7 passos de seguretat de dades que hauria de fer la vostra empresa ara mateix

Mantenir les vostres dades organitzades i segures serà un tema important aquest any, no només a causa de regulacions actualitzades, com ara el Reglament general de protecció de dades (GDPR), sinó també perquè la imatge general de seguretat de les TI segueix semblant desoladora. En una enquesta realitzada per la firma d’investigació Statista només l’any passat, les empreses nord-americanes van classificar les amenaces cibernètiques com a lligades a la seva amenaça de màxim risc, just al costat d’una interrupció en un procés empresarial clau com la cadena de subministrament. Les empreses més petites seran especialment vulnerables, no només perquè tenen recursos limitats per llançar-se al problema, sinó també perquè els pirates informàtics comencen a orientar-se específicament i en conjunt a aquest segment.

Així doncs, en honor a la National Small Business Week (NSBW), farem un descans per parlar sobre l’inici d’una nova empresa emprenedora, i en comptes de centrar-nos en ajudar-vos a protegir millor la que ja teniu. Afortunadament, la protecció de la vostra empresa i els seus magatzems de dades es pot desglossar en un procés repetible com la majoria de tasques informàtiques. Per ajudar-vos a començar, hem recopilat una llista de set preguntes clau que heu de fer i assegureu-vos de rebre resposta, preferiblement del personal informàtic de la vostra organització.

1. Utilitzem programari de seguretat?

El programari de protecció d’endpoints supervisa i defensa la vostra xarxa corporativa de dispositius externs que intenten crear punts d’entrada per a un atac. Aquestes eines normalment inclouen una combinació de funcions antivirus, tallafoc i gestió de dispositius mòbils (MDM) (més endavant). Mitjançant l’ús d’una d’aquestes eines, el vostre equip tecnològic dedicat (suposant que en tingueu) serà alertat de les amenaces si i quan es produeixen.

"Fins i tot si és una empresa petita, tots els punts finals han de ser assegurats pel programari de seguretat, ja que hi ha moltes amenaces que poden paralitzar les seves empreses i les dades del client", va dir Adrian Liviu Arsene, analista de la amenaça electrònica principal a. Bitdefender. "Des del ransomware fins al keylogging de programari maliciós i amenaces avançades dirigides a utilitzar la vostra empresa com a porta d'entrada als vostres clients, si sou proveïdors de serveis, no només es recomana tenir programari de seguretat, sinó obligatori."

2. Estem fent còpies de seguretat de les nostres dades?

Si la vostra empresa està sempre piratejada o si la seva oficina és assassinat per un huracà, un cop de còpia de seguretat de les dades més recents us ajudarà a fer una còpia de seguretat i tenir problemes mínims basats en dades. Una còpia de seguretat en núvol de la informació us garantirà que, després d’una breu reconstrucció física, la vostra empresa pugui tornar a funcionar. Si mai no heu creat una còpia de seguretat de les vostres dades, essencialment esteu començant el vostre negoci des de zero. A més, les còpies de seguretat de dades, en combinació amb el programari de protecció dels punts finals, us permeten detectar amenaces a l’hora que es produeixen, expulsar-les de la vostra xarxa i, de seguida, tornar la vostra xarxa al seu estat més recent i segur.

Hi ha maneres senzilles de fer una còpia de seguretat de les vostres dades, inclosa la configuració de còpies de seguretat automatitzades amb programari de recuperació de desastres (DR) i copiar els fitxers del vostre sistema a altres regions (en cas que es produeixi un problema geogràfic). Independentment del que escolliu, és imprescindible que comenceu a fer una còpia de seguretat de forma immediata.

"La còpia de seguretat i la redundància són vitals per a la continuïtat del negoci, ja que les pèrdues o interrupcions podrien suposar sortir del negoci o quedar greument per molt temps", va dir Arsene. "Ransomware és un exemple perfecte de què pot succeir si no teniu còpies de seguretat. Però també hi ha un factor que el maquinari falla i que no tingui una sola còpia dels vostres actius crítics".

3. Estem xifrant les nostres dades?

La majoria de proveïdors de programari de protecció de punt final també us ajudaran a xifrar les dades mentre es mouen dins de la vostra xarxa, ja que surt de la vostra xarxa i, ja que no es troben en els vostres servidors. El xifrat converteix essencialment les dades amb format de text en format de xifrat, un salt inigualable de la seqüència de text real de les dades. Si introduïu una clau de xifrat, les vostres dades no es descomponen i es remeten al format normal. Per tant, si algú entra en el vostre sistema i us roba les dades, veurà la versió xifrada en lloc de la versió en format de lletra.

Atenció: però, es poden produir atacs en diferents etapes del procés de transferència de dades. Es poden produir quan les dades s’envien des del servidor fins a la destinació. Es poden produir atacs a mesura que les dades estan assegudes als servidors i es poden produir hacks a mesura que les dades es transfereixen d’un dispositiu a un altre dins de la pròpia xarxa. Quan parleu amb el proveïdor de serveis de protecció dels vostres extrems, assegureu-vos de preguntar-vos si us poden ajudar a xifrar les dades en trànsit i descans.

"Els dos tipus de dades haurien de xifrar-se, sobretot si es treballa amb informació privada i sensible sobre els vostres clients", va dir Arsene. "Cibercriminals es poden obtenir ingressos sobre tota informació, i mantenir tota la informació xifrada no només fa que la seva feina sigui més difícil, sinó que la vostra sigui més lliure de preocupacions."

4. Utilitzem l'emmagatzematge intel·ligent al núvol?

Actualment, la majoria de les empreses, especialment petites per a les empreses mitjanes (PMB), tenen almenys algunes botigues de dades al núvol. Els proveïdors d’emmagatzematge en núvol de classe empresarial abunden i el valor que ofereixen en termes de cost global d’emmagatzematge, així com les capacitats de servei gestionat, simplement no es pot superar en la majoria dels casos per solucions d’emmagatzematge in situ, que solen no ser més cares, sinó que també propietari.

Tot i això, tot i establir una configuració bàsica en serveis com Dropbox Business o fins i tot Amazon S3 pot ser relativament senzill, aprofitant al màxim les seves característiques de seguretat de dades pot presentar una corba d’aprenentatge bastant senzilla. Sens dubte, és una curva que voldrà que el vostre personal informàtic tingui de menjar, ja que aquests proveïdors poden oferir a les petites empreses accés a capacitats avançades de seguretat d’emmagatzematge en què haurien de gastar molts més diners per implementar-les in situ.

Per exemple, vam parlar anteriorment del xifrat de dades, però, si bé la gran majoria dels proveïdors de serveis en núvol tenen la capacitat de xifrar les dades emmagatzemades als seus serveis, no tots ho fan de manera predeterminada. A més, no tots xifren les dades mentre estan en trànsit entre elles i el vostre altre servidor d'aplicacions o els dispositius dels usuaris. Aquests ajustaments han de ser investigats, habilitats i supervisats per TI.

També hi ha funcions més avançades que necessiten una mica de treball per implementar, però poden tenir beneficis a llarg termini. Una és la classificació de dades. Es tracta d’un terme general per a diverses tecnologies que els proveïdors de serveis d’emmagatzematge poden fer servir als seus clients per organitzar les seves dades en categories rellevants per al seu negoci particular. Això no només facilita la cerca i el procés, sinó que també la pot mantenir més segura, ja que alguns d’aquests serveis poden assignar proteccions a nivell de fitxers a classificacions específiques. En alguns casos, aquestes proteccions poden seguir el fitxer fins i tot després que surti dels servidors del proveïdor d’emmagatzematge del núvol i es traslladi al dispositiu o al servidor d’algú fora de l’organització del client, com un client o un soci.

Si s'utilitzen d'aquesta manera, les dades classificades poden exercir control no només sobre qui pot accedir al fitxer, sinó també sobre el que es pot fer amb ell, ja sigui que es pugui llegir, imprimir, modificar o compartir amb altres. Això us permet mantenir certa informació certament molt més segura i conservar la possibilitat de compartir-la fora de la vostra empresa.

5. Tenim un tallafoc?

No series propietari d’una casa sense porta principal, oi? Llavors, per què executaria una xarxa sense tallafoc? El tallafoc us permet bloquejar el trànsit no desitjat a la vostra xarxa corporativa. Això vol dir que podreu mantenir una xarxa interna privada sense exposar totes les dades de la vostra empresa al servidor web públic on es gestiona la vostra empresa.

"Els tallafocs són excel·lents per allotjar intrusos que vulguin escanejar la vostra xarxa o trobar serveis i ports oberts que puguin ser explotats per a accés remot", va dir Arsene. "Amb tallafocs, també podeu establir regles sobre les adreces IP que puguin accedir a diversos recursos o supervisar el trànsit entrant i sortint."

Però, similar a investigar les ofertes del vostre proveïdor de serveis d’emmagatzematge en núvol, també és una bona idea assegurar-vos que enteneu totes les capacitats del tallafoc. Aquests dispositius s’estan tornant més sofisticats, inclosos els que formen part d’un enrutador Wi-Fi de petita empresa d’ús general o un enrutador de xarxa privada virtual (VPN). Per exemple, encara que potser heu activat el tallafoc de xarxa bàsic com a part de la configuració inicial del vostre enrutador, també podreu habilitar un tallafoc d’aplicació web, que pot proporcionar proteccions específiques per a les dades que s’envien a través d’aplicacions habilitades web.

Una altra opció és investigar un servei de tallafoc gestionat. Tal com el seu nom indica, simplement es tracta d’un tallafoc que un proveïdor de serveis gestiona per a vosaltres. L’avantatge és que podeu habilitar fàcilment funcions més avançades ja que els experts gestionen el tallafoc. Això també significa que estarà segur que el tallafoc sempre tindrà instal·lades les darreres proteccions, correccions i actualitzacions de programari. Els possibles inconvenients inclouen el fet que probablement compartiu el tallafoc amb altres clients i també que en aquesta configuració, tot el vostre trànsit web es dirigirà a través d’aquest tercer abans d’arribar a Internet o als vostres usuaris. Això pot ser un coll d’ampolla si el proveïdor no és capaç de gestionar el flux de trànsit, així que és una cosa que heu de provar si la vostra empresa requereix un nivell bàsic mínim de rendiment web per a determinades aplicacions.

6. Quin és el nostre procediment d'accés remot?

Actualment, tota organització, per petita que sigui, és probable que tingui empleats, clients o qualsevol altre personal que necessiti accedir de forma remota als recursos de l'empresa. Poseu-vos al costat del vostre personal informàtic i esbrineu exactament quin és el procés d’aquestes connexions. És un procés repetible, el mateix per a qualsevol; o s’han habituat diferents persones a accedir als vostres recursos de maneres diferents? Si aquest últim, això és un problema.

L’accés a distància definitivament hauria de ser el mateix per a tothom. Això vol dir que els vostres usuaris de TI no s’han de centrar només en el que succeeix del seu costat del tallafoc un cop es produeixi una sol·licitud d’inici de sessió, sinó també en el que s’ha de produir a l’altra banda del tallafoc per tal de fer una sol·licitud legítima. Els clients remots s’han d’escanejar per assegurar-se que els dispositius s’actualitzin i protegeixin correctament amb un programari de protecció d’endpoints de qualitat empresarial. També haurien d’iniciar sessió mitjançant una VPN i totes aquestes peticions s’han de gestionar mitjançant un sistema de gestió d’identitats. Ambdues mesures tenen disponibles versions de baix cost que haurien de ser implementades fàcilment fins i tot per empreses petites amb menys recursos informàtics.

7. Quina és la nostra política de dispositius a tota la companyia?

Les polítiques BYOD-Your-Own-Device (BYOD) permeten als empleats triar el maquinari i el programari a executar mentre realitzen processos empresarials. Tot i que aquestes polítiques proporcionen flexibilitat als empleats (i estalvi de costos per a les empreses que ja no necessiten comprar dispositius per a nous treballadors), hi ha diversos riscos associats als plans BYOD. A la part superior de la llista: com es protegeixen les dades emmagatzemades en aquests dispositius si no trieu el programari i no creeu el protocol d'accés de seguretat?

"La majoria de les petites empreses solen confiar en BYOD, però normalment no tenen una política de seguretat", va dir Arsene. "Amb aquesta finalitat, també es recomana limitar l'accés a la informació crítica a la qual disposen dispositius portats pels empleats, ja sigui mitjançant segregació de xarxes o mitjançant la implementació de polítiques d'accés, i també gestionar dispositius mòbils. Com que els dispositius de mà s'utilitzen també per accedir a correus electrònics i dades internes, és important que els gestionis amb una solució dedicada o que només els permeti l’accés a dades no crítiques."

El programari MDM us permet poder esborrar, bloquejar remot, geofence i personalitzar cada dispositiu en funció de les vostres necessitats específiques. Si els empleats perden dispositius, si els dispositius estan piratejats o si els dispositius poden accedir a més dades corporatives de les que voldríeu, podreu fer ajustos mitjançant la vostra solució MDM sense tocar els dispositius reals.