A kibertámadások nem csak nagyvállalatokat, bankokat vagy állami intézményeket érhetnek. Egy kis civil szervezet is célpont lehet, különösen akkor, ha értékes adatokat kezel, online adományokat fogad, közösségimédia-oldalakat működtet, hírlevelet küld, vagy felhőalapú rendszereket használ. A támadók sokszor nem konkrét szervezetet választanak ki, hanem automatizált eszközökkel keresnek gyenge jelszavakat, elavult szoftvereket, védtelen weboldalakat vagy rosszul beállított fiókokat.
Egy sikeres támadás működéskiesést, pénzügyi veszteséget, adatvédelmi problémát és bizalomvesztést is okozhat. Kockázatot jelenthetnek az adományozói adatok, a pénzügyi és számviteli nyilvántartások, a kedvezményezettek vagy ügyfelek személyes adatai, a pályázati dokumentumok, valamint a szervezet nyilvános kommunikációs felületei is.
Nem könnyű feladat gondoskodni arról, hogy egy szervezet védve legyen az új és régi online fenyegetésekkel szemben, különösen akkor, ha kevés a pénz, az idő vagy az informatikai kapacitás. A jó hír az, hogy már néhány alapvető lépéssel is jelentősen csökkenthető a kockázat.
Civil szervezetek számára kedvezményes vagy adományozott technológiai megoldások is elérhetők lehetnek. Magyarországról érdemes a TechSoup.hu oldalt figyelni, ahol nonprofit szervezetek számára elérhető technológiai támogatásokról és szoftveres lehetőségekről lehet tájékozódni.
Miért lehet célpont egy kis civil szervezet is?
A civil szervezetek gyakran gondolják úgy, hogy túl kicsik ahhoz, hogy kibertámadás érje őket. A valóságban azonban a támadók számára egy rosszul védett e-mail-fiók, egy gyenge jelszó, egy elavult weboldalbővítmény vagy egy óvatlan kattintás is elég lehet.
A támadók célja lehet pénzszerzés, adatok megszerzése, fiókok átvétele, hamis számlák vagy utalási kérések küldése, zsarolóprogram telepítése, vagy akár a szervezet közösségimédia-felületeinek megszerzése. Nem mindig az számít, hogy mekkora a szervezet, hanem az, hogy mennyire könnyű hozzáférni a rendszereihez.
A távoli és otthoni munkavégzés elterjedése tovább növelte a kockázatot. Sok szervezet használ saját laptopokat, otthoni internetkapcsolatot, felhőalapú tárhelyet, közös dokumentumokat és online kommunikációs eszközöket. Ezek hasznosak, de csak akkor biztonságosak, ha a hozzáféréseket és az eszközöket tudatosan kezeljük.
Ne csak egyetlen védelmi eszközben gondolkodjunk
A vírusirtó vagy más végpontvédelmi megoldás fontos, de önmagában nem elég. A mai kiberbiztonsági alapvédelem több rétegből áll: naprakész eszközök, biztonságos fiókok, erős jelszavak, többfaktoros hitelesítés, mentések, jogosultságkezelés és munkatársi tudatosság együtt adnak valódi védelmet.
A szervezeti számítógépeken és telefonokon legyen naprakész operációs rendszer. Kapcsoljuk be az automatikus frissítéseket, és frissítsük rendszeresen a böngészőket, irodai programokat, vírusvédelmi megoldásokat és egyéb alkalmazásokat. Ne használjunk olyan régi szoftvert, amelyhez már nem érkezik biztonsági frissítés.
A weboldalt is rendszeresen karban kell tartani. Ha a szervezet WordPress vagy más tartalomkezelő rendszer segítségével működteti az oldalát, a rendszer, a sablonok és a bővítmények frissítése különösen fontos. Egy elavult bővítmény vagy gyenge adminjelszó komoly támadási felületet jelenthet.
Védjük a legfontosabb fiókokat
A legtöbb szervezetnél az e-mail-fiók a legfontosabb digitális kulcs. Ezen keresztül lehet jelszót visszaállítani, belépési linkeket fogadni, partnerekkel kommunikálni, számlákat kezelni vagy más rendszerekhez hozzáférni. Ha egy támadó megszerzi az e-mail-fiók feletti ellenőrzést, sok más felülethez is közelebb kerülhet.
Elsőként ezeket a fiókokat érdemes kiemelten védeni: a szervezeti e-mail-fiókokat, a banki és pénzügyi hozzáféréseket, a könyvelési rendszereket, a felhőalapú tárhelyeket, a közösségimédia-oldalakat, a weboldalhoz, domainhez és tárhelyhez kapcsolódó fiókokat, a hírlevélküldő rendszereket, valamint az adománygyűjtő és ügyfélkezelő rendszereket.
Minden fontos fiókhoz használjunk erős, egyedi jelszót. Ne legyen ugyanaz a jelszó több rendszerben. Ahol lehet, kapcsoljuk be a többfaktoros hitelesítést, vagyis azt, hogy a jelszó mellett egy második azonosítási lépésre is szükség legyen.
A megosztott jelszavakat lehetőség szerint kerüljük. Ha többen kezelnek egy felületet, mindenkinek legyen saját felhasználói hozzáférése. Így könnyebb visszavonni a hozzáférést, ha valaki már nem dolgozik a szervezettel, és jobban követhető, ki milyen módosítást végzett.
Ismerjük fel az adathalászatot és a megtévesztő kéréseket
Sok támadás nem technikai hibával, hanem megtévesztéssel kezdődik. A támadó megpróbálhatja rávenni a munkatársat, önkéntest vagy vezetőt arra, hogy kattintson egy linkre, megnyisson egy mellékletet, megadja a jelszavát, sürgősen utaljon pénzt, vagy módosítson egy bankszámlaszámot.
Az adathalászat ma már nem csak e-mailben történik. Érkezhet SMS-ben, telefonon, közösségi médiában, csevegőalkalmazásban vagy hamis bejelentkezési oldalon is. A mesterséges intelligenciával támogatott csalások miatt a megtévesztő üzenetek sokkal életszerűbbek lehetnek, mint korábban: jobb a nyelvezetük, pontosabban utánozhatják a szervezet partnereit, vezetőit vagy szolgáltatóit.
Legyen belső szabály arra, hogy pénzügyi vagy hozzáférési kérésnél nem elég egyetlen üzenet. Ha valaki sürgős utalást kér, bankszámlaszámot módosítana, jelszót kér, vagy szokatlan módon kér hozzáférést, azt másik csatornán is ellenőrizni kell. Például telefonon, de nem az üzenetben megadott új telefonszámon, hanem a korábban ismert elérhetőségen.
Párosítsuk a technológiai védelmet képzéssel
A legjobb technikai védelem is kevés, ha a munkatársak és önkéntesek nem ismerik fel a gyanús helyzeteket. Nem kell mindenkinek informatikai szakértővé válnia, de fontos, hogy a szervezetben minden érintett tudja, mikor kell megállni, ellenőrizni és segítséget kérni.
Érdemes rövid, gyakorlatias belső tájékoztatást tartani arról, hogyan nézhet ki egy adathalász üzenet, mikor nem szabad linkre kattintani, hogyan kell ellenőrizni egy pénzügyi kérést, miért fontos az egyedi jelszó, hogyan működik a többfaktoros hitelesítés, és kinek kell szólni gyanús esemény esetén.
Hasznos alaplépések:
- használjunk jelszókezelőt,
- kapcsoljuk be a többfaktoros hitelesítést a fontos fiókoknál,
- frissítsük rendszeresen az eszközöket és szoftvereket,
- nézzük át, kik férnek hozzá a szervezet rendszereihez,
- készítsünk biztonsági mentést a fontos adatokról,
- pénzügyi vagy hozzáférési kérésnél mindig legyen ellenőrzési lépés,
- legyen világos, kinek kell szólni gyanús esemény esetén.
Készüljünk fel arra, ha mégis baj történik
Teljes biztonság nincs, ezért minden szervezetnek érdemes előre végiggondolnia, mit tesz, ha feltörnek egy fiókot, eltűnnek adatok, zsarolóüzenet jelenik meg, gyanús utalás történik, vagy illetéktelenek férhettek hozzá személyes adatokhoz.
Már egy rövid, egyoldalas incidensválasz-terv is sokat segíthet. Ebben szerepeljen, ki dönt vészhelyzetben, kit kell azonnal értesíteni a szervezeten belül, ki hívja az informatikai szolgáltatót, ki veszi fel a kapcsolatot a bankkal pénzügyi visszaélés gyanúja esetén, hol vannak a biztonsági mentések, hogyan lehet gyorsan visszavonni hozzáféréseket, és ki tesz szükség esetén incidensbejelentést.
Magyarországon kiberbiztonsági incidens vagy sérülékenység észlelése esetén az NBSZ Nemzeti Kiberbiztonsági Intézetnél lehet bejelentést tenni. Ha személyes adatok is érintettek, adatvédelmi incidensről is szó lehet. Ilyenkor adatvédelmi szakértő vagy jogász bevonása is indokolt lehet, és bizonyos esetekben a NAIH felé is bejelentést kell tenni.
Merre tovább?
Ez a cikk a legfontosabb alapokra hívja fel a figyelmet. A részletesebb gyakorlati lépésekről — például az eszközök és fiókok felméréséről, a hozzáférések kezeléséről, a biztonsági mentésekről és a helyreállításról — külön cikkben írunk részletesebben.
Így védekezhetnek a civil szervezetek a kibertámadások ellen
A kiberbiztonság nem egyszeri feladat, hanem rendszeres odafigyelés. Egy civil szervezetnek nem kell tökéletesen védettnek lennie ahhoz, hogy sokkal biztonságosabban működjön. Már néhány alaplépés is jelentősen csökkentheti annak esélyét, hogy egy támadás komoly kárt okozzon.
Ez a cikk a nonprofit.hu tudásbázis része – kérjük, hivatkozzon ránk forrásként. / This article is part of nonprofit.hu knowledge base. Please refer to nonprofit.hu as source of content.