Digitalna sigurnost: ovlasti, pristupi i kontinuitet rada

Problem iz poslovanja

Jedna zajednička lozinka povezuje e-mail, rezervacije i isplate, bivši suradnik još ima pristup, a tim nema provjeren plan za prekid interneta. Vlasnik misli da dobavljač rješava svu sigurnost, iako dio rizika nastaje u svakodnevnom radu ljudi.

Nakon lekcije moći ćete

• Urediti korisničke uloge i provjeru osjetljivih promjena.
• Odrediti što treba zaštititi, sačuvati i oporaviti.
• Pripremiti izvediv postupak za sumnjivu poruku i nedostupnost sustava.

Počnite od računa koji otključavaju ostale

E-mail često služi za oporavak drugih računa, pa njegov gubitak može ugroziti više sustava odjednom. Popišite vlasnika računa, imenovane korisnike, način oporavka i omogućene zaštite. Koristite zasebne osobne pristupe gdje su podržani, upravitelj lozinki prema odobrenom postupku i višefaktorsku autentifikaciju, po mogućnosti otpornu na phishing. Ne dijelite jednokratne kodove putem poruke dobavljaču ili gostu. Tehničke mogućnosti razlikuju se među uslugama; za nedostupnu zaštitu zabilježite ograničenje i odgovornu osobu, umjesto pretvaranja da je rizik uklonjen.

Dodijelite najmanje potrebne ovlasti

Osoba koja provjerava dolazak ne treba nužno mijenjati podatke za isplatu, a agencija koja uređuje sadržaj ne treba pristup cijelom portfelju. Napravite matricu radnji i korisničkih uloga te provjerite stvarne postavke. Bivšem suradniku ukinite pristup kroz službeni postupak, uz prethodnu predaju otvorenih zadataka i poslovnih podataka. Posebno odredite kako dvije ovlaštene osobe neovisnim putem potvrđuju promjenu bankovnih ili drugih osjetljivih podataka. Poruka s poznatog računa nije dovoljna potvrda ako je sam račun kompromitiran.

Sigurnosna kopija vrijedi tek kada je uporabiva

Razlikujte pohranu u oblaku od vlastite mogućnosti oporavka. Pitajte dobavljača što čuva, koliko dugo, tko može zatražiti povrat i što se ne može vratiti. Poslovno potrebne izvoze čuvajte u odobrenom, zaštićenom opsegu, s odgovarajućim ovlastima i rokovima. Ne preuzimajte sve osobne podatke gostiju „za svaki slučaj”. FBI-jeve preporuke za otpornost uključuju odvojene sigurnosne kopije i provjeru obnove; za smještaj to praktično znači znati koje informacije možete zakonito i sigurno koristiti kada glavni sustav nije dostupan.

Vježbajte miran odgovor na incident

Za sumnjivu poveznicu ili neočekivanu promjenu isplate prekinite osjetljivu radnju i provjerite događaj neovisnim službenim kanalom. Ne odgovarajte napadaču i ne pokušavajte sami istraživati tuđe sustave. Sačuvajte potrebne dokaze bez širenja osobnih podataka, obavijestite odgovorne osobe i uključite dobavljača ili kvalificiranu podršku. Procjenu obveza prijavljivanja i komunikacije prepustite ovlaštenima za konkretan slučaj. Za nedostupnost sustava odredite privremenu evidenciju dolazaka i kontakt osobu, uz naknadno usklađivanje. Ručni postupak mora biti zaštićen jednako ozbiljno kao digitalni.

Postupak rješavanja

1. Napravite popis kritičnih računa, njihovih vlasnika, korisnika i postupka oporavka.

2. Provjerite ovlasti i višefaktorsku zaštitu te uklonite nepotrebne pristupe kroz službeni postupak.

3. Dogovorite koje su kopije potrebne i provedite kontrolirani test obnove ili uporabivosti izvoza.

4. Provedite dvije kratke vježbe: sumnjiva poruka i prekid pristupa sustavu tijekom dolazaka.

Primjena prema vrsti poslovanja

Pogreške koje treba izbjeći

• Smatrati da je podatak siguran samo zato što se nalazi u oblaku.
• Potvrditi promjenu isplate odgovorom na istu sumnjivu poruku.
• Zaboraviti ukinuti pristup nakon završetka suradnje.

Vaš praktični zadatak

Izradite matricu pristupa za pet najvažnijih radnji i kratak plan za incident. Vježbu provedite bez stvarnog prekidanja produkcijske zaštite i bez slanja osjetljivih podataka. Zabilježite gdje zamjena ne zna sljedeći korak.