Mennyire célpont egy vállalkozás kibertámadás esetén?

A legtöbb cégvezető úgy gondolja, hogy a kibertámadások elsősorban a nagyvállalatokat érintik. Azokat a cégeket, amelyek több ezer alkalmazottal működnek, ismert márkákat képviselnek, vagy jelentős árbevételt termelnek.

A valóság azonban egészen más.

A kibertámadások jelentős része ma már automatizált. A támadók nem azt vizsgálják, hogy hány ember dolgozik egy vállalkozásnál, hanem azt, hogy hol találnak könnyen kihasználható sérülékenységet.

Ezért a kérdés nem az, hogy egy vállalkozás túl kicsi-e ahhoz, hogy célpont legyen.

A kérdés az, hogy mennyire könnyű bejutni a rendszereibe.

Sok cégvezető még mindig úgy gondolkodik:

"Nálunk nincsenek milliós adatbázisok vagy titkos fejlesztések, minket nem érdemes támadni."

A támadók többsége azonban nem konkrét cégeket keres.

Automatizált rendszerekkel pásztázzák az internetet, és keresik:

• a nem frissített szervereket,
• a hibás tűzfalbeállításokat,
• a gyenge jelszavakat,
• a nyitott távoli hozzáféréseket,
• a hiányos védelemmel rendelkező végpontokat.

Számukra egy kisebb vállalkozás gyakran vonzóbb célpont, mint egy multinacionális cég.

Egyszerűen azért, mert általában kisebb az ellenállás.

Nem a cég mérete számít, hanem a leállás költsége

A kibertámadások többsége ma már üzleti modellként működik.

A támadók azt vizsgálják, hogy egy vállalkozás számára mennyire fájdalmas a működés leállása.

Egy gyártócégnél leállhat a termelés.

Egy kereskedelmi vállalkozásnál megbénulhat a számlázás és a készletkezelés.

Egy szolgáltató cégnél elérhetetlenné válhatnak az ügyféladatok, szerződések vagy projektállományok.

Minél nagyobb a kiesés költsége, annál nagyobb az esélye annak, hogy a vállalkozás hajlandó lesz fizetni a helyreállítás érdekében.

Éppen ezért a támadók számára nem az árbevétel az elsődleges szempont.

Hanem a működési függőség.

Tapasztalataink szerint a legnagyobb kockázat nem feltétlenül a technológiából ered.

Sokkal inkább abból, amikor az informatika évek alatt fokozatosan épült fel, de közben nem alakult ki egységes rendszer.

Tipikus helyzet, amikor:

• több különböző szolgáltató dolgozott a rendszeren,
• nincs naprakész dokumentáció,
• a jogosultságkezelés átláthatatlan,
• a mentések működése nem ellenőrzött,
• a hálózatvédelem több különálló elemből áll.

Különösen gyakori ez a gyorsan növekvő KKV-knál.

Az üzlet fejlődik, új munkatársak érkeznek, új telephely nyílik, megjelennek a felhős szolgáltatások, miközben az informatikai háttér nem fejlődik ugyanilyen ütemben.

A legtöbb incidens mögött nem kifinomult hekkertámadás áll.

Sokkal gyakrabban találkozunk olyan problémákkal, mint:

• elavult operációs rendszerek,
• hiányzó többfaktoros azonosítás,
• közösen használt felhasználói fiókok,
• nem megfelelő tűzfal-konfiguráció,
• ellenőrizetlen mentések,
• hiányzó naplófigyelés.

Ezek önmagukban talán jelentéktelennek tűnnek.

Egy támadó azonban pontosan ezeket keresi.

Egyetlen gyenge pont gyakran elegendő ahhoz, hogy hozzáférést szerezzen a teljes rendszerhez.

A tűzfal önmagában nem jelent védelmet

Sok vállalkozás megnyugszik attól, hogy van tűzfala.

A probléma az, hogy a kibervédelem nem egyetlen eszközön múlik.

Egy rosszul konfigurált tűzfal gyakran csak a biztonság illúzióját adja.

A valódi védelemhez szükség van:

• megfelelő hálózati szegmentációra,
• végpontvédelemre,
• jogosultságkezelésre,
• naplózásra,
• rendszeres frissítésre,
• mentési stratégiára,
• folyamatos felügyeletre.

Ha ezek közül bármelyik hiányzik, a támadó általában talál kerülőutat.

A kibertámadások következménye ma már nem csak informatikai probléma.

Azoknál a vállalkozásoknál, amelyeknek megfelelőségi kötelezettségeik vannak, egy incidens jogi és üzleti következményekkel is járhat.

Különösen igaz ez:

• a NIS2 hatálya alá tartozó szervezetekre,
• a beszállítói láncok szereplőire,
• az érzékeny adatokat kezelő vállalkozásokra,
• a GDPR szempontjából kiemelt adatkezelőkre.

Egy incidens után nem elegendő azt igazolni, hogy megtörtént a helyreállítás.

Azt is bizonyítani kell, hogy a vállalkozás megfelelő védelmi intézkedéseket alkalmazott.

Érdemes elgondolkodni, ha az alábbi kérdések közül bármelyikre nem tud egyértelmű választ adni:

• Hol találhatók a vállalat adatai?
• Milyen mentések készülnek?
• Mikor történt utoljára visszaállítási teszt?
• Ki fér hozzá a kritikus rendszerekhez?
• Milyen tűzfal védi a hálózatot?
• Ki figyeli a biztonsági eseményeket?
• Mi történik egy kibertámadás esetén?

Ha ezekre nincs pontos válasz, akkor valószínűleg nem a biztonság szintje ismert, hanem csak feltételezett.