[DYK NED I UNDERSØGELSEN] Cybersikkerhedstrusler i SMV'er + anbefalinger

I Devolutions’ undersøgelse af IT-sikkerhedens tilstand i SMV’er i 2022-23 [rapporten er nu tilgængelig!] bad vi ledere og beslutningstagere i SMV’er verden over om at beskrive deres samlede syn på IT-sikkerhed. Emnerne omfattede, hvad de har oplevet det seneste år, hvad der bekymrer dem mest i dag, og hvad de gør for at beskytte sig.

Her er en opsummering af det, vi lærte:

• 67 % af SMV’erne er mere bekymrede for cybersikkerhedstrusler i år end sidste år, mens 28 % har samme bekymringsniveau, og 5 % er mindre bekymrede.
• De tre cybersikkerhedstrusler, SMV’er er mest bekymrede for, er ransomware, phishing og malware.
• Det seneste år oplevede 18 % af SMV’erne mere end 5 cyberangreb, mens 42 % oplevede 1-5 cyberangreb, og 40 % ikke oplevede nogen cyberangreb.
• De tre mest almindelige tiltag, SMV’er støtter sig til for at beskytte sig mod eksterne hackere, er at indføre princippet om mindste privilegium, regelmæssigt revidere kontoprivilegier og indføre funktionsadskillelse.
• De tre mest almindelige tiltag, SMV’er støtter sig til for at beskytte sig mod interne trusler, er at indføre princippet om mindste privilegium, løbende overvåge alle privilegerede konti og indføre funktionsadskillelse.

I rapporten kommenterer vi de sandsynlige årsager til forskellige tiltag og tendenser, hvoraf nogle er positive, mens andre er negative.

I resten af artiklen fokuserer vi på, hvad SMV’er kan gøre for at beskytte sig mod cybersikkerhedstrusler, i stedet for at vente og se eller gå ud fra, at de er “for små til at blive angrebet”. Antagelsen kan være beroligende, men den er falsk. Hackere retter i stigende grad angreb mod SMV’er (læs artiklen for at se de vigtigste årsager).

Anbefalinger til SMV’er

Det første, du skal anerkende, er, at det er ideelt at forhindre alle mulige cyberangreb, men urealistisk. Der er for mange trusselstyper (herunder en endeløs strøm af varianter). Oven i det er angrebsfladen enorm og bliver hele tiden større, især med stigningen i fjern- og hybridarbejde.

Den gode nyhed er dog, at konsekvenserne af ransomware og andre cybertrusler kan reduceres markant gennem effektiv forberedelse. Konkret råder vi SMV’er til at udvikle en forsvarsstrategi, der opfylder disse kernemål:

1. Begrænser en ond aktørs mulighed for at bevæge sig frit i miljøet.
2. Giver synlighed og responskapacitet.
3. Forhindrer unødvendig eksponering.
4. Indfører en robust og effektiv genopretning af driften.

Begræns en ond aktørs mulighed for at bevæge sig frit i miljøet.

Når den første adgang er opnået, forsøger hackere at finde (hvis de ikke allerede har dem) legitimationsoplysninger af høj værdi for at få administrativ adgang i miljøet. Forsøget på vertikal rettighedsforhøjelse kræver typisk, at de bevæger sig fra system til system. God kontohygiejne sammen med passende kontrol og styring af privilegeret adgang gør det sværere for hackere at forblive uopdagede. Centrale handlinger, som SMV’er bør indføre, omfatter:

• Udrul en omfattende, men letanvendelig og letadministrerbar løsning til privilegeret adgangsstyring (PAM) fuldt ud.
• Indfør dobbelt godkendelse, også kendt som fireøjneprincippet, hvor enhver aktivitet fra en medarbejder, der indebærer en væsentlig risiko, skal gennemgås og bekræftes af en anden medarbejder, som er uafhængig og kompetent.
• Etablér relevante godkendelsesforløb, hvor personer skal godkende data eller opgaver på bestemte tidspunkter i en proces.
• Indfør Local Administrator Password Solutions (LAPS), som administrerer adgangskoder til lokale konti på domænetilsluttede computere. Adgangskoderne gemmes i Active Directory (AD) og beskyttes af en adgangskontrolliste (ACL), så kun berettigede brugere kan læse dem eller anmode om en nulstilling.

Giv synlighed og responskapacitet.

Løsninger til endpoint detection and response (EDR) er afgørende for at opdage og forhindre kendt og ukendt malware. Andre tiltag, som SMV’er bør indføre, omfatter:

• Adfærdsanalyse, som bruger maskinlæring, kunstig intelligens, big data og analyse til at identificere ondsindet adfærd ved at analysere afvigelser fra normale, daglige aktiviteter.
• Inddæmningskapacitet, en metode, hvor adgang til oplysninger, filer, systemer og netværk styres via adgangspunkter.
• Centraliseret overvågning, hvor cybersikkerhedsprocesser administreres på tværs af organisationen med ét samlet sæt værktøjer, procedurer og systemer. Tilgangen fjerner siloer mellem cybersikkerhedsafdelinger og bruger et centraliseret netværk til at samle alt under én paraply.
• Udlægning af nogle eller alle IT-sikkerhedsopgaver til en leverandør af administrerede tjenester (MSP).

Forhindr unødvendig eksponering.

Det er afgørende at reducere angrebsfladens størrelse for at blokere den første adgang, rettighedsforhøjelse og lateral bevægelse (forbindelse til andre systemer) i miljøet. Systemer, der ikke er nødvendige for driften, eller som ikke opdateres rettidigt, kan eksponere sårbarheder. Systemer, der er unødvendige, eller som ikke kan opdateres, bør administreres på en måde, så hackere ikke får mulighed for at udnytte dem.

Indfør en robust og effektiv genopretning af driften.

En robust plan for backup og genopretning bør være på plads, så genopretningen efter meget forstyrrende ransomware kan ske hurtigt. Vi anbefaler, at SMV’er indfører følgende bedste praksis:

• Øg backupfrekvensen! På grund af ransomware er det ikke længere nok kun at tage backup af data én gang om natten. Alle datasæt bør beskyttes flere gange om dagen.
• Afstem backupstrategien med kravene til serviceniveau. Hvis serviceniveauet for eksempel er 15 minutter, bør backup udføres mindst hvert 15. minut.
• Følg “3-2-1-backupreglen”. Den går ud på at opbevare tre fuldstændige kopier af data: to som er lokale, men på to forskellige typer medier (eller to forskellige lokale on-premises-backuplagre), og én kopi opbevaret eksternt.
• Vær forsigtig, når du flytter data til cloud. Gransk en leverandørs påstand om at tilbyde disaster recovery som en tjeneste (DRaaS). DRaaS har betydelige fordele, men det er ikke en tryllestav. SMV’er skal huske, at disaster recovery “med et tryk på en knap” ikke nødvendigvis betyder “øjeblikkelig” genopretning.
• Automatisér runbooks til disaster recovery. Det indebærer, at genopretningsrækkefølgen fastlægges på forhånd, og at den rette genopretningsproces udføres med et enkelt klik. Tilgangen kan være meget gavnlig for SMV’er med applikationer i flere lag, der bruger indbyrdes afhængige servere, fordi den hjælper med at sikre genopretning der og da, hvor der er mest brug for den.
• Brug ikke backup til dataopbevaring. Husk, at de fleste genopretninger kommer fra den seneste backup og ikke fra en backup, der er flere måneder eller måske år gammel.
• Beskyt endpoints og SaaS-applikationer. Bærbare computere, stationære computere, smartphones og tablets kan indeholde unikke og værdifulde data, som aldrig ligger på en lagerenhed i et datacenter, medmindre de specifikt og bevidst bliver taget backup af.

I vores næste dyk ned i Devolutions’ undersøgelse af IT-sikkerhedens tilstand i SMV’er i 2022-23 fremhæver vi bedste praksis, der hjælper SMV’er med at indføre fem kerneprincipper og politikker (hvoraf nogle er nævnt ovenfor), som reducerer cybersikkerhedsrisici markant: princippet om mindste privilegium, zero trust, funktionsadskillelse, forsvar i dybden og fireøjneprincippet.