Ko se mižanje ne izplača

Prav vsako delovno mesto ima šibke točke, ki jih lahko spletni napadalci izkoristijo. Znanje (zaposlenih) pa je najboljša kibernetska obramba.

Nacionalni odzivni center za kibernetsko varnost (SI-CERT) v luči naraščanja števila varnostnih incidentov že dlje časa poziva podjetja in organizacije, naj poskrbijo za izobraževanje zaposlenih o informacijski in kibernetski varnosti. Spletne prevare, izsiljevalski virusi, vdori v sisteme in omrežja so namreč »na dnevnem redu«.

Nobeno podjetje ni premajhno za spletne kriminalce

V Sloveniji je še vedno moč slišati mnenje, da manjša podjetja niso zanimiva za spletne napadalce, kar glede na statistiko »žrtev« ne drži. Zaradi omejenih finančnih in kadrovskih virov so vlaganja v informacijsko in kibernetsko varnost v teh podjetjih velikokrat pomanjkljiva (če sploh obstajajo), zato so manjša podjetja lažje tarče. Tudi v večjih podjetjih in organizacijah, kjer je stopnja zavedanja o kibernetski varnosti v povprečju mnogo višja, znatno težavo še vedno predstavlja nezadostno izobraževanje zaposlenih. Vlaganje zgolj v programsko in omrežno opremo ne reši vseh težav, saj gre v večini primerov za tehnično nezahtevne napade, ki temeljijo na tehnikah t. i. družbenega inženiringa. Ker zaposleni nimajo ustreznih znanj in veščin, da bi prepoznali nevarnost, so napadalci pogosto uspešni. Tako so lani pri SI-CERT skupno obravnavali 3.177 varnostnih incidentov, med katerimi so prevare (t. i. phishing napadi) predstavljale kar tretjino vseh primerov. V primerjavi z letom poprej pa se je število prevar zvišalo za skoraj 37 odstotkov. »Čeprav gre za eno najstarejših vrst spletnih napadov, ki so tehnično zelo enostavni, so še vedno uspešni, saj jih zaposleni enostavno ne prepoznajo,« nam je zaupala Jasmina Mešić, koordinatorka nacionalnega programa ozaveščanja Varni na internetu.

Še vedno velja, da datotek in povezav, poslanih od neznanih pošiljateljev, ne gre kar klikniti in odpreti, saj je to lahko pravi recept za »katastrofo«. Na prvi pogled povsem nenevarna priponka lahko skriva trojanskega konja, specializiranega za krajo gesel in digitalnih potrdil, ali izsiljevalski virus, ki podjetju povzroči ogromno škodo. Posledice vdora so za organizacijo izredno negativne, ne le v finančnem smislu, ampak lahko povzročijo tudi izgubo ugleda in zaupanja – in torej posla.

Različna delovna mesta imajo različne šibke točke

Čeprav se v zadnjih letih dogajajo intenzivne spremembe pri skrbi za kibernetsko varnost, podjetja pogosto ponavljajo stare napake. Medtem ko vedno več vlagajo v varnostno opremo, nekatera tudi v zunanje varnostne preglede, pogosto pozabijo na zaposlene. Ti so preprosto spregledani, nimajo možnosti izobraževanj ali pa so ta neprilagojena njihovi ravni znanja. Na drugi strani pa je kruta realnost: praktično vsi zaposleni, ki imajo dostop do elektronske pošte, so lahko vstopna točka za napade z zlonamerno kodo.

Računovodje, ki imajo dostop do financ in spletne banke, so najpogosteje tarča napadov vrivanja v poslovno komunikacijo. Napadalci se v tem primeru predstavljajo kot direktor podjetja (v njegovem imenu pošljejo računovodji e-pošto) in računovodji naložijo plačilo računa podjetju v tujini. Če podjetje zahtevani znesek plača, denarja zelo verjetno nikoli več ne bo videlo. Podobni so poskusi prevar, kjer na e-poštni naslov računovodstva prihajajo lažni računi in dopisi drugih ključnih zaposlenih v podjetju.

Zaposleni v marketingu vsakodnevno veliko komunicirajo z zunanjimi partnerji in tudi upravljajo kanale na družbenih omrežjih, ki prinašajo dodatno tveganje. Tudi nanje prežijo okužene priponke v e-pošti, povezave na prevarantske spletne strani za krajo gesel in druge grožnje.

Za vsa podjetja in organizacije, kjer zaradi pomanjkanja virov ni sistematičnega pristopa k izobraževanju zaposlenih, so pri SI-CERT zasnovali brezplačni spletni tečaj Varni v pisarni. Ta na zelo enostaven, razumljiv in vizualno privlačen način zaposlenim predstavi osnove informacijske varnosti. Tečaj lahko poteka kadarkoli na zahtevo, traja 30 minut in je prilagojen različnim delovnim mestom v organizaciji.

Lekcije za »deset jurjev« in več

Domači varnostni strokovnjaki opozarjajo še na rast števila investicijskih prevar. Večinoma gre za vlaganja v lažne kriptosheme, pri čemer izstopajo tudi finančna oškodovanja. Najvišje oškodovanje, ki ga je zabeležil SI-CERT, je lani znašalo 100.000 evrov, medtem ko se je povprečni znesek izgubljenega vložka gibal okoli 28.000 evrov.

Drage so tudi »lekcije«, povezane z okužbami z izsiljevalskimi virusi, ki žrtvam zaklenejo (beri: zakriptirajo) podatke. Po podatkih SI-CERT je povprečna višina odkupnina za odšifriranje podatkov oziroma datotek podjetja (ki je posledica napada z izsiljevalskim virusom) lani znašala okroglih 10 tisoč evrov, vrivanje v poslovno komunikacijo (npr. med direktorja in računovodjo) pa 19 tisočakov. Ob omenjenih številkah hitro postane jasno, da je strošek investicije v storitve zagotavljanja kibernetske varnosti pravzaprav zanemarljiv v primerjavi s sanacijo posledic napada.