Domande frequenti: come proteggere la mia piccola azienda dagli attacchi informatici?

I fatti: le piccole imprese sottovalutano la loro vulnerabilità

La settimana scorsa hanno provocato attacchi informatici contro diverse banche americane. Sebbene gli hacker spesso colpiscano le grandi aziende, anche le piccole imprese sono sempre più vulnerabili.

Le piccole imprese tendono a sottovalutare la loro vulnerabilità agli attacchi informatici perché sottovalutano il loro valore per i cyberhieve. Credono di non valere la pena di hackerare, ma i proprietari di piccole imprese spesso non si rendono conto di quanto poco sforzo sia quello di hackerare una società con una sicurezza minima per un cyberthief esperto.

Il sondaggio sulla consapevolezza delle minacce di Symantec ha dimostrato che le piccole imprese tendono a fare troppo poco per proteggersi dagli attacchi:

• Il 50% dei proprietari di piccole imprese pensa di essere troppo piccolo per essere bersaglio di attacchi informatici
• Il 61% delle piccole imprese non installa software antivirus su tutti i desktop
• Il 47% non usa la sicurezza sui server di posta
• Il 67% non utilizza alcuna sicurezza basata sul Web

Verizon Business ha condotto un ampio studio sulle violazioni della sicurezza informatica nel 2011, con alcuni risultati sorprendenti sulla tendenza degli hacker a rivolgersi alle piccole imprese:

• Il 72% degli hacker segnalati viola affari mirati con 100 o meno dipendenti
• Il 79% delle vittime di attacchi informatici del 2011 erano obiettivi di opportunità

Sebbene le piccole imprese possano pensare di essere abbastanza piccole per cadere sotto il radar dei cyberhieve, le misure di sicurezza solitamente negligenti implementate dalle piccole imprese li rendono un obiettivo facile per gli hacker. La maggior parte delle vittime non erano imprese con notevoli risorse o segreti commerciali, identificate dai ladri prima di un attacco pianificato in modo pesante; piuttosto, la maggior parte delle vittime aveva semplicemente una cibersicurezza debole che i ladri hanno sfruttato.

Hacking attraverso i dipendenti

L'81% delle violazioni nel 2011 ha utilizzato una qualche forma di hacking e il 69% ha utilizzato malware.

Un modo comune per i cyberhieve di penetrare nelle infrastrutture aziendali è attraverso l'hacking dei dipendenti piuttosto che la gestione. Cyberthieves può inviare e-mail di phishing a singoli dipendenti e, quando queste e-mail vengono aperte sul server aziendale, i software dannosi possono rubare informazioni aziendali.

Le aziende devono stabilire una chiara politica aziendale su quali informazioni aziendali possono essere divulgate attraverso i social media, i dipendenti dei siti Web non devono accedere al lavoro, come identificare le e-mail di phishing e come preservare la sicurezza dei dispositivi mobili, in particolare se possono accedere a una società server attraverso il loro dispositivo personale.

I nostri consigli sul sito: come proteggere la tua attività?

La FCC dispone di un pratico strumento di pianificazione della cybersecurity per piccole imprese che consente ai proprietari di piccole imprese di creare un piano di sicurezza informatica personalizzato contenente consigli di esperti su dodici argomenti, tra cui sicurezza della rete, dispositivi mobili, sicurezza delle strutture e sviluppo delle politiche.

Investmentmatome consiglia alle aziende di intraprendere quattro passaggi iniziali per proteggersi:

1. Valuta il tuo stato di sicurezza. Dove sono tutte le possibili violazioni dei dati e lacune di sicurezza?
2. Implementare un firewall e un software antivirus
3. Tenere una sessione di formazione per i dipendenti e comunicare loro le politiche aziendali in materia di sicurezza informatica
4. Creare password amministrative difficili da indovinare, idealmente composte da una combinazione di numeri e lettere

Implementando un piano di cibersicurezza completo e istruendo i dipendenti su questo piano, le aziende possono proteggere le proprie risorse.

Altre opinioni di esperti

• Robert Siciliano, esperto di sicurezza online di McAfee, offre cinque suggerimenti per garantire la sicurezza informatica della tua azienda

“1. Non tutti i dati sono violati. Esercizio da base a premessa avanzata / fisica sicurezza come controllo degli accessi, telecamere di sicurezza e allarmi.

2. Limitare la quantità di dati richiesti dai clienti. Se non lo fai davvero bisogno di un numero di previdenza sociale quindi non memorizzarlo. Se la carta di credito le informazioni non devono essere memorizzate, quindi non memorizzarle.

3. Riconoscere le domande di autenticazione basate sulla conoscenza come password le reimpostazioni possono far cadere la casa. Molte delle risposte possono essere trovate in social siti multimediali.

4. I portatili sono uno dei più grandi punti di violazione dei dati. I dati del portatile dovrebbero essere criptato. I computer portatili non devono mai essere lasciati in auto durante la notte o lasciati in un stanza d'albergo o ufficio da solo o su un tavolino in un caffè incustodito. Il software di tracciamento portatile che individua e cancella i dati è essenziale.

5. Treno, treno, treno, treno. Formazione sulla sicurezza dei dati e cosa fare, e cosa non fare è la priorità numero uno. Fare clic sui collegamenti nelle e-mail, scaricare qualsiasi cosa dal web o dalla posta elettronica, aprendo gli allegati nelle e-mail, sono stati tutti modi recenti di successo per infettare una rete ".

• Nathan Corbier, fondatore di Corbier and Associates, parla dei dispositivi dei dipendenti

"Non permettiamo a nessuno di collegare dispositivi non autorizzati alle nostre workstation o computer portatili aziendali. Ciò include lettori MP3, telefoni cellulari, chiavi USB, Niente. Se qualcuno lo fa, blocca immediatamente il PC con un blu schermo della morte e invia un allarme SMTP. Gli unici dispositivi USB autorizzati che permettiamo sono Yubikeys e Iron Keys.

Richiediamo la sincronizzazione di tutti gli smart phone Android con Google Apps Account, avere l'autenticazione della password abilitata ed essere crittografato. "

• Michelle Schenker, proprietaria di Cover Story Media, parla dell'importanza di cambiare frequentemente le password

"Cambia spesso le password e usa sempre password complesse e uniche per tutto ciò che stai facendo online. Le password diventano più difficili da decodificare quando contengono un'ampia varietà di caratteri, in genere è meglio incorporare numeri, lettere, lettere maiuscole e simboli nella password. Le password dovrebbero essere difficili da indovinare ed è importante che vengano cambiate regolarmente. Si consiglia di cambiare le password online una volta al mese per mantenerle dinamiche e ridurre la probabilità che qualcuno possa accedere alle informazioni personali dell'utente. “

• Kyle Marks, fondatore di Retire-IT, dice di smaltire la vecchia tecnologia in modo sicuro

"Quando un'organizzazione ritira la tecnologia indesiderata, si trova ad affrontare rischi associati alla sicurezza dei dati e alla conformità ambientale. Minacce da parte di insider affidabili e venditori negligenti aumentano la sfida. Le aziende dovrebbero essere a conoscenza delle minacce alla sicurezza dei dati che si presentano con l'aggiornamento dell'IT. "

• John S. Pitts, fondatore di Tekcetera, Inc., incoraggia l'uso di firewall e VPN

"Con il crescente numero di hacker informatici e vittime di furti di identità, è imperativo fornire alla tua azienda una protezione affidabile utilizzando i firewall. Questi possono essere basati su software o basati su hardware e vengono utilizzati per mantenere una rete sicura. In definitiva, i firewall analizzano i pacchetti di dati e determinano quali informazioni devono essere autorizzate, in base a un set di regole predeterminato.

Le reti private virtuali (VPN) forniscono sicurezza attraverso protocolli di tunneling e procedure di sicurezza come la crittografia. Ad esempio, una VPN può essere utilizzata per connettere in modo sicuro le filiali di un'organizzazione a una rete di uffici centrali attraverso l'Internet pubblica. "

• Alfea Principe, direttore marketing globale per i servizi di riciclo dell'elettronica, ricorda ai piccoli imprenditori di riciclare i computer in modo sicuro

"Un problema comune di cui le questioni finanziarie e governative non sono a conoscenza è il pericoli associati al mancato riciclaggio di computer, telefoni cellulari, stampanti, fax macchine, ecc. correttamente. Se questi componenti elettronici non vengono smontati correttamente e messo nelle mani sbagliate, questi dati molto sensibili e riservati (credito carta, informazioni bancarie, numeri di previdenza sociale, ecc.) possono essere estratti. "

• Michael Becce, MRB Public Relations, avverte dei keylogger

"La vera minaccia per le piccole imprese sono i keylogger. I keylogger sono una forma di malware che tiene traccia di ogni tasto premuto sulla tastiera e lo fa disponibile per gli hacker. La maggior parte della gente presume che il prodotto anti-virus lo farà impedisce ai keylogger di entrare nei loro sistemi, dopotutto, dice così via la scatola. La realtà è che i migliori prodotti antivirus possono rilevare meno del 25% dei keylogger noti. Molti sistemi sono già infetti. I keylogger tracciano tutto dal log-in di Windows, dai moduli bancari, dai finanziari informazioni, email, social media, persino messaggistica istantanea. Ogni piccolo l'azienda dovrebbe presumere che almeno una persona nell'organizzazione sia stata colpire o sarà. Molte piccole imprese sono state completamente chiuse già. Per evitare che rubi le tue battute (e i tuoi dati, segreti, soldi, ecc.), utilizzare uno strumento di crittografia dei tasti per crittografarli le sequenze di tasti mentre lo fai in modo che i keylogger leggano i dati falsi. "

• Sid Haas, VP Business Development di LKCS, parla di assumere una società di sicurezza di rete di terze parti e di tenere corsi di formazione

"Assumiamo una società indipendente di sicurezza di rete di terze parti per eseguire valutazioni di vulnerabilità esterne sui nostri server e siti Web ogni 6 mesi. Queste valutazioni identificano specifiche vulnerabilità di sicurezza in base al livello di rischio. Utilizziamo le informazioni contenute in questi rapporti di valutazione per mitigare il maggior numero possibile di vulnerabilità, a partire da qualsiasi identificato come ad alto rischio, ma anche affrontando elementi identificati come a medio e basso rischio.

Abbiamo scoperto che la sicurezza informatica riguarda tanto l'istruzione e la formazione quanto tutti questi altri passaggi. Teniamo sessioni annuali di formazione sulla sicurezza con tutti i dipendenti e ricordiamo continuamente a tutti i nostri dipendenti su problemi di sicurezza, truffe e minacce durante tutto l'anno tramite e-mail e piccoli manifesti esposti nella nostra struttura. "

• Doug Landoll, Chief Strategist presso Lantego LLC, incoraggia le aziende a rivedere regolarmente la loro sicurezza

"Esaminiamo gli attuali controlli amministrativi, fisici e tecnici, assistiamo con la compilazione dei sondaggi sulla sicurezza e ripristiniamo la conformità della piccola azienda. Ciò comporta un'ispezione fisica della protezione dei sistemi e della memorizzazione dei dati sensibili, lo sviluppo di politiche di sicurezza e bloccando i nostri sistemi.

Le piccole imprese sono spesso prese di mira dagli hacker perché prevedono controlli deboli. La possibilità che le tue informazioni sensibili vengano compromesse potrebbe essere molto probabile. Per uno sforzo minimo, è possibile implementare controlli di base che non solo ti rendano conformi, ma anche per proteggere le informazioni sensibili dei tuoi clienti e aumentare la loro soddisfazione nel servizio. "

• Mark J. Sexton, proprietario di Nevada Medical Security Technologies, parla dell'importanza della formazione del personale

"Quando parliamo di sicurezza informatica per le piccole imprese, l'obiettivo principale è creare consapevolezza della sicurezza con il proprietario e lo staff dell'azienda. Non è possibile proteggere ciò che non si conosce, quindi informarsi sulla natura del crimine informatico, i metodi che i cattivi usano per ottenere informazioni protette o denaro / risorse sono fondamentali. Una volta che le persone hanno una conoscenza di base di come i ladri usano la tecnologia per rubare, allora possono guardare ai propri sistemi e processi e vedere se mancano scappatoie o pezzi mancanti.

Cose di base come l'utilizzo di password complesse e la loro modifica regolare, mantenendo aggiornati i sistemi e il software antivirus.Usando regolarmente un'applicazione di scansione malware / spyware sui loro sistemi. Istruire lo staff sull'uso appropriato della tecnologia e su come funzionano gli attacchi di phishing e social engineering, avere politiche sull'uso appropriato dei computer aziendali e non permettere agli utenti di essere amministratori completi dei loro sistemi costituisce il frutto basso. I diritti amministrativi sono grandi, se gli utenti possono installare software possono diventare un nexus per un attacco o consentire il software key logger e altri software dannosi sui loro sistemi e potenzialmente su tutti i sistemi del business.

Alla fine però si tratta di conoscenza e di essere informati. È quasi impossibile compensare le scarse pratiche informatiche da parte dei dipendenti e, di conseguenza, l'allenamento diventa fondamentale. "