Πόσο ασφαλή είναι τα δεδομένα των εταιρειών στον κυβερνοχώρο;

Γράφει η Μαριάννα Τζίμα

Καθώς οι σύγχρονες επιχειρήσεις αξιοποιούν τον ψηφιακό κόσμο για να επεκταθούν, καλούνται ταυτόχρονα να αντιμετωπίσουν και τις συνεχώς μεταβαλλόμενες απειλές του κυβερνοχώρου. Για την ανάπτυξη τους, οι εταιρείες βασίζονται ιδιαίτερα στις υπηρεσίες cloud. Με τον όρο cloud εννοείται η τεχνολογία που παρέχει απομακρυσμένες υπηρεσίες στο διαδίκτυο για τη διαχείριση, την πρόσβαση και την αποθήκευση οποιασδήποτε μορφής πληροφορίας. Με απλά λόγια, τα όποια δεδομένα αποθηκεύονται διαδικτυακά και όχι τοπικά και οι χρήστες μπορούν να έχουν πρόσβαση σ’ αυτές τις πληροφορίες μόνο όταν είναι συνδεδεμένοι στο διαδίκτυο.  Η δυνατότητα που δίνεται στους εργαζόμενους να συνδέονται από οπουδήποτε και να διαχειρίζονται ευαίσθητα εταιρικά δεδομένα, θέτει τις εταιρείες αντιμέτωπες με τον κίνδυνο κακόβουλοι χρήστες να αποκτήσουν πρόσβαση στα δεδομένα αυτά και να τα υποκλέψουν για να τα χρησιμοποιήσουν προς όφελός τους.

Διαρροή Δεδομένων

Ένας βασικός κίνδυνος της ψηφιακής ανάπτυξης των επιχειρήσεων είναι ο κίνδυνος της απώλειας δεδομένων, ή αλλιώς η διαρροή δεδομένων. Είναι ευθύνη της επιχείρησης να διασφαλίσει την προστασία των δεδομένων των πελατών. Αυτό σημαίνει ότι οι χρήστες δεν έχουν τον πλήρη έλεγχο των προσωπικών τους αρχείων εφόσον η ασφάλεια αυτών είναι στα χέρια της υπηρεσίας. Αν η ασφάλεια της υπηρεσίας προσπελαστεί από τον οποιονδήποτε, τότε είναι πιθανό να αποκτήσει ταυτόχρονα πρόσβαση στα ευαίσθητα δεδομένα ή τα προσωπικά αρχεία οποιουδήποτε πελάτη της εταιρείας. Το cloud που χρησιμοποιεί μια επιχείρηση είναι σχεδιασμένο ώστε να μπορεί να χρησιμοποιηθεί εύκολα και να επιτρέπει την εύκολη κοινή χρήση δεδομένων, γεγονός που καθιστά δύσκολο για τους οργανισμούς να διασφαλίσουν ότι τα δεδομένα είναι προσβάσιμα μόνο από εξουσιοδοτημένα μέρη.

Μη εξουσιοδοτημένη πρόσβαση

Το χαρακτηριστικό των υπηρεσιών cloud είναι το ότι είναι άμεσα προσβάσιμες από το δημόσιο διαδίκτυο. Ενώ αυτό αποτελεί πλεονέκτημα για την προσβασιμότητα σε υπαλλήλους και πελάτες, διευκολύνει επίσης τους κακόβουλους χρήστες να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση. Η ακατάλληλη διαμόρφωση της ασφάλειας του οργανισμού μπορεί να επιτρέψει σε κάποιον τρίτο να αποκτήσει άμεση πρόσβαση, χωρίς ο ίδιος να το γνωρίζει.

Πειρατεία λογαριασμών (hijacking)

Οι κωδικοί πρόσβασης που χρησιμοποιούν αρκετοί εργαζόμενοι έχουν εξαιρετικά αδύναμη ασφάλεια, καθώς είτε χρησιμοποιούν μικρούς και εύκολους κωδικούς είτε επαναχρησιμοποιούν τον ίδιο κωδικό σε διαφορετικούς λογαριασμούς και υπηρεσίες. Αυτή η πρακτική διευκολύνει την πραγματοποίηση επιθέσεων phishing και παραβιάσεων δεδομένων, καθώς μπορεί και χρησιμοποιείται ένας και μόνο κλεμμένος κωδικός πρόσβασης σε πολλούς διαφορετικούς λογαριασμούς. Η πειρατεία λογαριασμών είναι ένα από τα πιο σοβαρά ζητήματα ασφάλειας. Ένας τρίτος με τα διαπιστευτήρια ενός υπαλλήλου μπορεί να έχει πρόσβαση σε ευαίσθητα δεδομένα ή λειτουργίες, με τα διακυβευμένα διαπιστευτήρια του πελάτη να δίνουν πλήρη έλεγχο στον ηλεκτρονικό λογαριασμό τους. Ο εντοπισμός τους, φυσικά, και η αντίδραση των παρόχων απέναντι σ’ αυτές τις απειλές δεν είναι μια εύκολη διαδικασία.

Επίθεση άρνησης υπηρεσιών (DoS, Denial of service attack)

Η άρνηση υπηρεσιών, είναι μια προσπάθεια να καταστεί ένας υπολογιστή ή ένα δίκτυο μη διαθέσιμο για τους προοριζόμενους χρήστες του. Αυτός ο τύπος επίθεσης συμβαίνει όταν το σύστημα δέχεται πάρα πολλή κίνηση. Οι περισσότερες επιθέσεις του DoS συμβαίνουν σε μεγάλους οργανισμούς, όπως ο τραπεζικός τομέας, ο κυβερνητικός τομέας, κλπ. Όταν συμβεί μια επίθεση DoS, τα δεδομένα χάνονται. Προκειμένου να ανακτηθούν τα στοιχεία, απαιτείται ένα μεγάλο χρηματικό ποσό αλλά και χρόνος.

Για την αποτελεσματική προστασία των δεδομένων αλλά και του ίδιου του δικτύου της επιχείρησης από ψηφιακές απειλές απαιτείται η εφαρμογή ενός συνόλου διαδικασιών. Οι επιχειρήσεις χρειάζεται να γνωρίζουν τον τρόπο με τον οποίο συνέβη μια παραβίαση, ποια μέτρα κυβερνοπροστασίας που εφαρμόζουν, απέτυχαν, αλλά και ποια δεδομένα διακυβεύθηκαν. Απαιτείται, με άλλα λόγια, η ύπαρξη ενός ενοποιημένου πλάνου ώστε να περιοριστεί ο κίνδυνος να βρεθούν ευάλωτες απέναντι σ’ ένα οποιοδήποτε κενό ασφαλείας.

Το πρώτο μέτρο που οι επιχειρήσεις καλούνται να λάβουν αφορά την ασφάλεια των συστημάτων τους. Πιο αναλυτικά, οι επιχειρήσεις οφείλουν να ελέγχουν τακτικά τη λειτουργία των υπηρεσιών τους, μέσω της προληπτικής παρακολούθησης. Η προληπτική παρακολούθηση αναφέρεται στην συνεχή προσπάθεια εντοπισμού πιθανών προβλημάτων πριν αυτά δημιουργήσουν σημαντικές προκλήσεις για την επιχείρησή. Δεδομένου ότι η προληπτική παρακολούθηση προβλέπει τα προβλήματα, μπορούν τα ζητήματα αυτά να αντιμετωπιστούν πριν «να πέσει» μια εφαρμογή ή να υποβαθμιστούν οι επιδόσεις της.

Το δεύτερο που χρειάζεται είναι η επαγρύπνηση για την συνολική ασφάλεια του δικτύου της επιχείρησης. Προτείνεται η εγκατάσταση ενός έγκριτου Internet Security για την αποτροπή, την ανίχνευση και τη διαγραφή απειλών αλλά και την συνεχή ενημέρωση του λειτουργικού συστήματος ώστε να εγκαθίστανται οι τελευταίες ενημερώσεις ασφαλείας. Καλό είναι να προτιμώνται τα προγράμματα Internet Security που ενσωματώνουν και τη λειτουργία VPN, η οποία θα επιτρέπει την ασφαλή πρόσβαση των εργαζομένων στο διαδίκτυο από οπουδήποτε. Το VPN είναι ένα εργαλείο που δημιουργεί μια ασφαλή «δίοδο» ανάμεσα στη συσκευή και τον πάροχο VPN, με άλλα λόγια αποκρύπτει τη διεύθυνση IP του χρήστη, προστατεύοντας την ταυτότητα και την τοποθεσία του.

Τέλος, προτού χρησιμοποιηθεί η υπηρεσία Cloud μιας εταιρείας καλό είναι να υπάρχει γνώση για τον κώδικα κρυπτογραφίας δεδομένων που χρησιμοποιούν, για τα λογισμικά ασφάλειας τους, για το ιστορικό περιστατικών παραβίασης δεδομένων, όπως και για τα μέτρα αντιμετώπισης που εφάρμοσαν σε παρελθόντα συμβάντα. Η ίδια η επιχείρηση οφείλει να αξιοποιεί τις πολιτικές backup για όλα τα ευαίσθητα δεδομένα που χειρίζεται, να κρυπτογραφεί πληροφορίες και να χρησιμοποιεί έλεγχο ταυτότητας πολλαπλών παραγόντων για την αποφυγή παροχής πρόσβασης σε ανεπιθύμητους χρήστες.

Κατά τα τελευταία τρία χρόνια ο αριθμός των απειλών στον κυβερνοχώρο έχει αυξηθεί κατά 63%, με τους κακόβουλους χρήστες να αναπτύσσουν νέες μεθόδους αποφυγής εντοπισμού. Επομένως, η ανάγκη ύπαρξης μιας ολοκληρωμένης στρατηγικής για την αποτελεσματική αντιμετώπιση και προστασία των δεδομένων από κάθε είδος ψηφιακού κινδύνου, είναι σαφής.

Πηγές:
https://www.grant-thornton.gr/insights/article/digital-risk-article-2/

https://synectics.gr/ασφάλεια-στον-κυβερνοχώρο/