O mulțime de companii și-au instruit angajații să lucreze de acasă, după introducerea măsurilor împotriva COVID-19. Acest lucru a făcut ca disponibilitatea sistemelor de lucru la distanță să devină critică. Orice analiză de risc anterioară referitoare la această disponibilitate nu mai este suficientă, în momentul de față.
În acest context, specialiștii Centrului Naţional de Răspuns la Incidente de Securitate Cibernetică recomandă să identificați procesele critice din organizația dvs. și să luați măsuri pentru gestionarea riscurilor legate de disponibilitate.
CONTEXT
După introducerea măsurilor de atenuare a răspândirii COVID-19, multe companii au instruit angajații cum să lucreze de acasă. Prin această metodă, organizațiile pot continua să lucreze fără a-și expune angajații la riscul de infecție. Acest lucru acoperă, de asemenea, necesitatea angajaților de a avea grijă de copiii lor în orele în care aceștia ar fi trebuit să fie la școală.
La începutul anului, comunitatea de cybersecurity a atras atenția asupra existenței unor vulnerabilități a Citrix, software dedicat lucrului la distanță. Drept consecință, mulți dintre cei care utilizau Citrix pentru a permite angajaților să lucreze de acasă au decis să renunțe la acesta, cel puțin temporar.
Vulnerabilitatea nu a fost în niciun caz unică. Multiple variante de astfel de software conțin erori de programare, iar software-ul dedicat telemuncii ar putea conține o vulnerabilitate similară. Cu toate acestea, sfaturile asociate, de a înceta munca de la domiciliu, nu sunt fezabile în circumstanțele actuale.
CARE ESTE SITUAȚIA ACTUALĂ?
Disponibilitatea multor sisteme de lucru la distanță este brusc critică pentru organizații, din cauza creșterii enorme a numărului de angajați care lucrează de acasă. Chiar dacă o perturbare a software-ului dvs. dedicat lucrului de la distanță ar fi fost considerat anterior un risc minor, o astfel de perturbare ar reprezenta în prezent o amenințare majoră.
Analizele de risc anterioare privind disponibilitatea sistemelor dedicate telemuncii sunt probabil insuficiente. În cele din urmă, aceste analize de risc nu au ținut cont de faptul că organizațiile se vor baza pe angajații care lucrează acasă pe timpul pandemiei. Măsurile bazate pe astfel de analize de risc nu vor asigura disponibilitatea sistemelor, în situația actuală.
Sprijinirea proceselor IT&C (Tehnologia Informației și a Comunicațiilor), precum furnizarea de laptopuri, token-uri și alte resurse fizice necesare telemuncii, sunt adesea realizate în mod limitat acum. Există mai puțin personal IT disponibil la birou, pentru a participa la aceste procese. Mai mult, transmiterea acestor resurse poate prezenta un risc suplimentar de infecție cu COVID-19.
CARE SUNT RISCURILE?
Dacă s-ar descoperi o vulnerabilitate gravă în software-ul dedicat lucrului la distanță, organizația dvs. s-ar confrunta automat cu o dilemă. Dacă nu faceți nimic, permiteți atacatorilor accesul nelimitat la resurse. Dacă interveniți și opriți sistemele de lucru la distanță, riscați continuitatea business-ului organizației. Pentru majoritatea companiilor, ambele scenarii sunt pur și simplu inacceptabile.
Mai există, de asemenea, alte scenarii care prezintă diferite riscuri. Exemplele includ suprasolicitarea cauzată de creșterea puternică a numărului de utilizatori, o deficiență a numărului de licențe sau conturi, atacuri DDoS asupra punctelor de acces ale rețelei dvs. sau perturbări neintenționate ale sistemelor de bază. Toate aceste riscuri existau și înainte de izbucnirea pe scară largă a COVID-19, dar impactul acestora a crescut semnificativ de atunci.
Dacă sistemele de lucru la distanță nu mai sunt disponibile, angajații vor alege, cel mai probabil, să utilizeze alte programe software familiare, pe care le folosesc în viața personală. Exemple bine cunoscute sunt serviciile de e-mail gratuite și platformele cloud pentru colaborare și partajare de fișiere.
Dacă angajații dvs. utilizează astfel de software în afara proceselor obișnuite de gestionare a riscurilor, atunci pot apărea amenințări suplimentare la adresa securității informațiilor. În unele cazuri, este posibil să fiți în măsură să acceptați utilizarea unor astfel de servicii, dacă vă ajută să evitați o problemă mai mare, cum ar fi continuitatea business-ului. Gândindu-vă deja la utilizarea unor astfel de servicii, dacă sunteți responsabil să luați o decizie în astfel de cazuri, și să comunicați clar această decizie angajaților dumneavoastră.
RECOMANDĂRI
Specialiștii vă recomandă să identificați procesele critice ale organizației și să luați măsuri pentru gestionarea riscurilor legate de disponibilitate. Desigur, trebuie să faceți o analiză legată de prioritizarea proceselor, în funcție de importanța lor pentru existența business-ului. Este pur și simplu prea costisitor să mențineți totul în funcțiune, în cazul unei perturbări serioase. Concentrându-vă pe activitățile strict necesare obiectivelor organizației, vă asigurați că atenția dvs. este concentrată asupra aspectelor care contează cu adevărat.
Pentru fiecare dintre procesele critice ale companiei, determinați în ce măsură se bazează pe sisteme de lucru la distanță. De exemplu, angajații folosesc în prezent un spațiu de colaborare, un webmail sau un desktop la distanță pentru a efectua acest proces? Faceți o listă de sisteme de lucru la distanță care sunt importante pentru unul sau mai multe procese critice.
Desigur, un proces critic nu depinde doar de sistemele de lucru la distanță. Această recomandare pleacă de la premisa că au fost implementate în prealabil măsuri adecvate pentru sistemele IT&C, înainte de izbucnirea COVID-19. Dacă un sistem a jucat un rol esențial într-un proces critic, înainte de izbucnirea COVID-19, gestionarea regulată a riscurilor ar fi dus deja la luarea de măsuri corespunzătoare.
Efectuați un inventar al riscurilor de disponibilitate, pentru sistemele de lucru la distanță de care depind procesele critice. Ce probleme sunt previzibile în fiecare dintre aceste sisteme și cum ar amenința acest risc performanța proceselor critice care depind de sistem? În continuare, luați măsuri pentru gestionarea riscurilor identificate. Aceste măsuri se vor încadra într-una din cele două categorii. Pe de o parte, veți lua măsuri pentru o mai bună securizare a sistemelor existente, iar pe de altă parte, veți lua măsuri care să facă procesul dvs. critic mai puțin dependent de disponibilitatea acestor sisteme de lucru la distanță.
MĂSURI NECESARE
Pasul 1: Identificați procesele critice ale organizației dvs.Un proces este considerat critic doar dacă ar deveni rapid o amenințare pentru obiectivele companiei. Nu desemnați prea multe procese ca fiind critice! Este esențial să alegeți. Cu cât sunt mai puține procese critice, cu atât puteți acorda mai multă atenție celor care contează cu adevărat.
Aveți multe procese care sunt importante? Poate fi util să le clasificați intern. De exemplu, puteți evalua prioritatea unui proces ca fiind „medie”, „mare” sau „superioară”. Acest lucru vă va ajuta să stabiliți măsurile aferente etapelor ulterioare.
Unele procese pot fi făcute mai puțin critice, cu măsuri suplimentare. De exemplu, ați putea amâna anumite servicii, în cazul în carecomunicați proactiv cu părțile implicate intern sau extern.
Pasul 2: Stabiliți în ce măsură procesele critice depind de sistemele dedicate lucrului la distanță.
Studiați cu atenție fiecare proces critic și determinați dacă sistemele dedicate lucrului la distanță sunt utilizate în prezent pentru efectuarea procesului critic analizat.
Stabiliți în ce măsură acest proces critic ar putea fi efectuat, dacă aceste sisteme nu sunt disponibile. În mod ideal, acest lucru s-ar întâmpla prin proceduri stabilite și testate, dar, în circumstanțele actuale, orice modalitate care asigură funcționalitatea este binevenită.
În plus, faceți o listă a sistemelor de lucru la distanță care sunt esențiale pentru fiecare proces critic.
Pasul 3: Identificați riscurile de disponibilitate ale sistemelor de lucru la distanță care depind de procesele critice.
Utilizați riscurile enumerate în secțiunea „Care sunt riscurile?”. Completați-le cu riscuri specifice situației dvs.
Pasul 4: Luați măsuri pentru gestionarea riscurilor identificate: încercați să preveniți indisponibilitatea și asigurați-vă că sunteți pregătiți pentru situația în care poate apărea o întrerupere.
Luați măsuri suplimentare pentru sistemele dedicate lucrului la distanță deja existente!
Asigurați-vă că aveți un contract de asistență adecvat pentru software-ul dvs. dedicat lucrului la distanță. Dacă aveți nevoie imediat de ajutor în caz de întrerupere sau alte probleme, este posibil ca un contract nedetaliat să nu fie suficient. Stabiliți cât de curând veți avea nevoie de ajutor și de ce tip de ajutor aveți nevoie. Verificați dacă aranjamentul pe care îl aveți cu vânzătorul vă satisface în continuare nevoile.
Pentru fiecare utilizator, urmăriți adresele IP de la care se conectează la rețeaua dvs. sau stabiliți o procedură care să le permită utilizatorilor să determine rapid adresa IP și să o transmită. În cazul în care apare o vulnerabilitate gravă în software-ul dvs. dedicat lucrului la distanță, veți putea menține software-ul online folosind un whitelist al adreselor IP. Acest lucru vă alocă mai mult timp pentru a stabili pașii următori.
Achiziționați capacitate suficientă! Majoritatea organizațiilor nu și-au construit inițial sistemele dedicate lucrului la distanță pentru a gestiona numărul mare de utilizatori cu care ne confruntăm în prezent. Luați în considerare dacă dimensiunea sistemelor dvs. corespunde în continuare utilizării curente, de exemplu în numărul de conturi, numărul de licențe sau lățimea de bandă de rețea necesară.
Luați măsuri anti-DDoS pe punctele de acces ale sistemelor dvs. de lucru la distanță. Un atac DDoS este ușor de efectuat. Dacă sistemele dvs. de lucru la distanță nu pot face față, acestea vor duce rapid la probleme de disponibilitate.
Stabiliți alternative pentru sistemele dvs. de lucru la distanță pentru a sprijini procesele critice!
Creați un al doilea punct de acces, bazat pe un software de la un furnizor diferit. Acest lucru funcționează în special pentru accesul bazat pe VPN, deoarece traficul de date nu se modifică în mod esențial, atunci când utilizați un VPN de la un furnizor diferit. De exemplu, este posibil să alegeți să oferiți deja angajaților care sunt implicați în procesele critice o conexiune prin acest al doilea punct de acces, făcând astfel schimbarea mai ușoară.
Unele aplicații pot fi disponibile direct pe internet, fără niciun portal sau VPN. Dacă alegeți această opțiune, țineți cont de faptul că aceste aplicații vor conține vulnerabilități și că un atacator le poate ataca mai ușor. Prin urmare, combinați această măsură cu un whitelist de adrese IP, dacă este posibil.
Creați mijloace pentru a efectua procese critice în birou, în echipe mici. Nu toate procesele critice sunt potrivite pentru a fi efectuate de un angajat care lucrează de acasă. Dacă solicitați angajaților să vină la birou, luați măsuri pentru atenuarea riscurilor de infecție cu COVID-19. Alcătuiți mai multe echipe care, dacă este necesar, pot prelua sarcini una pentru cealaltă. S-ar putea să doriți să proiectați deja programul pentru aceste echipe, pentru a vă asigura că angajații sunt disponibili în termen scurt. S-ar putea să alegeți să păstrați unii angajați în afara echipelor, ca rezervă. Asigurați separarea fizică între echipe! Luați măsurile de igienă necesare la birou, pentru a preveni infecția între colegi sau prin suprafețe.
Identificați riscurile serviciilor destinate utilizării personale și sfătuiți-vă angajații cu privire la utilizarea acestora. Este posibil să fiți în măsură să efectuați anumite procese trecând la resurse altenative. Exemple includ servicii populare de partajare a fișierelor și e-mail personal. Elaborați instrucțiuni clare privind utilizarea acestor resurse alternative.
Pregătiți aceste proceduri pentru momentul când sistemele dedicate lucrului la distanță nu mai sunt disponibile. De exemplu, unii angajați nu vor mai putea lucra. Instruiți-i să nu mai lucreze deloc, pentru a vă asigura că nu utilizează resurse IT&C personale pentru a continua munca. În instrucțiunile oferite, descrieți pașii necesari pentru a trece la resurse alternative. Nu uitați că unele mijloace de comunicare nu vor fi disponibile la momentul respectiv!
