Nešifrovaná e-mailová komunikace láká zloděje stejně jako odemčené auto

E-mailovou poštu využívají firmy pro interní i externí komunikaci od devadesátých let. I když IT odborníci neustále vyvíjejí nové formy jejího zabezpečení, z hlediska možného útoku se stále jedná o jednu z nejrizikovějších oblastí.

Každý den proteče internetem přes sto dvacet miliard obchodních emailů. Podle průzkumu amerického technologického institutu SANS proběhnou tři čtvrtiny phishingových, malwarových a ransomwarových útoků prostřednictvím e-mailu. Obvykle klikne adresát na přiložený link, který ho přesměruje na škodlivé stránky. Firmy jsou podle citovaného průzkumu obvykle napadeny spíše tímto způsobem, než že by útočníci využili zranitelnosti jejich síťové infrastruktury.

Ale ohroženy nejsou jen velké společnosti. Podle údajů společnosti Microsoft se počet kybernetických útoků zaměřených na firmy s méně než 250 zaměstnanci za první pololetí loňského roku zdvojnásobil. Průměrná způsobená škoda pak přesahovala částku 188 tisíc dolarů. Podle amerického Centra pro strategické a mezinárodní studie způsobí každý rok hackeři americké ekonomice škody za sto miliard dolarů.

Světová kyberkriminalita v datech

Server Varonis.com sestavil letos na jaře přehled nejzajímavějších údajů týkajících se globálních škod, které způsobili firmám počítačoví hackeři.

• Škody způsobné kybernetickými útoky narostly v roce 2017 ve srovnání s rokem 2016 o téměř 23 procent, průměrná výše škody způsobené hackery činila necelých dvanáct milionů dolarů.
• Průměrná škoda, kterou firmám způsobil malware, dosahovala 2,4 milionu dolarů.
• Práce na odstranění malwarového útoku trvaly v průměru padesát dní.
• Největší škody způsobí firmám ztráta obchodních informací, která činí 43 procent způsobených škod.
• Škody způsobené ransomwarem přesáhly v roce 2017 pět miliard dolarů, což je patnáctkrát více než v roce 2015.
• Ve firmách s více než padesáti tisíci odcizenými záznamy tvořila průměrná škoda způsobena únikem dat 6,3 milionu dolarů.
• Celkové škody způsobené kybernetickými útoky v roce 2021 by se měly pohybovat kolem 6 bilionů dolarů.

Základní pravidla pro firmy i zaměstnance

Přitom předcházet škodám způsobeným kybernetickými útoky není nijak složité. Z hlediska průměrného uživatele stačí dodržovat několik základních pravidel. V souvislosti s e-mailovou komunikací hlavně:

• Nikdy neklikejte na linky a neotevírejte přílohy v mailech od neznámých pisatelů.
• Nikdy neodpovídejte na e-maily, které požadují změny hesla, nebo se dotazují na vaše osobní údaje bez ohledu na to, jak důležitě nebo oficiálně původní zpráva působí.
• Pravidelně aktualizujte antivirové programy.
• Všechna důvěrná data před jejich odesláním e-mailem zašifrujte.
• Nepoužívejte firemní e-mail pro soukromé účely.
• Nepřeposílejte firemní e-maily na e-mailové adresy třetích stran.

Některé firmy dokonce testují reakce zaměstnanců vlastními phishingovými e-maily nebo podobnými zprávami. Po jejich vyhodnocení pak odměňují ty pracovníky, kteří zareagovali správně, tedy neklikli na přiložený odkaz nebo nahlásili podezřelý e-mail IT oddělení.

Zaměstnanci by také neměli nikdy opouštět spuštěné a nezabezpečené počítače. Zaveďte jako firemní předpis, že zaměstnanci musí při opuštění svého místa uzamknout počítač, i když odchází jen za kolegou u vedlejšího stolu. Samozřejmě, že následné odemčení je podmíněno zadáním uživatelova hesla.

Nepodceňujte ani nastavení bezpečnostních standardů pro mobilní zařízení, která v práci používají vaši zaměstnanci, ať už se jedná o firemní nebo soukromé přístroje. Mobilní telefony i tablety by měly být zajištěny dostatečně silným heslem a disponovat aplikacemi, které zabrání hackerům proniknout skrze sdílené WiFi sítě. Důležité je i správné nastavení přístupových práv a možnost smazání firemních dat ze soukromých přístrojů třeba po ukončení pracovního poměru.

Jak zabezpečit e-mailovou komunikaci

Kromě standardních zásad počítačové bezpečnosti by měly všechny firemní počítače používat pro důležitou obchodní komunikaci šifrované e-maily. Zašifrování vaší e-mailové komunikace pomůže ochránit nejen data o vaší firmě, ale také údaje týkající se vašich zákazníků. Na výběr máte více možností podle požadovaného stupně zabezpečení a míry vašeho pohodlí. Pochopitelně platí, že ta nejpohodlnější řešení obvykle nebývají těmi nejspolehlivějšími. Jedním z řešení je možnost stáhnout si speciální šifrovací plugin do vašeho e-mailového klienta.

Nezapomínejte ani na dostatečně silná hesla. Každý zaměstnanec by měl mít vlastní heslo pro vstup do počítače a do mailového klienta. Zvažte také možnost vícefaktorového přihlašování třeba pomocí zaměstnancova služebního mobilního telefonu.

Ideální heslo má nejméně dvanáct znaků a je tvořeno kombinací čísel, symbolů a malých i velkých písmen. Nemělo by obsahovat obecné informace, jako jsou jména dětí, domácích mazlíčků nebo data narození. Obecnou zásadou by také mělo být používat různá hesla pro různé služby. Pro jejich zapamatování je možné využít některý z programů pro správu hesel.

Bezpečnost je klíčová hlavně v oblastech, které pracují s osobními nebo jinak citlivými daty. Ale nepodceňujte zájem konkurence, i když zrovna neposíláte mail svému právníkovi nebo účetní! I zdánlivě bezvýznamná informace vám může ve špatných rukou výrazně uškodit. Proto nezapomínejte na opatrnost a v rámci prevence je vždy lepší bezpečnostní opatření přeceňovat než řešit zbytečně vzniklé škody.

Jediným interním komunikačním kanálem, ve kterém zaměstnanci eWay-CRM aktivně nevyužívali end-to-end šifrování, byly doposud e-maily. Proto také technický ředitel eWay-CRM Roman Štefko prosazuje využívání nástroje Talkey. Podrobnostem zvoleného bezpečnostního řešení se budeme věnovat v chystaném rozhovoru.