Udaljeni pristup više nije povlastica pojedinih zaposlenika niti privremeno rješenje za rad izvan ureda. Za mnoge tvrtke on je nužan za rad s poslovnim aplikacijama, održavanje poslužitelja, podršku korisnicima i suradnju s vanjskim partnerima. Pitanje kako zaštititi udaljeni pristup zato nije samo tehničko pitanje. Riječ je o odluci koja izravno utječe na kontinuitet poslovanja, povjerljivost podataka i odgovornost uprave.
Napadači često ne moraju provaliti u mrežu sofisticiranim metodama. Dovoljno je da preuzmu korisničke podatke zaposlenika, iskoriste nezaštićeni uređaj ili pronađu javno dostupnu uslugu s loše postavljenim sigurnosnim pravilima. Kada udaljeni pristup nije nadziran i jasno definiran, jedan kompromitiran račun može otvoriti put prema poslovnim podacima, računovodstvu, dokumentaciji, proizvodnim sustavima ili sigurnosnim kopijama.
Kako zaštititi udaljeni pristup bez usporavanja rada
Dobra zaštita ne znači da svaki zaposlenik mora prolaziti kroz složen proces prijave ili čekati IT podršku za svaku promjenu. Cilj je omogućiti siguran pristup pravim osobama, pravim sustavima i samo onda kada ga stvarno trebaju. To zahtijeva kombinaciju identiteta, uređaja, mrežnih pravila i kontinuiranog nadzora.
Najčešća pogreška je osloniti se na jednu mjeru, primjerice VPN. VPN može biti važan dio sigurnosne arhitekture, ali sam po sebi ne štiti račun koji je zaražen, ukradenu lozinku ili korisnika koji ima preširoke ovlasti. Sigurnost udaljenog rada mora biti slojevita, a svaka razina mora smanjiti posljedice propusta na drugoj.
Višefaktorska autentifikacija mora biti standard
Lozinka više nije dovoljna potvrda identiteta. Korisnici često ponovno koriste lozinke, mogu postati žrtve phishinga ili ih nenamjerno otkriti na kompromitiranim servisima. Višefaktorska autentifikacija, odnosno MFA, dodaje drugu provjeru identiteta – putem aplikacije za autentifikaciju, sigurnosnog ključa, biometrije ili drugog kontroliranog načina potvrde.
MFA treba primijeniti na VPN, e-poštu, administratorske račune, cloud aplikacije i sustave koji sadrže osjetljive poslovne podatke. Posebnu pozornost zaslužuju administratorski računi. Njihova kompromitacija može napadaču omogućiti stvaranje novih korisnika, gašenje zaštite, pristup sigurnosnim kopijama ili širenje napada kroz cijelu infrastrukturu.
SMS potvrda može biti prihvatljiv prijelazni korak, ali nije najbolji dugoročni izbor zbog rizika povezanih s preuzimanjem broja. Aplikacije za autentifikaciju i fizički sigurnosni ključevi pružaju višu razinu zaštite, osobito za upravu, IT administratore i korisnike s pristupom kritičnim sustavima.
Pristup dodjeljujte prema ulozi, ne prema praktičnosti
Zaposlenik koji treba pregledati dokumentaciju ne treba ista prava kao osoba koja održava poslužitelje. Vanjski računovođa ne treba neograničen pristup cijeloj mreži, a IT partner ne treba trajnu administratorsku ovlast ako intervencija traje nekoliko sati.
Primjena načela najmanjih privilegija smanjuje opseg štete u slučaju krađe korisničkog računa. Svakom korisniku treba dodijeliti samo ovlasti nužne za njegov posao, uz redovitu provjeru tih prava. Kod promjene radnog mjesta, odlaska zaposlenika ili završetka projekta pristup treba odmah izmijeniti ili ukinuti.
Za administrativne zadatke preporučuje se koristiti odvojene račune. Administrator ne bi trebao svakodnevno čitati e-poštu, otvarati privitke i pregledavati web pod istim računom kojim upravlja poslužiteljima. Odvajanje korisničkog i administrativnog identiteta znatno otežava širenje napada nakon phishinga ili zaraze radne stanice.
VPN je koristan, ali mora biti pravilno postavljen
VPN stvara zaštićeni kanal između korisnika i poslovne mreže, no njegova stvarna vrijednost ovisi o konfiguraciji. Zastarjeli protokoli, dijeljeni korisnički računi, otvoreni pristup cijeloj mreži i izostanak MFA-a pretvaraju VPN u dodatnu ulaznu točku umjesto sigurnosne mjere.
Kvalitetna konfiguracija ograničava pristup mrežnim segmentima i servisima koji su korisniku potrebni. Primjerice, zaposlenik može pristupiti poslovnoj aplikaciji i datotečnom sustavu, ali ne i administracijskom sučelju mrežne opreme. Takva segmentacija sprječava da kompromitirani uređaj automatski dobije vidljivost nad cijelom infrastrukturom.
Ponekad je sigurnije ne izlagati interni sustav mreži ni preko klasičnog VPN-a, već osigurati kontrolirani pristup putem udaljene radne površine, virtualne radne stanice ili aplikacijskog pristupa. Najbolje rješenje ovisi o postojećoj infrastrukturi, broju korisnika, vrsti podataka i zahtjevima za radom izvan ureda. Važno je da odluka proizlazi iz procjene rizika, a ne samo iz najbrže dostupne opcije.
Uređaj s kojeg se pristupa dio je sigurnosne politike
Zaštita identiteta nema punu vrijednost ako se zaposlenik prijavljuje s nezaštićenog privatnog računala. Uređaj koji pristupa poslovnim sustavima mora imati ažuriran operativni sustav, aktivnu zaštitu od zlonamjernog softvera, uključeno šifriranje diska i zaključavanje zaslona. Potrebno je i redovito instalirati sigurnosne zakrpe za operativni sustav, preglednike, VPN klijente i poslovne aplikacije.
Upravljanje uređajima omogućuje IT timu da provjeri ispunjava li računalo osnovne uvjete prije odobravanja pristupa. Ako uređaj nije ažuriran, nema aktivnu zaštitu ili je označen kao rizičan, pristup se može ograničiti dok se problem ne riješi. Takva pravila osobito su korisna u hibridnom okruženju, gdje dio zaposlenika radi iz ureda, dio od kuće, a dio na terenu.
Za osjetljive funkcije treba razmotriti službene uređaje kojima tvrtka može upravljati. Politika koja dopušta privatne uređaje može biti prihvatljiva za određene uloge, ali samo uz jasno definirane tehničke uvjete, odvajanje poslovnih podataka i mogućnost udaljenog uklanjanja poslovnog sadržaja kada je to potrebno.
Nadzor otkriva problem prije prekida poslovanja
Sigurnosni incident rijetko počinje velikim alarmom. Može započeti prijavom iz neuobičajene države, serijom neuspjelih pokušaja prijave, pristupom izvan radnog vremena ili naglim preuzimanjem velikog broja datoteka. Bez zapisa i nadzora takvi signali često ostanu neprimijećeni do trenutka kada napad već uzrokuje štetu.
Potrebno je pratiti prijave na udaljene servise, promjene korisničkih ovlasti, aktivnosti privilegiranih računa i neuobičajeno mrežno ponašanje. Zapisi moraju biti dostupni dovoljno dugo za analizu, a odgovornost za njihovu provjeru mora biti jasno određena. Samo prikupljanje logova bez pregleda ne donosi sigurnost.
Uz tehnički nadzor potreban je i plan reakcije. Tko blokira korisnički račun? Kako se izolira sumnjivi uređaj? Gdje se provjerava je li napadač pristupio podacima? Koliko brzo se mogu vratiti ključni sustavi iz sigurnosne kopije? Tvrtka koja unaprijed definira odgovore reagira smirenije i smanjuje trajanje prekida.
Sigurnosne kopije moraju ostati izvan dosega napadača
Ransomware često cilja sigurnosne kopije jer napadaču otežavaju ucjenu. Ako korisnik s udaljenim pristupom dobije preširoke ovlasti, može obrisati ili šifrirati i produkcijske podatke i backup sustav. Zato se pristup sigurnosnim kopijama mora strogo odvojiti od svakodnevnih korisničkih računa.
Pouzdana strategija uključuje više kopija podataka, odvojenu lokaciju te kopiju koja je zaštićena od izmjena ili nije stalno dostupna mreži. Jednako je važno redovito testirati oporavak. Backup koji postoji, ali se ne može vratiti u prihvatljivom roku, ne rješava poslovni problem kada sustav stane.
Ljudi su dio kontrole, a ne slaba karika koju treba kriviti
Zaposlenici trebaju znati prepoznati lažnu prijavu, sumnjivu MFA potvrdu i poruku koja traži hitnu promjenu lozinke. Edukacija ne mora biti duga ni opterećujuća, ali mora biti redovita i povezana sa stvarnim situacijama iz poslovanja.
Jasna pravila trebaju odgovoriti na jednostavna pitanja: smije li se koristiti privatni uređaj, kako se prijavljuje izgubljen telefon, tko odobrava pristup vanjskom suradniku i što učiniti kada zaposlenik posumnja na kompromitaciju računa. Kada su postupci poznati, korisnici brže prijavljuju problem umjesto da ga pokušavaju samostalno prikriti ili riješiti.
CarPen Rebuild može procijeniti postojeći model udaljenog pristupa, identificirati otvorene rizike te uspostaviti mjere koje odgovaraju stvarnoj strukturi vaše tvrtke. Najbolji trenutak za provjeru pristupa nije nakon incidenta, nego prije nego što jedna prijava postane prekid poslovanja.