ανάγνωση σε: 21 λεπτά
Του Νίκου Μαρκόπουλου | CEO & Founder, AEGIS CyberOps
Στην ερώτηση μου τι κάνετε με το cybersecurity υπάρχει μία απάντηση που ακούω εδώ και περισσότερα από 20 χρόνια: «έχω antivirus.» Την ακούω από επιχειρηματίες, από λογιστικά γραφεία, από ελεύθερους επαγγελματίες, από ανθρώπους που στον υπολογιστή τους έχουν στοιχεία εκατοντάδων πελατών. Και συνήθως το λένε με την πεποίθηση ότι το θέμα της ασφάλειας έχει κάπως τακτοποιηθεί.
Δεν έχει. Έχετε antivirus, αυτό ακριβώς έχετε, και είναι χρήσιμο. Δεν σημαίνει όμως ότι προστατεύετε συνολικά την επιχείρησή σας, τους λογαριασμούς σας και, κυρίως, τα δεδομένα που σας έχουν εμπιστευθεί άλλοι άνθρωποι.
Ας το εξηγήσουμε χωρίς ούτε έναν τεχνικό όρο
Φανταστείτε ένα λογιστικό γραφείο με πολύ καλή πόρτα ασφαλείας. Σημαίνει αυτό ότι το γραφείο είναι ασφαλές; Αν τα παράθυρα μένουν ανοιχτά, αν κάποιος τηλεφωνήσει λέγοντας «είμαι ο τεχνικός» και η γραμματεία του ανοίξει, αν ένας υπάλληλος αφήσει πάνω στο τραπέζι φάκελο με 100 φορολογικές δηλώσεις, αν κάποιος απλώς κλέψει το laptop; Η πόρτα ασφαλείας εξακολουθεί να είναι καλή, απλώς δεν λύνει όλα τα υπόλοιπα προβλήματα. Κάπως έτσι πρέπει να βλέπουμε και το antivirus: κομμάτι της προστασίας, όχι ολόκληρη η προστασία.
Τι ακριβώς προσπαθούμε να προστατεύσουμε;
Οι περισσότεροι πιστεύουν ότι στην κυβερνοασφάλεια προσπαθούμε να προστατεύσουμε τον υπολογιστή. Όχι ακριβώς: ο υπολογιστής, το κινητό, ακόμη κι ένας server μπορούν να αντικατασταθούν. Αυτό που πραγματικά προσπαθούμε να προστατεύσουμε είναι ό,τι βρίσκεται μέσα: τα δεδομένα, τους κωδικούς, τα τιμολόγια, τη μισθοδοσία, τα στοιχεία εργαζομένων και πελατών, την πρόσβαση σε cloud υπηρεσίες. Αυτό σημαίνει «προστατεύω τα δεδομένα μου»: όχι «έβαλα ένα πρόγραμμα στον υπολογιστή», αλλά ότι έχω σκεφτεί ποιος μπορεί να τα δει, ποιος μπορεί να τα πάρει, ποιος μπορεί να τα αλλάξει, και τι θα κάνω αν αύριο εξαφανιστούν.
«Μα δεν έχω τίποτα σημαντικό»
Δοκιμάστε το εξής. Ανοίξτε το email σας: τιμολόγια, συμβάσεις, σκαναρισμένες ταυτότητες, οικονομικά στοιχεία, κωδικοί που κάποιος σας έστειλε κάποτε. Ανοίξτε τον browser: σε πόσες υπηρεσίες είστε ήδη συνδεδεμένοι χωρίς να πληκτρολογήσετε ξανά κωδικό; Ανοίξτε το κινητό: εφαρμογές τραπεζών, κωδικοί μιας χρήσης, φωτογραφίες εγγράφων. Εξακολουθείτε να πιστεύετε ότι δεν έχετε τίποτα σημαντικό;
Το antivirus δεν μπορεί να σας προστατεύσει από εσάς
Λαμβάνετε ένα email που μοιάζει να είναι από συνεργάτη, πατάτε έναν σύνδεσμο, βλέπετε μια σελίδα που μοιάζει με τη σελίδα σύνδεσης του email σας και πληκτρολογείτε μόνοι σας το username και το password. Δεν χρειάζεται να εγκατασταθεί κάποιος παραδοσιακός ιός· εσείς δώσατε το κλειδί, και το antivirus δεν είναι μηχανή του χρόνου που θα σας πει «μην πληκτρολογήσεις αυτόν τον κωδικό εκεί». Οι σύγχρονες επιθέσεις προσπαθούν να κλέψουν κωδικούς, να εξαπατήσουν τον χρήστη, να εκμεταλλευτούν ήδη νόμιμη πρόσβαση, να πείσουν έναν εργαζόμενο ότι μιλά με τον διευθυντή ή έναν πελάτη. Σε αρκετές περιπτώσεις ο δράστης θέλει ακριβώς αυτό: να μη χρειαστεί να «σπάσει» τίποτα. Να του ανοίξουμε εμείς.
Και αν μου κλέψουν το laptop;
Έχετε ένα laptop με αρχεία πελατών. Το ξεχνάτε σε ένα ταξί ή σας το κλέβουν από το αυτοκίνητο. Το antivirus μπορεί να λειτουργούσε άψογα· και λοιπόν; Η ερώτηση τώρα είναι άλλη: μπορεί αυτός που κρατά το laptop να διαβάσει τα δεδομένα που βρίσκονται μέσα; Υπάρχει ισχυρός κωδικός, κλειδώνει αυτόματα, είναι ο δίσκος κρυπτογραφημένος, μπορεί να κοπεί η πρόσβασή του στους εταιρικούς λογαριασμούς; Αυτά είναι θέματα ασφάλειας. Το αν υπήρχε antivirus είναι μόνο μία γραμμή σε έναν πολύ μεγαλύτερο κατάλογο.
Και αν αύριο χαθούν όλα;
Υπάρχει ακόμη μία ερώτηση που δεν έχει καμία σχέση με το αν μπήκε «ιός»: αν αύριο στις 10:00 χαθούν όλα τα αρχεία σας, πόσο γρήγορα μπορείτε να ξαναδουλέψετε; Έχετε αντίγραφα ασφαλείας, πού βρίσκονται, τα έχετε δοκιμάσει ποτέ ότι πραγματικά επανέρχονται; Το «νομίζω ότι κάνει backup» δεν είναι απάντηση· backup που δεν έχει ελεγχθεί είναι περισσότερο ελπίδα παρά σχέδιο.
Προστασία σημαίνει τρία πολύ απλά πράγματα
Αν αφήσουμε στην άκρη όλη την ορολογία της κυβερνοασφάλειας, η προστασία των δεδομένων χωράει σε τρεις ερωτήσεις: μπορεί να τα δει κάποιος που δεν πρέπει; Μπορεί κάποιος να τα αλλάξει χωρίς να το καταλάβω; Αν χαθούν ή καταστραφούν, μπορώ να τα ξαναβρώ; Αυτή είναι η ουσία. Οι ειδικοί τις λένε εμπιστευτικότητα, ακεραιότητα και διαθεσιμότητα· ο επιχειρηματίας δεν χρειάζεται να θυμάται τους όρους, μόνο τις τρεις ερωτήσεις. Αν δεν μπορείτε να τις απαντήσετε, δεν γνωρίζετε ακόμη αν τα δεδομένα σας είναι προστατευμένα.
«Έχω κωδικό»
Ωραία. Τον ίδιο παντού; Τον γνωρίζει κάποιος άλλος; Υπάρχει δεύτερη επιβεβαίωση όταν κάποιος προσπαθεί να συνδεθεί; Πόσοι πρώην εργαζόμενοι εξακολουθούν να έχουν πρόσβαση σε υπηρεσίες που κάποτε χρειάζονταν; Η προστασία δεν είναι προϊόν, είναι σειρά από στρώματα: κλειδώνω τη συσκευή, προστατεύω τους λογαριασμούς, χρησιμοποιώ δεύτερο παράγοντα επιβεβαίωσης όπου μπορώ, ελέγχω ποιος έχει πρόσβαση, κρατώ ασφαλή αντίγραφα, ενημερώνω τα συστήματά μου, και έχω αποφασίσει ποιος θα καταλάβει ότι κάτι συνέβη και τι θα κάνει μετά.
Γιατί το «έχω antivirus» μπορεί να γίνει επικίνδυνη φράση
Όχι επειδή το antivirus είναι άχρηστο· το αντίθετο, η προστασία από κακόβουλο λογισμικό παραμένει σημαντικό κομμάτι της άμυνας ενός υπολογιστή. Το επικίνδυνο είναι η ψευδαίσθηση ασφάλειας: να πιστεύει κάποιος ότι επειδή βλέπει ένα πράσινο εικονίδιο κάτω δεξιά στην οθόνη έχει προστατεύσει το email του, τους κωδικούς του, τα δεδομένα των πελατών, τα αντίγραφα ασφαλείας, τις cloud υπηρεσίες, το κινητό του, τους ανθρώπους του και την επιχείρησή του. Δεν τα έχει προστατεύσει όλα αυτά επειδή εγκατέστησε ένα antivirus. Αγόρασε ένα κομμάτι της άμυνας. Όχι ολόκληρη την άμυνα.
Το πραγματικό τεστ
Δεν με ενδιαφέρει λοιπόν να ρωτήσω έναν επιχειρηματία «τι antivirus έχετε». Θέλω να τον ρωτήσω κάτι άλλο: αν κάποιος μάθει σήμερα τον κωδικό του email σας, ποιος θα το καταλάβει; Αν κλέψουν το laptop σας, μπορούν να διαβάσουν τα αρχεία; Αν ένας υπάλληλος πατήσει έναν ψεύτικο σύνδεσμο, υπάρχει δεύτερη γραμμή άμυνας; Αν χαθούν αύριο όλα τα δεδομένα σας, μπορείτε να τα επαναφέρετε; Αν συμβεί κάτι στις 10:00, ποιος θα το γνωρίζει στις 10:05; Αν η απάντηση σε όλα αυτά είναι «δεν ξέρω, αλλά έχουμε antivirus», τότε δεν έχουμε απάντηση. Έχουμε πρόβλημα.
Κρατήστε το antivirus σας, το χρειάζεστε. Σταματήστε όμως να το χρησιμοποιείτε ως απάντηση στην ερώτηση «είμαι ασφαλής;». Γιατί η κυβερνοασφάλεια σήμερα δεν είναι ένα πρόγραμμα εγκατεστημένο σε έναν υπολογιστή. Είναι η προσπάθεια να εξασφαλίσουμε ότι τα δεδομένα που μας εμπιστεύθηκαν άλλοι, δεν θα τα δει αυτός που δεν πρέπει, δεν θα τα αλλάξει αυτός που δεν πρέπει και δεν θα τα χάσουμε όταν τα χρειαστούμε περισσότερο. Αυτό σημαίνει «προστατεύω τα δεδομένα μου».
7 ΠΡΑΓΜΑΤΑ ΠΟΥ ΣΗΜΑΙΝΕΙ ΠΡΑΓΜΑΤΙΚΑ «ΠΡΟΣΤΑΤΕΥΩ ΤΑ ΔΕΔΟΜΕΝΑ ΜΟΥ»
1. Προστατεύω τον υπολογιστή και το κινητό μου: ενημερώσεις, κλείδωμα, κρυπτογράφηση και σύγχρονη προστασία.
2. Προστατεύω τους λογαριασμούς μου: ισχυροί και διαφορετικοί κωδικοί, δεύτερη επιβεβαίωση σύνδεσης όπου είναι διαθέσιμη.
3. Ξέρω ποιος έχει πρόσβαση: κάθε άνθρωπος βλέπει μόνο ό,τι πραγματικά χρειάζεται.
4. Κρατώ αντίγραφα των δεδομένων μου και ελέγχω ότι λειτουργούν, όχι απλώς «κάπου γίνεται backup».
5. Εκπαιδεύω τους ανθρώπους μου, γιατί ο καλύτερα προστατευμένος υπολογιστής εξακολουθεί να τον χρησιμοποιεί άνθρωπος.
6. Ξέρω τι δεδομένα έχω και πού βρίσκονται: δεν μπορείς να προστατεύσεις κάτι αν δεν γνωρίζεις ότι το έχεις.
7. Έχω απάντηση στην ερώτηση «ποιος θα το καταλάβει;»: η ασφάλεια δεν τελειώνει στο να αποτρέψεις μια επίθεση, πρέπει να μπορείς και να εντοπίσεις ότι κάτι συμβαίνει.