Bezpieczeństwo informacji w biurze

Bezpieczeństwo informacji w biurze decyduje o przyszłości każdej firmy. Z tego artykułu dowiesz się, jak ważne są środki ochrony danych w miejscu pracy.

Wprowadzenie

Jak wynika z artykułu opublikowanego na łamach Forbes Media LLC autorstwa Carmen Ene, członkini Forbes Councils, z 22 lutego 2023 roku, globalne wydatki związane z incydentami cybernetycznymi i naruszeniami danych będą tylko rosły i już w 2025 roku sięgną bezprecedensowych 10,5 biliona dolarów. Pieniądze te można byłoby przeznaczyć na wdrażanie innowacji, optymalizację procesów biznesowych i tworzenie warunków do zrównoważonego rozwoju firm, ich pracowników oraz klientów. Napastnicy różnicują taktyki, dopracowują schematy cyberataków i poszerzają krajobraz cyberzagrożeń — nie oszczędzają żadnego sektora gospodarki.

Niepokojący charakter sytuacji podkreślają poniższe fakty.

• Według przeprowadzonego w 2023 roku badania Allianz, 45 procent ekspertów uznało incydenty bezpieczeństwa informacji za najgroźniejszą przyczynę przerw w działalności biznesowej, wyprzedzającą klęski żywiołowe czy problemy z zasilaniem.

• W ostatnich latach duże przedsiębiorstwa i korporacje zwiększają budżety na bezpieczeństwo informacji, a nieoczekiwanym skutkiem tego trendu jest gwałtowny wzrost zainteresowania grup cyberprzestępczych mniejszymi i średnimi organizacjami, które dysponują znacznie skromniejszymi zasobami na ochronę danych.

• Naruszenia informacji szczególnie mocno uderzają w małe firmy. Nawet 60% małych przedsiębiorstw zamyka działalność w ciągu 6 miesięcy od cyberataku, nie radząc sobie ze stratami finansowymi i wizerunkowymi.

• Jak pokazują badania IBM, przyczyną większości naruszeń danych są działania ludzi. Aż 95% wszystkich incydentów wynika z błędu użytkownika — kliknięcia w link phishingowy, pobrania złośliwego oprogramowania, ujawnienia informacji poufnych i tak dalej.  

• Na świecie brakuje specjalistów od bezpieczeństwa informacji.  Według Cybersecurity Ventures, liczba nieobsadzonych stanowisk w cyberbezpieczeństwie na świecie wzrosła w latach 2013-2021 o 350%. Wysoki popyt na wykwalifikowanych specjalistów prowadzi do znacznego wzrostu kosztów ich usług. Ostatecznie sprawi to, że część firm nie będzie w stanie wdrożyć zabezpieczeń ani skutecznie reagować na incydenty bezpieczeństwa informacji.

Trzeba pamiętać o jednym: większość danych organizacji i przedsiębiorstw skupia się w biurach i budynkach administracyjnych, na stacjach roboczych, serwerach oraz nośnikach cyfrowych i papierowych. Aby chronić te dane przed nieuprawnionym rozpowszechnianiem, zmianą lub zniszczeniem, trzeba zadbać o bezpieczeństwo informacji w biurze i wśród personelu organizacji.

Bezpieczeństwo informacji w biurze: jakie dane trzeba chronić?

W biurach przetwarza się ogromne ilości danych: dane osobowe obywateli, informacje o pracownikach i klientach, dane finansowe i operacyjne, własność intelektualną, strategie biznesowe oraz dane o sieci i infrastrukturze. To pokazuje, jak krytycznie potrzebne są solidne praktyki bezpieczeństwa.

Dlatego pierwszym krokiem do zapewnienia bezpieczeństwa informacji w firmie jest ustalenie, jakimi danymi dysponuje, które informacje mogą być jawne, a które wymagają ochrony. W tym celu należy przeprowadzić inwentaryzację zasobów informacyjnych i pogrupować je według poufności oraz krytyczności ewentualnej utraty.

Informacje wymagające ochrony można podzielić na następujące kategorie.

1. Informacje poufne, do których dostęp ograniczają przepisy prawa lub wewnętrzne regulacje organizacji. Należą do nich dane osobowe pracowników i klientów, tajemnica przedsiębiorstwa, tajemnica służbowa i inne. 

2. Tajemnica państwowa oraz informacje, których ujawnienie może zaszkodzić bezpieczeństwu państwa i jego obywateli. Dostęp do nich jest ściśle kontrolowany przez państwo.

3. Tajemnica zawodowa, czyli informacje związane z wykonywaniem zawodu, które można wykorzystać dla własnej korzyści. Przykładem jest tajemnica lekarska, adwokacka czy notarialna.

4. Własność intelektualna: prawa autorskie do utworów, wynalazki, znaki towarowe i inne dobra niematerialne.

5. Informacje finansowe: szczegóły operacji finansowych, rachunki, przychody i wydatki.

6. Informacje o bezpieczeństwie: dane o podatnościach systemów, stosowanych zabezpieczeniach i innych aspektach ochrony informacji.

Informacje o bezpieczeństwie: dane o podatnościach systemów, stosowanych zabezpieczeniach i innych aspektach ochrony informacji.

Dlaczego ochrona danych jest tak ważna?

Nieuprawniony dostęp do zasobów informacyjnych, planów strategicznych i innych "wrażliwych" informacji może przynieść poważne straty finansowe i pozbawić firmę przewagi konkurencyjnej na rynku.

Co więcej, dziś skutki naruszenia danych wykraczają poza straty finansowe i uderzają w reputację organizacji, relacje z klientami oraz jej ogólną stabilność.

Organizacje muszą zachowywać czujność i stale aktualizować swoje zabezpieczenia, aby chronić się przed naruszeniami danych i karami ze strony regulatorów.

Zagrożenia bezpieczeństwa informacji w biurze

Zagrożenia dla bezpieczeństwa informacji tradycyjnie dzieli się na wewnętrzne i zewnętrzne.

Zagrożenia zewnętrzne pochodzą zwykle spoza biura i mogą wynikać z działań napastników, konkurencji albo z czynników zewnętrznych.

Złośliwe oprogramowanie i ransomware wciąż stanowią poważne zagrożenie dla bezpieczeństwa informacji. Dla przykładu w latach 2018-2023 ofiarą ataków ransomware padło 72,7% wszystkich organizacji.

Ataki DoS i DDoS to potężne uderzenia w system informatyczny biura, obliczone na przeciążenie serwerów firmy, co może naruszyć integralność i dostępność danych.

Phishing i socjotechnika to kolejne poważne zagrożenie dla integralności i poufności danych. Cyberprzestępcy dysponują nieskończonym arsenałem metod przenikania przez perymetr bezpieczeństwa organizacji: linkami phishingowymi, spreparowanymi stronami, aplikacjami i tak dalej.

Trzeba to jasno powiedzieć: firma może zainwestować ogromne pieniądze w zabezpieczenie infrastruktury IT, ale jej system informacyjny i tak będzie bezpieczny tylko na tyle, na ile jej pracownicy znają zasady cyberhigieny i bezpiecznego zachowania w sieci.

Ponieważ napastnicy sięgają po coraz bardziej wyrafinowane taktyki wykorzystywania podatności, dział IT musi oceniać potencjalne ryzyka i nimi zarządzać. Piszemy o tym poniżej.

Kradzież lub zniszczenie fizycznych nośników oraz przerwanie kanałów łączności to kolejna kategoria zagrożeń, szczególnie istotna dla tak zwanych front office'ów.

Klęski żywiołowe, awarie, pożary. Żywioł bywa niebezpieczny nie tylko dla pracowników — ale również dla stacji roboczych i pozostałego sprzętu. Choć takich zdarzeń nie da się kontrolować ani przewidzieć, firmy mogą się przygotować i ograniczyć potencjalne szkody.

Jak wspomniano wyżej, niemal 95 procent wszystkich naruszeń bezpieczeństwa informacji powodują użytkownicy. Działania prowadzące do naruszeń bywają zarówno zamierzone, jak i przypadkowe. Z reguły wewnętrzne zagrożenia dla bezpieczeństwa informacji pochodzą od personelu firmy.

Wyróżnia się następujące rodzaje zagrożeń wewnętrznych. 

Naruszanie zasad korzystania z systemu informacyjnego. Pracownicy mogą łamać reguły bezpieczeństwa informacji, na przykład używając do pracy urządzenia prywatnego albo przesyłając informacje poufne niezabezpieczonymi kanałami komunikacji.

Kradzież, oszustwo i nadużycie uprawnień. Pracownicy z uprawnieniami lub dostępem do danych wrażliwych mogą wykorzystać je dla własnej korzyści. Ponadto przy braku kontroli pracownicy mogą kraść sprzęt albo zmieniać jego konfigurację, co grozi utratą odporności całego systemu informacyjnego.

Niedbalstwo. Brak świadomości w zakresie bezpieczeństwa informacji często prowadzi do nieostrożnych zachowań personelu: klikania w linki phishingowe, celowego lub przypadkowego przekazywania danych poufnych, używania tych samych haseł w kontach służbowych i prywatnych i tak dalej.

Wyciek danych do konkurencji. Pracownicy mogą przekazać poufne informacje konkurentom celowo albo przez pomyłkę.

Sabotaż. To celowe tworzenie warunków, które naruszają dostępność i integralność informacji: przeciążanie serwerów, wyłączanie lub niszczenie krytycznego sprzętu i tym podobne.

Na marginesie!

Kradzież, oszustwo i nadużycie uprawnień. Pracownicy z uprawnieniami lub dostępem do danych wrażliwych mogą wykorzystać je dla własnej korzyści. Ponadto przy braku kontroli pracownicy mogą kraść sprzęt albo zmieniać jego konfigurację, co grozi utratą odporności całego systemu informacyjnego.

• pracownicy mogą łączyć się z siecią firmową i danymi z niezabezpieczonych urządzeń prywatnych, co często kończy się wyciekiem informacji lub infekcją złośliwym oprogramowaniem;

• kontrola nad rozproszonym środowiskiem staje się trudniejsza, ciężej monitorować zdarzenia bezpieczeństwa informacji i wykrywać napastników;

• pracownicy zdalni mogą łączyć się z niezabezpieczonymi sieciami publicznymi i domowymi i tak dalej.

Środki ochrony danych w biurze

Istnieje kilka sprawdzonych sposobów, dzięki którym organizacje mogą zbudować solidny system bezpieczeństwa informacji i zapewnić w biurach ochronę danych oraz odporność na cyberataki.

Zacznij od oceny ryzyka i zarządzania nim

Ocena ryzyka bezpieczeństwa to proces identyfikowania podatności w ekosystemie IT i analizowania zagrożeń, jakie niosą one dla organizacji: od przestojów i związanej z nimi utraty przychodów po kary nakładane przez regulatorów za nieprzestrzeganie przepisów.

Do skutecznych strategii oceny ryzyka należą:

• inwentaryzacja i identyfikacja zasobów informacyjnych wymagających ochrony;

• analiza potencjalnych zagrożeń dla każdego zasobu;

• wykrywanie i analiza aktualnych podatności systemu informacyjnego;

• regularny audyt infrastruktury IT przedsiębiorstwa;

• śledzenie bieżących zagrożeń bezpieczeństwa informacji oraz informowanie o nich personelu w porę, wraz ze wskazaniem środków ochrony.

Dzięki temu organizacje chronią swoje zasoby z wyprzedzeniem i utrzymują ciągłość działania.

Opracuj i wdroż politykę bezpieczeństwa

Opracowanie polityki bezpieczeństwa z pełnym wykazem obowiązujących zasad i procedur pozwala znacząco ograniczyć ryzyko zagrożeń wewnętrznych i zewnętrznych. Dokument pełni rolę mapy drogowej: opisuje specyfikę działania systemu informacyjnego oraz wdrożone środki i mechanizmy ochrony danych.

Pracowników biura należy zapoznawać za podpisem z polityką bezpieczeństwa firmy, a także z każdą zmianą obowiązujących zasad.

Politykę bezpieczeństwa firmy wprowadza się w życie odrębnym zarządzeniem.

Wykorzystaj umowy NDA i regulamin tajemnicy przedsiębiorstwa

Same przepisy prawa mogą nie wystarczyć do ochrony informacji o wartości handlowej. Kolejnym krokiem jest więc przygotowanie umowy o zachowaniu poufności (NDA) oraz regulaminu tajemnicy przedsiębiorstwa.

Aby umowa o zachowaniu poufności była skuteczna, powinna zawierać następujące elementy.

1. Wykaz danych uznawanych za poufne. Mogą to być informacje o procesach i zasobach firmy, o jej pracownikach i klientach, o planach rozwoju i tak dalej.

2. Szczegółowy opis sytuacji, które będą traktowane jako wyciek informacji poufnych. Może to być prowadzenie konkurencyjnej działalności, publikacja danych w mediach, przekazanie informacji o wartości handlowej w rozmowie ustnej i tym podobne.

3. Środki odpowiedzialności za naruszenie NDA. Trzeba je jasno zapisać w umowie.

4. Okres obowiązywania umowy.

Zasady korzystania z informacji poufnych można doprecyzować w zakresie obowiązków na stanowisku. Umowę NDA podpisuje się razem z umową główną.

Stosowanie technicznych i programowych środków ochrony

Techniczne środki ochrony danych to urządzenia, sprzęt i systemy służące zapewnieniu bezpieczeństwa danych w firmie. Należą do nich:

• zapory sieciowe;

• systemy wykrywania włamań;

• kamery monitoringu wizyjnego;

• czujki ruchu;

• zasilacze awaryjne UPS;

• bramy kryptograficzne i inne.

Programowe narzędzia bezpieczeństwa informacji to programy i aplikacje chroniące informacje przed nieuprawnionym dostępem, wirusami i innymi zagrożeniami. Zaliczamy do nich:

• programy antywirusowe;

• zapory sieciowe;

• oprogramowanie antyszpiegowskie;

• usługi VPN;

• usługi szyfrowania danych;

• systemy SIEM i DLP;

• oprogramowanie chroniące przed atakami DDoS.

Poza tym dane należy zabezpieczać regularnie wykonywaną kopią zapasową.

System kontroli dostępu (SKD)

To zestaw sprzętowych i programowych środków technicznych, które kontrolują i fizycznie ograniczają dostęp do określonych terenów i pomieszczeń.

Główne funkcje SKD:

• identyfikacja użytkownika;

• weryfikacja uprawnień dostępu;

• rejestracja zdarzeń (przejść przez punkty kontrolne, alarmów i tym podobnych);

• przechowywanie danych o zdarzeniach;

• sterowanie dostępem (otwieranie i zamykanie drzwi, bramek oraz innych punktów przejścia).

SKD są powszechnie stosowane w nowoczesnych biurach o ograniczonym dostępie. W skład systemu kontroli dostępu wchodzą między innymi:

• różnego rodzaju identyfikatory;

• czytniki kodów PIN i kodów kreskowych oraz czytniki danych biometrycznych;

• kontrolery;

• oprogramowanie i komputery do zarządzania systemem;

• zamki elektroniczne, napędy drzwi, bramki, szlabany i tak dalej. 

Kontrola dostępu i uwierzytelnianie

Kontrola dostępu i uwierzytelnianie to nieodłączny element solidnej strategii bezpieczeństwa informacji. Mechanizmy kontroli dostępu określają, kto może sięgnąć po dane zasoby informacyjne, a metody uwierzytelniania potwierdzają tożsamość użytkowników, którzy o taki dostęp występują. 

Zarządzanie dostępem użytkowników do informacji wrażliwych obejmuje zazwyczaj:

• regularne przeglądy i aktualizacje uprawnień dostępu; 

• niezwłoczne odbieranie dostępu pracownikom odchodzącym z organizacji;

• stosowanie zasad najmniejszych uprawnień i zerowego zaufania, aby ograniczyć potencjalne ryzyko.

Zerowe zaufanie zakłada, że żaden użytkownik ani system, ani wewnątrz, ani na zewnątrz perymetru sieci, nie jest z założenia zaufany. Oznacza to, że każdy użytkownik i każde urządzenie są stale weryfikowane i uwierzytelniane, niezależnie od lokalizacji i wcześniej przyznanego dostępu. Model ten sprawia, że użytkownicy i systemy mają dostęp wyłącznie do zasobów niezbędnych do wykonania konkretnych zadań, co znacząco obniża ryzyko naruszeń bezpieczeństwa.

Szyfrowanie danych

Szyfrowanie to przekształcenie informacji w postać nieczytelną, zrozumiałą wyłącznie dla uprawnionych użytkowników dysponujących odpowiednim kluczem deszyfrującym. Wdrażając szyfrowanie, organizacje chronią dane wrażliwe podczas przesyłania i przechowywania. To nie tylko działanie prewencyjne wobec cyberzagrożeń, ale również wsparcie dla organizacji w spełnianiu wymogów regulacyjnych dotyczących ochrony danych i prywatności.

Szkolenia personelu i budowanie świadomości w zakresie bezpieczeństwa informacji 

Nawet najbardziej zaawansowane środki bezpieczeństwa informacji okażą się nieskuteczne, jeśli personel firmy nie zna zasad cyberhigieny i bezpiecznego zachowania w sieci.

Przeszkoleni pracownicy zwykle lepiej rozpoznają zagrożenia, których z dnia na dzień przybywa. Według Security Magazine każdego dnia dochodzi do około 2200 cyberataków — i to pracownicy pierwszej linii muszą im stawić czoła.

Personel warto szkolić w przeciwdziałaniu współczesnym zagrożeniom bezpieczeństwa informacji:

• organizuj regularne wykłady, seminaria i szkolenia z tego zakresu;

• informuj w mailingach o nowych, aktualnych zagrożeniach;

• korzystaj z materiałów drukowanych (ulotek, broszur i tym podobnych).

Proces szkolenia pracowników z podstaw bezpieczeństwa informacji bywa też określany terminem "security awareness".

Zarządzanie incydentami bezpieczeństwa informacji

Mimo rosnącej liczby cyberataków wiele firm wciąż nie ma skutecznego planu reagowania na incydenty bezpieczeństwa IT. A jeśli firma padnie ofiarą naruszenia danych i nie dysponuje solidną strategią usuwania skutków, szkody mogą być katastrofalne.

Proces obejmuje ciągłe monitorowanie zdarzeń bezpieczeństwa informacji, ich rejestrowanie oraz analizowanie zebranych danych pod kątem naruszeń i anomalii. Gdy incydent zostanie wykryty, trzeba w porę podjąć działania.

Jak reagować na incydenty?

Algorytm reagowania jest taki sam dla każdej firmy i może wyglądać następująco.

• Lokalizacja. Pierwszy etap polega na ustaleniu sprawców incydentu i wyznaczeniu obszaru objętego niepożądanym zdarzeniem.

• Ocena szkód. Na tym etapie określa się skalę incydentu, czyli skutki, jakie przyniósł on organizacji. Mogą to być zmiany we wzorcowych ustawieniach bezpieczeństwa informacji, zniszczenie lub ujawnienie informacji wrażliwych i tak dalej.

• Usunięcie skutków. Ten krok obejmuje radzenie sobie z następstwami incydentu, na przykład odtworzenie usuniętych plików.

• Analiza incydentu. Ostatnim etapem reagowania jest przeanalizowanie danych o niepożądanym zdarzeniu i utrwalenie ich w dowolnej formie przyjętej w firmie. Na podstawie informacji o incydencie należy przygotować raport, przeanalizować go, a następnie opracować i wdrożyć środki zapobiegające powtórzeniu się zdarzenia.

Na marginesie. Plan reagowania trzeba dopasować do unikalnego krajobrazu ryzyka konkretnej organizacji.

Plan należy regularnie testować i aktualizować pod kątem nowych potencjalnych ryzyk i zagrożeń. Dodatkowo tak zwane ćwiczenia cybernetyczne i testy odporności bezpieczeństwa informacji dają pewność, że wybrany przez firmę plan pozwoli w porę zareagować na incydent i szybko usunąć jego skutki.

Podsumowanie

Zagrożenia bezpieczeństwa informacji stają się coraz bardziej wyrafinowane, złożone i wieloetapowe. Ustal, które dane wymagają ochrony, i wdroż środki bezpieczeństwa informacji odpowiadające możliwościom oraz potrzebom Twojej firmy.