Biuro rachunkowe, sklep internetowy, gabinet, firma usługowa czy niewielki zakład produkcyjny mogą przechowywać informacje, których utrata albo ujawnienie prowadzi do poważnych konsekwencji. Co więcej, mniejsze firmy często dysponują znacznie skromniejszym zapleczem informatycznym niż duże organizacje.
Dlatego bezpieczeństwo cyfrowe warto traktować podobnie jak ochronę lokalu, samochodu czy wyposażenia przedsiębiorstwa.
Największym zagrożeniem nie zawsze jest zaawansowany haker
Wiele incydentów zaczyna się bardzo niewinnie. Pracownik otrzymuje wiadomość przypominającą e-mail od kontrahenta, firmy kurierskiej lub banku. Kliknięcie w link prowadzi do fałszywej strony logowania albo uruchamia złośliwe oprogramowanie.
Popularnym zagrożeniem pozostaje phishing, czyli podszywanie się pod zaufaną osobę lub instytucję. Atakujący mogą próbować zdobyć hasło do poczty, dane dostępowe do systemu firmowego albo nakłonić pracownika do wykonania przelewu.
Problemem może być również ransomware, czyli oprogramowanie szyfrujące dane. W takim przypadku przedsiębiorstwo może stracić dostęp do dokumentów, systemu sprzedażowego, bazy klientów albo innych informacji potrzebnych do codziennego funkcjonowania.
Nawet jeśli dane uda się odzyskać, firma może przez pewien czas nie być w stanie normalnie pracować.
Dane klientów mają konkretną wartość
W małym przedsiębiorstwie baza danych może zawierać nazwiska klientów, numery telefonów, adresy e-mail, informacje o zamówieniach czy dokumenty związane z realizowanymi usługami.
Ich wyciek może oznaczać nie tylko problem techniczny. Pojawiają się również kwestie prawne, organizacyjne i wizerunkowe.
Firma musi ustalić, jakie informacje zostały ujawnione, jak doszło do zdarzenia i jakie działania należy podjąć. W niektórych przypadkach konieczne może być również poinformowanie odpowiednich osób lub instytucji.
Dlatego ochrona danych nie powinna ograniczać się do zainstalowania programu antywirusowego. Ważne są także procedury, aktualizacje, kopie zapasowe i sposób zarządzania dostępem do firmowych systemów.
Kopia zapasowa może uratować firmę
Jednym z najprostszych zabezpieczeń jest regularny backup danych.
Problem w tym, że samo wykonywanie kopii nie wystarczy. Trzeba jeszcze upewnić się, że można ją rzeczywiście wykorzystać.
Dobra praktyka polega na przechowywaniu kopii w taki sposób, aby awaria komputera, serwera albo atak na główny system nie spowodowały jednocześnie utraty wszystkich backupów.
Warto również okresowo sprawdzać możliwość odtworzenia danych. Kopia, której nigdy nie przetestowano, daje tylko pozorne poczucie bezpieczeństwa.
Dla przedsiębiorstwa kluczowe pytanie brzmi: "Jak długo firma może funkcjonować bez dostępu do swoich danych?".
Jeżeli odpowiedź brzmi "kilka godzin" albo "jeden dzień", sposób wykonywania kopii zapasowych powinien być traktowany bardzo poważnie.
Hasła nadal są jednym z podstawowych zabezpieczeń
Pracownicy często korzystają z wielu systemów jednocześnie. Poczta, panel sklepu internetowego, system księgowy, media społecznościowe i usługi chmurowe wymagają kolejnych loginów i haseł.
Naturalną pokusą jest stosowanie jednego hasła w wielu miejscach. To jednak znacznie zwiększa ryzyko. Jeśli dane dostępowe wyciekną z jednego serwisu, przestępca może próbować użyć ich również w innych systemach.
Dobrym rozwiązaniem jest korzystanie z unikalnych haseł oraz uwierzytelniania wieloskładnikowego tam, gdzie jest ono dostępne.
Ważne jest także szybkie odbieranie dostępu osobom, które przestają pracować w firmie.
Cyberbezpieczeństwo to również kwestia finansowa
Atak może spowodować koszty związane z pomocą informatyczną, odzyskiwaniem danych, przywracaniem systemów i analizą zdarzenia. Do tego dochodzą potencjalne straty wynikające z przestoju.
Jeżeli sklep internetowy nie działa przez kilka dni, firma może stracić część sprzedaży. Jeżeli biuro nie ma dostępu do dokumentów klientów, może mieć problem z realizacją bieżących usług. W zakładzie produkcyjnym awaria systemu informatycznego może natomiast zakłócić pracę urządzeń albo obsługę zamówień.
Dlatego przedsiębiorcy coraz częściej analizują cyberzagrożenia razem z innymi ryzykami związanymi z prowadzeniem działalności.
Przy przeglądzie ubezpieczeń dla firm warto zwrócić uwagę nie tylko na ochronę budynku, wyposażenia czy odpowiedzialność cywilną, ale także na zagrożenia wynikające z coraz większego uzależnienia przedsiębiorstwa od technologii.
Czy ubezpieczenie cyber może zastąpić zabezpieczenia techniczne?
Nie. Te dwa obszary należy traktować jako uzupełniające się elementy.
Ubezpieczenie cyber nie powinno być usprawiedliwieniem dla braku aktualizacji systemów, słabych haseł czy braku kopii zapasowych. Podobnie jak ubezpieczenie samochodu nie zwalnia kierowcy z obowiązku dbania o sprawność pojazdu.
Najważniejsze pozostaje ograniczanie prawdopodobieństwa wystąpienia incydentu.
Dopiero kolejnym etapem jest zastanowienie się, jak firma poradzi sobie finansowo i organizacyjnie, jeśli mimo zastosowanych zabezpieczeń dojdzie do poważnego zdarzenia.
Mała firma powinna zacząć od prostych pytań
Nie każda działalność potrzebuje rozbudowanego działu IT. Każda może jednak przeprowadzić podstawową analizę swojego bezpieczeństwa.
Warto sprawdzić:
- gdzie przechowywane są najważniejsze dane,
- kto ma do nich dostęp,
- czy wykonywane są kopie zapasowe,
- czy pracownicy korzystają z unikalnych haseł,
- czy systemy są regularnie aktualizowane,
- co firma zrobi w pierwszych godzinach po wykryciu ataku,
- jak długo przedsiębiorstwo może działać bez swoich systemów.
Już odpowiedzi na te pytania pozwalają zauważyć największe słabości.
Przy analizowaniu szerszego zabezpieczenia działalności pomocne może być również skonsultowanie różnych obszarów ryzyka z Fides Finanse, które zajmuje się ochroną przedsiębiorstw, ich majątku, flot oraz innych elementów związanych z prowadzeniem biznesu.
Zagrożenia cyfrowe będą coraz bardziej zwyczajne
Technologia w małych firmach przestała być dodatkiem. Dzisiaj nawet niewielki przedsiębiorca może prowadzić sprzedaż przez internet, wystawiać faktury w chmurze, przechowywać dokumenty online i kontaktować się z klientami za pomocą kilku różnych systemów.
To ogromne ułatwienie, ale jednocześnie nowe źródło ryzyka.
Cyberatak nie musi doprowadzić do spektakularnego paraliżu całej firmy, aby okazał się kosztowny. Czasem wystarczy przejęte konto pocztowe, zaszyfrowany komputer albo utrata dostępu do ważnych dokumentów.
Dlatego cyberbezpieczeństwo najlepiej traktować tak samo jak inne elementy prowadzenia działalności. Najpierw należy ograniczyć ryzyko, przygotować procedury i zadbać o techniczne zabezpieczenia. Następnie warto zastanowić się, jakie finansowe konsekwencje miałoby zdarzenie, którego mimo wszystko nie udałoby się uniknąć.
Im bardziej firma zależy od komputerów i danych, tym ważniejsze staje się to pytanie.
Napisz komentarz
Komentarze