Třetina zaměstnanců v práci sdílí hesla, otevírá neznámé přílohy nebo jinak ohrožuje bezpečnost zaměstnavatele

Zpět na blog

Praha, 18. dubna 2024 – Třetina českých zaměstnanců porušuje zásady bezpečného chování na internetu a své zaměstnavatele tak vystavuje zvýšenému riziku online podvodu nebo hackerského útoku. Lidé například navzájem sdílejí přihlašovací údaje do firemních systémů, zasílají pracovní dokumenty soukromým e-mailem či přes sociální sítě nebo k práci využívají neschválené soukromé počítače či telefony. Firmy přitom tato rizika podceňují. Téměř 13 % společností nemá interní pravidla zvyšující firemní odolnost proti kybernetickým útokům. Situace je přitom výrazně horší u malých firem do 50 zaměstnanců, kde tato opatření chybí ve čtvrtině případů. Naopak u firem nad 500 zaměstnanců mají tato opatření téměř všechny společnosti. Vyplývá to z výzkumu technologické společnosti ANECT mezi 1050 zaměstnanci českých firem.

 

Největší část zaměstnanců, konkrétně 65 %, uvedla, že mají ve firmě zakázáno sami instalovat programy a aplikace v pracovním počítači. Pouze polovina lidí (48 %) však uvedla, že má omezený přístup k souborům a části firemní sítě, které nepotřebují ke své práci, a pouze 39 % používá při přihlašování do firemních systémů vícefaktorovou autentizaci. Zákaz využívání externích USB disků, stejně jako zákaz využívání osobních zařízení (mobilní telefony, počítače, tablety apod.) k pracovním účelům má zavedený třetina firem. Pouze šestina zaměstnanců (16 %) využívá pro přihlašování do interních systémů bezheslové metody, ať už jde o biometrii či hardwarové klíče.

„Tato čísla jsou alarmující, protože většinou jde o opatření, která je poměrně snadné a levné zavést a která můžou výrazně snížit riziko úspěšného hackerského útoku vedeného přes zaměstnance. Například omezení možnosti zaměstnanců cokoli sami instalovat nebo důsledná správa identit a omezení pohybu zaměstnanců po firemní síti jsou opatření, která by neměla chybět v žádné společnosti,“ říká Petr Mojžíš, konzultant kybernetické bezpečnosti ve společnosti ANECT.

U společností do 50 zaměstnanců je podíl firem s jednotlivými opatřeními o 10 až 20 procentních bodů nižší než je průměr, naopak u firem nad 500 zaměstnanců je o 10 až 20 procentních bodů vyšší.

„Rozdíl mezi velkými a malými firmami je přirozený. Čím větší společnost, tím více si na jedné straně uvědomuje možná rizika a tím větší má většinou zdroje vyčleněné na oblast IT včetně firemní bezpečnosti. Pozitivní je, že alespoň nějaká opatření mají v zásadě všechny velké firmy, na druhou stranu podíl těch, které využívají všechny základní ochranné metody by měl být určitě vyšší,“ říká Petr Mojžíš.

 

Chování ohrožující kybernetickou bezpečnost firem přiznává třetina zaměstnanců

Výše popsaná opatření jsou přitom podle Petra Mojžíše o to důležitější, že třetina zaměstnanců se přiznává k činnostem, které jsou z pohledu firemní bezpečnosti rizikové. Nejvíce lidí, konkrétně 15 %, přiznalo využití neschválených soukromých zařízení. Z pohledu firemní bezpečnosti jde přitom o značné riziko, především, pokud se zaměstnanec může přihlašovat k firemní síti bez nutnosti vícefaktorového ověření a pokud nemá striktně omezená uživatelská práva. „Pokud se zaměstnanci můžou připojit k firemním systémům ze svého soukromého počítače či tabletu, znamená to často, že dotyčná společnost má jen minimální povědomí o tom, jaká zařízení se připojují do firemní sítě a co v ní provádí. Soukromé zařízení se tak (bez vědomí jeho vlastníka) může velmi snadno stát vstupní branou hackerů dovnitř firmy,“ upozorňuje Petr Mojžíš.

Desetina lidí přiznala otevírání neznámých e-mailových příloh a stejný počet také instalaci programů nebo aplikací do firemního počítače či telefonu bez vědomí IT oddělení. V obou případech jde přitom o činnosti, u kterých existuje velké riziko napadení počítače a následně celé firemní sítě. Podobně závažné je také sdílení přihlašovacích údajů s někým z kolegů, ke kterému se přiznalo 7 % zaměstnanců. Další desetina potom uvedla, že sdílí pracovní dokumenty nebo informace skrze soukromý e-mail či sociální sítě, což může mimo jiné vést k úniku citlivých firemních dat. „Ve všech výše popsaných případech najdeme celou řadu rizik, která se v nich skrývají. Obecně ale jde vždy o to, že útočníci se snaží, aby jejich maskovaný škodlivý kód někdo stáhl, otevřel a spustil. Náš průzkům přitom potvrzuje, že příležitostí k tomu mají a nadále budou mít dostatek. Společnosti proto musí mít zavedeny pokročilé technické ochrany proti spouštění a šíření škodlivého kódu,“ vysvětluje Petr Mojžíš.

Rizikověji se přitom podle průzkumu chovají mladí zaměstnanci. Zatímco mezi lidmi od 45 do 54 let uvedlo 70 % respondentů, že se podobným aktivitám vyhýbají a u zaměsnanců nad 54 let dosahoval tento podíl 75 %, u lidí do 35 let šlo pouze o 57 % lidí. „Důvodem je podle našich zkušeností kombinace několika faktorů. Mladí lidé jsou obecně více spjatí s technologiemi, které využívají téměř ke všem činnostem v každodenním životě, a mají tak mnohem více příležitostí k rizikovému chování. I díky tomu mají tendenci některá rizika podceňovat nebo si je uvědomovat méně než starší kolegové,“ říká Petr Mojžíš.

 

S ransomwarovým útokem se setkalo 7 % zaměstnanců

Průzkum se zaměřil také na to, s jakými situacemi se v oblasti kybernetické bezpečnosti zaměstnanci setkali. Dvě třetiny respondentů (62 %) uvedly, že se v jejich firmě už řešil pokus o podvod vedený online nebo přímo určitý kybernetický incident.

Nejčastěji šlo o snahu o podvod spojenou se zaplacením vymyšlené faktury (38 %), ale 8 % zaměstnanců se ve firmě setkalo s krádeží či únikem dat a necelých 7 % i s úspěšným ransomwarovým útokem, který vyřadil z provozu firemní síť. „Právě tyto typy útoků patří mezi ty nejnebezpečnější. V obou případech vedou k velkým reputačním i finančním ztrátám a v některých extrémních případech můžou vést až k zániku celé společnosti,“ upozorňuje Petr Mojžíš. Zároveň dodává, že množství firem, které se setkaly s pokusem o ransomwarový útok je reálně vyšší, než vidí jejich zaměstnanci: „Řada ransomwarových útoků může být úspěšná jenom částečně nebo vůbec a nemusí tak dojít k vyřazení celé sítě nebo se o nich zaměstnanci nemusí dozvědět.“

 

Řada ransomwarových útoků přitom vede právě přes zaměstnance a přes krádeže přihlašovacích údajů zaměstnanců. Tuto cestu je podle Petra Mojžíše možné hackerům výrazně ztížit. „Je třeba snížit rizikové chování zaměstnanců, ideálně kombinací zajímavých školení a prosazením výše popsaných omezení. Jde o jedny z nejefektivnějších opatření z pohledu jejich složitosti a ceny. Firmy ale samozřejmě nesmí zapomínat ani na řadu technických opatření, od základních bezpečnostních nastavení a včasné aktualizace veškerých svých systémů, přes pořízení vhodných nadstavbových prevenčních i monitorovacích nástrojů, až po funkční zálohování dat,“ upozorňuje odborník z ANECTu.

 

Graf 1: Rizikové činnosti zaměstnanců s ohledem na kybernetickou bezpečnost

Zdroj: průzkum společnosti ANECT mezi 1050 zaměstnanci s převážně kancelářskou náplní práce

 

Graf 2: Firemní opatření na zvýšení kybernetické bezpečnosti, která si zaměstnanci vybavují

Zdroj: průzkum společnosti ANECT mezi 1050 zaměstnanci s převážně kancelářskou náplní práce

 

Graf 3: Firemní opatření na zvýšení kybernetické bezpečnosti, která si zaměstnanci vybavují

Zdroj: průzkum společnosti ANECT mezi 1050 zaměstnanci s převážně kancelářskou náplní práce

 

   

Nebezpečí nesprávného používání firemních počítačů a jak lze LEVNĚ snížit rizikovost takového chování


Otevření přílohy e-mailu od neznámého odesílatele nebo otevření odkazu v tomto mailu

Při otevírání příloh od nedůvěryhodných odesílatelů hrozí především infikování pracovního počítače nebo jiného zařízení (telefon, tablet apod.) a následně celé firemní sítě. Škodlivý kód může mít řadu podob. Jeho cílem je většinou získání nejrůznějších přihlašovacích údajů a přístupu do firemní sítě. Jakmile se to podaří, můžou hackeři například ukrást a zašifrovat firemní data a následně požadovat výkupné za jejich zpřístupnění.

Jak je možné snížit rizika

1. Základem je vždy aktualizovaný ochranný program (Endpoint Protection): Těmi nejjedodušími jsou antivirové programy, které stále dokáží odhalit běžné útoky. Obecně zde ale doporučujeme nešetřit na licencích a pořídit ochranu v nejširší verzi, kterou její výrobce nabízí, tvz. endpoint detection and response (EDR) či extended detection and response (XDR). V praxi tyto systémy bývají často kritickým faktorem ochrany.

2. Nemožnost instalace jakýchkoli programů a aplikací na pracovním počítači: Firemní počítače a další zařízení by by měly být nastaveny tak, aby zaměstnancům znemožňovaly cokoli v nich instalovat. Hackeři tak při spuštění škodlivého kódu z přílohy budou mít pro své aktivity omezený prostor. Zaměstnanci by obecně ve firemních zařízeních měly mít jen ty programy a funkce, které potřebují ke své práci. Tato opatření se spolu s dalšímí metodami, které cíleně snižují prostor pro aktivitu hackerů nazývají hardening a věnovat pozornost by jim měly všechny firmy.

3. Přihlašování do firemní dítě pomocí vícefaktorového ověření: přidání dalšího ověřovacího prvku (například opis kódu z bezpečnostní aplikace nebo SMS zprávy) znemožní zneužití situace, kdy hackeři skrze škodlivý program získají informace o přihlašovacím jméně a heslu. Čím více oprávnění má daný zaměstnanec ve firemní síti, tím je toto opatření důležitější.

4. Správné nastavení oprávnění jednotlivých uživatelů ve firemní síti: Pokud se dokážou hackeři přes škodlivou přílohu dostat až do fiemní sítě, měli by v ideálním případě mít zavřené dveře ke všem důležitým částem a oprávněním. To znamená, že každý uživatel by měl mít přístup pouze do té části sítě, kterou běžně využívá pro svoji práci, a zároveň by měl mít co nejmenší oprávnění k jakýmkoli činnostem. Platí to pro síť a stejně tak to platí i pro všechny informační systémy.

 


Použití osobního zařízení, které není schváleno IT oddělením k pracovním účelům

Zde hrozí podobná rizika jako u otevírání neznámých příloh nebo odkazů. Soukromé zařízení lidé využívají k mnohem širší škále aktivit než ta firemní, což znamená, že existuje také vyšší riziko, že tato zařízení budou napadena škodlivým programem. V soukromých zařízeních navíc neexistují omezení typu znemožnění instalace programů, proto je riziko o něco vyšší než v prvním případě. Pokud se navíc zaměstnanci mohou do firemní sítě přihlásit z jakéhokoli zařízení, znamená to, že firma nemá dobrý přehled o tom, jaká zařízení jsou k její síti připojena a co v ní dělají. To je přitom jeden z faktorů, které výrazně zvyšují riziko úspěšných hackerských útoků.

Jak je možné snížit rizika

1. Nejúčinnější metodou je zde zcela znemožnit přihlášení do firemní sítě z počítačů a dalších zařízení, která nejsou předem schválena. V tomto případě je identita zaměstnance spojena také s identitou jeho notebooku a dalších zařízení a není možné, aby se do sítě přihlašoval z jakéhokoli jiného zařízení.

2. Pokud toto nejde striktně omezit, je třeba k zařízením přistupovat jako k automaticky nebezpečným a v rámci sítě je izolovat na nějnutnější úkony, které mohou provádět (např. pouze jim umožnit připojení do internetu).

3. Poslední možností, je důsledně technicky monitorovat, co tato zařízení dělají. Bezpečnostní monitoring je však obecně vždy dražší a méně účinný, než prevence.

 


Instalace programu nebo aplikace do firemního zařízení (telefon, počítač) bez vědomí IT oddělení

Každá instalace jakéhokoli programu nebo aplikace do firemního zařízení zvyšuje riziko jeho napadení hackery a následně napadení celé sítě. Hackeři můžou využít nejrůznějších zranitelností bezpečnostních chyb v těchto programech, ale také můžou využít podvržených odkazů k instalaci škodlivého kódu a následnému útoku na celou firmu.

Jak je možné snížit rizika

1. Omezit práva zaměstnanců na firemních zařízeních. Zaměstnanci by měli mít v rámci svého přihlašovacího přístupu umožněno využívat počítače a další zařízení k běžným činnostem, ale ne přidávat jakékoli programy nebo je měnit. To výrazně sníží riziko napadení jejich počítačů a firemní sítě.

2. Opět platí, že pokud toto není dostatečně striktně vynuceno, je nutné považovat zařízení za nebezpečná. Zachránit situaci mohou vyspělé produkty na ochranu koncových zařízení (Endpoint Protection) zmíněné výše.

 


Sdílení pracovních informací nebo souborů přes osobní e-mail nebo sociální média

Pokud zaměstnanci využívají ke sdílení pracovních informací a souborů sociální sítě nebo jiné soukromé kanály (e-mail apod.), hrozí především to, že se tyto informace dostanou do nepovolaných rukou. V případě důvěrných informací může jejich únik vést k poškození zaměstnavatele. Jakékoli interní informace jsou také cenným zdrojem pro hackery, kteří díky nim můžou připravit účinnější phishingové kampaně a zvýšit šanci, že proniknou do firemní sítě.

Jak je možné snížit rizika

1. Zakázat přístup na vybrané weby (sociální sítě, weby na přenos dat apod.) už na úrovni nastavení jednotlivých pracovních zařízení a zároveň zakázat využívání osobních zařízení pro pracovní účely. Tato opatření sice nezabrání posílání firemních informací soukromými kanály zcela, výrazně však omezi možnosti, které k tomu zaměstnanci budou mít.

2. Zakázat využívání neschválených externích USB disků: Podobně jako v prvním případě, i toto opatření snižuje příležitosti k tomu, aby se firemní data dostala někam, kam nemají.

3. Školení o nakládání s firemními daty: Školení by mělo být ideálně pravidelné, zajímavé (interaktivní) a mělo by také ideálně zábavnou formou ověřovat, co si z něj zaměstnanci odnesli.

 


Sdílení přihlašovacích údajů s někým z kolegů

Jakékoli sdílení přihlašovacích údajů zvyšuje riziko, že se tyto informace dostanou do nepovolaných rukou. V ideálním případě by měl mít každý zaměstnanec ve firemní síti jiná přístupová oprávnění. Při sdílení přístupu do firemní sítě přitom hrozí, že hackeři ukradnou všechny přístupové údaje, které daný zaměstnanec používá. To dále zvyšuje riziko úspěšného hackerského útoku.

Jak je možné snížit rizika

1. Přihlašování do firemní dítě pomocí vícefaktorového ověření: přidání dalšího ověřovacího prvku (například opis kódu z bezpečnostní aplikace nebo SMS zprávy) výrazně ztíží přihlašování skrze identitu jiného kolegy. Ten bude muset na přihlášení aktivně spolupracovat, což sníží počet těchto situací, i jejich rzikovost.

2. Školení o bezpečnosti informací:: Školení by mělo být ideálně pravidelné, zajímavé (interaktivní) a mělo by také ideálně zábavnou formou ověřovat, co si z něj zaměstnanci odnesli. Konrétně v tomto tématu by zaměstnanci měli být poučeni o tom, že se sdílením přihlašovacích údajů zůstává odpovědnost za cokoli, co jakákoli jiná osoba provede, stále u nich.

 

 

 

19. 4. 2024