COVID-19 zagraża także danym

Adam Wódz

25 marca 2020 r.

Jesteśmy obecnie świadkami zmian na świecie, które mogły być parę miesięcy temu przewidywane jedynie w bardzo dogłębnych analizach ryzyka i to z niewysokim prawdopodobieństwem. Musimy jednak stawić im czoła, nie tylko troszcząc się o nasze zdrowie, ale także myśląc o zabezpieczeniu ciągłości działania przedsiębiorstw teraz i w przyszłości. Czy zdajemy sobie w pełni sprawę z zagrożeń, jakie powoduje ta  globalna epidemia?

Wyzwania dla przedsiębiorstw

Najważniejszym zadaniem dla zarządów firm jest teraz realne oszacowanie ryzyk związanych z zabezpieczeniem życia i zdrowia pracowników, zmianą reguł funkcjonowania w czasie kryzysu oraz utrzymaniem ciągłości biznesu do czasu ustabilizowania sytuacji.  Biorąc pod uwagę jedynie aspekty związane z bezpieczeństwem systemów informacyjnych, należy uwzględnić przynajmniej kilka podstawowych problemów:

Zabezpieczenie ludzi

Trzeba pamiętać o tym, że infekcja wirusem COVID-19 może zakończyć się śmiercią i nie można tego lekceważyć. Należy wprowadzić wszelkie możliwe środki ograniczające bezpośrednie kontakty pomiędzy pracownikami, w tym także – a może nawet zwłaszcza – administratorami kluczowych systemów informatycznych. Nawet jeśli mogą oni pracować zdalnie, to trzeba uwzględnić konieczność ewentualnego fizycznego dostępu np. do serwerowni w przypadku wystąpienia awarii. Najlepszym rozwiązaniem jest stworzenie kilku rotacyjnie działających zespołów, które nie będą się bezpośrednio spotykać. Pozwoli to z jednej strony ograniczyć ewentualne rozprzestrzenianie się infekcji, a z drugiej zabezpieczy przynajmniej część kadry w sytuacji, gdy z powodu zachorowania jednej osoby cały współpracujący z nią zespół będzie objęty kwarantanną. Bardzo ważne jest też odpowiednie przygotowanie pracowników do nowych warunków pracy, a przede wszystkim uświadomienie im ryzyk z tym związanych i wynikającego z nich ciężaru odpowiedzialności za ścisłe stosowanie się do ustalonych procedur.

Zabezpieczenie wiedzy

Nie wystarczy zadbać jedynie o zdrowie pracowników – trzeba też odpowiednio zabezpieczyć ich wiedzę. Należy zweryfikować, czy niezbędne informacje o funkcjonowaniu kluczowych systemów są znane przynajmniej kilku osobom. Dobre praktyki nakazują spisać niezbędną wiedzę i zabezpieczyć ją w postaci dokumentacji, procedur i instrukcji. Szczególną uwagę trzeba zwrócić na dane dostępowe pozwalające na administrowanie systemami i bezpiecznie je zdeponować, np. fizycznie w postaci zabezpieczonej koperty przechowywanej w sejfie zarządu.

Zabezpieczenie sprzętu

Sprzęt IT, który dotychczas wykorzystywany był do obsługi sieci wewnętrznej, będzie musiał sprostać teraz wymaganiom zmasowanych połączeń z siecią publiczną. Może to oznaczać zwiększoną częstotliwość występowania awarii, a w ostateczności także uszkodzenie takiego sprzętu. Należy zatem zweryfikować stany magazynowe urządzeń i części zamiennych oraz określić, które z urządzeń są kluczowe dla funkcjonowania biznesu. Na podstawie takiej analizy trzeba opracować plan działania w przypadku awarii któregoś z nich, przy czym najlepiej byłoby posiadać takie urządzenie lub jego zamiennik już teraz w zapasie. Należy bowiem uwzględnić fakt, że w związku ze światową epidemią serwisy oraz łańcuchy dostaw mogą nie funkcjonować.

Dodatkowe problemy

W planowaniu działania na czas kryzysu warto też uwzględnić wzmożone występowanie dodatkowych problemów. Już teraz możemy np. obserwować przeciążenie dostępu do sieci, co może skutkować błędami przy synchronizacji danych lub też uniemożliwić efektywną pracę zdalną. Kolejnymi problemami mogą być spadki napięcia i przeciążenie sieci energetycznej, co z kolei może zagrażać infrastrukturze IT w siedzibie firmy. Należy też przygotować się do potencjalnych awarii sprzętu służbowego powierzonego pracownikom, którzy mogą z niego korzystać także z miejsc znacznie oddalonych od siedziby firmy. W każdym z takich przypadków należy zabezpieczyć przede wszystkim zdrowie pracowników i serwisantów.

Ryzyko dla danych

Czas epidemii to zagrożenie nie tylko dla zdrowia osób, ale także dla danych firmowych. Firmy są zmuszone do otwierania swoich wewnętrznych systemów na świat, aby umożliwić pracownikom dostęp do danych z sieci publicznych. Zwiększa się tym samym wielokrotnie ryzyko ataku na systemy informatyczne.
W związku z pilnymi potrzebami większość działań administratorów IT wykonywanych jest w pośpiechu, przy czym najczęściej liczy się w nich szybki efekt, a nie względy bezpieczeństwa. W takiej sytuacji bardzo łatwo o błędy w konfiguracji urządzeń i systemów lub „chodzenie na skróty” z pominięciem czasami nawet podstawowych zasad bezpieczeństwa. Utrzymywanie domyślnych kont serwisowych, stosowanie takich samych prostych haseł do wielu systemów czy otwieranie „tylnego wejścia” do systemu z zewnątrz to tylko podstawowe z błędów, na które liczą hackerzy. Presja czasu przy konfigurowaniu sprzętu np. dla pracowników zdalnych, może przekładać się też na brak aktualizacji systemu operacyjnego czy kluczowych komponentów bezpieczeństwa poszczególnych systemów i aplikacji. Żeby ułatwić sobie zdalne rozwiązywanie problemów, pracownicy IT mogą wpaść też na pomysł pozostawienia pracownikom zdalnym uprawnień administratora lokalnego, co może przyczynić się z kolei do niekontrolowanego instalowania niepożądanych aplikacji czy wyłączania zabezpieczeń antywirusowych. A wszystko to może powodować, że tak działający system będzie stanowił łatwy łup dla hackera czy wirusa (i nie mówimy tu akurat o COVID-19).

Zasadniczo zmienia się także otoczenie sieciowe, z którym muszą zetknąć się systemy firmowe. To, co dotychczas było siecią wewnętrzną, zostało nagle połączone z wieloma nieznanymi sieciami domowymi. A mogą to być także otwarte sieci publiczne czy też sieci współdzielone z całym osiedlem, na którym mieszka dany pracownik. Należy dobrze rozważyć takie ryzyko i najlepiej wyposażyć pracowników w niezależne, kontrolowane przez firmę urządzenia dostępowe lub smartfony bądź karty SIM umożliwiające dostęp do internetu bez limitów.
Pracownicy zdalni będą mieli zapewne zwiększoną pokusę do wykonywania działań niekoniecznie związanych z pracą. Zwłaszcza w sytuacji, gdy z braku innych możliwości będą pracowali na swoim sprzęcie prywatnym, co już samo w sobie nie wiąże się ze skutecznym zapewnieniem bezpieczeństwa dla danych firmowych. Należy zatem przygotować odpowiednie procedury i zalecenia oraz zadbać o to, żeby były one egzekwowane.

 
Sama konieczność przebywania w domach przez dłuższy czas może skutkować zwiększoną liczbą ataków na sieci przez domorosłych hackerów. Znudzona brakiem innych rozrywek młodzież może bowiem „eksperymentować” i weryfikować swoje umiejętności, przy czym cele takich ataków mogą być całkowicie przypadkowe. Zagrożone są zatem sieci bezprzewodowe pracowników lub te współdzielone z wieloma użytkownikami. Ale ataki mogą dotykać także bezpośrednio infrastrukturę firmową, zwłaszcza w sytuacji, gdy hackerzy będą liczyli na fakt, że uwaga administratorów będzie skupiona na utrzymaniu funkcjonowania systemów, a nie na analizie zapisów z systemów bezpieczeństwa. Szczególnie, że w natłoku ruchu przychodzącego do firmy ciężko będzie wskazać czy konkretny adres należy do pracownika, czy też osoby nieupoważnionej. Trzeba zatem i na takie zagrożenia się przygotować.

Raj dla oszustów

Każda zmiana w naszym codziennym działaniu, a szczególnie tak duża jak światowa epidemia i wynikające z niej ograniczenia oraz nowe regulacje, niesie za sobą także wzmożone działania różnego rodzaju przestępców, oszustów i naciągaczy. Wykorzystują oni efekt strachu przed nieznanym zagrożeniem i braki w odpowiednim poziomie komunikacji o podjętych przez państwo działaniach do intensywnego wykorzystywania sztuczek socjotechnicznych.

Firmy powinny szczególnie wyczulić swoich pracowników na tego typu ataki. Mogą one być przeprowadzane nie tylko za pośrednictwem maila, ale także telefonicznie. W przykładowym scenariuszu ataku ktoś w rozmowie telefonicznej poda się za pracownika wsparcia technicznego i w trosce o rzekome zaktualizowanie systemu bezpieczeństwa poprosi swoją ofiarę o zaakceptowanie krótkiego zdalnego połączenia z laptopem firmowym. Pracownik powinien znać i stosować procedury weryfikowania tego typu działań, aby nie stać się łatwym celem i nie stworzyć swoim nierozsądnym postępowaniem ryzyka dla całej infrastruktury firmowej.
W obecnej sytuacji ataki mogą być nakierowane także na prywatne potrzeby pracownika. Takim scenariuszem może być np. próba wyłudzenia danych uwierzytelniających czy nawet dotyczących kart płatniczych pod przykrywką nowego sklepu spożywczego on-line z dostawami do domu jeszcze dzisiaj (podczas gdy „konkurencja” dostarczy zakupy dopiero za 2 tygodnie) lub też specjalnie przygotowana fałszywa aplikacja internetowa, za pomocą której można uzyskać szybką zapomogę od rządu na czas kryzysu, przy czym najlepiej zrobić to szybko, bo potem dłużej się będzie czekało na wypłatę.

Aby uniknąć całej gamy problemów, od dysków zaszyfrowanych przez ransomware, przez przejęcie kontroli nad komputerem pracownika, aż do wniknięcia atakujących do infrastruktury firmowej, zdecydowanie lepiej jest odpowiednio przygotować pracownika na ewentualne ataki.

Firmy, które skutecznie przeprowadzą analizę ryzyk związanych z epidemią COVID-19, po czym przejdą proces pomyślnego wdrożenia niezbędnych działań, będą mogły z większym spokojem oczekiwać powrotu do „normalności”, choć nikt niestety jeszcze nie wie, jak długi to będzie czas.