efter år med at være i branchen og se udviklingen af cyberangreb, føler vi, at der er 13 kritiske stykker til enhver cybersikkerhedsplan, som vi som din administrerede tjenesteudbyder skal implementere. De er:
tofaktor / multifaktorautentificering
tofaktorautentificering er sandsynligvis den mest misforståede sikkerhedsløsning, men en kritisk og effektiv del af enhver cybersikkerhedsstrategi.
tofaktorautentificering er bare hvordan det lyder: to separate lag af sikkerhed. Den første er et typisk brugernavn og adgangskode log-in med tilføjelsen af et sekundært niveau, der leder efter noget, du kender, noget du har eller noget på din krop (f.eks.
her er nogle statistikker, du bør vide, der beskriver det kritiske behov for tofaktorautentificering:
- 90% af adgangskoder kan knækkes på mindre end seks timer.
- to tredjedele af mennesker bruger den samme adgangskode overalt.
- sofistikerede cyberattackere har magten til at teste milliarder af adgangskoder hvert sekund.
denne nøgterne virkelighed er grunden til, at vi kræver to-faktor-eller multifaktorautentificering for alle vores medarbejdere og brugere af vores system, og vi anbefaler stærkt, at du også gør det.
Adgangskodestyring
hovedårsagen til, at folk bruger den samme adgangskode overalt, er fordi det er umuligt at holde styr på hundredvis af brugernavne og adgangskoder på tværs af forskellige enheder og systemer.
en sikker adgangskode er en unik, svær at gætte, så det er forståeligt, hvorfor brugerne bruger den samme adgangskode til hvert sted. Derfor har vi et adgangskodestyringsprogram indbygget i vores procedurer. Adgangskodeadministrationsprogrammet genererer unikke, komplekse adgangskoder til hvert sted eller program og gemmer dem derefter sikkert i administrationsprogrammet.
når en af vores medarbejdere har brug for legitimationsoplysninger, bruger de hovedadgangskoden til at åbne deres database med adgangskoder og få de loginoplysninger, de har brug for, hvilket gør det nemt at “huske” en kompleks adgangskode og reducere risikoen for brud betydeligt.
sikkerhedsrisikovurdering
en sikkerhedsrisikovurdering involverer gennemgang af din teknologi, og hvordan du bruger den, efterfulgt af implementering af sikkerhedsforbedringer og forebyggende foranstaltninger.
vurderingen skal udføres mindst en gang om året, hvis ikke mere. En fuld sikkerhedsvurdering inkluderer følgende stykker:
identifikation-når vi udfører en sikkerhedsrisikovurdering, skal vi først tage en oversigt over alt dit kritiske informationsteknologiudstyr og derefter bestemme, hvilke følsomme data der oprettes, gemmes eller overføres via disse enheder og oprette en risikoprofil for hver.
vurdering – Dette trin tager identifikation til det næste niveau. For at fuldføre vurderingstrinnet skal vi identificere sikkerhedsrisiciene for hvert kritisk aktiv og bestemme den mest effektive og effektive måde at allokere tid og ressourcer til afbødning.
afbødning-det er her, vi løser problemer. Vi har specifikt defineret en afbødningsmetode for hver potentiel risiko i vores netværk, og hvilke sikkerhedskontroller der vil blive indledt i tilfælde af brud.
forebyggelse – vi har specifikke værktøjer og processer til at minimere risikoen for trusler mod os og vores netværk for at hjælpe med at beskytte dig.
Informationssikkerhedsplan
der er et betydeligt behov for at beskytte enhver information, der indsamles, transmitteres, bruges og opbevares i informationssystemer, så udviklingen af en informationssikkerhedsplan er afgørende. Vi tager dette meget alvorligt. Vi har taget skridt til at dokumentere en plan og designet systemer til at sikre vores og vores kunders følsomme forretningsdata.
et sikkerhedsprogram handler i det væsentlige om risikostyring, herunder identifikation, kvantificering og afbødning af risici for computere og data. Der er nogle vigtige grundlæggende trin til risikostyring:
Identificer aktiverne – ud over at generere en liste over alt udstyr og programmel i infrastrukturen inkluderer aktiver også alle data, der behandles og gemmes på disse enheder.
Tildel værdi-hvert aktiv, inklusive data, har en værdi, og der er to tilgange, der kan tages for at udvikle værdien: kvalitativ og kvantitativ. “Kvantitativ” tildeler en finansiel værdi til hvert aktiv og sammenligner det med omkostningerne ved modforanstaltningen. “Kvalitativ” placerer trusler og sikkerhedsforanstaltninger for aktiverne og sætter en rang ved hjælp af et scoringssystem.
Identificer risici og trusler mod hvert aktiv – trusler mod systemet går ud over ondsindede aktører, der forsøger at få adgang til dine data og strækker sig til enhver begivenhed, der har potentiale til at skade aktivet. Begivenheder som lynnedslag, tornadoer, orkaner, oversvømmelser, menneskelige fejl eller terrorangreb bør også undersøges som potentielle risici.
skøn potentielle tab og hyppigheden af angreb af disse aktiver – dette trin afhænger af placeringen af aktivet. For dem, der opererer i Midtvesten, er risikoen for, at en orkan forårsager skade, ekstremt lav, mens risikoen for en tornado ville være høj.
Anbefal modforanstaltninger eller andre afhjælpende aktiviteter – ved afslutningen af ovenstående trin skal de elementer, der skal forbedres, blive ret indlysende. På dette tidspunkt kan du udvikle sikkerhedspolitikker og procedurer.
politikker og procedurer (intern & ekstern) – en afgørende del af en effektiv cybersikkerhedsplan er politikker og procedurer, både for interne aktiver og eksterne aktiver. Du kan ikke have det ene uden det andet. En generel beskrivelse kan betragtes som denne: en politik er “reglen” og en procedure er “hvordan.”Med dette i tankerne ville en politik være at effektivt sikre virksomhedsdata med stærke adgangskoder. Proceduren ville være at bruge multifaktorautentificering.
Cybersecurity insurance and data breach financial responsibility – CyberInsureOne definerer cybersecurity insurance som “et produkt, der tilbydes enkeltpersoner og virksomheder for at beskytte dem mod virkningerne og konsekvenserne af onlineangreb.”
cybersikkerhedsforsikring kan hjælpe din virksomhed med at komme sig i tilfælde af et cyberangreb ved at levere tjenester som pr-support og midler til at trække imod for at dække eventuelle økonomiske tab. Det er noget, som din MSP skal bære såvel som din egen virksomhed.
og ligesom forretningsansvar og bilansvarsforsikring er det altafgørende, at din virksomhed (såvel som din MSP) dækker sig selv med databrud finansiel ansvarsforsikring til dækning af enhver begivenhed, der kan tilskrives deres aktiviteter, der forårsager et brud.
Dataadgangsstyring-adgangsstyring bestemmer, hvem der er, og hvem der ikke har adgang til visse aktiver og oplysninger, såsom administrative konti.
dette er afgørende for din virksomhed, da det giver kontrol over, hvem der har adgang til dine virksomhedsdata, især i tider med medarbejderomsætning. Andre fordele inkluderer øget overholdelse af lovgivningen, reducerede driftsomkostninger og reducerede risici for informationssikkerhed.
sikkerhedsbevidsthedstræning (med phishing – træning) – Phishing er den største angrebsvektor i dag med over 90.000 nye angreb lanceret hver måned. Hvis din udbyder ikke deltager aktivt i sikkerheds-og phishing-opmærksomhedstræning, vil de ikke være i stand til at holde dig opdateret om de nyeste tendenser i, hvordan disse ondsindede aktører forsøger at få adgang til dine virksomhedsdata.
datakryptering – på sit grundlæggende niveau oversætter datakryptering data til en anden form, hvilket gør dem kun læsbare ved start-og slutpunkterne og kun med den relevante adgangskode. Kryptering betragtes i øjeblikket som en af de mest effektive sikkerhedsforanstaltninger i brug, da det næsten er umuligt for en ekstern kraft at knække.
næste generations antivirus er et program designet til at opdage og neutralisere enhver infektion, der forsøger at få adgang til enheden og bør være på hvert slutpunkt.
mange udbydere markedsfører deres program som “næste generation”, men ægte næste generations antivirus inkluderer funktioner såsom udnyttelsesteknikker (blokering af en proces, der udnytter eller bruger en typisk metode til at omgå en normal operation), hvidliste over applikationer (en proces til validering og kontrol af alt, hvad et program har lov til at gøre), mikrovirtualisering (blokerer direkte udførelse af en proces, der i det væsentlige betjener programmet i sit eget virtuelle operativsystem), kunstig intelligens (blokering eller detektering af vira på samme måde som en menneskelig bruger kunne) og EDR / Forensics (ved hjælp af et stort datasæt fra Endpoint logs, pakker og processer for at finde ud af, hvad der skete efter det faktum).
næste generations brandvægge inkluderer også yderligere funktioner over den traditionelle brandvæg, herunder indbrudsbeskyttelse, dyb pakkeinspektion, SSL-krypteret trafikafslutning og sandkasse.
forretningskontinuitetsplan-dette er en proces omkring udviklingen af et system til styring af forebyggelse og genopretning fra potentielle trusler mod en virksomhed. En solid forretningskontinuitetsplan inkluderer følgende:
- politik, formål og omfang
- mål
- antagelser
- nøgleroller ansvar
- en analyse af forretningsvirkninger
- planer for risikoreduktion
- Data-og lagringskrav, der er offsite
- forretningsgendannelsesstrategier
- alternative driftsplaner
- evaluering af eksterne leverandørers beredskab
- aktivering af respons og plan
- kommunikationsplan
- øvelser og øvelsessessioner
- regelmæssig revurdering af den aktuelle plan
din MSP bør være i stand til at give dig en kopi af, hvad der er inkluderet i deres plan, og hvordan det vil påvirke din virksomhed, hvis de støder på en forretningskontinuitetsbegivenhed, samt deres sikkerhedskopieringsplan for at vedligeholde din kritiske forretningsinfrastruktur.
e – mail-sikkerhedslag-kort sagt, lag begrænser risikoen. E-mail-sikkerhedslag inkluderer taktik såsom tofaktorautentificering og spamfiltre på det grundlæggende niveau (som giver dine medarbejdere tid til at evaluere en potentiel trussel ved at fjerne ordene “presserende” eller “gør lige nu” fra interne emnelinjer).
som din administrerede tjenesteudbyder er vi dedikerede til at hjælpe dig med at opretholde effektiv cybersikkerhed gennem disse avancerede taktikker såvel som gennem et rådgivende, betroet rådgivningsforhold. Du er mere end bare et nummer for os, og vi vil gøre alt, hvad der er i vores magt for at hjælpe med at holde din virksomhed sikker og kørende.