Amikor pár hete a Google és a finn Codenomicon cég szakemberei egy rendkívül súlyos hibát fedeztek fel a webes szolgáltatások védelmére széles körben használt OpenSSL technológiában, igazán nagy volt az ijedtség. Ha ugyanis a biztonsági résre bűnözők, mozgalmárok vagy bűnös gondolatokat forgató titkos állami ügynökségek ráakadtak, mérhetetlen károk okozásához volt szabad útjuk. A hibát kijavították, s a szakemberek felszólították a világ internethasználóit, hogy cseréljék le a jelszavaikat, ha jót akarnak. A fenyegetés ezzel remélhetőleg elhárult. A rémület azonban nem volt ok nélküli.
Ha szeretne még többet megtudni a mobilbiztonságról jöjjön el a Computerworld által rendezett SecWorld konferenciára.
A gazdasági bűnözés – főleg a korrupció és vesztegetés burjánzása miatt – tavaly 37 százalékkal nőtt a világon. A kiberbűnözés (különben igen gyors) növekedése meglepő módon ettől jelentősen elmaradt a maga 24 százalékával, de a vállalatok elsőszámú vezetőinek 49 százaléka számol azzal, hogy a cégüket ez érinti. Becslésünk szerint a magyar vállalatok 12-14 milliárd forint veszteséget szenvedhettek a kibertérből érkező támadások következtében. Ez azért nem sokkal több, mert Magyarország a viszonylag kevéssé fertőzött országok közé tartozik (a Kaspersky élő fertőzöttségi rangsorában, amelyet Oroszország, Vietnam, India, az Egyesült Államok és Indonézia vezet, hazánk a napi helyzettől függően a 80. és 110. pozíció közötti térben található).
A viszonylag jó magyar helyzet annak is köszönhető, hogy csökkenőben van a kalózszoftverek elterjedtsége, s a licenc megvásárlása nélküli szoftverhasználat. Márpedig az IDC és a National University of Singapore (NUS) kutatásai szerint a károkat okozó fertőzések egyik legnagyobb forrása a lopott szoftverek feltelepítése. Ilyenkor az áldozatok nem is gondolnák, hogy a letöltött szoftverrel együtt sok rosszindulatú program jut be a számítógépükre, amelyeket bűnszervezetek illegális pénzügyi tevékenységre, adatlopásra, kémkedésre vagy egyéb súlyos jogsértésekre fejlesztettek ki. Ezzel kapcsolatban a következőket állapították meg: ((pöttyös felsor))
• Azoknak a fogyasztóknak és vállalkozásoknak, amelyek kalózszoftvert telepítenek vagy ilyen szoftvert tartalmazó gépet vásárolnak, a károkozókkal való találkozásra 33 százalék az esélyük. De például a NUS 11 (főleg ázsiai) országot érintő igazságügyi szakértői elemzése szerint a kalózszoftvereket tartalmazó PC-k fertőzöttsége 61 százalékos volt.
• A világon a vállalatok 500 milliárd dollárt, a fogyasztók pedig mintegy 25 milliárd dollárt és 1,2 milliárd munkaórát veszítenek idén a kiberkártevők és a kalózszoftverek miatt.
• A fogyasztók legnagyobb kiberbiztonsággal kapcsolatos félelmei az adatvesztéssel és a személyes információk elvesztésével (60 százalék), illetve az adataikhoz való jogosulatlan hozzáféréssel és az online csalásokkal (51 százalék) kapcsolatosak.
• E félelmek ellenére a fogyasztók 43 százaléka nem telepíti rutinszerűen a biztonsági frissítéseket a számítógépére.
• A kormányzati tisztviselők legnagyobb félelmei a bizalmas adatok elvesztése vagy üzleti és kereskedelmi titkok kiszivárgása (59 százalék), illetéktelenek hozzáférése a kormányzati információkhoz (55 százalék), és a létfontosságú infrastruktúrákat érő kibertámadások (55 százalék) hármasához kötődnek.
• Az IDC becslése szerint 2014-ben a vállalkozások 491 milliárd dollárt fognak költeni a kalózszoftverekkel beszivárgó malware-k miatt. Ebből 364 milliárd dollár jut az adatvesztésekre, és 127 milliárd dollár a biztonsági problémákra.
• Ezeknek a vállalati veszteségeknek csaknem a kétharmada, azaz 315 milliárd dollár lesz köthető bűnszervezetek tevékenységéhez.
A hazai helyzetet elemezve Antal Lajos, a Deloitte Zrt. Informatikai biztonság és adatvédelem üzletágának vezetője nemrégiben kifejtette, hogy az elmúlt hónapok tendenciái alapján a kiberbűnözők egyre gyakrabban vesznek célba magyar vállalatokat.
A Ponemon Intézet által készített globális vizsgálat szerint egy átlagos nagyvállalat évente 11,56 millió dollár veszteséget szenved a kiberbűnözés miatt. A legutóbbi, négy éve lezárt kutatáshoz képest ez 78 százalékos növekedést jelent. Az egy támadásra jutó kár pedig tavaly 1 millió dollár volt, szemben az előző felmérés 0,6 milliójához képest. A növekedés hátterében az áll, hogy a kiberbűnözők jelentős részének elegendő pénzügyi ereje van egyre kifinomultabb eszközök beszerzésére és alkalmazására, továbbá a támadások is egyre tervezettebbekké válnak. A hazai cégeket amiatt fenyegeti komoly veszély, mert sokuknál hiányzik a megfelelő tudású szakemberállomány, és támadásokat szimuláló incidensgyakorlatokat sem tartanak.
A leggyakrabban a malware-ek (vírusok, férgek, kémprogramok) káros tevékenységébe botolhatunk, mert ezek újabb és újabb verzióival a hagyományos szignatúraalapú védelem már nem képes teljes körűen megbirkózni. Magyarországon a webes felületek elleni támadások, illetve az adathalászat (phising) is figyelemreméltó veszélyeket hordoz. Ezek nem csak közvetlenül (például a megszerzett adatok vagy a megrongált eszközök révén) okoznak jelentős károkat a vállalatoknak, hanem közvetve, a reputációs veszteséggel is.
Antal Lajos kiemelte, hogy hazánkban is számítani kell a károkozók egy speciális fajtája, a ransomware terjedésére. Ezek rendszerint titkosítják a felhasználók adatait, és csak váltságdíj fejében teszik ismét hozzáférhetővé őket. A korábban leginkább orosz nyelvterültről ismert támadások ma már nemzetközileg is elterjedtek és növekvő mértékben vannak jelen az üzleti környezetben. Félni kell a spear phising, a célzott adathalászat terjedésétől is. Ez a módszer a személyes számítógép-használati szokásokat használja ki, s így a megcélzott user szinte elkerülhetetlenül a támadás áldozatává válik. Különösen veszélyes, hogy a rosszindulatú szoftverek növekvő mértékben tartalmaznak a számítógépes rendszereket használhatatlanná tévő destruktív kódokat is. A hacktivista csoportok támadásai pedig várhatóan egyre gyakrabban irányulnak 2014-ben az üzleti élet szereplői ellen.
A Deloitte szakértője szerint a hazai cégek számára a tudatos gondolkodás erősítése volna a legfontosabb. Meg kéne érteniük, hogy a gyenge informatikai biztonságnak a vállalat adataira, működésére és pénzügyeire nézve is komoly következményei lehetnek. Ezért elsősorban a szakembereikre s a továbbképzésükre kellene több figyelmet és erőforrást fordítaniuk. Továbbá előre ki kellene dolgozniuk a támadások esetén követendő jogi, műszaki, üzleti, szervezeti és marketing-eljárásrendet, amelyek működését pedig incidensgyakorlatokon kellene tesztelni.
Ha a konkrét tendenciákat nézzük, akkor a következő területeken szükséges a legnagyobb figyelem:
A rettegett BYOD
A vállalatok a BYOD (bring your own device – hozd a saját eszközöd) mozgalom befogadásával csökkentik az eszközbeszerzési költségeiket, és elégedettebbé teszik az alkalmazottaikat, akik a megszokott (elsősorban mobil) eszközeiket használhatják. Ezzel együtt azonban külső és belső biztonsági fenyegetések sorának nyitnak ajtót. A készülékek helytelen kezelésétől kezdve a rajtuk lévő szoftverek külső manipulálásán át a megbízhatatlan üzleti alkalmazások megjelenéséig számos probléma merülhet fel.
Ezért csak olyan cégeknél érdemes a BYOD-t engedélyezni, ahol a kockázatok nem túl magasak. Ha pedig engedélyezik, akkor egy végiggondolt, strukturált környezetet kell teremteni a működéséhez, amelyben az előnyei érvényesülhetnek. A rosszul végrehajtott személyes eszközökre vonatkozó stratégia mind személyes, mind pedig üzleti információk kiszivárgásához, sérüléséhez, elvesztéséhez vezethet. Ezért a BYOD alkalmazása bármilyen vonzó is, alaposan megfontolandó.
Ha szeretne még többet megtudni a mobilbiztonságról jöjjön el a Computerworld által rendezett SecWorld konferenciára.
Védelmi pozíciók a felhőben
Míg a cloud computing költségcsökkentő és hatékonyságnövelő hatása egyértelmű, a szervezetek nem feledkezhetnek meg róla, hogy törődjenek az információbiztonsági szempontokkal is. Ez különösen akkor rendkívül fontos, ha a cégek olyan érzékeny adatokat költöztetnek a felhőbe, amelyekből az egyes személyek azonosítására alkalmas információk nyerhetők ki. A megfelelő védelemre egyre inkább törvények és előírások is kötelezik a vállalatokat. Ennek eredményeként a cégek egyre inkább az előírásoknak való megfeleléssel (compliance) egy szinten kell kezelniük a személyes adatok védelmét, s ugyanolyan kockázatokat jelent a számukra a biztonsági szempontok ignorálása, mint a compliance-követelmények megsértése, hiszen hasonló büntetésekre vagy üzleti reakciókra számíthatnak.
A reputáció romjai
A támadások egyre szervezettebbek, egyre kifinomultabbak és veszélyesebbek lesznek, ami azonban nem ad felmentést a magát megvédeni képtelen cégek számára, amelyek akár a hírnevük drasztikus romlásával is számolhatnak.
A kiberkártevők és kártételi módszerek fejlődési, átalakulási sebessége és összetettsége rendkívül gyorsan változtatja meg a fenyegetések aktuális térképét. (Erről bárki meggyőződhet például a Kaspersky – Cyberthreat Real-time Map – online alkalmazásán.) Emiatt a cégeknek rendkívül elkötelezetten kell kezelniük a kibertér kihívásait, mert megtörténhet, hogy a bűnözők elevenen falják fel őket. Még a legnagyobb vállalatok is könnyen pórul járhatnak, amit a Target észak-amerikai kereskedelmi lánc esete is igazol. A 360 ezer alkalmazottat, 73 milliárd dolláros forgalmat és 3 milliárdos nettó profitot jegyző behemóttól pár hónapja világrekord mennyiségben (egyes hírek szerint 40 millió, más információk alapján 70 millió) ügyfél hitel- és betétikártya-adatait lopták el.
A dolgok és az internet
Hosszú távon a legnagyobb fenyegetés a dolgok internetének (Internet of Things – IoT) világából érkezhet, mert az egyes eszközök közötti automatizált kommunikáció adataiból analitikákkal az üzleti hatékonyságot befolyásoló információk sora nyerhető ki.
A fenyegetések ezen a területen potenciálisan olyan pusztítást vetítenek előre, hogy mind a vállalatoknak, mind a felhasználók oldalán a legmagasabb színvonalú biztonsági megoldások bevezetése látszik indokoltnak. Itt nem valami szupertechnológia alkalmazására kell gondolni, mert azt is megkerülnék idővel, hanem széleskörű együttműködésen alapuló rugalmas biztonsági rendszerek bevezetésére, amelyek építésében részt vesznek a szabályalkotók, a hatóságok, az üzleti döntéshozók és az IT-biztonsági szakértők, hogy megértsék a fenyegetések természetét, és gyors, helyénvaló választ tudjanak adni.
A vállalatoknál ez abban nyilvánulhat meg, hogy informatikai biztonságért felelős magas szintű vezetők (Chief Information Security Officer – CISO) jelennek meg egyre több szervezetben, hiszen a kiberfenyegetés olyan nagy üzleti kockázatot jelent, amelynek kezelése kompetens döntéshozók ténykedését kívánja meg. Mindent összevetve a Ponemon Intézet szerint rövidtávon a dolgok rosszabbra fordulnak, mielőtt pozitív fordulat következhetne be, mert a rosszfiúk rendkívül intelligensek, és a kezükben lévő technológia túl gyorsan fejlődik.
Ha szeretne még többet megtudni a mobilbiztonságról jöjjön el a Computerworld által rendezett SecWorld konferenciára.
