Jsme v době, kdy jsou podniky digitálně vyspělejší než kdykoli předtím, a se zdokonalováním technologií se musí zdokonalovat i zabezpečení organizací. V opačném případě by mohlo dojít k nákladnému úniku dat, jak jsme toho byli svědky u mnoha podniků. Prostředí kybernetické kriminality se vyvinulo a aktéři hrozeb jdou po jakémkoli typu organizace, takže v zájmu ochrany dat, peněz a pověsti vaší firmy je nezbytné investovat do pokročilého bezpečnostního systému. Než však začnete vytvářet bezpečnostní program pro svou organizaci, je nezbytné, abyste porozuměli různým typům zabezpečení a tomu, jak všechny dohromady fungují.
Co je to zabezpečení informací?“
Zabezpečení informací (známé také jako InfoSec) zajišťuje ochranu fyzických i digitálních dat před neoprávněným přístupem, použitím, zveřejněním, narušením, modifikací, kontrolou, záznamem nebo zničením. Informační bezpečnost se od kybernetické bezpečnosti liší tím, že InfoSec má za cíl zajistit bezpečnost dat v jakékoli podobě, zatímco kybernetická bezpečnost chrání pouze digitální data. Pokud váš podnik začíná vytvářet bezpečnostní program, měl by nejprve začít s informační bezpečností, protože ta je základem pro zabezpečení dat.
Rámec řízení
Při vytváření programu informační bezpečnosti byste měli začít tím, že budete mít vytvořenou správnou strukturu řízení. Řízení je rámec vytvořený k zajištění souladu strategií zabezpečení s vašimi obchodními cíli a záměry. Governance překlenuje mezeru mezi obchodem a zabezpečením informací, takže tyto týmy mohou efektivně spolupracovat. Rámec také definuje role, povinnosti a odpovědnosti jednotlivých osob a zajišťuje, že splňujete požadavky na dodržování předpisů.
Triáda CIA
Když odborníci na zabezpečení informací vytvářejí zásady a postupy pro účinný program zabezpečení informací, používají jako vodítko triádu CIA (důvěrnost, integrita a dostupnost). Součásti triády CIA jsou:
- Důvěrnost: zajišťuje, aby informace nebyly přístupné neoprávněným osobám – nejčastěji se prosazuje pomocí šifrování – které je k dispozici v mnoha formách
- Integrita: chrání informace a systémy před změnou neoprávněnými osobami; zajišťuje přesnost a důvěryhodnost dat
- Dostupnost: Zajišťuje, že oprávněné osoby mají v případě potřeby přístup k informacím a že veškerý hardware a software jsou řádně udržovány a v případě potřeby aktualizovány
Triáda CIA se stala de facto standardním modelem pro zajištění bezpečnosti organizace. Tyto tři základní principy pomáhají vytvořit důkladnou sadu bezpečnostních kontrolních mechanismů pro zachování a ochranu vašich dat.
Co je to kybernetická bezpečnost?
Kybernetická bezpečnost, podmnožina zabezpečení informací, je praxe ochrany sítí, počítačů a dat vaší organizace před neoprávněným digitálním přístupem, útokem nebo poškozením pomocí implementace různých procesů, technologií a postupů. Vzhledem k nesčetným sofistikovaným aktérům hrozeb, kteří se zaměřují na všechny typy organizací, je velmi důležité, aby vaše IT infrastruktura byla neustále zabezpečena, abyste zabránili plnohodnotnému útoku na vaši síť a riziku odhalení dat a pověsti vaší společnosti.
Sociální inženýrství
Když se aktéři kybernetických hrozeb zaměří na vaši organizaci, zkoumají nejen vaši firmu, ale i vaše zaměstnance. Vědí, že zaměstnanci mimo oblast IT bezpečnosti nemají o kybernetických hrozbách takové povědomí, a proto provádějí kybernetické útoky, které využívají lidských zranitelností. Prostřednictvím procesu sociálního inženýrství manipulují aktéři hrozeb s lidmi tak, aby jim poskytli přístup k citlivým informacím. Mezi nejčastější útoky sociálního inženýrství patří:
- Phishing: obvykle ve formě e-mailů nebo chatů, kdy se aktéři hrozeb vydávají za skutečnou organizaci, aby získali osobní informace
- Pretexting: když se aktér hrozeb vydává za autoritu nebo někoho, komu by cíl snadno důvěřoval, aby získal jeho osobní informace
- Baiting: Když aktéři hrozeb zanechají zařízení infikované malwarem, například USB nebo CD, na místě, kde je může snadno najít někdo, kdo by pak infikované zařízení použil na svém počítači a omylem nainstaloval malware, čímž by aktérům hrozeb poskytl přístup do systému cíle
- Quid pro quo: když aktér hrozeb požaduje osobní údaje výměnou za nějakou formu odměny, tj.Tj. peníze, dárek nebo bezplatnou službu
Jako vedoucí pracovník podniku jste povinni budovat kulturu povědomí o bezpečnosti a vyplnit mezery ve znalostech a porozumění kybernetické bezpečnosti svého týmu. Je nezbytné, aby vaši zaměstnanci byli informováni o rizicích kybernetické bezpečnosti, takže bude méně pravděpodobné, že se zaměstnanec stane obětí útoku. Poskytněte svým zaměstnancům potřebné školení a technologie, které posílí lidský firewall vaší organizace a zmírní možnost kybernetického útoku.
Co je to síťová bezpečnost?
Síťová bezpečnost, podmnožina kybernetické bezpečnosti, má za cíl chránit veškerá data, která jsou odesílána prostřednictvím zařízení ve vaší síti, aby se zajistilo, že informace nebudou změněny nebo zachyceny. Úkolem zabezpečení sítě je chránit IT infrastrukturu organizace před všemi typy kybernetických hrozeb, včetně:
- Viry, červy a trojskými koni
- Útoky nulového dne
- Hackerské útoky
- Útoky na odepření služby
- Spyware a adware
Váš tým zabezpečení sítě implementuje hardware a software potřebný k ochraně vaší bezpečnostní architektury. Díky správnému zabezpečení sítě může váš systém odhalit vznikající hrozby dříve, než proniknou do vaší sítě a ohrozí vaše data.
Systém zabezpečení sítě obsahuje mnoho součástí, které spolupracují na zlepšení vašeho zabezpečení. Mezi nejběžnější součásti zabezpečení sítě patří:
- Firewall
- Antivirový software
- Systémy detekce a prevence narušení (IDS/IPS)
- Virtuální privátní sítě (VPN)
Pokud je zabezpečení vaší sítě narušeno, mělo by být vaší prioritou co nejrychleji dostat útočníky ven. Čím déle zůstanou ve vaší síti, tím více času mají na krádež vašich soukromých dat. Podle studie Ponemon Institute z roku 2013 Cost of Data Breach (Náklady na narušení bezpečnosti dat), s výjimkou katastrofických nebo mega narušení bezpečnosti dat, činí průměrné náklady na narušení bezpečnosti dat na jeden kompromitovaný záznam v USA 188 USD. Průměrné celkové náklady pro organizaci v USA jsou více než 5,4 milionu dolarů. Nejúčinnější metodou, jak snížit celkové náklady, je dostat útočníky ze sítě co nejdříve.