Măsuri de securitate IT pentru firme

De unde să încep cu securitatea IT? Primesc des această întrebare, iar recomandarea mea este implementarea unui standard de securitate.

Există standardele de securitate NIST SP 800-53 și ISO 27000 care sunt mature și validate ca fiind fiabile, dar pentru companiile mai mici, pot fi mai dificil și costisitor de implementat. Pentru a veni în ajutorul acestora, sub auspiciile guvernului britanic a fost creat și publicat în iunie 2014 un standard mai puțin sofisticat, care implică costuri mai reduse în implementare, denumit Cyber Essentials.

Acesta este conceput să ofere un set minim de măsuri de securitate cibernetică, accesibile și ușor de implementat. El a fost dezvoltat în ideea unor atacuri din afara organizației, considerându-se că interiorul organizației este sigur. Scopul securizării este format din servere, PC-uri, tablete și smartphone-uri, precum și serviciile conectate la Internet: e-mail și aplicații web.

1. Echipamente de rețea – Firewall-uri și Internet gateways

Acest element se concentrează pe protejarea infrastructurii IT de atacurile externe. Constituie zidul de apărare împotriva unui atac venit din exteriorul organizației.

Factori de control:

1.1 Parolele conturilor administrative ale acestor echipamente de rețea trebuie schimbate, pentru a nu fi cele implicite stabilite de către producător.

1.2 Regulile firewall-urilor trebuie documentate și autorizate.

1.3 Ca regulă generală, blocarea oricărei conexiuni care nu este autentificată.

1.4 Echipamentele trebuie să aibă blocate toate serviciile nefolosite, iar interfața administrativă trebuie să poată fi accesată doar din interiorul organizației și este protejată de un al doilea factor de autentificare multi-factor.

2. Configurare sigură

Aceasta presupune efectuarea tuturor setărilor necesare pentru creșterea gradului de securitate a echipamentelor IT.

Factori de control:

2.1 Ștergerea conturilor care nu sunt necesare/utilizate.

2.2 Ștergerea conturilor implicite.

2.3 Schimbarea parolelor implicite.

2.4 Ștergerea sau dezactivarea oricăror aplicații sau servicii care nu sunt necesare.

2.5 Instalarea/Activarea pe toate PC-urile a unor firewall-uri software.

3. Controlul accesului utilizatorilor

Se referă la gestionarea și limitarea accesului utilizatorilor la anumite resurse și date sensibile, prin utilizarea de conturi și parole securizate. Este mai dificil de întreținut, deoarece este în natura umană solicitarea mai multor drepturi decât este necesar.

Factori de control:

3.1 Utilizatorii să aibă minimul de privilegii necesare pentru a-și îndeplini sarcinile de lucru.

3.2 Folosirea conturilor de utilizator (ID) și a unor parole complexe.

3.3 Conturile cu drepturi de administrare nu vor fi folosite pentru activități pe Internet deoarece email-ul și navigarea pe Internet, pot fi folosite pentru răspândirea malware.

3.4 Ștergerea sau dezactivarea conturilor care nu sunt folosite.

4. Protecție împotriva malware-ului

Se concentrează pe protecția sistemelor IT împotriva malware-ului și a altor amenințări similare.

Factori de control:

4.1 Instalarea de software antivirus.

4.2 Menținerea la zi a semnăturilor software-ului antivirus.

4.3 Folosirea capabilităților software-ului antivirus de protecție în timp real.

4.4 Efectuarea regulată de scanări antivirus.

4.5 Blocarea accesului la site-uri considerate ca nefiind de încredere.

5. Managementul patch-urilor

Un software poate conține vulnerabilități, care, odată descoperite de atacatori, sunt incluse în malware-uri, pentru a ataca sistemele care conțin acea versiune de software. Aceasta se întâmplă în cel mult 24 de ore de la descoperirea vulnerabilității. Producătorii, de obicei, acoperă aceste vulnerabilități prin patch-uri, la intervale de zile sau săptămâni dacă vulnerabilitatea este gravă.

Factor de control:

5.1 Aplicarea actualizărilor de securitate, ori de câte ori acestea apar.

6.Pași pentru implementarea Cyber Essentials

6.1 Evaluarea inițială

• • începe prin evaluarea infrastructurii și a politicilor de securitate existente pentru a identifica eventualele lacune și vulnerabilități.

6.2 Planificarea și pregătirea

• • stabilește un plan detaliat pentru implementarea măsurilor recomandate de Cyber Essentials
  • pregătește resursele și personalul necesar

6.3 Implementarea măsurilor de securitate IT

• • aplică și configurează măsurile de securitate IT în conformitate cu cerințele standardului.
  • verifică respectarea tuturor recomandărilor.

6.4 Monitorizarea și actualizarea constantă

• • monitorizează în mod regulat sistemele și rețelele  IT pentru a detecta orice anomalii sau activități suspecte
  • asigură-te că toate soluțiile de securitate sunt actualizate la cele mai recente versiuni.

6.5 Certificarea și auditarea. După implementare, poți lua în considerare:

• • obținerea certificării Cyber Essentials pentru a valida conformitatea cu standardul
  • auditări periodice pentru a asigura menținerea securității cibernetice în timp.

Concluzie

Prin implementarea acestui standard simplificat, compania ta poate:

• • reduce riscul de atacuri cibernetice
  • proteja în mod eficient datele și activitatea în mediul online