FAQ: Jak chronić moją małą firmę przed cyberatakami?

Fakty: małe firmy nie doceniają swojej podatności

W zeszłym tygodniu pojawiły się cyberataki atakujące kilka amerykańskich banków. Chociaż hakerzy często atakują duże firmy, małe firmy stają się coraz bardziej wrażliwe.

Małe firmy często nie doceniają swojej podatności na ataki cybernetyczne, ponieważ nie doceniają ich wartości dla cyberprzestępców. Uważają, że nie są warte wysiłku, aby włamać się, ale właściciele małych firm często nie zdają sobie sprawy z tego, jak niewielki wysiłek włamania się do firmy przy minimalnym bezpieczeństwie to doświadczony cyberszczęśnik.

Ankieta dotycząca zagrożeń firmy Symantec wykazała, że ​​małe firmy robią zbyt mało, aby uchronić się przed atakami:

• 50% właścicieli małych firm uważa, że ​​są zbyt małe, aby być celem ataków cybernetycznych
• 61% małych firm nie instaluje oprogramowania antywirusowego na wszystkich komputerach
• 47% nie używa zabezpieczeń na serwerach pocztowych
• 67% nie korzysta z żadnych zabezpieczeń internetowych

Firma Verizon Business przeprowadziła szeroko zakrojone badania nad naruszeniami bezpieczeństwa cybernetycznego w 2011 r., Z zaskakującymi wynikami dotyczącymi tendencji hakerów do kierowania na małe firmy:

• 72% zgłoszonych naruszeń hakerów prowadzi działalność z udziałem 100 lub mniej pracowników
• 79% ofiar cyberataków w 2011 r. Było celami możliwości

Mimo że małe firmy mogą uważać się za wystarczająco małe, aby mogły zostać poddane radiu cyberszpiegów, zwykle luźne środki bezpieczeństwa wdrażane przez małe firmy czynią je łatwym celem dla hakerów. Większość ofiar nie była przedsiębiorstwami o znacznych zasobach lub tajemnic handlowych, zidentyfikowanych przez złodziei przed silnie zaplanowanym atakiem; raczej, większość ofiar miała po prostu słabą cyberbezpieczeństwo, z którego korzystali złodzieje.

Hackowanie przez pracowników

81% naruszeń w 2011 r. Wykorzystało jakąś formę hakowania, a 69% wykorzystywało złośliwe oprogramowanie.

Jednym z powszechnych sposobów na włamanie do infrastruktury firmy jest hakowanie pracowników, a nie zarządzanie nimi. Cyberprzestępcy mogą wysyłać wiadomości phishingowe do poszczególnych pracowników, a gdy te wiadomości e-mail są otwierane na serwerze firmy, złośliwe oprogramowanie może wykraść informacje o firmie.

Firmy powinny ustalić przejrzystą politykę firmy dotyczącą tego, jakie informacje o firmie można ujawnić za pośrednictwem mediów społecznościowych, strony internetowe pracownicy nie powinni uzyskiwać dostępu w pracy, jak identyfikować phishingowe wiadomości e-mail i jak chronić bezpieczeństwo urządzeń mobilnych, zwłaszcza jeśli mogą zalogować się w firmie serwer poprzez swoje osobiste urządzenie.

Nasze wskazówki dotyczące witryn: w jaki sposób chronić swój biznes?

FCC ma poręczne narzędzie do planowania cyberbezpieczeństwa dla małych firm, które pozwala właścicielom małych firm stworzyć niestandardowy plan cyberbezpieczeństwa zawierający porady ekspertów na temat dwunastu przedmiotów, w tym bezpieczeństwa sieci, urządzeń mobilnych, bezpieczeństwa obiektów i rozwoju polityki.

Investmentmatome zaleca firmom podjęcie czterech wstępnych kroków w celu ochrony:

1. Oceń swój status bezpieczeństwa. Gdzie są wszystkie twoje możliwe naruszenia danych i luki bezpieczeństwa?
2. Zaimplementuj zaporę i oprogramowanie antywirusowe
3. Trzymaj sesję szkoleniową dla pracowników i przekazuj im zasady firmy dotyczące cyberbezpieczeństwa
4. Twórz hasła administracyjne trudne do odgadnięcia, najlepiej te złożone z cyfr i liter

Poprzez wdrożenie kompleksowego planu cyberbezpieczeństwa i edukację pracowników na temat tego planu, firmy mogą chronić swoje aktywa.

Inne opinie ekspertów

• Robert Siciliano, McAfee Online Security Expert, oferuje pięć wskazówek dla zapewnienia bezpieczeństwa cybernetycznego twojej firmy

"1. Nie wszystkie dane są zhakowane. Ćwiczenie podstawowe do zaawansowanego założenia / fizyczne bezpieczeństwo, takie jak kontrola dostępu, kamery bezpieczeństwa i alarmy.

2. Ogranicz ilość danych wymaganych od klientów. Jeśli tak naprawdę nie potrzebujesz numeru ubezpieczenia społecznego, a następnie go nie przechowuj. Jeśli karta kredytowa informacje nie muszą być przechowywane, a następnie nie przechowuj ich.

3. Rozpoznanie pytań opartych na wiedzy w postaci hasła resetowanie może obniżyć dom. Wiele odpowiedzi można znaleźć w kontaktach towarzyskich serwisy multimedialne.

4. Laptopy są jednym z największych punktów naruszenia danych. Dane na laptopie powinny być zaszyfrowane. Laptopy nigdy nie powinny zostawać w samochodzie na noc lub pozostawione w pokój hotelowy lub biuro samodzielnie lub na stoliku do kawy w kawiarni bez opieki. Oprogramowanie do śledzenia laptopów, które lokalizuje i usuwa dane, jest niezbędne.

5. Trenuj, trenuj, trenuj, trenuj. Szkolenie w zakresie bezpieczeństwa danych i co robić, a co nie robić, to priorytet numer jeden. Kliknięcie linków w e-mailach, pobieranie czegokolwiek z sieci lub wiadomości e-mail, otwieranie załączników w wiadomościach e-mail, wszystkie były ostatnio skuteczne sposoby infekowania sieci. "

• Nathan Corbier, założyciel Corbier and Associates, mówi o urządzeniach pracowniczych

"Nie zezwalamy nikomu na podłączanie nieautoryzowanych urządzeń do naszych stacji roboczych lub laptopy firmowe. Dotyczy to odtwarzaczy MP3, telefonów komórkowych, kluczy USB, nic. Jeśli ktoś to zrobi, natychmiast zablokuje komputer niebieskim kolorem ekran śmierci i wysyła alarm SMTP. Jedynymi autoryzowanymi urządzeniami USB, które dopuszczamy są Yubikeys i Iron Keys.

Wymagamy zsynchronizowania wszystkich smartfonów z Androidem z Google Apps Konto, włącz uwierzytelnianie hasłem i zaszyfrowane. "

• Michelle Schenker, właściciel Cover Story Media, mówi o tym, jak ważne jest częstsze zmienianie haseł

"Często zmieniaj hasła i zawsze używaj złożonych i unikatowych haseł do wszystkiego, co robisz online. Hasła stają się trudniejsze do rozszyfrowania, gdy zawierają wiele różnych znaków, zazwyczaj najlepiej jest wprowadzić w haśle cyfry, litery, wielkie litery i symbole. Hasła powinny być trudne do odgadnięcia i ważne jest, aby były one regularnie zmieniane. Zaleca się zmianę haseł online raz w miesiącu, aby zachować ich dynamikę i zmniejszyć prawdopodobieństwo, że ktoś uzyska dostęp do twoich danych osobowych. "

• Kyle Marks, założyciel firmy Retire-IT, mówi, aby bezpiecznie pozbyć się starej technologii

"Gdy organizacja wycofuje niechcianą technologię, staje przed ryzykiem związanym z bezpieczeństwem danych i zgodnością z wymogami ochrony środowiska. Zagrożenia ze strony zaufanych użytkowników i niedbałych dostawców zwiększają wyzwanie. Firmy powinny być świadome zagrożeń związanych z bezpieczeństwem danych, które towarzyszą aktualizacji IT. "

• John S. Pitts, założyciel Tekcetera, Inc., zachęca do używania zapór ogniowych i VPN

"Wraz z rosnącą liczbą hakerów komputerowych i ofiarami kradzieży tożsamości, konieczne jest zapewnienie firmie niezawodnej ochrony za pomocą zapór ogniowych. Mogą one być oparte na oprogramowaniu lub sprzętowe i służą do utrzymywania bezpieczeństwa sieci. Ostatecznie zapory ogniowe analizują pakiety danych i określają, jakie informacje powinny być dozwolone, w oparciu o ustalony zestaw reguł.

Wirtualne sieci prywatne (VPN) zapewniają bezpieczeństwo poprzez tunelowanie protokołów i procedur bezpieczeństwa, takich jak szyfrowanie. Na przykład sieć VPN może być używana do bezpiecznego łączenia oddziałów organizacji z centralą poprzez publiczny Internet. "

• Alfea Principe, dyrektor ds. Globalnego marketingu w dziale Recycling Services, przypomina właścicielom małych firm o bezpiecznym recyklingu komputerów

"Powszechną kwestią, na którą problemy finansowe i rządowe są nieświadome, jest: zagrożenia związane z brakiem recyklingu komputerów, telefonów komórkowych, drukarek, faksów maszyny itp. poprawnie. Jeżeli te układy elektroniczne nie są prawidłowo rozmontowane i umieścić w niewłaściwych rękach, to bardzo wrażliwe i poufne dane (kredyt karta, informacje bankowe, numery ubezpieczenia społecznego itp.) mogą zostać wyodrębnione. "

• Michael Becce, MRB Public Relations, ostrzega przed keyloggerami

"Prawdziwym zagrożeniem dla małych firm są keyloggery. Keyloggery to forma złośliwe oprogramowanie, które śledzi każde naciśnięcie klawisza na klawiaturze i je wykonuje dostępne dla hakerów. Większość ludzi zakłada, że ​​produkt antywirusowy będzie uniemożliwić keyloggerom dostanie się na ich systemy, w końcu tak mówi pudełko. Rzeczywistość jest taka, że ​​można wykryć najlepsze produkty antywirusowe mniej niż 25% znanych keyloggerów. Wiele systemów jest już zainfekowanych. Keyloggery śledzą wszystko z poziomu logowania do systemu Windows, formularzy bankowych, finansów informacje, poczta e-mail, media społecznościowe, a nawet wiadomości błyskawiczne. Każdy mały biznes powinien zakładać, że była przynajmniej jedna osoba w organizacji hit lub będzie. Wiele małych firm zostało całkowicie zamkniętych już. Aby zapobiec kradzieży twoich naciśnięć klawiszy (i danych, tajemnice, pieniądze itp.), użyj szyfrowania klawiszy, aby je zaszyfrować naciśnięcia klawiszy, gdy robisz to, aby keyloggery odczytały fałszywe dane. "

• Sid Haas, wiceprezes ds. Rozwoju biznesu w LKCS, mówi o zatrudnianiu zewnętrznej firmy ochroniarskiej i organizowaniu szkoleń

"Zatrudniamy zewnętrzną niezależną firmę zajmującą się bezpieczeństwem sieci, aby przeprowadzać zewnętrzne oceny luk w zabezpieczeniach naszych serwerów i stron internetowych co 6 miesięcy. Oceny te identyfikują określone luki w zabezpieczeniach w zależności od poziomu ryzyka. Wykorzystujemy informacje zawarte w tych raportach oceniających, aby złagodzić możliwie jak najwięcej usterek - poczynając od wszelkich zidentyfikowanych jako wysokie ryzyko, ale także odnosząc się do pozycji zidentyfikowanych jako średnie i niskie ryzyko.

Odkryliśmy, że cyberbezpieczeństwo to tyle samo co edukacja i szkolenia niż wszystkie inne. Organizujemy coroczne sesje szkoleniowe poświęcone bezpieczeństwu ze wszystkimi pracownikami i nieustannie przypominamy wszystkim naszym pracownikom o problemach bezpieczeństwa, oszustwach i zagrożeniach w ciągu roku za pośrednictwem poczty e-mail i małych plakatów wyświetlanych w naszym zakładzie. "

• Doug Landoll, główny strateg w Lantego LLC, zachęca firmy do regularnego sprawdzania swoich zabezpieczeń

"Sprawdzamy obecne kontrole administracyjne, fizyczne i techniczne, pomagamy w wypełnianiu ankiet bezpieczeństwa i przywracamy małą firmę do zgodności. Obejmuje to fizyczną kontrolę ochrony systemów i poufnego przechowywania danych, opracowywanie polityk bezpieczeństwa oraz blokowanie naszych systemów.

Małe firmy są często atakowane przez hakerów, ponieważ przewidują słabe kontrole. Szansa na naruszenie poufnych informacji może być bardzo prawdopodobna. Aby zminimalizować wysiłek, można wprowadzić podstawowe elementy kontroli, aby nie tylko zapewnić zgodność z przepisami, ale również chronić wrażliwe informacje klientów i zwiększyć ich zadowolenie z usług. "

• Mark J. Sexton, właściciel Nevada Medical Security Technologies, mówi o znaczeniu personelu szkoleniowego

"Mówiąc o cyberbezpieczeństwie dla małych firm, głównym celem jest budowanie świadomości bezpieczeństwa u właściciela i pracowników firmy. Nie możesz chronić tego, o czym nie wiesz, więc informując się o naturze cyberprzestępczości, kluczowe są metody wykorzystywane przez złych facetów w celu uzyskania informacji chronionych lub pieniędzy / aktywów. Kiedy ludzie zrozumieją, w jaki sposób złodzieje używają technologii do kradzieży, mogą spojrzeć na swoje systemy i procesy i sprawdzić, czy nie ma luk i brakujących elementów.

Podstawowe rzeczy, takie jak używanie złożonych haseł i regularne ich zmienianie, aktualizowanie systemów i oprogramowania antywirusowego.Regularne używanie aplikacji do skanowania złośliwego oprogramowania / spyware w swoich systemach. Kształcenie personelu w zakresie odpowiedniego korzystania z technologii oraz tego, jak działają ataki typu "phishing" i "socjotechnika", mając na uwadze, że zasady dotyczące właściwego korzystania z komputerów biznesowych i nie pozwalania użytkownikom na pełne administrowanie ich systemami stanowią tutaj niski poziom zadowolenia. Prawa administracyjne są duże, jeśli użytkownicy mogą instalować oprogramowanie, mogą stać się ogniwem w ataku lub zezwolić na oprogramowanie klucza i inne złośliwe oprogramowanie na swoje systemy i potencjalnie na wszystkie systemy w firmie.

W końcu jednak chodzi o wiedzę i bycie poinformowanym. Niemożliwe jest zrównoważenie słabych praktyk komputerowych przez pracowników, w wyniku czego szkolenie staje się kluczowe. "