Įmonės duomenys „debesyje“: kokios galimybės ir grėsmės?

Pandemija tik dar labiau paspartino ir taip įsibėgėjusį įmonių duomenų persikėlimą į „debesis“. Jei prieš trejus metus 4 iš 10 smulkiųjų ir vidutinių įmonių rinkosi likti prie fizinių duomenų saugojimo infrastruktūrų, tai dabar 9 iš 10 jų sėkmingai naudojasi internetinėmis duomenų saugojimo platformomis. Tačiau ar tikrai saugu „debesims“ patikėti reikšmingą įmonės informaciją?

ESET Lietuva šiandien pristatė pažangią prevencinę apsaugą „ESET Cloud Office Security“, skirtą „Exchange Online“, „OneDrive“, „SharePoint Online“ ir „Teams“ aplinkų saugumui debesyje, pritaikytą „Microsoft 365“ programų naudotojams.

Duomenys „debesyje“ – patogiau

Tai, kad įmonės atsisako fizinių duomenų saugojimo ir valdymo infrastruktūrų perkeldamos jas į „debesis“ – nestebina, nes internetinės platformos yra tiesiog patogesnės. Galimybė greitai dalintis ir redaguoti dokumentus, patogiai juos saugoti, naudotis inovatyviomis funkcijomis leidžia įmonėms tapti konkurencingesnėmis.

„Šiandien įmonės į „debesį“ renkasi perkelti ir pagrindines naudojamas aplikacijas, tokias kaip apskaita, pardavimų ar gamybos programiniai įrankiai, įvairių failų saugojimas ir lengvesnis dalinimasis įmonės viduje. Pandemija taip pat prisidėjo prie įmonių infrastruktūros perkėlimo į internetą – nuotolinis darbas lėmė, kad vis dažniau naudojamos nuotolinės komunikacinės priemonės vaizdo konferencijoms ir susirašinėjimui, taip pat ir kolektyviniam projektų valdymui“, – sako Kristina Miliauskienė, GoIT procesų ir projektų vadovė.

Anot pašnekovės, „debesies“ paslaugos nedidelėms įmonėms patrauklios ir dėl to, kad nereikalauja didelių pradinių investicijų įrangai bei licencijoms, o taip pat leidžia išvengti nuolatinių išlaidų įrangos išlaikymui.

„Laikyti įmonės duomenis „debesyje“ pravartu ir dėl to, kad tokiu atveju visada yra galimybė naudotis naujausia programinės įrangos versija. Naujausios įrangos versijos leidžia sklandžiai dirbti negalvojant apie programų suderinamumo problemas, o aktualiausias aplikacijų funkcionalumas verslą daro konkurencingesnį prieš mažiau investuojančius“, – vardija K. Miliauskienė.

Sutaupyti įmonėms leidžia tai, kad internete esančiomis platformomis galima naudotis lanksčiai ir mokėti tik už tą laikotarpį, kurį įmonė naudojasi duomenų saugojimo paslaugomis. Tai aktualu ne tik verslui augant ar keičiantis, bet ir turint laikinus, daugiau resursų reikalaujančius projektus ar dirbant pagal sezoniškumą.

Ar „debesys“ tikrai saugūs?

„Debesies“ paslaugas teikiančios didžiosios bendrovės, tokios kaip „Google“, paprastai turi pakankamai resursų investuoti į geriausias saugumą užtikrinančias priemones. K. Miliauskienė teigia, kad internete esančios duomenų saugojimo platformos paprastai yra aukštesnio saugumo lygmens nei fizinė įmonėje laikoma infrastruktūra. Paprastai „debesies“ paslaugą siūlančios bendrovės imasi priemonių itin sparčiai neutralizuoti naujas kylančias grėsmes.

„Didžiausias išbandymas saugumui yra būtent žmonių klaidos. Akivaizdu, kad įmonės, besirinkdamos „debesies“ sprendimus, siekia lengvesnio duomenų prieinamumo ir dalinimosi įmonės viduje, o tai, savaime aišku, sukelia papildomų grėsmių. Paprastai žmonės patys įsileidžia į sistemą kenkėjiškas programas atidarydami fiktyvius el. laiškus, naudodami nesaugius slaptažodžius ar nesaugiai laikydami įrangą“, – sako K. Miliauskienė.

Vis dėlto „ESET Lietuva“ IT inžinierius Lukas Apynis pastebi, kad yra kenkėjiškų programų, galinčių įsiskverbti į organizacijos duomenis saugantį „debesį“.

„Organizacijoms pereinant prie „Microsoft 365“ tokiu sparčiu tempu, matome naują atakos vektorių – „Azure Applications“. Užpuolikai gali sukurti, užmaskuoti ir įdiegti kenkėjiškas „Azure“ programas, kurias būtų galima naudoti sukčiavimo kampanijose. „Azure“ programoms nereikia kodo vykdyti vartotojo kompiuteryje, todėl lengva išvengti antivirusinių programų, ieškančių kenkėjiškų programų pačiame kompiuteryje“, – apie naujas sukčiavimo programas pasakoja pašnekovas.

L. Apynis sako, kad „Azure“ programas į debesijos platformą įdiegia pats žmogus, įtikintas kibernetinio nusikaltėlio. Taigi ir čia didžiausią įtaką atakos sėkmei daro žmogiškosios klaidos. „Azure“ programa leidžia užpuolikui gauti prieigą prie aukos dokumentų, skaityti el. paštą, siųsti el. laiškus įmonės vardu.

Remiantis pasaulinės kibernetinio saugumo kompanijos ESET telemetrijos duomenimis, dažniausios grėsmės internete pandemijos laikotarpiu buvo susijusios su nuotolinio darbalaukio atakomis, o taip pat padaugėjo ir el. pašto atakų. Tampa akivaizdu, kad pandemijai perkeliant įmonių darbą į „debesį“, čia suaktyvėja ir kibernetiniai nusikaltėliai.

Pavykusios kibernetinės atakos gali ne tik paralyžiuoti įmonės darbą, tačiau ir daryti žalą, kuri nėra iš karto pastebima. Kaip pavyzdį L. Apynis pateikia atvejį, kai įsilaužiama į el. paštą ir nusavinami vertingi įmonės duomenis. Šios atakos įmonės darbuotojai ir vadovai iškart gali nė nepastebėti, tačiau finansinė žala vėliau gali būti tikrai didelė.

Saugumą užtikrina atidumas detalėms?

Vienas iš efektyviausių būdų užtikrinti „debesyje“ esančių duomenų saugumą – įdiegti pažangesnes antivirusines programas, kurios gali būti integruojamos į debesijos sprendimus.

„Tiek dėl nuotolinio darbo, tiek dėl vis labiau augančių išorinių ir vidinių IT grėsmių jau neišvengiama kiekvienai įmonei investuoti į aukštesnius saugumo standartus. Įmonės vis dažniau patiria finansinių, techninių, reputacijos nuostolių, todėl renkasi papildomus „AntiSpam/Firewall“ įrankius, taip pat centralizuotai valdo kompleksinius saugumo variklius bei papildomus atsarginių kopijų sprendimus“, – teigia K. Miliauskienė.

Įmonės taip pat gali rinktis papildomus saugumo užtikrinimo būdus. „Debesyje“ laikomi dokumentai gali būti užšifruojami, o jiems perskaityti suteikiamas specialus kodas, todėl tik prieigos leidimą turintys asmenys, gavę šiuos kodus, gali prieiti prie duomenų. Taip pat yra galimybių prieigą prie duomenų suteikti tik iš tam tikrų įrenginių, tačiau tai mažiau patogu, nes darbuotojai, neturėdami su savimi prieigą prie „debesies“ turinčio įrenginio, negalės duomenimis naudotis.

Svarbus saugumo užtikrinimo faktorius – darbuotojų mokymai. Įmonėms rekomenduojama nustatyti tvarką, kaip darbuotojai turėtų naudotis prisijungimais, technika, saugoti konfidencialius duomenis, slaptažodžius, laikytis saugumo reikalavimų, nes kibernetiniai nusikaltėliai dažniausiai naudojasi žmonių klaidomis.

„Darbuotojams patarčiau atidžiau skaityti el. laiškus, kadangi el. laiškai išlieka viena iš populiaresnių atakų, privedančių prie kenkėjiškų debesijos aplikacijų įdiegimo. Vadovams rekomenduoju atkreipti dėmesį į darbuotojų IT žinias, rengti mokymus, kuriuose darbuotojai sužinotų apie saugų naudojimąsi debesijos paslaugomis. Jei darbuotojams trūksta žinių, reikėtų surengti kibernetinio saugumo mokymus“, – pataria L. Apynis.

ESET Lietuva ir GoIT kibernetinio saugumo specialistai rekomenduoja atkreipti dėmesį ir į saugų vartotojo autentifikavimą: pasirinkti saugius, pakankamai sudėtingus slaptažodžius, naudotis papildomais tapatybės patvirtinimais. Įmonių IT saugumo specialistams rekomenduojame įdiegti „ESET Cloud Office Security“ – pažangią prevencinę apsaugą, skirtą apsaugoti Jūsų įmonės duomenis, laikomus debesyje. Patogi naudoti debesijos konsolė leidžia apžvelgti į karantiną patekusius elementus ir iš karto praneša apie kenkėjiškų programų aptikimo atvejus. Nepageidaujamų laiškų filtravimo, apsaugos nuo kenkėjiškų programų nuskaitymo ir apsaugos nuo „phishing“  derinys padeda apsaugoti įmonės tinklą nuo kenkėjiškų programų, sumažina nepageidaujamų pranešimų neigiamą poveikį kasdieniam produktyvumui ir užtikrina, kad gaunami el. laiškai nebūtų naudojami kaip tikslinių atakų priemonė.