzinie bezpieczeństwa. liczby zagrożeń i ataków. zabezpieczeń firmy powinny również
Większość firm wg raportu CSI Computer inwestować w edukację użytkowników,
Crime and Security Survey przyznaje, że ich Również bardzo mało firm w Polsce gdyż 60% wszystkich incydentów
wydatki na edukację użytkowników kontroluje regularnie stan zabezpieczeń związanych z utratą danych jest
18 © Webhosting.pl | 2011
19. spowodowanych błędem człowieka bądź
niefrasobliwością wynikającą Znajomość marek (wystawców) certyfikatów SSL
z nieświadomości w tym temacie. Proszę wkazać marki (wystawy certfikatów SSL), które są Panu (i) znane
Sama utrata danych wg badania D-Link Wielkość zatrudnienia Liczba stanowisk komputerowych
Technology Trend wykonanego przez OGÓŁEM
1-5
pracowników
6-20
pracowników
>20
pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowisk
(n=591) (n=177) (n=205) (n=630) (n=180) (n=163)
Millward Brown SMG/KRC miała miejsce
u 40% respondentów, wśród których były VeriSign 53 51 50 61 48 58 66
firmy o profilach działalności takich jak 30 29 37 28 28 37 28
RapidSSL
handel, media, usługi, o zróżnicowanej
liczbie pracowników i stanowisk Certum 27 20 29 42 19 34 46
komputerowych. GeoTrust 23 23 23 25 21 27 28
Prawie 70%
Thawte 21 20 19 28 18 24 31
GlobalSign 13 11 14 16 10 19 14
oszczędności Comodo 6 5 5 9 5 6 10
AlphaSSL 5 5 7 6 4 8 6
Koszty inwestycji w bezpieczeństwo danych
stanowią średnio 1/3 kosztów, które może Inne 1 1 0 1 1 1 1
ponieść firma narażona na zwiększone Nie znam żadnej
z powyższych
32 35 28 26 36 23 23
ryzyko utraty danych. Oprócz niższych
Wynik istotnie NIŻSZY niż wynik OGÓŁEM Wynik istotnie WYŻSZY niż wynik OGÓŁEM
wydatków na bezpieczeństwo w porównaniu
z wydatkami na niwelowanie skutków utraty
danych niebagatelne znaczenie biznesowe oszacować ryzyko związane z utratą użyte przez kogoś, kto będzie żądał
ma również ryzyko utraty reputacji danych. Przy tym szacowaniu mogą nam zapłaty za ich zwrot.
i wizerunku przez daną firmę. pomóc następujące zasady: • Dane oznaczają komunikację lub
informację firmową. Może to być np.
• Wszystkie dane mają wartość. treść rozmów VoIP, e-maili, etc.
Co zatem należy zrobić w celu poprawy
Niezależnie od tego, czy ich utrata • Trzeba założyć, że jawnie przesyłane
bezpieczeństwa informacji w firmie? Przede
może spowodować nikłe szkody lub dane mogą zostać łatwo przejęte i przy
wszystkim trzeba najpierw jak najlepiej
jest bez znaczenia, mogą one być zebranej odpowiedniej ilości mogą
19 © Webhosting.pl | 2011
20. dać całkiem wyraźny obraz działania wszystkim o poufność tych danych. W tym 2,27 miliona funtów. Dodajmy jeszcze do
przykładowej organizacji. celu można wprowadzić np. szyfrowanie tego koszt usunięcia skutków incydentu.
• Raz ukradzione dane mogą być SSL na stronie firmowej. Przyczynia się ono
sprzedawane i używane wielokrotnie. do wzrostu zaufania ze strony potencjalnego
• Kwestie bezpieczeństwa powinny klienta, świadczy o stabilnej pozycji Ważny jest balans
raczej skupiać się na ochronie rynkowej danej firmy, daje przewagę
„rzeczy wartościowych” niż na biznesową i zmniejsza współczynnik Obraz wyłaniający się z powyższej
zapobieganiu incydentom, gdyż nie da porzuceń koszyka w przypadku sklepów treści ukazuje nam złożoność problemu
się przewidzieć, w jaki sposób i kiedy internetowych. bezpieczeństwa oraz to, że należy do niego
zostaną skradzione dane. podchodzić kompleksowo – począwszy
Wprowadzenie szyfrowania SSL staje się od zasad, poprzez rozwiązania technologiczne,
Można skorzystać także z pomocy jeszcze bardziej opłacalne w perspektywie a na czynniku ludzkim kończąc. Za firmę
specjalisty lub też np. z kalkulatorów wzrostu świadomości użytkowników na skutecznie chronioną może zostać uznana
ryzyka. Takie narzędzia pokazują, skutek coraz częściej publikowanych taka, która potrafi zachować względną
że około milion złotych rocznie może informacji o atakach phishingowych. równowagę między zasadami bezpieczeństwa,
stracić średniej wielkości przedsiębiorstwo, Obecność takiego certyfikatu udowadnia zabezpieczeniami technicznymi, a ciągłą
jeśli nie zabezpieczy odpowiednio swoich tożsamość, zwiększa wiarygodność pracą z ludźmi w celu ich uwrażliwiania
danych. Przykładowa symulacja została sprzedawcy i instytucji w Internecie. na zagrożenia związane z naruszeniem
przeprowadzona dla firmy posiadającej bezpieczeństwa informatycznego.
160 komputerów o średniej płacy brutto
5 tys. złotych i rocznych przychodach Kary dla ignorantów? Z przytoczonych danych wynika również,
ok. 4 mln złotych. że wiele jeszcze jest do zrobienia
Kolejnym argumentem, że bezpieczeństwo w dziedzinie bezpieczeństwa, ale
jednak się opłaca może być fakt, że np.
Bezpieczeństwo to w Wielkiej Brytanii zostały wprowadzone
z drugiej strony optymizmem nastraja
fakt, że niechętnie, ale jednak coraz więcej
również wizerunek kary finansowe dla firm, które dopuściły
do wycieku wrażliwych danych swoich
firm ujawnia do wiadomości publicznej
incydenty związane z naruszeniem
klientów. Taka niemiła okoliczność spotkała bezpieczeństwa ich danych. To również
Od strony wizerunkowej dla użytkownika brytyjski oddział firmy Zurich Insurance, przyczynia się do wzrostu świadomości
końcowego należy stworzyć obraz firmy która wskutek utraty danych 46 000 klientów zarówno firm, jak i użytkowników w tej
rzetelnej, dbającej o dane klienta, a przede została ukarana grzywną w wysokości dziedzinie.
20 © Webhosting.pl | 2011
21. źródło: sxc.hu
Bezpieczeństwo Sytuacja rozproszenia danych firmowych
jest spowodowana między innymi
zacieraniem się granicy między stałym
na wynos miejscem wykonywania pracy, pracą
„w terenie”, a domem. Komputery
przeznaczone do pracy są również używane
do dokonywania transakcji bankowych,
W obliczu coraz szerszej gamy zagrożeń płynących robienia zakupów czy też rozwijania
z Internetu coraz większej wagi nabierają takie kwestie, kontaktów towarzyskich z naciskiem
jak bezpieczeństwo danych w służbowym laptopie, na nierozważne korzystanie z serwisów
społecznościowych oraz różnych innych
telefonie, czy też danych dostępnych online dla form rozrywki.
pracownika. Jak je chronić?
W efekcie istnieje duże ryzyko
przyniesienia zainfekowanego komputera
do miejsca pracy i wpięcia go do sieci
firmowej. Z badań firmy Websense
wynika, że prawie wszyscy pracownicy
wykorzystują służbowe laptopy do celów
prywatnych, ok. 80% podłącza je do
Internetu poza biurem,
a przeszło 70% korzysta z ich pomocą
z bezprzewodowych punktów dostępu.
Również korzystanie ze służbowego
telefonu w celach prywatnych niesie
ze sobą zagrożenie, zwłaszcza że
dzisiejsze telefony z powodzeniem
mogą aspirować do miana komputerów
przenośnych. Wiele przedsiębiorstw
przyznaje swoim pracownikom dostęp
21 © Webhosting.pl | 2011
22. do krytycznych aplikacji biznesowych Podpisanie przez pracownika stosownego Jednak nie można się ograniczać tylko
właśnie za pomocą telefonu. Potencjalne oświadczenia o znajomości polityki do podpisania takiej polityki – w ramach
naruszenie bezpieczeństwa, które może być bezpieczeństwa daje pracodawcy realizowanej strategii bezpieczeństwa trzeba
spowodowane utratą telefonu służbowego, podstawę do jego ukarania w przypadku ciągle i konsekwentnie edukować personel,
wydaje się mniej dostrzegalne niż utrata stwierdzonych uchybień oraz pozwala starając się przybliżyć mu jak najlepiej
służbowego laptopa, choć niesie ze sobą stosować monitoring za pomocą naturę zagrożenia możliwie prostym
równie poważne zagrożenie. wyspecjalizowanych programów (wg opinii i bezpośrednim językiem oraz na bieżąco
Generalnego Inspektora Ochrony Danych dostosowywać tę politykę do zmieniającej
Osobowych). się sytuacji.
Środki zaradcze:
Zasady bezpieczeństwa stosowane wobec
polityka pracowników zabierających komputer do domu (1)
bezpieczeństwa Jakie zasady bezpieczeństwa stosoują Państwo wobec osób posiadających własny laptop i zabierających go do domu?
Wielkość zatrudnienia Liczba stanowisk komputerowych
Z punktu widzenia pracodawcy pierwszym OGÓŁEM
1-5
pracowników
6-20
pracowników
>20
pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowisk
(n=591) (n=177) (n=205) (n=630) (n=180) (n=163)
krokiem w celu minimalizacji ryzyka utraty
cennych danych i zabezpieczenia się przed oprogramowanie antywirusowe 61 58 58 71 56 63 75
zagrożeniami na wspomnianej płaszczyźnie
jest formalizacja odpowiednich zasad. firewall 38 37 36 43 37 34 48
Wśród nich powinny znaleźć się m.in. takie
sformułowania jak: szyfrowanie danych 17 16 13 25 16 13 29
• wstrzymanie się od samodzielnego
instalowania oprogramowania na inne 9 7 11 12 6 12 15
komputerze służbowym,
• używanie komputera oraz Internetu brak zabezpieczeń 5 6 3 4 6 6 4
tylko w celach służbowych,
• zakaz udostępniania komputera nie można wynosić sprzętu
komputerowego poza teren 27 29 31 18 30 25 14
firmy
użytkownikom spoza firmy,
• regularna zmiana hasła z zachowanym nie wiem /trudno powiedzieć 5 4 5 5 5 4 6
wymaganym formatem.
22 © Webhosting.pl | 2011
23. Dodatkowo, w celu zapewnienia
efektywności wdrożonej polityki Zasady bezpieczeństwa stosowane wobec
konieczne jest pełne wsparcie zarządu pracowników zabierających komputer do domu (2)
danej firmy dla działań podnoszących Jakie zasady bezpieczeństwa stosoują Państwo wobec osób posiadających własny laptop i zabierających go do domu?
bezpieczeństwo również w postaci Czy w firmie doszło
kiedykolwiek do utraty
efektywnego egzekwowania kar dla danych? Profil działalności firmy
wszystkich, niezależnie od zajmowanego OGÓŁEM Doszło Nie doszło Produkcja Handel Usługi Media i reklama
(n=366) (n=607) (n=83) (n=206) (n=430) (n=108)
stanowiska.
oprogramowanie antywirusowe 61 66 57 57 52 60 75
Taka postawa może zastąpić wiele
wysublimowanych rozwiązań firewall 38 41 37 33 32 42 40
technologicznych, które są kolejnym
środkiem do poprawy bezpieczeństwa szyfrowanie danych 17 17 18 13 9 22 14
IT i automatycznego zabezpieczenia
nieświadomego personelu. inne 9 8 9 7 7 10 7
Czego się używa brak zabezpieczeń 5 5 5 4 6 5 6
na co dzień?
nie można wynosić sprzętu
komputerowego poza teren 27 22 29 29 33 28 13
firmy
nie wiem /trudno powiedzieć 5 4 5 10 5 4 4
Z badań MillwardBrown SMG/KRC na
zlecenie D-Link Technology Trend wynika, Wynik istotnie NI
ŻSZY niż wynik OGÓŁEM Wynik istotnie WYSZY niż wynik OGÓ
Ż ŁEM
że najczęściej stosowanymi rozwiązaniami
technicznymi (realizującymi zasady Technologia udostępnia nam również a zabronienie podłączania nośników
bezpieczeństwa wśród osób zabierających w omawianym zakresie blokadę USB danych, odtwarzaczy MP3 itp.
firmowy laptop do domu) są: oprogramowanie z poziomu biosu lub za pomocą aplikacji
antywirusowe (ok. 60%) oraz firewall typu Devicelock, szeroki zakres kontroli Coraz częściej spotykanym rozwiązaniem
(ok. 40%), w przypadku jednej trzeciej nad podłączanymi do komputera jest również używanie aplikacji typu
respondentów obowiązuje zakaz wynoszenia urządzeniami, np. poprzez zezwolenie na VPN SecureClient. Sprawia ono, że bez
sprzętu komputerowego poza teren firmy. korzystanie z myszy, klawiatury, drukarki, odpowiedniego tokena dostęp prywatny do
23 © Webhosting.pl | 2011
24. Internetu jest zabroniony. To rozwiązanie
jest na drugim miejscu wśród najczęściej
Dostęp online do danych firmowych
stosowanych zabezpieczeń zaraz Czy pracownicy w Pańskiej firmie mają dostęp online do danych firmowych (np. serwery sieciowe, strony WWW).
po panelach logowania z wykorzystaniem Jeśli tak, to do jakich?
certyfikatów SSL. Tak, za pomocą panelów logowania z wykorzystaniem certyfikatów SSL
Tak, za pomocą VPN
Tak, chronione loginem i hasłem, bez certyfikatu ssl (https:
Wirtualizacja, czyli
Tak, ale nie stosujemy żadnych zabezpieczeń (wystarczy wejść na znaną pracownikowi stronę www)
Pracownicy nie mają dostępu online
Nie wiem / trudno powiedzieć
separacja zasobów Ogółem (n=973) 17 15 14 4 45 5
zatrudnienia
1-5 pracowników (n=591)
Wielkość
16 8 14 5 51 5
Wirtualizacja zasobów firmowych niesie 6-20 pracowników (n=177) 20 17 16 4 41 2
ze sobą konkretne korzyści z perspektywy > 20 pracowników (n=205) 15 31 13 2 33 6
bezpieczeństwa, gdyż pozwala utworzyć
komputerowych
stanowisk
bezpieczną przestrzeń na komputerze 1-5 stanowisk (n=630)
Liczba
16 7 14 5 53 5
osobistym lub telefonie. Pracownicy 6-20 stanowisk (n=180) 22 22 18 4 31 3
uzyskują dostęp do bezpiecznego, > 20 stanowisk (n=163) 13 36 12 2 30 6
kiedykolwiek do
wirtualnego zestawu aplikacji
utraty danych?
Czy w firmie
(Q18a)
doszło
Doszło (n=366)
zlokalizowanych na serwerach firmowych.
16 20 15 7 39 3
Nie doszło (n=607) 17 12 14 3 49 6
Dzięki takiemu rozwiązaniu firmowa sieć jest
chroniona przed infekcjami z komputerów
pracowników oraz przed kopiowaniem popularność tej gałęzi rozwoju niesie ze sobą
i przechowywaniem różnej maści informacji
wrażliwych poza obszarem zabezpieczonym.
ryzyko większej liczby ataków
i zagrożeń, ale w tym przypadku odbicie piłki
Dostęp fizycznie
Rosnąca popularność wirtualizacji pozwala
stwierdzić, że coraz więcej firm będzie
leży po stronie firm oferujących tego typu
rozwiązania.
zabroniony
w stanie uwolnić się od powiązań między
sprzętem a aplikacjami i zezwalać coraz Również wirtualizacja po stronie Jednym z ostatnich środków na linii walki
większej liczbie użytkowników na pracę służbowych telefonów komórkowych z zagrożeniami dla przenoszonych przez
z własnym sprzętem. Oczywiście, pozostaje niemałym wyzwaniem. pracowników danych może być fizyczne
24 © Webhosting.pl | 2011