Hekerje želimo prehiteti, ne pa odpravljati škode za njimi

Veliko podjetij se ne zaveda, kje v digitalnem so dejansko ranljiva. Tudi dobro urejena IT-infrastruktura ima lahko varnostne luknje. Prav te pa iščejo ter odpravljajo etični hekerji in varnostni strokovnjaki podjetja CYBER-SEC.

V svetu, kjer kibernetski napadi postajajo vse bolj sofisticirani in ciljno usmerjeni, se preveč podjetij še vedno zanaša na osnovne zaščite ali zunanje storitve varnostno-operativnih centrov (SOC) v prepričanju, da so s tem povsem varna. Resničnost je drugačna. Tudi dobro urejena IT-infrastruktura ima lahko skrite luknje, neurejeno nadzorovanje okolja, pomanjkanje segmentacije omrežja, neposodobljene sisteme, sive cone pri zunanjih izvajalcih in pomanjkanje jasne razmejitve odgovornosti med IT, vodstvom in partnerji.

Vse te »digitalne razpoke« in ranljivosti predstavljajo šibke točke poslovanja, točke, kjer lahko napadalec vstopi v IKT- in/ali OT-okolje podjetja. Varovanje digitalne krajine se zato začne s temeljitim pregledom informacijskega okolja in morebitnih lukenj ali pomanjkljivosti. To pa je najbolje storiti na način, kot se pregleda »tarče« loti heker ali ekipa kibernetskih napadalcev.

»V CYBER-SEC s penetracijskimi testi preverjamo, kako varna so podjetja v resnici. Naša prednost so obilne praktične izkušnje zaposlenih, ki so tudi etični hekerji, mednarodni certifikati in sodelovanje zaposlenih na zahtevnih kibernetskih vajah, kot so Locked Shields in Crossed Swords v okviru NATO CCDCOE,« pravi Žan Urbančič, ustanovitelj in tehnični direktor CYBER-SEC d.o.o., in nadaljuje: »Tudi dobro urejena IT-infrastruktura ima lahko varnostne luknje. Z rednimi pregledi ranljivosti in penetracijskimi testi podjetjem pomagamo odkriti tveganja, preden ta prerastejo v resne težave.«

Težav je več, kot jih podjetja priznajo

Kaj se torej dogaja IT-okoljih v slovenskih podjetjih? Po izkušnjah CYBER-SEC »s terena« so tipične šibke točke naslednje:

- Kibernetska varnost se pogosto ustavi pri požarnem zidu.

- Ni segmentacije omrežja in jasnega pregleda nad viri.

- Podjetja z zunanjimi izvajalci ne vedo natančno, kje se začne in konča njihova odgovornost.

Med pogostejšimi napakami v podjetjih je tudi odsotnost uporabe tehnologije večfaktorskega preverjanja (MFA) ali pa je ta uvedena nepopolno. »Hitro naraščajoča težava je raba storitev umetne inteligence, saj je ta pogosto nepopisana in neomejena, kar predstavlja potencialno resno ranljivost. Oziroma toliko večjo, če zaposleni v spletne storitve nekritično vnašajo pomembne poslovne podatke, zaupne podatke ali celo osebne podatke strank,« pojasni Danijela Šantak, specialistka za kibernetsko varnost in poslovna direktorica CYBER-SEC in doda, da senčni IT (naprave in programska oprema, ki so v poslovno okolje prinesene brez vednosti in nadzora oddelka IT) predstavlja veliko tveganje.

Tudi SOC ni vsemogočen

Čeprav varnostni strokovnjaki lahko potrdijo, da so najbolj ustrezno zaščitena prav podjetja z lastnimi varnostno-operativnimi centri in tista, ki storitve SOC najemajo, je zanašanje na to, da bo nek večji sistem preprečil varnostni incident ali katastrofo, zelo nevarno.

»Nekatera podjetja preprosto menijo, da so zato, ker imajo zakupljene storitve SOC katerega izmed večjih ponudnikov, absolutno varna. To ni nujno res. Posebej zato, ker se v takih okoljih rado primeri, da zaposleni niso več zelo pozorni in kdaj nevede napadalcem odprejo vrata v IT-okolje. Brez rednih penetracijskih testov, popisov in preverjanja IT-okolja tudi SOC ne more učinkovito pomagati,« svari Urbančič, ki ima za seboj več kot 200 penetracijskih testov v različnih panogah (zdravstvo, industrija, kritična infrastruktura) in izjemno pester nabor mednarodnih certifikatov (OSCP, CPTS, CRTP, CRTE, CRTA, eCPPT in drugi).

Kaj ponuja CYBER-SEC?

Podjetje nudi celovite storitve s poudarkom na ofenzivni varnosti:

- Penetracijsko testiranje (zunanje, notranje, aplikacijsko, white-/grey-/black-box) in odkrivanje in preverjanje ranljivosti, preden jih izkoristijo napadalci.

- Red Teaming oziroma realistične simulacije napadov (tehnični, socialni inženiring, fizični vidiki), ki preverijo zaznavanje in odzivnost.

- Varnost aktivnega imenika in identitet.

- Varnostni pregledi infrastrukture.

- Simulacije phishing napadov.

- GAP-analize in podpora pri skladnosti (NIS2/ZInfV-1 in drugi standardi).

- Odziv na varnostni incident ali kibernetski napad.

- Praktična izobraževanja in delavnice za zaposlene, IT-ekipe in vodstva.

- Varnostno svetovanje.

»Zakaj izbrati CYBER-SEC? Predvsem zato, ker pri naših varnostnih pregledih ne gre le za »kljukice na kontrolnem seznamu«. Pristop je prilagojen konkretnemu okolju stranke: najprej prepoznamo cilje in kontekst, varnostno držo podjetja temeljito preverimo v praksi, povsem enako, kot bi storili napadalci, in stranki na koncu predamo jasna, prednostno razvrščena priporočila z načrtom izboljšav,« pojasni Danijela Šantak in zaključi: »V času, ko se kibernetska varnost iz tehničnega vprašanja spreminja v strateško in zakonsko odgovornost vodstev, je partner, ki zna gledati z očmi napadalca, dragocen. CYBER-SEC ne prodaja občutka varnosti – preverja jo v praksi.«

Za več informacij obiščite www.cyber-sec.si.