Heslá, prístupy, MFA: základná IT hygiena, ktorá ochráni malú firmu

Heslo, ktoré si nemusíte pamätať

Bežná prax v malých firmách vyzerá takto: jedno heslo na viacero služieb, drobná obmena pri povinnej zmene, poznámka v telefóne alebo na papieri pri monitore. Problém je, že stačí únik z jednej menej dôležitej služby a útočník má kľúč aj k firemnému e-mailu či cloudu, ak sa heslá opakujú.

Riešením je manažér hesiel. Vygeneruje a uloží jedinečné, dlhé heslo pre každú službu a zamestnanec si potrebuje zapamätať už len jedno hlavné heslo. Zavedenie netrvá dlho a väčšina bežných tímových nástrojov ho vie ponúknuť pre celú firmu naraz.

Dvojfaktorové overenie ako jednoduchá poistka

Dvojfaktorové overenie, bežne označované ako MFA, znamená, že k heslu pribúda druhý krok, napríklad potvrdenie v mobilnej aplikácii. Aj keď sa heslo dostane do nesprávnych rúk, bez tohto druhého kroku sa útočník do účtu nedostane.

Nie je potrebné zapínať ho všade naraz. Najskôr má zmysel firemný e-mail a Microsoft 365, pretože práve tam sa útočníci snažia dostať najčastejšie, keďže cez e-mail vedia následne resetovať prístupy aj do ďalších systémov.

Kto má prístup kam

V mnohých firmách má postupom času prístup k zdieľaným priečinkom, faktúram alebo účtovnému systému viac ľudí, než je skutočne potrebné. Oplatí sa raz za čas prejsť, kto má k čomu prístup, a ponechať len to, čo daná osoba naozaj potrebuje na svoju prácu. Tento princíp sa nazýva princíp najmenších oprávnení.

Rovnako dôležité je zrušenie prístupov pri odchode zamestnanca, a to v deň odchodu, nie neskôr. Zabudnutý aktívny účet bývalého kolegu je jedno z najčastejších a najzbytočnejších rizík, akým sa firma vystavuje.

Aktualizácie a zariadenia mimo kancelárie

Notebooky, telefóny aj firemné servery potrebujú pravidelné aktualizácie operačného systému a aplikácií. Väčšina bezpečnostných záplat rieši konkrétne známe zraniteľnosti, ktoré útočníci aktívne skúšajú zneužiť, takže odkladanie aktualizácií reálne predlžuje okno príležitosti pre útok.

Osobitnú pozornosť si zaslúžia zariadenia, ktoré firma nemá plne pod kontrolou, napríklad súkromné telefóny zamestnancov pripojené k firemnému e-mailu. Aj v takom prípade má zmysel vyžadovať aspoň zámok obrazovky a možnosť vzdialeného vymazania firemných dát, ak sa zariadenie stratí.

Ako na to bez vlastného IT oddelenia

Väčšina malých a stredných firiem nemá interné IT oddelenie, ktoré by tieto veci priebežne sledovalo, nastavovalo a vyhodnocovalo. Práve preto je táto oblasť taká, kde sa vyplatí mať externého partnera, ktorý prevezme nastavenie manažéra hesiel, MFA aj správu prístupov ako súčasť bežnej starostlivosti o firemné IT.

Gusso túto oblasť rieši v rámci správy IT a firemnej podpory pre malé a stredné firmy, vrátane nastavenia Microsoft 365 a priebežného dohľadu nad tým, kto má kam prístup.