Awaria internetu, szyfrowanie plików przez ransomware lub nieuprawniony dostęp do dokumentów kadrowych rzadko zaczynają się od jednego spektakularnego błędu. Zwykle są skutkiem kilku drobnych zaniedbań: nieaktualnego routera, wspólnego hasła do Wi-Fi, konta byłego pracownika albo kopii zapasowej dostępnej z tego samego komputera co firmowe dane. Dlatego najważniejsze elementy bezpiecznej sieci biurowej trzeba traktować jako spójny system, a nie listę urządzeń kupowanych przy okazji przeprowadzki lub awarii.
Dla małej i średniej firmy bezpieczeństwo sieci nie oznacza budowania centrum danych. Oznacza świadome ograniczanie ryzyka, ochronę danych osobowych i zapewnienie pracownikom warunków do stabilnej pracy – także z domu, magazynu czy spotkania u klienta. Dobrze zaprojektowane środowisko IT ma być bezpieczne, ale również zrozumiałe w codziennym użyciu.
Najważniejsze elementy bezpiecznej sieci biurowej
Punktem wyjścia jest wiedza, co właściwie działa w firmie. W wielu organizacjach nikt nie ma aktualnej listy komputerów, telefonów, drukarek, kamer, punktów dostępowych Wi-Fi, kont użytkowników i wykupionych licencji. Bez takiej inwentaryzacji trudno zauważyć urządzenie bez aktualizacji, nieużywane konto albo program przetwarzający dane poza kontrolą firmy.
Audyt nie musi paraliżować pracy. Powinien jednak odpowiedzieć na konkretne pytania: gdzie są przechowywane dane, kto ma do nich dostęp, jakie urządzenia łączą się z siecią i czy ich oprogramowanie jest wspierane przez producenta. Warto też ustalić, które systemy są krytyczne dla działalności – na przykład program księgowy, poczta, system sprzedaży, dokumentacja projektowa czy dostęp do serwera plików.
Zapora sieciowa i bezpieczna konfiguracja routera
Router dostarczony przez operatora internetu często wystarcza do połączenia urządzeń z siecią, ale nie zawsze zapewnia firmie odpowiednią kontrolę i ochronę. Zapora sieciowa klasy biznesowej pozwala ograniczać niepotrzebny ruch, blokować znane zagrożenia, kontrolować dostęp zdalny i rejestrować istotne zdarzenia.
Kluczowa jest jednak konfiguracja. Nawet dobre urządzenie nie pomoże, jeśli panel administracyjny ma fabryczne hasło, jest dostępny z internetu bez potrzeby albo reguły dostępu zostały ustawione zbyt szeroko. Zdalny pulpit wystawiony publicznie bez dodatkowych zabezpieczeń to częsty punkt wejścia dla przestępców. Bezpieczniejszym rozwiązaniem jest dostęp przez VPN lub właściwie zabezpieczone narzędzie do pracy zdalnej, z uwierzytelnianiem wieloskładnikowym i ograniczeniem uprawnień.
Segmentacja sieci ogranicza skutki incydentu
Jedna wspólna sieć dla komputerów, drukarek, kamer, gości i urządzeń IoT jest wygodna tylko pozornie. Jeśli zainfekowany zostanie jeden słabo zabezpieczony sprzęt, atakujący może próbować przejść dalej – do stacji roboczych, serwerów lub zasobów zawierających dane klientów.
Segmentacja polega na logicznym rozdzieleniu urządzeń i usług. Pracownicy powinni korzystać z innej części sieci niż goście, monitoring CCTV, drukarki czy systemy automatyki. Sieć gościnna nie powinna mieć dostępu do zasobów firmowych, a kamera nie potrzebuje połączenia z działem księgowości. To prosta zasada, która znacząco ogranicza skalę potencjalnego problemu.
Zakres podziału zależy od firmy. W niewielkim biurze wystarczą zwykle osobne sieci dla pracowników, gości i urządzeń technicznych. Organizacja obsługująca dane wrażliwe, pracująca na wielu lokalizacjach lub korzystająca z rozbudowanego monitoringu będzie potrzebować dokładniejszych reguł. Najważniejsze, by podział odpowiadał realnemu sposobowi pracy, a nie był tylko poprawnym schematem na papierze.
Wi-Fi dla firmy, nie dla przypadkowych użytkowników
Bezprzewodowy dostęp do internetu jest wygodny, ale wymaga dyscypliny. Firmowa sieć Wi-Fi powinna korzystać z aktualnych mechanizmów szyfrowania, silnego hasła lub – przy większej liczbie użytkowników – indywidualnego uwierzytelniania. Hasło „Firma2022!” zapisane na kartce przy recepcji nie jest ochroną, nawet jeśli nikt nie planował go ujawniać.
Osobna sieć dla gości to standard, nie luksus. Pozwala zapewnić klientom i partnerom internet bez otwierania im drogi do firmowych komputerów, drukarek i serwerów. Należy też regularnie sprawdzać, czy na liście urządzeń nie pojawiły się sprzęty nieznane administratorowi. Dotyczy to również prywatnych telefonów i laptopów pracowników, które mogą automatycznie zapamiętywać hasła do sieci.
Tożsamość użytkownika jest ważniejsza niż samo hasło
W praktyce wiele naruszeń nie zaczyna się od przełamania skomplikowanych zabezpieczeń. Wystarczy przejęte hasło do poczty, fałszywy ekran logowania albo konto pracownika, który odszedł z firmy kilka miesięcy wcześniej. Dlatego dostęp powinien być przypisany do konkretnej osoby, a nie do wspólnego konta działu czy stanowiska.
Podstawą są unikalne, długie hasła przechowywane w menedżerze haseł oraz uwierzytelnianie wieloskładnikowe. Drugi składnik, na przykład aplikacja uwierzytelniająca lub klucz sprzętowy, nie eliminuje każdego zagrożenia, ale znacząco utrudnia wykorzystanie wykradzionego hasła. Szczególną ochroną warto objąć pocztę, dostęp zdalny, systemy finansowe oraz konta administratorów.
Równie ważna jest zasada minimalnych uprawnień. Pracownik powinien mieć dostęp do tych zasobów, które są mu potrzebne do realizacji zadań, a nie do całego zasobu firmy „na wszelki wypadek”. Uprawnienia trzeba przeglądać przy zmianie stanowiska, po zakończeniu współpracy i po wdrożeniu nowego systemu. Odebranie dostępu byłemu pracownikowi to element bezpieczeństwa, nie wyraz braku zaufania.
Aktualizacje, ochrona urządzeń i monitoring zdarzeń
Nieaktualny system operacyjny, przeglądarka lub program do zdalnej obsługi to otwarte zaproszenie do wykorzystania znanych luk. Aktualizacje powinny obejmować nie tylko komputery, lecz także serwery, firewalle, punkty Wi-Fi, drukarki sieciowe i urządzenia monitoringu. Jeśli sprzęt nie otrzymuje już poprawek producenta, trzeba ocenić ryzyko jego dalszego używania i zaplanować wymianę.
Na stacjach roboczych przydaje się centralnie zarządzana ochrona antywirusowa lub EDR, która wykrywa podejrzane zachowania, a nie tylko znane pliki wirusów. Sama instalacja programu nie zamyka tematu. Należy monitorować, czy ochrona działa, czy urządzenia mają aktualne definicje i czy ktoś nie wyłączył zabezpieczeń, bo przeszkadzały w instalacji programu.
Firma powinna również gromadzić podstawowe informacje o zdarzeniach: nieudanych logowaniach, próbach dostępu do zasobów, alertach z zapory czy nietypowej aktywności kont. Nie chodzi o śledzenie pracowników. Chodzi o możliwość szybkiego ustalenia, co się wydarzyło, gdy pojawi się podejrzana wiadomość, utrata urządzenia albo nagła niedostępność systemu.
Kopie zapasowe muszą przetrwać atak
Backup jest jednym z najważniejszych zabezpieczeń ciągłości działania, ale tylko wtedy, gdy da się go odtworzyć. Kopia zapasowa podłączona stale do tej samej sieci i dostępna na tych samych uprawnieniach co serwer może zostać zaszyfrowana razem z danymi produkcyjnymi. Wtedy firma ma dwie wersje tego samego problemu.
Rozsądna polityka kopii uwzględnia kilka niezależnych kopii, różne nośniki lub lokalizacje oraz przynajmniej jedną kopię odseparowaną od bieżącego środowiska. Ważne są także testy odtwarzania. Dopiero próba przywrócenia pliku, bazy danych lub całego systemu pokazuje, czy backup rzeczywiście pozwoli wrócić do pracy w akceptowalnym czasie.
Warto określić dwie rzeczy w języku biznesu: ile danych firma może maksymalnie utracić oraz jak długo może działać bez danego systemu. Inne wymagania będzie miało biuro projektowe, inne sklep internetowy, a jeszcze inne firma z produkcją i magazynem. Od tych odpowiedzi zależy częstotliwość kopii, sposób ich przechowywania i koszt rozwiązania.
Ludzie pozostają częścią zabezpieczeń
Najlepsza infrastruktura nie ochroni firmy, jeśli pracownik przekaże kod MFA przez telefon osobie podającej się za dział IT albo otworzy fałszywą fakturę. Szkolenia powinny odnosić się do realnych sytuacji: podejrzanych wiadomości, prośby o pilny przelew, zmiany numeru rachunku, nietypowego zaproszenia do udostępnionego dokumentu czy komunikatu o wygasającym haśle.
Ważne, aby pracownicy wiedzieli, gdzie zgłosić wątpliwość i nie bali się tego robić. Lepiej sprawdzić dziesięć legalnych wiadomości niż przeoczyć jedną próbę phishingu. Krótkie, regularne przypomnienia są zwykle skuteczniejsze niż jednorazowe szkolenie pełne technicznych definicji.
Bezpieczeństwo sieci biurowej nie jest projektem zakończonym po instalacji urządzeń. Firma zmienia ludzi, programy, lokalizacje i sposób pracy, a zagrożenia zmieniają się razem z nią. Warto więc ustalić osobę lub partnera odpowiedzialnego za regularny przegląd środowiska, aktualizacji i uprawnień. Taka opieka pozwala wychwycić problem, zanim stanie się kosztownym przestojem – i daje zarządzającym coś więcej niż sprzęt: przewidywalność działania firmy.