Kiberdrošības pamati

Daudzi domā, ka kiberuzbrukumi skar tikai lielus uzņēmumus ar dārgām sistēmām. Patiesībā krāpnieki biežāk mērķē parastus darbiniekus — grāmatvedi, pārdevēju, noliktavas darbinieku, pašvaldības speciālistu. Tev ir piekļuve e-pastam, klientu kartēm, rēķiniem, iekšējām tabulām. Viens neapdomīgs klikšķis var atvērt durvis visam birojam.

Ja notiek incidents, cieš ne tikai uzņēmums. Var apstāties kases, pārtraukties piegādes, aizkavēties algu izmaksa. Darbiniekam var nākties skaidrot, kāpēc nauda aizgāja nepareizajam kontam vai kāpēc klientu dati nonāca svešās rokās. Labā ziņa — lielāko daļu situāciju var novērst ar vienkāršiem ieradumiem, bez tehniskām zināšanām.

Vājā parole ir kā atslēga, kas karājas pie durvīm. Uzbrucēji automātiski pārbauda miljoniem kombināciju — ja izmanto vienu paroli visur, viena noplūde atver visas durvis.

Laba parole ir gara un neparedzama. Vienkāršākais veids: četri nesaistīti vārdi, piemēram "zaķis-cepure-pilns-mezonis". Tas ir grūti uzminēt, bet vieglāk atcerēties nekā nejēgu simbolu virkni.

Ko darīt ar parolēm:

• Neizmanto vienu paroli vairākās vietās
• Darba un privātās paroles turi atsevišķi
• Izmanto paroļu pārvaldnieku — tas ģenerē un glabā drošas paroles
• Nekad nesaki paroli e-pastā, čatā vai pa tālruni

Divfaktoru autentifikācija ir otrais slānis. Pat ja kāds uzzina tavu paroli, bez apstiprinājuma no tālruņa viņš netiek iekšā. Ieslēdz to e-pastam, grāmatvedības programmai, klientu datu bāzei — visur, kur uzņēmums to atļauj. Ja sistēma lūdz apstiprināt ierīci, dari to — bez tava tālruņa pat gara parole nepalīdz.

Droša pieteikšanās darbā: veikala kasieris nedrīkst atstāt kasi pieslēgtu, ja aizgāja pie klienta; biroja darbinieks aizslēdz ekrānu, atstājot galdu (Windows: Win+L, Mac: Cmd+Ctrl+Q). Darba kontu neizmanto personīgiem pirkumiem vai sociālajiem tīkliem — tas ir darba instruments, ne privātā istaba.

Mini-vingrinājums — pārbaudi savas paroles:

• Vai kaut kur izmanto to pašu paroli, ko e-pastam?
• Vai parole ir garāka par 12 rakstzīmēm?
• Vai darba sistēmām ir ieslēgta divfaktoru autentifikācija?

Viltots e-pasts izskatās kā īsts — ar logo, pareizu valodu un pazīstamu parakstu. Viltota īsziņa dara to pašu īsākā formā. Sociālā inženierija ir situācija, kad kāds zvana un uzdodas par IT darbinieku, bankas konsultantu vai tavu vadītāju.

Krāpnieki spēlē uz steidzamību un bailēm. Grāmatvedei var atnākt vēstule "no bankas" ar rēķina apmaksas lūgumu. Noliktavas darbiniekam — īsziņa par neapmaksātu pakomāta rēķinu. Vadītājam zvana "no IT" un lūdz uzreiz nosūtīt pagaidu paroli, lai salabotu serveri.

Kā atpazīt viltu:

• Sūtītāja adrese nesakrīt ar uzņēmuma nosaukumu
• Draudi vai steidzamība — konts tiks slēgts šodien
• Saite tekstā rāda vienu, bet, uzbraucot ar peli, redzama cita adrese
• Negaidīts pielikums, piemēram rēķins ar neparastu nosaukumu
• Lūgums nosūtīt paroli, kodu vai naudu

Klasiska situācija Latvijas uzņēmumos: e-pasts no direktora, kurš it kā ir sanāksmē un lūdz steidzami pārskaitīt naudu piegādātājam. Adrese ir gandrīz pareiza, bet ne gluži. Pirms maksā — piezvani direktoram pa zināmo numuru, ne atbildi uz e-pastu.

Ko darīt, ja šaubies:

• Nepieciešamības gadījumā piezvani sūtītājam caur zināmo kontaktu
• Neklikšķini uz saites — ieraksti adresi pārlūkā pats
• Pārsūti aizdomīgo vēstuli IT vai drošības atbildīgajam

Īstā banka un īstā IT nodaļa nekad nelūgs paroli e-pastā vai īsziņā.

Mini-vingrinājums — trīs pārbaudes pirms klikšķa:

• Vai šo ziņu gaidīji?
• Vai sūtītājs liekas pareizs, pārbaudot adresi uzmanīgi?
• Vai lūgums ir normāls — vai kāds prasa naudu vai paroli steidzamībā?

Publiskais bezvadu tīkls kafejnīcā, veikalā vai lidostā nav drošs darba lietām. Citā tīklā var redzēt, ko sūti, ja nav aizsardzības. Strādājot attālināti, izmanto uzņēmuma nodrošināto drošo savienojumu, ja tāds ir pieejams.

Droši ieradumi ikdienā:

• Darba uzdevumiem izmanto darba datoru un apstiprinātās programmas
• Nepievieno nezināmas atmiņkartes darba datoram
• Programmas lejupielādē tikai no oficiāliem avotiem, ne no nejaušām reklāmām
• Pārlūku un sistēmu atjauninājumus neatlaid — tie aizver drošības caurumus

Ne visi dati drīkst nonākt jebkur. Vienkārša klasifikācija:

• Publiski — ko drīkst rādīt visiem, piemēram cenas un brošūras
• Iekšēji — tikai kolēģiem, piemēram darba plāni un instrukcijas
• Konfidenciāli — tikai noteiktām personām, piemēram klientu personas dati, algas un līgumi

Ražotnē tas var būt tehnoloģiskā kārtība; pašvaldībā — iedzīvotāja iesniegums; veikalā — lojalitātes programmas dati. Nesūti konfidenciālu informāciju uz privāto e-pastu, neoficiālu čatu vai mākoņa kontu, ja uzņēmums to nav atļāvis.

Ja kaut kas nogājis greizi — noklikšķināji uz aizdomīgas saites, pazaudēji datoru, nosūtīji nepareizu failu — negaidi. Atvieno ierīci no tīkla, ja iespējams, un ziņo tūlīt. Katram uzņēmumam ir sava kārtība: IT speciālists, vadītājs vai atsevišķa kontaktadrese. Jo ātrāk uzzina, jo mazāk bojājumu.

Ko darīt pēc kļūdas — četri soļi:

• Apstājies — vairs neklikšķini un neievadi paroles
• Atvieno ierīci no tīkla vai izslēdz bezvadu savienojumu
• Ziņo atbildīgajam — nosaki, kas notika un kad
• Seko norādījumiem — var nākties mainīt paroli vai nodot datoru pārbaudei

Izmanto šos jautājumus, lai pārbaudītu, vai esi gatavs rīkoties drošāk jau šodien.

• Vai tavām darba sistēmām ir ieslēgta divfaktoru autentifikācija? Ja nē — ko vajadzētu darīt, lai to ieslēgtu?
• Ja saņemtu e-pastu no direktora ar lūgumu steidzami pārskaitīt naudu, kādas trīs lietas pārbaudītu pirms rīkoties?
• Ko darītu, ja nejauši noklikšķinātu uz aizdomīgas saites darba datorā?
• Kāda ir atšķirība starp publisku, iekšēju un konfidenciālu informāciju — un kur katru drīkst sūtīt?
• Vai zini, kam savā uzņēmumā ziņot par aizdomīgu e-pastu vai drošības incidentu?
• Vai pirms sūtīšanas pārbaudi, vai fails nav pārāk sensitīvs nepareizajam adresātam?