FAQ: Como protejo minha pequena empresa contra ataques cibernéticos?

Os fatos: as pequenas empresas subestimam sua vulnerabilidade

Na semana passada, houve ataques cibernéticos a vários bancos americanos. Embora os hackers geralmente tenham como alvo grandes empresas, as pequenas empresas também estão se tornando cada vez mais vulneráveis.

As pequenas empresas tendem a subestimar sua vulnerabilidade aos ataques cibernéticos porque subestimam seu valor para os ladrões cibernéticos. Eles acreditam que não valem a pena o esforço para hackear, mas os proprietários de pequenas empresas geralmente não percebem como o pequeno esforço de hackers de uma empresa com o mínimo de segurança é para um ladrão cibernético experiente.

A Enquete de Conscientização sobre Ameaças da Symantec mostrou que as pequenas empresas tendem a fazer muito pouco para se proteger de ataques:

• 50% dos pequenos empresários acham que são pequenos demais para serem alvo de ataques cibernéticos
• 61% das pequenas empresas não instalam software antivírus em todos os desktops
• 47% não usam segurança em servidores de email
• 67% não usam nenhuma segurança baseada na web

A Verizon Business publicou um extenso estudo sobre violações de segurança cibernética em 2011, com alguns resultados surpreendentes sobre as tendências dos hackers para segmentar pequenas empresas:

• 72% das violações de hackers denunciadas segmentam negócios com 100 ou menos funcionários
• 79% das vítimas de ataque cibernético de 2011 foram alvos de oportunidade

Embora as pequenas empresas possam se considerar pequenas o suficiente para cair no radar dos ladrões cibernéticos, as medidas de segurança geralmente negligentes implementadas pelas pequenas empresas tornam-nas um alvo fácil para os hackers. A maioria das vítimas não eram empresas com ativos consideráveis ​​ou segredos comerciais, identificadas por ladrões antes de um ataque fortemente planejado; em vez disso, a maioria das vítimas simplesmente tinha pouca segurança cibernética que os ladrões exploravam.

Hackeando através de funcionários

81% das violações em 2011 usaram alguma forma de hacking e 69% usaram malware.

Uma maneira comum de os ladrões cibernéticos invadirem a infraestrutura da empresa é através da pirataria de funcionários, e não da administração. Os ladrões cibernéticos podem enviar e-mails de phishing para funcionários individuais e, quando esses e-mails são abertos no servidor da empresa, softwares maliciosos podem roubar informações da empresa.

As empresas devem estabelecer uma política clara da empresa sobre quais informações da empresa podem ser divulgadas pelas mídias sociais, sites que os funcionários não devem acessar no trabalho, como identificar e-mails de phishing e como preservar a segurança de dispositivos móveis, especialmente se eles podem entrar em uma empresa servidor através do seu dispositivo pessoal.

Nosso site dicas: como você deve proteger sua empresa?

A FCC tem uma prática ferramenta de planejamento de segurança cibernética para pequenas empresas que permite que proprietários de pequenas empresas criem um plano de segurança cibernética personalizado com conselhos de especialistas em doze assuntos, incluindo segurança de rede, dispositivos móveis, segurança de instalações e desenvolvimento de políticas.

A Investmentmatome recomenda que as empresas realizem quatro etapas iniciais para se protegerem:

1. Avalie seu status de segurança. Onde estão todas as possíveis violações de dados e lacunas de segurança?
2. Implementar um firewall e um software antivírus
3. Realizar uma sessão de treinamento para os funcionários e retransmitir para eles as políticas da empresa sobre segurança cibernética
4. Crie senhas administrativas difíceis de adivinhar, de preferência aquelas compostas de uma combinação de números e letras

Ao implementar um plano abrangente de segurança cibernética e educar os funcionários sobre esse plano, as empresas podem proteger seus ativos.

Outras opiniões de especialistas

• Robert Siciliano, especialista em segurança online da McAfee, oferece cinco dicas para garantir a segurança cibernética de sua empresa

“1. Nem todos os dados são invadidos. Exercício básico à premissa avançada / física segurança, como controle de acesso, câmeras de segurança e alarmes.

2. Limite a quantidade de dados exigidos dos clientes. Se você não realmente precisa de um número de previdência social e não o armazene. Se cartão de crédito as informações não precisam ser armazenadas e não são armazenadas.

3. Reconhecer que questões de autenticação baseada em conhecimento como senha redefine pode derrubar a casa. Muitas das respostas podem ser encontradas em sites de mídia.

4. Os laptops são um dos maiores pontos de violação de dados. Os dados do laptop devem ser criptografado. Laptops nunca devem ser deixados em um carro durante a noite ou deixados em um quarto de hotel ou escritório sozinho ou em uma mesa de café em um café sem vigilância. O software de rastreamento de laptop que localiza e limpa os dados é essencial.

5. Treinar, treinar, treinar, treinar. Treinamento em segurança de dados e o que fazer e o que não fazer é prioridade número um. Clicando em links em e-mails baixar qualquer coisa da web ou e-mail, abrir anexos em e-mails, todos foram maneiras recentes e bem sucedidas de infectar uma rede. ”

• Nathan Corbier, fundador da Corbier and Associates, fala sobre dispositivos de funcionários

“Não permitimos que ninguém conecte dispositivos não autorizados em nossas estações de trabalho ou laptops da empresa. Isso inclui MP3 players, telefones celulares, chaves USB, nada. Se alguém o fizer, imediatamente bloqueia o PC com um azul tela da morte e envia um alarme SMTP. Os únicos dispositivos USB autorizados que permitimos são Yubikeys e Iron Keys.

Exigimos que todos os smartphones Android sejam sincronizados com o nosso Google Apps Conta, ter autenticação de senha ativada e ser criptografado. ”

• Michelle Schenker, proprietária da Cover Story Media, fala sobre a importância de trocar senhas com frequência

“Mude as senhas com frequência e sempre use senhas complexas e exclusivas para qualquer coisa que você esteja fazendo online. As senhas se tornam mais difíceis de decodificar quando contêm uma grande variedade de caracteres, geralmente é melhor incorporar números, letras maiúsculas e símbolos na sua senha. As senhas devem ser difíceis de adivinhar e é importante que elas sejam alteradas regularmente. Sugere-se que você altere suas senhas on-line uma vez por mês para mantê-las dinâmicas e reduzir a probabilidade de que alguém tenha acesso a suas informações pessoais. “

• Kyle Marks, fundador da Retire-IT, diz para descartar a velha tecnologia com segurança

“Quando uma organização retira tecnologia indesejada, ela enfrenta riscos associados à segurança de dados e à conformidade ambiental. Ameaças de pessoas de confiança e fornecedores negligentes aumentam o desafio. As empresas devem estar cientes das ameaças à segurança de dados que acompanham a atualização da TI. ”

• John S. Pitts, fundador da Tekcetera, Inc., incentiva o uso de firewalls e VPNs

“Com o crescente número de hackers de computador e vítimas de roubo de identidade, é imperativo que você forneça à sua empresa proteção confiável usando firewalls. Estes podem ser baseados em software ou baseados em hardware e são usados ​​para ajudar a manter uma rede segura. Por fim, os firewalls analisam os pacotes de dados e determinam quais informações devem ser permitidas, com base em um conjunto de regras predeterminado.

As redes virtuais privadas (VPNs) fornecem segurança por meio de protocolos de encapsulamento e procedimentos de segurança, como criptografia. Por exemplo, uma VPN pode ser usada para conectar com segurança as filiais de uma organização a uma rede de matriz por meio da Internet pública ”.

• Alfea Principe, Diretora de Marketing Global para Serviços de Reciclagem de Eletrônicos, lembra os proprietários de pequenas empresas a reciclar computadores com segurança

“Uma questão comum que questões financeiras e governamentais desconhecem é a perigos associados à não reciclagem de computadores, telefones celulares, impressoras, fax máquinas, etc. corretamente. Se estes componentes eletrônicos não forem desmontados corretamente e colocar em mãos erradas, estes dados muito sensíveis e confidenciais (crédito cartão bancário, informações bancárias, números de segurança social, etc.) podem ser extraídos. ”

• Michael Becce, Relações Públicas da MRB, alerta sobre keyloggers

“A ameaça real para as pequenas empresas são os keyloggers. Keyloggers é uma forma de malware que rastreia todas as teclas digitadas no teclado e torna disponível para hackers. A maioria das pessoas assume que o produto antivírus impedir keyloggers de entrar em seus sistemas, afinal, ele diz isso em a Caixa. A realidade é que os melhores produtos antivírus podem detectar menos de 25% dos keyloggers conhecidos. Muitos sistemas já estão infectados. Os keyloggers rastreiam tudo, desde o log-in do Windows, formulários bancários, informações, e-mail, mídias sociais e até mensagens instantâneas. Cada pequeno negócio deve assumir que pelo menos uma pessoa na organização tenha sido acertar ou será. Muitas pequenas empresas foram completamente fechadas já. Para evitar que ele roube seus toques de tecla (e seus dados, segredos, dinheiro, etc.), use uma ferramenta de criptografia de teclas para criptografar cada pressionamentos de tecla ao fazer com que os keyloggers leiam dados falsos. ”

• Sid Haas, vice-presidente de desenvolvimento de negócios da LKCS, fala sobre a contratação de uma empresa de segurança de rede terceirizada e a realização de treinamentos

“Contratamos uma empresa independente de segurança de rede para realizar avaliações externas de vulnerabilidade em nossos servidores e sites a cada 6 meses. Essas avaliações identificam vulnerabilidades de segurança específicas com base no nível de risco. Utilizamos as informações contidas nesses relatórios de avaliação para reduzir o maior número possível de vulnerabilidades - começando com qualquer um identificado como de alto risco, mas também abordando itens identificados como de médio e baixo risco.

Descobrimos que a segurança cibernética é tanto sobre educação e treinamento quanto todas essas outras etapas. Realizamos sessões anuais de treinamento em segurança com todos os funcionários e continuamente lembramos a todos os nossos funcionários sobre questões de segurança, golpes e ameaças ao longo do ano via e-mail e pequenos cartazes exibidos em todas as nossas instalações ”.

• Doug Landoll, estrategista-chefe da Lantego LLC, incentiva as empresas a rever sua segurança regularmente

“Analisamos os atuais controles administrativos, físicos e técnicos, ajudamos a preencher as pesquisas de segurança e colocamos a pequena empresa de volta à conformidade. Isso envolve a inspeção física da proteção de sistemas e do armazenamento de dados confidenciais, o desenvolvimento de políticas de segurança e trancando nossos sistemas.

Pequenas empresas são frequentemente alvo de hackers, porque eles antecipam controles fracos. A chance de sua informação confidencial ser comprometida pode ser muito provável. Por um esforço mínimo, os controles básicos podem ser implementados para não apenas colocá-lo em conformidade, mas também para proteger as informações confidenciais de seus clientes e aumentar sua satisfação com seu serviço. ”

• Mark J. Sexton, proprietário da Nevada Medical Security Technologies, fala sobre a importância de treinar a equipe

“Quando se fala em segurança cibernética para pequenas empresas, o objetivo principal é criar conscientização de segurança com o proprietário e a equipe da empresa. Não é possível proteger o que você não conhece, portanto, para se informar sobre a natureza do crime cibernético, os métodos que os maus usam para obter informações protegidas ou dinheiro / ativos são fundamentais. Uma vez que as pessoas tenham uma compreensão básica de como os ladrões usam a tecnologia para roubar, elas podem olhar para seus próprios sistemas e processos e ver se há lacunas ou partes faltando.

Coisas básicas como usar senhas complexas e alterá-las regularmente, mantendo atualizados os sistemas e os softwares antivírus.Usando um aplicativo de verificação de malware / spyware em seus sistemas regularmente. Educar a equipe sobre o uso apropriado da tecnologia e sobre como os ataques de phishing e engenharia social funcionam, ter políticas sobre o uso apropriado de computadores corporativos e não permitir que os usuários sejam administradores completos de seus sistemas constitui o ponto fraco aqui. Os direitos administrativos são grandes, se os usuários puderem instalar software, eles podem se tornar um nexo para um ataque ou permitir o software keylogger e outros softwares mal-intencionados em seus sistemas e, potencialmente, em todos os sistemas da empresa.

No final, é tudo sobre conhecimento e ser informado. É quase impossível compensar as más práticas de computação dos funcionários e, como resultado, o treinamento se torna fundamental ”.