Leto je obdobím, keď sa pracovný režim vo väčšine firiem prirodzene mení. Zamestnanci čerpajú dovolenky, tímy fungujú v obmedzenom zložení a množstvo procesov zabezpečujú kolegovia v zastúpení. K tomu sa pridáva práca na diaľku, vybavovanie e-mailov z ciest či pripájanie sa k firemným systémom z miest, ktoré nie sú bežným pracovným prostredím. Práve tieto zmeny vytvárajú podmienky, ktoré kybernetickí útočníci veľmi dobre poznajú a dokážu ich využiť vo svoj prospech.
Keď rutina prestáva fungovať
Väčšina bezpečnostných incidentov nevzniká preto, že by útočníci objavili novú technológiu. Oveľa častejšie využívajú situácie, keď ľudia konajú inak ako zvyčajne. Počas leta sa menia pracovné návyky. Zamestnanci pracujú z hotelov, letísk či kaviarní, komunikujú viac cez mobilné zariadenia a mnohé úlohy riešia narýchlo medzi cestovaním. Vo firmách sa zároveň objavujú dočasné zmeny kompetencií, schvaľovacích procesov alebo prístupových práv. To, čo je z pohľadu organizácie bežnou súčasťou dovolenkového obdobia, môže predstavovať príležitosť pre kybernetických útočníkov.
Firemné zariadenia mimo kancelárie znamenajú vyššie riziko
Hybridná práca je dnes štandardom, no počas leta sa ešte viac rozširuje. Notebook alebo služobný telefón sprevádza zamestnanca prakticky všade. Rizikom nie je samotná práca mimo kancelárie, ale prostredie, v ktorom prebieha. Verejné Wi-Fi siete, zariadenia ponechané bez dozoru, nepravidelné aktualizácie alebo prihlasovanie z neznámych lokalít môžu výrazne zvýšiť pravdepodobnosť bezpečnostného incidentu.
Často pritom stačí jediná chyba – otvorenie podvodnej prílohy, prihlásenie cez nezabezpečenú sieť alebo strata pracovného zariadenia. Situácie, ktoré by počas bežného pracovného dňa zamestnanec vyhodnotil opatrnejšie, môžu počas dovolenky pôsobiť úplne neškodne.
Letné phishingové kampane využívajú cestovanie
Phishing patrí medzi najčastejšie formy kybernetických útokov a útočníci svoje kampane pravidelne prispôsobujú aktuálnemu obdobiu. Počas dovolenkovej sezóny sa preto objavujú e-maily, ktoré sa tvária ako potvrdenia rezervácií, upozornenia na zmenu letu, informácie o batožine či výzvy na doplatenie ubytovania alebo cestovného poistenia. Takéto správy nepôsobia podozrivo práve preto, že nadväzujú na situácie, ktoré ľudia v danom období reálne riešia. Moderný phishing navyše často neobsahuje gramatické chyby ani očividné varovné signály. Spolieha sa najmä na dôveryhodný vzhľad, aktuálny kontext a vytváranie časového tlaku. Kombinácia týchto faktorov vedie k tomu, že používateľ klikne skôr, ako si overí pravosť správy.
Dovolenky manažérov zvyšujú riziko podvodných platieb
Počas leta sa častejšie objavujú aj útoky zamerané na finančné oddelenia. Útočníci využívajú skutočnosť, že vedúci pracovníci alebo konatelia bývajú mimo kancelárie, a posielajú podvodné e-maily vydávajúce sa za ich pokyny. Najčastejšie ide o žiadosti o urgentnú úhradu faktúry alebo zmenu bankových údajov dodávateľa. Ak firma nemá nastavený proces overovania takýchto požiadaviek, môže dôjsť k finančným stratám ešte skôr, ako sa podvod odhalí.
Každá mimoriadna platba alebo zmena platobných údajov by preto mala byť potvrdená aj prostredníctvom druhého komunikačného kanála, napríklad telefonicky alebo internou komunikačnou platformou.
Zastupovanie zamestnancov nesmie znamenať zdieľanie hesiel
Jednou z najčastejších chýb počas dovolenkovej sezóny je riešenie zastupovania neformálnym spôsobom. Ak niekto potrebuje prístup do systému len na niekoľko dní, jednoduchým riešením sa môže zdať poskytnutie prihlasovacích údajov kolegovi. Takýto postup však výrazne znižuje úroveň bezpečnosti a zároveň komplikuje evidenciu vykonaných operácií. Správnym riešením je prideľovanie dočasných oprávnení s presne definovanou platnosťou. Firma tak zachová kontrolu nad prístupmi a po návrate zamestnancov môže všetky výnimky jednoducho zrušiť.
Technológie pomáhajú udržať bezpečnosť aj mimo kancelárie
Ani tie najlepšie interné pravidlá nedokážu úplne eliminovať riziko ľudskej chyby. Práve preto zohrávajú významnú úlohu moderné bezpečnostné riešenia. Platformy na správu koncových zariadení umožňujú monitorovať ich stav, vynucovať bezpečnostné politiky, odhaľovať podozrivé aktivity a reagovať na incidenty bez ohľadu na to, kde sa zariadenie nachádza. Ak firma využíva viacfaktorové overovanie, šifrovanie dát alebo centrálne riadenú ochranu pracovných staníc, dokáže výrazne obmedziť následky prípadnej straty zariadenia alebo kompromitácie používateľského účtu.
Technológia síce nenahrádza zodpovedné správanie zamestnancov, ale predstavuje dôležitú bezpečnostnú vrstvu, ktorá pomáha minimalizovať dôsledky neúmyselných chýb.
Prevencia je jednoduchšia ako riešenie incidentu
Najlepším obdobím na prípravu nie je čas, keď je polovica tímu už na dovolenke, ale ešte pred začiatkom letnej sezóny. Firmy by si mali skontrolovať nastavenie prístupových práv, pripraviť pravidlá zastupovania, preveriť spôsob schvaľovania platieb a zamestnancom pripomenúť základné zásady bezpečnej práce mimo kancelárie.
Krátke praktické odporúčania bývajú často účinnejšie ako rozsiahle interné smernice, ku ktorým sa počas pracovného dňa málokto vracia.
Pred dovolenkovou sezónou odporúčame overiť najmä tieto oblasti:
- aktualizácie pracovných zariadení,
- zapnuté viacfaktorové overovanie,
- správne nastavené zastupovanie zamestnancov,
- prideľovanie dočasných oprávnení namiesto zdieľania hesiel,
- postup pri strate notebooku alebo mobilného zariadenia,
- dvojité overovanie mimoriadnych platieb a zmien bankových údajov,
- informovanosť zamestnancov o aktuálnych phishingových kampaniach.
Leto má byť obdobím oddychu. Aby ním bolo aj pre firemné IT, oplatí sa pripraviť na situácie, ktoré dovolenková sezóna prirodzene prináša. Dobre nastavené procesy, pravidelné vzdelávanie zamestnancov a spoľahlivé bezpečnostné riešenia pomáhajú zabezpečiť, že aj počas obdobia dovoleniek zostanú firemné dáta aj systémy pod kontrolou.