Radni dan više nije vezan za kancelarijski sto. Poslovni mejlovi proveravaju se na privatnom telefonu, službeni laptop putuje sa nama na odmor, a važni dokumenti otvaraju se iz hotela, kafića ili porodičnog apartmana. Ta fleksibilnost zaposlenima olakšava posao, ali istovremeno širi prostor koji kompanija mora da zaštiti.
Kancelarijska mreža obično ima IT podršku, kontrolisan pristup i pravila koja važe za sve uređaje. Kod kuće je situacija sasvim drugačija. Na istoj mreži mogu da budu službeni računar, privatni telefoni, televizor, konzola, pametni kućni uređaji i laptop koji koristi cela porodica. Ako je ruter ostao na fabričkoj lozinci, dovoljan je jedan slab uređaj da rizik postane mnogo veći.
Stručnjaci iz kompanije PULSEC, regionalnog lidera u oblasti sajber bezbednosti, navode za „Blic" da se među najčešćim „tihim“ propustima izdvajaju nepromenjene fabričke lozinke na kućnim ruterima, deljenje službenog računara sa ukućanima i korišćenje istog uređaja za poslovne i privatne naloge.
„Problem često ne počinje sofisticiranim hakerskim napadom, već svakodnevnim navikama. Dete zaposlenog dobije službeni laptop da instalira igricu ili zaposleni koristi isti računar za posao i privatne naloge, bez ikakvog razdvajanja“, ukazuju sagovornici iz PULSEC tima.
Fabrička lozinka na ruteru često ostane godinama
Kućni ruter je prva tačka preko koje službeni računar izlazi na internet. Uprkos tome, veliki broj korisnika nikada ne promeni podatke koje je uređaj imao prilikom instalacije.
„Nepromijenjena fabrička lozinka na kućnom ruteru, često kombinacija poput ‘admin admin’, jedan je od najčešćih propusta koje viđamo“, navode stručnjaci kompanije PULSEC.
Rizik ne predstavlja samo lozinka za povezivanje na bežičnu mrežu. Važna je i administratorska lozinka koja omogućava promenu podešavanja rutera. Ako neko do nje dođe, može da menja način na koji se internet saobraćaj usmerava i da otvori prostor za dalje zloupotrebe.
Zaposleni bi zato trebalo da promene fabričku administratorsku lozinku i provere da li ruter koristi WPA2 ili WPA3 zaštitu. Ukoliko uređaj godinama nije ažuriran ili ne podržava novije standarde, treba proveriti kod operatera da li može da bude zamenjen.
Službeni laptop nije porodični računar
Granica između privatnog i poslovnog uređaja lako se izgubi, naročito kada se radi od kuće. Član porodice može da koristi službeni računar da pogleda film, preuzme program ili instalira igricu, ne znajući da uz željeni sadržaj može da stigne i zlonamerni softver.
„Službeni laptop ne bi trebalo deliti sa članovima porodice niti na njega instalirati bilo šta što nije odobrio IT tim“, kažu u PULSEC-u.
Problem nije samo u programima sumnjivog porekla. Privatni nalozi, sačuvane lozinke, ekstenzije za internet pregledač i fajlovi preuzeti iz neproverenih izvora dodatno povećavaju mogućnost incidenta.
Ako kompanija zaposlenom daje uređaj za rad, trebalo bi da bude jasno da je on namenjen isključivo poslovnim obavezama. Ovo pravilo je posebno važno za manje firme koje nemaju sopstveno IT odeljenje, niti sistem koji automatski sprečava instaliranje neodobrenih programa.
Poslovni mejl na privatnom telefonu nosi dodatni rizik
Privatni telefon je praktičan za brzo odgovaranje na poruke, ali na njemu se često nalaze aplikacije različitog porekla, privatni nalozi i podaci kojima mogu da pristupe i drugi članovi porodice.
Ako telefon nema snažnu lozinku, biometrijsko zaključavanje i redovna bezbednosna ažuriranja, izgubljen ili ukraden uređaj može nekome omogućiti pristup poslovnoj elektronskoj pošti, kontaktima i dokumentima.
Automatsko zaključavanje ekrana posle nekoliko minuta neaktivnosti zato nije suvišno podešavanje, već jednostavna prepreka neovlašćenom pristupu. Gde god je moguće, za poslovne naloge treba uključiti i višefaktorsku autentifikaciju, kako sama lozinka ne bi bila dovoljna za prijavu.
Jedna mreža za posao, druga za ukućane i pametne uređaje
Jedna od korisnih funkcija kućnih rutera jeste mogućnost formiranja gostujuće mreže. Ona može da se koristi za privatne telefone članova porodice, televizore, konzole, kamere i druge pametne uređaje, dok službeni računar ostaje na odvojenoj mreži.
„Kreirajte gostujuću mrežu za decu, pametni televizor i ostale uređaje. Ona treba da bude odvojena od mreže na kojoj se nalazi službeni laptop“, preporučuju stručnjaci kompanije PULSEC.
Takvo razdvajanje ne uklanja svaki rizik, ali otežava da problem nastao na jednom uređaju ugrozi i poslovni računar.
PULSEC savetuje i korišćenje VPN veze prilikom pristupanja sistemima kompanije, kako od kuće, tako i na putovanju. VPN, međutim, nije zamena za oprez. Ne može da zaštiti korisnika koji sam unese lozinku na lažnoj stranici ili instalira zaraženi program.
Na odmoru se kancelarija seli na aerodrom, bazen i u kafić
Poseban problem nastaje kada zaposleni radi sa odmora. Besplatna mreža u hotelu ili kafiću deluje kao praktično rešenje, ali korisnik često ne može pouzdano da zna ko njome upravlja.
Jedan od najčešćih scenarija jeste takozvani „evil twin“, odnosno zlonamerna mreža čiji naziv gotovo potpuno oponaša legitimnu hotelsku, aerodromsku ili ugostiteljsku mrežu.
„Napadač postavi svoj uređaj tako da se ponaša kao ruter, sa imenom skoro identičnim pravoj mreži. Telefon korisniku ponudi listu, a on odabere naziv koji mu deluje poznato ili mrežu koja ima najjači signal. Iz ugla prosečnog putnika ništa ne izgleda sumnjivo“, objašnjavaju sagovornici.
Lažna mreža može da prikaže i uverljivu početnu stranicu na kojoj se od korisnika traže ime i adresa elektronske pošte. U pozadini, saobraćaj prolazi kroz uređaj napadača, koji može da prati nezaštićenu komunikaciju, ubacuje lažne stranice za prijavljivanje ili korisnika preusmeri na phishing sajt.
Kada moraju da pristupe poslovnim sistemima sa putovanja, zaposleni bi trebalo da daju prednost mobilnom internetu ili ličnom hotspotu. Ako je korišćenje javne mreže neizbežno, potrebno je proveriti njen tačan naziv kod osoblja i uključiti VPN.
Plaćanje i elektronsko bankarstvo ne trpe prečice
Rad sa odmora često podrazumeva i otvaranje faktura, plaćanje obaveza ili pristup poslovnom računu. Jedna poruka koja deluje kao hitan zahtev direktora ili dobavljača može da dovede do ozbiljnog finansijskog gubitka.
„Zlatno pravilo je da se izbegne svaki prečac i da se plaćanje uvek obavi na način koji sami kontrolišete, a ne onaj koji vam je neko drugi servirao“, kažu u PULSEC-u.
To u praksi znači da ne treba otvarati link za plaćanje direktno iz mejla. Sigurnije je ručno uneti adresu banke ili kompanije u internet pregledač i tek tada nastaviti transakciju.
„Ako zahtev za uplatu deluje sumnjivo ili neuobičajeno, proverite ga sa primaocem. Jedan poziv ili poruka mogu da spreče prevaru vrednu hiljade evra“, upozoravaju sagovornici.
Za kupovinu na internetu mogu se koristiti virtuelne kartice sa ograničenim iznosom ili kartice koje važe samo za jednu transakciju. Ako njihovi podaci budu kompromitovani, moguća šteta ostaje ograničena.
Četiri poteza koja zaposleni može da napravi odmah
Osnovna zaštita rada od kuće ne zahteva nužno složena tehnička znanja. PULSEC izdvaja nekoliko poteza koje većina korisnika može sama da primeni:
1. Promeniti fabričku administratorsku lozinku na ruteru i uključiti WPA2 ili WPA3 zaštitu.
2. Napraviti posebnu gostujuću mrežu za članove porodice, televizore, konzole i druge privatne uređaje.
3. Koristiti VPN za pristup sistemima firme i podesiti automatsko zaključavanje ekrana.
4. Na službeni računar ne instalirati programe koje nije odobrio poslodavac ili IT podrška.
Ove mere ne zamenjuju profesionalnu zaštitu poslovnih sistema, ali smanjuju broj svakodnevnih situacija u kojima nepažnja jednog korisnika može da ugrozi podatke cele kompanije.
Jedno pitanje vlasniku firme otkriva najveći deo rizika
Vlasnici malih i srednjih preduzeća često pretpostavljaju da im je potreban skup bezbednosni audit pre nego što uopšte saznaju gde su slabe tačke. Prvi korak može da bude znatno jednostavniji.
„Najlakši i najpraktičniji pokazatelj da nešto nije u redu jeste da timu postavite pitanje: ‘Da li iko od vas radi sa uređaja koji nije isključivo za posao ili sa kućne mreže koju niko sistemski ne održava i ne ažurira?’“, navode stručnjaci PULSEC.
Prema njihovim rečima, iskreni odgovori na ovo pitanje obično odmah pokažu veliki deo rizika. Poslodavac saznaje ko deli službeni uređaj sa porodicom, ko koristi nezaštićen ruter i kome je potrebna dodatna obuka.
Takva provera ne treba da bude potraga za krivcem. Zaposleni često ne znaju da navika koja je kod kuće bezazlena u poslovnom okruženju može da otvori pristup osetljivim podacima. Zbog toga, kompanija PULSEC edukaciju zaposlenih vidi kao jednu od najisplativijih bezbednosnih mera, posebno u manjim firmama koje nemaju veliki IT tim.
Za vlasnika MSP prvi razuman potez nije kupovina najskupljeg sistema, već pregled načina na koji zaposleni zaista rade. Ako službeni laptop izlazi iz kancelarije, iz nje izlazi i deo bezbednosnog rizika. Pravila i obuka moraju da ga prate.
