Proč už kyberbezpečnost není jen tématem pro velké korporace, ale i pro menší firmy a neziskovky
Možná jste si v posledních dnech všimli varování Národního úřadu pro kybernetickou a informační bezpečnost, které upozorňovalo na kritickou zranitelnost v programovacím jazyce PHP. Pro běžného uživatele je to jen další z řady nesrozumitelných technických zkratek, ve skutečnosti si ho můžeme představit jako motor, který na pozadí pohání více než tři čtvrtiny všech webových stránek na světě. Od obřích e-shopů až po jednoduché webovky spolků, škol nebo sociálních služeb. Když se o takové hrozbě bavíme s řediteli menších firem nebo vedoucími neziskových organizací, velmi často slyšíme uklidňující argument, že jich se to přece netýká. Mají jen obyčejný prezentační web bez formulářů, nic na něm neprodávají, a tak nedává smysl, proč by na ně někdo útočil. Při našich nedávných bezpečnostních prověrkách jsme se ale znovu přesvědčili, jak nebezpečný tento mýtus v dnešním propojeném světě je.
Past zdánlivě neškodného webu
Představte si organizaci, jakou je třeba denní stacionář, menší výrobní firma nebo lokální poradenská agentura. Má webové stránky, které vznikly před deseti či patnácti lety. Web funguje, vypadá pořád k světu a nikdo na něj roky nemusel sáhnout. Jenže v digitálním světě platí, že co se neudržuje, to stárne a chátrá. Při kontrole zmíněné chyby v jazyce PHP jsme v praxi narazili na učebnicový příklad toho, jak takový zapomenutý web ohrožuje samotnou podstatu organizace. Samotná stránka sice neobsahovala žádná citlivá data, běžela ale na zastaralém redakčním systému. V případě kritických chyb v samotném srdci webu dnes útočník nepotřebuje prolamovat žádné heslo. Stačí mu poslat na server speciálně upravený dotaz a získá nad ním kontrolu, něco jako byste v noci nechali zadní dveře budovy otevřené dokořán.
Na úplně stejném serveru, kde běžel tento zdánlivě neškodný prezentační web, totiž poskytovatel hostingu provozoval i poštovní server organizace. Zatímco na webu útočník nic zajímavého nenašel, jen o pomyslné dveře dál, na stejném stroji, ležely e-mailové schránky zaměstnanců. A v nich smlouvy, faktury, osobní údaje klientů a v případě sociálních či zdravotních služeb dokonce ty nejcitlivější údaje o zdravotním stavu a diagnózách. Automatizovaní roboti útočníků si dnes nevybírají oběti podle toho, jestli jste miliardová banka, nebo charitativní organizace. Skenují celý internet plošně, hledají neaktualizovaný systém, kterým proniknou dovnitř, a teprve potom zjišťují, co mohou zašifrovat, ukrást nebo zneužít.
Každý jsme něčí dodavatel a každý neseme odpovědnost
Tato zkušenost krásně ukazuje, proč už kybernetickou bezpečnost nelze vnímat jako okrajovou disciplínu pro ajťáky. Stojí totiž na dvou pilířích, kterým se nevyhne žádná organizace bez ohledu na to, zda generuje zisk, nebo pomáhá potřebným. Prvním je ochrana osobních údajů a soukromí lidí, kteří vám důvěřují. Každá organizace má zaměstnance, klienty, dárce nebo obchodní partnery. Únik těchto dat z e-mailů či interních systémů neznamená jen hrozbu pokut podle GDPR, ale především okamžitou ztrátu dobrého jména, které jste roky pracně budovali.
Druhým pilířem je fakt, že v digitálním prostoru nikdo není izolovaným ostrovem. Každý z nás je něčím dodavatelem nebo odběratelem, na což ostatně reaguje i nový zákon o kybernetické bezpečnosti vycházející z evropské směrnice NIS2. Pokud útočník ovládne váš e-mailový server přes nezaktualizovaný web, nezůstane jen u vás. Může z vaší skutečné, důvěryhodné e-mailové adresy rozeslat podvržené faktury vašim klientům nebo zavirované přílohy vašim partnerům. Zabezpečit svou organizaci tak dnes znamená chránit celý řetězec lidí a firem kolem vás.
Kryjeme vám záda již od prvního kroku
Chápeme, že vaším hlavním posláním je rozvíjet podnikání nebo pomáhat lidem v těžkých životních situacích, ne trávit čas studováním odborných bezpečnostních bulletinů a kontrolou nastavení serverů. Přesně od toho jsme tu my. V našem týmu máme vlastní IT specialisty, bezpečnostní auditory a poradce, kteří dokážou osvětlit otázky kyberbezpečnosti a přeložit ji do lidské řeči. Pokud chcete mít jistotu, že váš web nebo e-maily nejsou otevřenou branou pro útočníky, ozvěte se nám. Přehled našich služeb naleznete na: https://www.22hlav.cz/compliance.
A co když máte servery perfektně zabezpečené, ale útočník místo na techniku zaútočí na vaše lidi? Právě na obranu proti podvodným e-mailům, bezplatné bezpečnostní nástroje a nejúčinnější záchrannou brzdu pro vaše účty se podíváme v příštím dílu našeho seriálu.
1. díl v kostce: Hlavní body pro vás s sebou
- Velikost nerozhoduje: Automatizovaní roboti útočníků skenují internet plošně. Nerozlišují mezi bankou, menší firmou a neziskovkou – hledají jakoukoliv neaktualizovanou skulinu.
- I „obyčejný“ web může ohrozit vaše e-maily: Neaktualizovaný prezentační web bez formulářů často poslouží jako zadní vrátka na server, kde běží i vaše firemní e-maily plné smluv, faktur a citlivých osobních údajů klientů.
- Bezpečnost je věcí odpovědnosti vůči partnerům: Každá organizace zpracovává osobní údaje (GDPR) a je součástí dodavatelského řetězce (NIS2). Napadená schránka může posloužit k rozesílání podvržených faktur vašim klientům a dárcům.
Tento i všechny ostatní články zveřejněné na těchto stránkách vyjadřují názor jejich autorů, nejde o právně závazné dokumenty. V případě dotazů k tomuto článku prosím kontaktujte autora.