Wybuch koronawirusa (COVID-19) został oficjalnie uznany przez Światową Organizację Zdrowia (WHO) za pandemię, co oznacza, że infekcja przyspiesza jednocześnie w wielu krajach. Obawy związane z koronawirusem spowodowały zamknięcie szkół, galerii handlowych, ośrodków rekreacji oraz innych miejsc pracy.

Według najnowszego raportu International Workplace Group na całym świecie 50% pracowników pracuje poza główną siedzibą przez co najmniej 2,5 dnia w tygodniu. Jednak COVID-19 stanowi wyzwanie dla większej liczby – być może wszystkich – organizacji do potencjalnego, natychmiastowego przyjęcia stylu pracy zdalnej. Oprócz presji, jaką ten biurowy exodus wywiera na zespoły IT i architekturę sieci, istnieją prawdziwe wyzwania cyberbezpieczeństwa, które organizacje muszą wziąć pod uwagę.

Zanim firma wyśle swoich pracowników do domu, powinna rozważyć ryzyka. Nie oznacza to, że koronawirusa i choroby COVID-19 nie należy traktować poważnie, ale podobnie jak z problemami zdrowotnymi, należy się zająć również cyberbezpieczeństwem. Niebezpieczeństwo polega na tym, że pracownicy pracując w swoich domach, mogą czuć się bardziej komfortowo niż w biurze. Nie chodzi tylko o wybór garderoby – chodzi o skupienie, które jest niezbędne do pracy zdalnej. Jego brak zwiększa ryzyko wprowadzenia do swoich firm złośliwego oprogramowania, np. poprzez kliknięcie niebezpiecznego łącza (90% ataków odbywa się za pośrednictwem poczty elektronicznej). Dodatkowo zakłócenia komunikacji oraz brak możliwości bezpośrednich kontaktów z innymi pracownikami może spowodować, że padniemy ofiarą ataków.

Pamiętaj!
Laptop służbowy używany w domu jest nadal własnością firmy i powinien być używany wyłącznie przez upoważnione osoby.

Fizyczne bezpieczeństwo urządzeń firmy

Pracownicy będą narażać urządzenia firmowe na większe ryzyko, gdy opuszczą bezpieczne środowiska w miejscu pracy. Pracownik zdalny często zabiera urządzenia służbowe w miejsca publiczne. Dlatego należy chronić urządzenia przed zagubieniem, kradzieżą, bądź innymi formami przejęcia (w tym również chrońmy dane służbowe, które posiadamy w pamięci wewnętrznej urządzeń). Co możemy zrobić?

• Szyfrowanie całego dysku gwarantuje, że w przypadku, gdy urządzenie wpadnie w niepowołane ręce, dane firmy nie będą dostępne.
• Wyloguj się, gdy urządzenie nie jest używane – zarówno w domu, jak i w miejscach publicznych.
  Wygaszacze ekranu powinny wymagać hasła. Pamiętaj, aby używać przydatnych skrótów klawiaturowych, takich jak Win-L (Windows) i Ctl-Cmd-Q (Mac), aby szybko blokować ekran za każdym razem, gdy odchodzisz od komputera.
• Silna polityka haseł – wszystkie konta na urządzeniu powinny wymagać unikatowych poświadczeń logowania, a konta użytkowników powinny być ograniczone do uprawnień innych niż administracyjne.
• W miejscach publicznych nigdy nie pozostawiaj urządzenia bez nadzoru.
  

  ---

Dostęp do sieci i systemów firmy

Należy ustalić, czy pracownik potrzebuje dostępu do wewnętrznej sieci organizacji, czy wystarczy dostęp do usług chmurowych i poczty e-mail. Należy wziąć pod uwagę, czy taki sam poziom dostępu do poufnych danych, z których pracownik korzysta w firmie, powinien być przyznany, gdy przebywa poza miejscem pracy.

• Należy łączyć się z urządzenia należącego do organizacji (legalnego oraz z aktualnymi systemami bezpieczeństwa) tak, aby można było zapewnić kontrolę nad podłączonym urządzeniem przez zespół ds. bezpieczeństwa technologii IT.
• Zawsze używać połączenia VPN do łączenia zdalnych pracowników z wewnętrzną siecią organizacji. Zapobiega to atakom typu man-in-the-middle ze zdalnych lokalizacji, tj. pracując z domu, ruch przepływa przez sieci publiczne.
• Kontroluj użycie urządzeń zewnętrznych, takich jak pamięć USB i innych, które mogą zainfekować sieć.

Jeżeli to możliwe, zaimplementuj mechanizm 2FA lub MFA (dwu/wieloskładnikowe uwierzytelnienie) do logowania w sieci firmowej. W miarę możliwości należy używać generatorów krótkoterminowych, takich jak Google i Microsoft Authenticator, aby zminimalizować ryzyko naruszenia bezpieczeństwa poprzez kradzież danych uwierzytelniających lub wyłudzanie informacji.

---

Podatność na kampanie phishingowe

Kampanie phishingowe stanowią zagrożenie dla wszystkich pracowników, niezależnie od tego, czy mają siedzibę wewnętrzną, czy zdalną. Pracownikom, którzy nie są przyzwyczajeni do pracy „w domu” i mają do czynienia ze wzrostem liczby wiadomości e-mail i innych wiadomości tekstowych, trudniej ocenić, co jest prawdziwe, a co jest zagrożeniem. Szczególnie w sytuacji wzrostu liczby spamu grającego dokładnie na obawach przed koronawirusem, od „zwykłych podejrzanych” zachowań w sieci. Na co zwracać uwagę?

• Należy pamiętać, aby zawsze sprawdzać linki przed kliknięciem (w wiadomościach mail oraz www), najeżdżając na nich wskaźnikiem myszy, aby zobaczyć rzeczywiste miejsce docelowe adresu URL.
• Należy odrzucać prośby o włączenie makr podczas otwierania załączników e-mail.
• Należy mieć ograniczone zaufanie do maili/stron www, których nie znamy.
• Korzystać z zaufanych źródeł, takich jak legalne, rządowe strony internetowe, aby uzyskać aktualne, oparte na faktach informacje o COVID-19.

---

Oprócz technologii i procesów funkcjonalnych, istnieją inne kluczowe czynniki pracy zdalnej

• Komunikacja: kontakt z zespołem, informowanie pracowników o statusie oraz umożliwienie dzielenia się doświadczeniami i problemami.
• Reakcja:  praca zdalna to nie to samo, co praca w środowisku biurowym. Należy ustalić jasne wytyczne dotyczące tego, jak szybko zdalny pracownik ma odpowiedzieć na żądanie w zależności od rodzaju komunikacji, adresu e-mail, zwolnienia, zaproszeń kalendarza itp.
• Raportowanie: kierownicy powinni wdrożyć procedury, które pozwolą ustalić, czy zdalni pracownicy wykonują zadanie, np. obowiązkowe spotkania grupowe, współpraca w zespole, codzienne / tygodniowe / miesięczne raporty.
• Zdrowie i bezpieczeństwo: czy ergonomiczne klawiatury z biura można zabrać do domu, aby zapewnić taki sam komfort, do jakiego przyzwyczajeni są pracownicy? Praca w domu nie usuwa odpowiedzialności za zapewnienie dobrego środowiska pracy.
• Odpowiedzialność: należy zapewnić ochronę majątku firmy, gdy jest ona w posiadaniu pracownika.
• Wsparcie techniczne: rozpowszechnianie danych kontaktowych, tj. wszyscy zdalni pracownicy muszą wiedzieć, jak uzyskać pomoc w razie potrzeby.
• Socjalizacja: interakcje społeczne są ważną częścią motywacji i zwiększają wydajność. Pomóc w tym mogą min. szkolenia wewnętrzne, wykorzystujące komunikatory np. z bezpieczeństwa, czy tzw. OpenSpace, w którym każdy będzie mógł wyrazić swoje zdania.
• Dostępność: należy ustanowić wirtualną politykę zarządzania otwartymi drzwiami, tak jak ma to miejsce w biurze. Upewnij się, że ludzie są dostępni i mogą być łatwo zaangażowani w powierzenie zadań.

---

 

Niezależnie od tego, jak rozwinie się sytuacja z COVID-19, firmy powinny rozważyć podobne, zdroworozsądkowe środki, aby być w gotowości do zapewnienia cyberbezpieczeństwa na potencjalne zakłócenia.

• Należy wzmocnić obowiązujące zasady, procedury i szkolenia dotyczące pracy w domu, ochrony urządzeń, szyfrowania danych w spoczynku, utrzymywania jasnych zasad dotyczących biurka itp.
• Upewnij się, że masz aktualną politykę bezpieczeństwa informacji, która obejmuje pracę zdalną. Silne zasady bezpieczeństwa mogą już istnieć, ale ważne jest, aby je przejrzeć i upewnić się, że są odpowiednie, gdy Twoja organizacja decyduje się na pracę większej liczby osób pracujących w domu niż w biurze. Zasady bezpieczeństwa muszą obejmować zdalne zarządzanie dostępem do pracy, korzystanie z urządzeń osobistych oraz zaktualizowane względy prywatności danych w celu uzyskania dostępu pracowników do dokumentów i innych informacji.
• Przygotuj urządzenia łączące się z organizacją. Pracownicy pracujący w domu mogą korzystać z urządzeń osobistych w celu wykonywania funkcji biznesowych, zwłaszcza jeśli nie mogą uzyskać dostępu do urządzenia dostarczanego przez pracodawcę. Urządzenia osobiste będą musiały mieć taki sam poziom bezpieczeństwa, jak urządzenia należące do firmy. Zadbaj o możliwość komunikacji VPN, aktualizacje wszystkich łatek bezpieczeństwa.
• Wrażliwe dane mogą być dostępne za pośrednictwem niebezpiecznych sieci Wi-Fi. Pracownicy pracujący w domu mogą uzyskiwać dostęp do poufnych danych biznesowych za pośrednictwem domowych sieci Wi-Fi, które nie będą miały takich samych zabezpieczeń – jak min. FireWall, NAT, itp. stosowanych w tradycyjnych biurach. Więcej połączeń będzie się odbywać ze zdalnych lokalizacji, co będzie wymagało większego skupienia się na prywatności danych.
• Higiena, tak jak i edukacja CYBER zagrożenia ma kluczowe znaczenie. Światowa Organizacja Zdrowia (WHO) i Federalna Komisja Handlu USA (FTC) ostrzegły już przed trwającymi atakami phishingowymi i kampaniami-oszustwami dotyczącymi koronawirusa. Ciągła edukacja użytkowników końcowych i komunikacja są niezwykle ważne i powinny obejmować zapewnienie, że zdalni pracownicy mogą szybko skontaktować się z działem IT w celu uzyskania porady. Organizacje powinny również rozważyć zastosowanie bardziej rygorystycznych środków bezpieczeństwa poczty e-mail.
• Zorganizuj szkolenie anty phishingowe z udziałem personelu IT i innych osób mających dostęp do poufnych informacji firmy.

Firma CompNet Sp z.o.o. posiada w swojej ofercie min. szkolenia online podnoszące świadomość zagrożeń, które w dobie pandemii pozwolą podnosić bezpieczeństwo w Państwa organizacji. Ponadto firma świadczy usługi outsourcing, pozwalając przedsiębiorstwom, podmiotom administracji publicznych na obniżenie kosztów oraz eliminację ryzyka kar za nieprzestrzeganie przepisów.

• Wykorzystaj okazję, aby zaktualizować alternatywne informacje kontaktowe w planach reagowania na naruszenia bezpieczeństwa danych i innych planach komunikacji kryzysowej.
• W przypadku tych samych planów opracuj procedury zwolnienia chorobowego, jeśli jeden lub więcej kluczowych członków zespołu zachoruje i nie będzie w stanie uczestniczyć – zidentyfikuj zespół elastyczny.
• Dopełnij wszelkich formalności z pracownikiem w zakresie pracy zdalnej – zadbaj o umowę powierzenia sprzętu służbowego, umowę o odpowiedzialności za sprzęt, za pobierane oprogramowanie i inne.
  Jednym z rozwiązań jest powierzenie bezpieczeństwa, outsourcing usług czy wymogów ustawowych do firm, które zadbają o Twoje bezpieczeństwo.
• Plany zarządzania kryzysowego i reagowania na incydenty muszą być wdrożone przed zdalną pracą.
  Cyber ​​incydent, który ma miejsce, gdy organizacja działa już poza normalnymi warunkami, ma większy potencjał wymknięcia się spod kontroli.

• Kryzys COVID-19 prawdopodobnie będzie z nami przez jakiś czas. Organizacje i ich pracownicy będą musieli szybko podejmować trudne decyzje, a umożliwienie zdalnej pracy jest jedną z nich. 

  Wyzwania związane z trwającą epidemią koronawirusa polegają na zapewnieniu bezpieczeństwa zdrowia i życia oraz poczucia bezpieczeństwa, które ulega zachwianiu  poprzez fake news’y, wzbudzające min. panikę, strach czy dynamiczny rozwój sytuacji.

  Należy pamiętać, że sytuacja wokół COVID-19 ewoluuje, dlatego należy do niej racjonalnie podchodzić oraz rozważać wszystkie zagrożenia związane nie tylko z koronowirusem, ale również innymi podatnościami, w tym cyber zagrożeniami.

Bądź bezpieczny! Bądź świadomy! Bądź zdrowy!

Autor: Michał Lubera,
Kierownik Projektu, Specjalizacja: Ochrona Teleinformatyczna i Zarządzanie Oprogramowaniem

 

© Copyright by CompNet Sp. z o. o.