Először meghackelt egy e-mail fiókot, aztán egy nevetségesen egyszerű trükkel új felhasználóként kért és kapott hozzáférést a rendszerhez.

A világ legjobb eszközei sem védenek meg, ha az alkalmazottak dilettánsak” – mondja Sallai György, a KPMG információbiztonsági szakértője.

Kilencezer nemzetbiztonsági alkalmazott nevét, telefonszámát és más személyes adatát töltötte fel a netre egy amerikai hacker, miután a Super Bowl ideje alatt a social engeneering legegyszerűbb módszerével szerzett hozzáférést a drága szoftver- és hardvereszközökkel védett amerikai hivatalok rendszereihez.

A hacker azt állítja, további 20 ezer FBI-alkalmazott adatait is megszerezte, és azokat is hamarosan közzéteszi. Erről szóló posztjában az is szerepel, hogy 200 gigabájtnyi nemzetbiztonsági adatot töltött le, pedig az akció alatt 1 terabájthoz volt hozzáférése.

A hülyeséggel nem lehet számolni

A hacker előbb feltört egy e-mail fiókot, azután betelefonált a hivatalba azzal, hogy új felhasználóként elakadt és nem tud továbblépni a rendszerben. A megkeresett alkalmazott ekkor megkérdezte, van-e kódja, a nemleges választ követően pedig megadta a sajátját. A hacker ezután belépett a rendszerbe, és a már meghackelt e-mail fiókon keresztül hozzáférést szerzett egy hálózatra kötött működő géphez, ahonnan belépett az intranetre.

Ez egészen egyszerűen hihetetlen, ám a jelek szerint mégis igaz – mondta Sallai György, a KPMG információbiztonsági tanácsadásért felelős igazgatója. A világ legdrágább védelmi rendszere sem sebezhetetlen, ha az alkalmazottak egyszerűen dilettánsak. Nagyon kíváncsi lennék, hogy az illető megadta volna-e a saját bankjától a tokenjére érkező jelszót, ha valaki felhívja. Talán igen, de nagyobb a valószínűsége annak, hogy nem: ez pedig kiválóan mutatja, hogy alkalmazottként milyen felelőtlenek tudnak lenni az emberek – szörnyülködött a szakértő.

Sallai György szerint az információbiztonság érdekében a különböző hardveres és szoftveres megoldások mellett öt további intézkedés megkerülhetetlen:

1. A fenyegetettségek hierarchikus kezelése

Nem elegendő, ha az IT-szakemberek technikai eszközökkel harcolnak a rendszer sérülékenységei ellen. Egy biztonsági szabály figyelmen kívül hagyása, egy olcsó beszállító bevonása vagy egy belső ellenőrzési jelentés alulértékelése mind gyors üzleti eredménnyel kecsegteti az adott szintű vezetőt, aki éppen ezért nem maradhat ki a kockázatkezelés látóköréből. A szervezeti hierarchia helyes megválasztása fontos szempont, éppen úgy, mint az, hogy a védelmi intézkedések áthassák a szervezetet egészét.

2. Munkavállalók képzése

Az adatvesztések második leggyakoribb oka humán kockázatra vezethető vissza. Ezeket akár egy olyan költségkímélő biztonsági tréninggel is meg lehet akadályozni, amelyik nyomatékosan felhívja a dolgozók figyelmét a „Password1234” jelszó használatának veszélyeire vagy a post-it cédulákra írt jelszavak kockázatára. Ha a szervezet nem látja az előtte álló kockázatok erdejét, social engineering vizsgálattal feltárhatja a neuralgikus pontokat.

3. Beszállítók monitorozása

A tapasztalatok azt mutatják, hogy az egyik legnagyobb biztonsági kockázat olyan harmadik személy – azaz a legtöbb esetben valamelyik beszállító –, amellyel számítógépen kommunikálunk. Az üzleti racionalitás érdekében beszállítók egész sora fér hozzá felhasználói vagy üzletileg érzékeny adatokhoz. Éppen ezért vizsgálni kell, hogy a beszállítók milyen rendszereket, adatokat és munkafolyamatokat érnek el, és az adott hozzáférés valóban szükséges-e a munkavégzéshez.

4. Biztonsági szabályok alkalmazása

Itt lényegesen többről van szó, mint a szabályok kialakításáról. A gyakorlati alkalmazáson, betartatáson van a hangsúly, mert minden szabály annyit ér, amennyire komolyan veszik. A legkisebb változtatás kockázatait is mérlegelni kell, és a szabályok alkalmazását minden esetben kockázatarányos módon kell kikényszeríteni.

5. Sérülékenységek rendszeres ellenőrzése

A rendszeres ellenőrzés a leghatékonyabb módja a külső támadások megakadályozásának. Nem elég azonban egy rendszer gyenge pontjait a bevezetés pillanatában vizsgálni, sőt még az éves felülvizsgálat is kevésnek bizonyulhat, ha a struktúrákban sűrűn történik változás. A vizsgálatok tervezésénél fontos szempont a proaktivitás. Minden változás alkalmával érdemes a vele járó kockázatokat előre számba venni, és felkészülni a kezelésükre.

A sérülékenységek túlnyomó többsége már a tervezési-fejlesztési szakaszban látszik. Helyes szabályok, rutinok és kockázatelemzés alkalmazásával még a rendszer elkészülte előtt láthatóvá válnak a gyenge pontok.