W wielu firmach bezpieczeństwo IT sprawdza się dopiero wtedy, kiedy coś przestaje działać. Pojawia się incydent, ktoś traci dostęp do systemu, serwer zaczyna wysyłać dziwny ruch do internetu albo pracownik klika w phishing. Wtedy zaczyna się nerwowe sprawdzanie: co mamy, jak to jest skonfigurowane i gdzie właściwie są nasze dane.
Problem polega na tym, że infrastruktura IT zmienia się dużo szybciej niż świadomość zarządu czy procedury bezpieczeństwa. Nowy system, nowa aplikacja, ktoś postawił serwer w chmurze, ktoś inny otworzył port na firewallu, bo „na chwilę był potrzebny dostęp”.
Po kilku latach w firmie powstaje środowisko, którego nikt już w całości nie kontroluje. I właśnie dlatego regularny przegląd bezpieczeństwa IT powinien być traktowany tak samo jak audyt finansowy czy przegląd instalacji przeciwpożarowej. Po prostu robi się go co roku.
Cyberzagrożenia zmieniają się dynamicznie
To, co było bezpieczne trzy lata temu, dziś może być poważnym problemem.
Wystarczy spojrzeć na tempo pojawiania się nowych podatności. Co kilka tygodni wychodzą krytyczne luki w popularnych systemach, urządzeniach sieciowych czy aplikacjach biznesowych. W wielu firmach aktualizacje są robione, ale nikt nie sprawdza czy wszystko faktycznie zostało załatane.
Kilka razy w życiu widziałem sytuację, w której firma była przekonana, że wszystko jest aktualne. Dopiero podczas przeglądu wychodziło na jaw, że na serwerze działa stara usługa, która od dwóch lat nie była aktualizowana. Albo firewall ma reguły sprzed pięciu lat, które dawno przestały mieć sens.
Do tego dochodzą zmiany w sposobach ataków. Ransomware, ataki na VPN, phishing podszywający się pod dostawców usług czy przejmowanie kont Microsoft 365. To nie są scenariusze z raportów bezpieczeństwa, tylko codzienność działów IT.
Dlatego infrastruktura powinna być okresowo sprawdzana przez kogoś, kto patrzy na nią świeżym okiem.
IT rośnie szybciej niż procedury
Drugi problem w firmach jest bardzo prosty. IT rozwija się szybciej niż dokumentacja i procedury.
Na początku jest jeden serwer i kilka komputerów. Po kilku latach dochodzi chmura, backup w innym centrum danych, system CRM, platforma księgowa, VPN dla pracowników zdalnych i kilka integracji między systemami.
Technicznie wszystko działa. Tylko że nikt nie sprawdza czy konfiguracja tych systemów nadal jest sensowna z punktu widzenia bezpieczeństwa.
Podczas przeglądów bardzo często wychodzą rzeczy, które powstały z dobrych intencji, ale z czasem zaczęły być problemem. Przykładowo:
- konto administracyjne, które od lat ma to samo hasło
- dostępy do systemów dla pracowników, którzy już nie pracują w firmie
- serwer testowy dostępny z internetu
- backupy, których nikt nigdy nie próbował odtworzyć
Z zewnątrz firma wygląda jak dobrze działająca organizacja. W środku infrastruktura jest zlepkiem kolejnych wdrożeń z ostatnich lat.
Regularny przegląd bezpieczeństwa pozwala to uporządkować.
Koszt przeglądu vs koszt incydentu
Czasami zarząd pyta, czy taki przegląd jest w ogóle potrzebny. Wtedy najprościej jest spojrzeć na to z czysto biznesowej strony.
Koszt jednorazowego przeglądu bezpieczeństwa infrastruktury IT jest stosunkowo niewielki w porównaniu z kosztem incydentu.
Jeżeli firma zostanie zaatakowana przez ransomware, konsekwencje są bardzo konkretne. Przestój pracy, brak dostępu do danych, konieczność odbudowy systemów, często również komunikacja z klientami czy organami nadzorczymi.
Miałem sytuację w firmie produkcyjnej, gdzie zaszyfrowany został serwer plików z dokumentacją projektową. Odtwarzanie danych trwało kilka dni. W tym czasie część zespołu po prostu nie mogła pracować.
Koszt takiego przestoju był wielokrotnie większy niż koszt przeglądu infrastruktury, który mógł wcześniej wskazać słabe punkty.
Model cyklicznej kontroli
Najlepsze podejście do bezpieczeństwa IT w firmach, które nie mają dużych zespołów security, to prosty model cyklicznej kontroli.
Raz w roku robi się kompleksowy przegląd infrastruktury. Sprawdza się konfigurację serwerów, systemów, firewalli, kont użytkowników i kopii zapasowych. Analizuje się też ekspozycję usług w internecie oraz sposób zarządzania dostępami.
Taki przegląd pozwala odpowiedzieć na kilka bardzo konkretnych pytań:
- czy infrastruktura jest aktualna
- czy dostęp do systemów mają właściwe osoby
- czy dane są odpowiednio chronione
- czy backup faktycznie działa
Na podstawie wyników przygotowuje się raport i plan działań na kolejne miesiące.
Dla wielu firm to wystarczy, żeby utrzymać środowisko IT w sensownym stanie bezpieczeństwa. Bez wielkich projektów i bez rozbudowanych struktur security.
Czasem wystarczy ktoś z zewnątrz, kto przejrzy całość i powie wprost: tu jest problem, tu trzeba coś poprawić, a to działa dobrze.
Chcesz sprawdzić, w jakim stanie jest bezpieczeństwo IT w Twojej firmie?
Przeprowadzamy przegląd infrastruktury IT, który pozwala wykryć błędy konfiguracyjne, słabe punkty w zabezpieczeniach oraz problemy z dostępami i kopiami zapasowymi.
Umów rozmowę i zobacz, jak wygląda taki przegląd w praktyce.
Odezwij się do nas!
