Wie ein Mitarbeiter Ihr Unternehmen zerstören kann: 7 Beispiele für digitalen Analphabetismus

Täglich tauchen neue Arten von Cyber-Bedrohungen auf. Es scheint, dass Hacker und Betrüger nur hinter den Riesen des Marktes her sind. Aber das ist nicht so. 63% aller Angriffe sind zielgerichtet CYBER-BEDROHUNGSBERICHT kleine Unternehmen und 60% der kleinen Unternehmen schließen nach einem Cyberangriff. Darüber hinaus sind die Opfer der Angriffe nicht unbedingt Silicon Valley-Startups. Die Generalstaatsanwaltschaft der Russischen Föderation hat aufgezeichnet Informationsbedrohung: So schützen Sie sich und Ihr Unternehmen vor Cyberkriminellen 180.153 Cyberkriminalität in den ersten sechs Monaten des Jahres 2019. Und das sind 70% mehr als 2018.

Selbst wenn Sie über eine gesamte IT-Abteilung verfügen und auf allen Computern Antivirensoftware installiert ist, reicht dies für einen zuverlässigen Schutz nicht aus. Darüber hinaus gibt es immer einen menschlichen Faktor: Falsche Handlungen von Mitarbeitern können zu einer digitalen Katastrophe führen. Daher ist es wichtig, mit Ihrem Team über Cyber-Bedrohungen zu sprechen und ihnen zu erklären, wie sie sich schützen können. Wir haben sieben Situationen zusammengestellt, in denen die Indiskretion einer Person Ihr Unternehmen teuer kosten kann.

1. Nach einem böswilligen Link

• Situation: Eine E-Mail wird an die E-Mail des Mitarbeiters gesendet, die wie ein normales Mailing eines vertrauten Empfängers aussieht. Der Brief enthält eine Schaltfläche, die zu einer Site führt, die bei einer Person keinen Verdacht erregt. Der Mitarbeiter folgt dem Link und wird zur Website des Betrügers weitergeleitet.

Der beschriebene Mechanismus ist der sogenannte Phishing-Angriff. Microsoft-Forschung sagt Microsoft Research: Phishing-Angriffe nehmen 2018 um 350% zudass dies eines der häufigsten betrügerischen Systeme ist. Im Jahr 2018 stieg die Anzahl solcher Angriffe um 350%. Phishing ist gefährlich, da es Elemente des Social Engineering enthält: Angreifer senden E-Mails per E-Mail im Namen eines Unternehmens oder einer Person, der das Opfer sicherlich vertraut.

Betrügerische Systeme werden immer komplexer: Angriffe finden in mehreren Phasen statt, E-Mails werden von verschiedenen IP-Adressen gesendet. Eine Phishing-E-Mail kann sogar als Nachricht eines Unternehmensleiters getarnt werden.

Um nicht erwischt zu werden, müssen Sie alle Buchstaben sorgfältig lesen, Unstimmigkeiten in einem Buchstaben oder Symbol in der Adresse feststellen und bei Verdacht den Absender kontaktieren, bevor Sie etwas unternehmen.

Artyom Sinitsyn

Microsoft ist Direktor für Informationssicherheitsprogramme in Mittel- und Osteuropa.

Neben dem regelmäßigen Analphabetismus im Bereich Cybersicherheit ist es auch erforderlich, "Feldübungen" durchzuführen - um kontrolliertes Phishing-Mailing durchzuführen und Notieren Sie, wie viele Personen Nachrichten lesen, ob sie Links im Brief folgen und im Anhang öffnen Unterlagen. Microsoft Office 365 enthält beispielsweise das Attack Simulator-Tool. Sie können ein solches Mailing mit wenigen Mausklicks durchführen und einen Bericht mit genauen Daten erhalten.

2. Herunterladen einer infizierten Datei

• Situation: Der Mitarbeiter benötigt neue Software, um arbeiten zu können. Er beschließt, das Programm gemeinfrei herunterzuladen und landet auf einer Website, auf der Malware vorgibt, nützliche Software zu sein.

Viren im Internet werden häufig als funktionierende Software getarnt. Dies wird als Spoofing bezeichnet - Verfälschung des Zwecks eines Programms, um dem Benutzer Schaden zuzufügen. Sobald ein Mitarbeiter die heruntergeladene Datei öffnet, fällt sein Computer in die Risikozone. Darüber hinaus laden einige Websites automatisch schädlichen Code auf Ihren Computer herunter - auch ohne dass Sie versuchen, etwas herunterzuladen. Diese Angriffe werden als Drive-by-Downloads bezeichnet.

Weitere Konsequenzen hängen von der Art des Virus ab. Früher war Ransomware weit verbreitet: Sie blockierte den Computer und verlangte vom Benutzer ein Lösegeld, um zum normalen Betrieb zurückzukehren. Jetzt ist eine andere Option häufiger: Angreifer verwenden die Computer anderer Personen zum Mining von Kryptowährungen. Gleichzeitig verlangsamen sich andere Prozesse und die Systemleistung nimmt ab. Außerdem können Betrüger beim Zugriff auf einen Computer jederzeit vertrauliche Daten erhalten.

Artyom Sinitsyn

Microsoft ist Direktor für Informationssicherheitsprogramme in Mittel- und Osteuropa.

Aufgrund dieser Szenarien ist es wichtig, automatische Website- und heruntergeladene Reputationsprüfungen in Workflows zu integrieren. Beispielsweise führen Microsoft-Produkte eine Reputationsanalyse über den SmartScreen-Dienst durch. Es verwendet die Cyber-Intelligence-Daten, die wir durch die tägliche Verarbeitung von fast 8 Billionen Signalen in der Microsoft-Cloud erhalten.

Mitarbeiter des Unternehmens sollten sich darüber im Klaren sein, dass funktionierende Software nicht aus dem Internet heruntergeladen werden kann. Personen, die Programme im Web veröffentlichen, tragen keine Verantwortung für die Sicherheit Ihrer Daten und Geräte.

3. Dateiübertragung über unsichere Kanäle

• Situation: Der Mitarbeiter muss einen Arbeitsbericht mit vertraulichen Informationen an einen Kollegen weitergeben. Um es schneller zu machen, lädt er die Datei in soziale Medien hoch.

Wenn es Mitarbeitern unangenehm ist, Unternehmens-Chats oder andere Office-Software zu verwenden, suchen sie nach Problemumgehungen. Nicht absichtlich zu schaden, sondern einfach, weil es einfacher ist. Dieses Problem ist so weit verbreitet, dass es sogar einen speziellen Begriff dafür gibt - Schatten-IT (Schatten-IT). So beschreiben sie eine Situation, in der Mitarbeiter ihre Informationssysteme erstellen, die den in der IT-Richtlinie des Unternehmens festgelegten nicht entsprechen.

Es ist offensichtlich, dass die Übertragung vertraulicher Informationen und Dateien über soziale Netzwerke oder Kanäle ohne Verschlüsselung ein hohes Risiko für Datenlecks birgt. Erklären Sie den Mitarbeitern, warum es wichtig ist, Protokolle einzuhalten, die von der IT-Abteilung kontrolliert werden, damit die Mitarbeiter bei Problemen nicht persönlich für den Verlust von Informationen verantwortlich sind.

Artyom Sinitsyn

Microsoft ist Direktor für Informationssicherheitsprogramme in Mittel- und Osteuropa.

Das Übertragen einer Datei in einem Messenger oder in sozialen Netzwerken, das anschließende Empfangen mit Kommentaren von mehreren Kollegen und das Aktualisieren all dieser Kopien ist nicht nur unsicher, sondern auch ineffektiv. Es ist viel einfacher, die Datei in die Cloud zu stellen, allen Teilnehmern eine für ihre Rollen entsprechende Zugriffsebene zu gewähren und das Dokument online zu bearbeiten. Darüber hinaus können Sie die Dauer des Dokuments festlegen und Zugriffsrechte von Mitautoren automatisch widerrufen, wenn die Zeit abgelaufen ist.

4. Veraltete Software und fehlende Updates

• Situation: Der Mitarbeiter erhält eine Benachrichtigung über die Veröffentlichung einer neuen Softwareversion, verschiebt jedoch ständig das Systemupdate und arbeitet an der alten, da „keine Zeit“ und „viel Arbeit“ vorhanden sind.

Neue Softwareversionen sind nicht nur Fehlerbehebungen und schöne Schnittstellen. Dies ist auch die Anpassung des Systems an die aufkommenden Bedrohungen sowie die Blockierung von Informationsverlustkanälen. Flexera-Bericht gezeigtSie können die Sicherheitsanfälligkeit des Systems um 86% reduzieren, indem Sie einfach die neuesten Software-Updates installieren.

Cyberkriminelle finden regelmäßig ausgefeiltere Möglichkeiten, sich in die Systeme anderer zu hacken. Beispielsweise wird im Jahr 2020 künstliche Intelligenz für Cyberangriffe verwendet, und die Zahl der Hackerangriffe auf Cloud-Speicher nimmt zu. Es ist unmöglich, Schutz vor einem Risiko zu bieten, das beim Beenden des Programms nicht bestand. Daher besteht die einzige Möglichkeit zur Verbesserung der Sicherheit darin, ständig mit der neuesten Version zu arbeiten.

Ähnlich verhält es sich mit nicht lizenzierter Software. Solch einer Software fehlt möglicherweise ein wichtiger Teil der Funktionen, und niemand ist für den korrekten Betrieb verantwortlich. Es ist viel einfacher, für lizenzierte und unterstützte Software zu bezahlen, als wichtige Unternehmensinformationen zu riskieren und den Betrieb des gesamten Unternehmens zu gefährden.

5. Verwenden öffentlicher Wi-Fi-Netzwerke für die Arbeit

• Situation: Mitarbeiter arbeitet mit Laptop in einem Café oder Flughafen. Es stellt eine Verbindung zum öffentlichen Netzwerk her.

Wenn Ihre Mitarbeiter remote arbeiten, informieren Sie sie über die Gefahren, die die Öffentlichkeit mit sich bringt W-lan. Das Netzwerk selbst kann eine Fälschung sein, durch die Betrüger beim Versuch Daten von Computern stehlen Verbindungen. Aber selbst wenn das Netzwerk real ist, können andere Probleme auftreten.

Andrey Beshkov

Leiter Geschäftsentwicklung bei Softline.

Die Hauptbedrohungen für die Verwendung von öffentlichem WLAN sind das Abhören des Datenverkehrs zwischen einem Benutzer und einer Website. Zum Beispiel ein soziales Netzwerk oder eine Unternehmensanwendung. Die zweite Bedrohung besteht darin, dass ein Angreifer einen Mann im mittleren Angriff ausführt und den Datenverkehr des Benutzers umleitet (z. B. auf seine Kopie einer Website, die eine legitime Ressource simuliert).

Infolge eines solchen Angriffs können wichtige Informationen, Anmeldungen und Passwörter gestohlen werden. Betrüger können in Ihrem Namen Nachrichten senden und Ihr Unternehmen gefährden. Stellen Sie nur eine Verbindung zu vertrauenswürdigen Netzwerken her und arbeiten Sie nicht mit vertraulichen Informationen über öffentliches WLAN.

6. Kopieren wichtiger Informationen in öffentliche Dienste

• Situation: Der Mitarbeiter erhält einen Brief von einem ausländischen Kollegen. Um alles genau zu verstehen, kopiert er den Brief im Browser an den Übersetzer. Der Brief enthält vertrauliche Informationen.

Große Unternehmen entwickeln ihre eigenen Texteditoren und Übersetzer und weisen die Mitarbeiter an, nur diese zu verwenden. Der Grund ist einfach: Öffentliche Onlinedienste haben ihre eigenen Regeln zum Speichern und Verarbeiten von Informationen. Sie sind nicht für den Schutz Ihrer Daten verantwortlich und können diese an Dritte weitergeben.

Sie sollten wichtige Dokumente oder Fragmente der Unternehmenskorrespondenz nicht in öffentliche Ressourcen hochladen. Dies gilt auch für Dienstleistungen für Alphabetisierungstests. Fälle von Informationslecks durch diese Ressourcen haben bereits wurden. Es ist nicht erforderlich, eine eigene Software zu erstellen. Es reicht aus, zuverlässige Programme auf Arbeitscomputern zu installieren und den Mitarbeitern zu erklären, warum es wichtig ist, nur diese zu verwenden.

7. Multi-Faktor-Authentifizierung ignorieren

• Situation: Das System fordert den Mitarbeiter auf, einem Gerät und einem Fingerabdruck ein Kennwort zuzuordnen. Der Mitarbeiter überspringt diesen Schritt und verwendet nur das Passwort.

Wenn Ihre Mitarbeiter ihre Passwörter nicht auf einem Aufkleber auf dem Monitor speichern, ist das großartig. Aber nicht genug, um das Verlustrisiko auszuschließen. Bundles "Passwort - Login" reichen für einen zuverlässigen Schutz nicht aus, insbesondere wenn ein schwaches oder nicht ausreichend langes Passwort verwendet wird. Laut Microsoft müssen in 30% der Fälle etwa zehn Versuche unternommen werden, um das Kennwort für andere menschliche Konten zu erraten, wenn ein Konto in die Hände von Cyberkriminellen fällt.

Verwenden Sie die Multi-Faktor-Authentifizierung, mit der dem Anmelde- / Kennwortpaar weitere Überprüfungen hinzugefügt werden. Zum Beispiel ein Fingerabdruck, eine Gesichts-ID oder ein zusätzliches Gerät, das die Anmeldung bestätigt. Die Multi-Faktor-Authentifizierung schützt Eine einfache Maßnahme, mit der Sie 99,9 Prozent der Angriffe auf Ihre Konten verhindern können von 99% der Angriffe, die darauf abzielen, Daten zu stehlen oder Ihr Gerät für das Mining zu verwenden.

Artyom Sinitsyn

Microsoft ist Direktor für Informationssicherheitsprogramme in Mittel- und Osteuropa.

Lange und komplexe Passwörter sind besonders unpraktisch bei der Eingabe auf Smartphones. Hier kann die Multi-Faktor-Authentifizierung den Zugriff erheblich erleichtern. Wenn Sie spezielle Authentifizierungs-Apps verwenden (z. B. Microsoft Authenticator), müssen Sie auf Ihrem Smartphone überhaupt kein Kennwort verwenden. Lassen Sie bei Bedarf gleichzeitig die Passworteingabe für Laptops und PCs obligatorisch.