Kibernetinis saugumas verslui, kuris turi veikti be sutrikimų

Prekybos ir paslaugų sektoriaus organizacijos kasdien priklauso nuo informacinių sistemų, interneto ryšio, mokėjimų infrastruktūros, klientų duomenų, debesijos paslaugų ir darbuotojų prieigos prie verslo sistemų.

Mažmeninės prekybos tinklai, elektroninės parduotuvės, paslaugų įmonės, viešbučiai, restoranai, logistikos ir kitos klientus aptarnaujančios organizacijos dažnai turi daug padalinių, didelį vartotojų skaičių ir plačiai išskaidytą IT infrastruktūrą.

Kibernetinis incidentas gali sutrikdyti prekybą, mokėjimus, užsakymų vykdymą, klientų aptarnavimą ar padaryti kritines verslo sistemas nepasiekiamas.

AVEDUS projektuoja, diegia ir prižiūri prekybos bei paslaugų sektoriui skirtus kibernetinio saugumo sprendimus, padedančius apsaugoti tinklą, vartotojus, klientų duomenis ir verslo sistemas bei užtikrinti organizacijos veiklos tęstinumą.

Prekybos ir paslaugų sektoriaus kibernetinis saugumas

Šio sektoriaus infrastruktūra dažnai yra išskaidyta tarp:

• centrinio biuro;

• prekybos vietų;

• paslaugų padalinių;

• sandėlių;

• duomenų centrų;

• debesijos platformų;

• elektroninės prekybos sistemų;

• mobiliųjų darbuotojų;

• išorinių partnerių.

Kuo daugiau lokacijų ir sistemų, tuo sudėtingiau užtikrinti vienodą saugumo lygį.

Todėl efektyvi apsauga turi būti centralizuota ir apimti visą organizacijos infrastruktūrą.

Filialų ir prekybos vietų tinklo saugumas

Daug padalinių turinčioms organizacijoms svarbu užtikrinti ne tik patikimą ryšį, bet ir vienodas saugumo politikas kiekvienoje lokacijoje.

Tinklo saugumo architektūra gali apimti:

• naujos kartos ugniasienes;

• SD-WAN;

• centralizuotą valdymą;

• VPN;

• tinklo segmentavimą;

• IDS/IPS;

• saugų interneto ryšį;

• automatizuotą saugumo politikų diegimą.

Centralizuotas valdymas padeda sumažinti skirtingų konfigūracijų kiekį ir užtikrinti, kad kiekviename padalinyje būtų taikomos vienodos saugumo taisyklės.

SD-WAN ir saugus padalinių ryšys

Prekybos tinklams ir paslaugų organizacijoms dažnai reikia sujungti daug geografiškai nutolusių lokacijų.

SD-WAN leidžia centralizuotai valdyti skirtingus interneto ir kitus ryšio kanalus, užtikrinti prioritetą svarbiausioms aplikacijoms ir automatiškai parinkti tinkamiausią ryšio kelią.

Integravus SD-WAN su saugumo funkcijomis galima vienoje architektūroje apjungti:

Ryšį → Ugniasienę → VPN → Aplikacijų kontrolę → Saugumo stebėjimą.

Tai padeda supaprastinti kelių ar kelių dešimčių padalinių infrastruktūros valdymą.

POS ir mokėjimų infrastruktūros apsauga

Prekybos vietose viena svarbiausių sistemų yra POS (Point of Sale) infrastruktūra.

Kasos, mokėjimų terminalai ir juos aptarnaujančios sistemos turi būti atskirtos nuo bendro vartotojų tinklo.

Svarbu užtikrinti:

• tinklo segmentavimą;

• ribotą komunikaciją;

• operacinių sistemų atnaujinimus;

• galinių įrenginių apsaugą;

• administravimo prieigos kontrolę;

• saugumo įvykių stebėjimą.

POS sistema neturėtų turėti nereikalingos prieigos prie darbuotojų ar kitų verslo sistemų.

PCI DSS ir mokėjimų saugumas

Organizacijoms, kurios saugo, apdoroja ar perduoda mokėjimo kortelių duomenis, gali būti aktualūs PCI DSS saugumo reikalavimai.

Mokėjimų infrastruktūros apsauga gali apimti:

• kortelių duomenų aplinkos segmentavimą;

• tinklo prieigos kontrolę;

• ugniasienes;

• vartotojų autentifikavimą;

• pažeidžiamumų valdymą;

• žurnalų rinkimą;

• saugumo stebėjimą;

• reguliarius saugumo testus.

Net jei mokėjimų apdorojimas perduodamas išoriniam paslaugų tiekėjui, organizacija vis tiek turi kontroliuoti su mokėjimo procesu susijusias savo sistemas ir prieigas.

Elektroninės prekybos apsauga

Elektroninė parduotuvė ar klientų portalas yra tiesiogiai pasiekiamas iš interneto ir todėl gali būti nuolat atakuojamas.

Apsauga gali apimti:

• WAF;

• API Security;

• DDoS apsaugą;

• Bot Management;

• pažeidžiamumų vertinimą;

• įsilaužimų testavimą;

• MFA administravimo prieigai;

• saugumo stebėjimą.

Tikslas – apsaugoti ne tik pačią svetainę, bet ir klientų paskyras, mokėjimo procesą ir su aplikacija susijusius duomenis.

Apsauga nuo botų ir automatizuotų atakų

Elektroninės prekybos sistemos dažnai susiduria su automatizuotu kenkėjišku srautu.

Botai gali būti naudojami:

• vartotojų paskyrų perėmimui;

• pavogtų slaptažodžių tikrinimui;

• prekių likučių rezervavimui;

• kainų ir turinio rinkimui;

• pažeidžiamumų skenavimui;

• dideliam užklausų kiekiui generuoti.

Bot Management padeda atskirti teisėtus vartotojus nuo automatizuotų kenkėjiškų sistemų ir sumažinti aplikacijų apkrovą.

DDoS apsauga

Prekybos ir paslaugų sektoriuje internetinių sistemų prieinamumas gali tiesiogiai lemti pajamas.

Jeigu klientas negali pasiekti elektroninės parduotuvės, rezervacijos sistemos ar kitos paslaugos, verslas gali iš karto patirti finansinius nuostolius.

Todėl DDoS apsauga gali būti projektuojama keliais sluoksniais:

Tinklo DDoS apsauga → Debesijos srauto valymas → WAF → Aplikacijų lygmens apsauga → Bot Management.

Kritinėms internetinėms sistemoms gali būti naudojamas hibridinis apsaugos modelis.

Klientų duomenų apsauga

Prekybos ir paslaugų organizacijos gali saugoti:

• klientų kontaktinius duomenis;

• užsakymų istoriją;

• lojalumo programų informaciją;

• mokėjimų duomenis;

• sutartis;

• kitą jautrią informaciją.

Todėl svarbu užtikrinti:

Konfidencialumą

Vientisumą

Prieinamumą

Duomenų apsauga gali apimti šifravimą, prieigos kontrolę, DLP, MFA, duomenų klasifikavimą, atsargines kopijas ir saugumo stebėjimą.

Darbuotojų identiteto ir prieigos apsauga

Didelėse prekybos ar paslaugų organizacijose gali būti šimtai ar tūkstančiai darbuotojų.

Jų pareigos ir prieigos poreikiai gali labai skirtis.

Todėl svarbu užtikrinti:

• centralizuotą identiteto valdymą;

• MFA;

• SSO;

• Least Privilege principą;

• prieigos teisių peržiūrą;

• paskyrų panaikinimą darbuotojui išėjus;

• privilegijuotų paskyrų apsaugą.

Darbuotojo paskyra neturėtų turėti daugiau teisių, nei reikia jo funkcijoms atlikti.

Tinklo prieigos kontrolė – NAC

Prekybos vietose ir paslaugų įmonėse prie tinklo gali jungtis daug skirtingų įrenginių:

• darbuotojų kompiuteriai;

• POS sistemos;

• spausdintuvai;

• IP telefonai;

• vaizdo stebėjimo kameros;

• IoT įrenginiai;

• svečių telefonai;

• sandėlio terminalai.

NAC padeda identifikuoti įrenginius ir automatiškai pritaikyti jiems tinkamą tinklo segmentą bei prieigos politiką.

Tai suteikia didesnį infrastruktūros matomumą ir padeda sumažinti neautorizuotų įrenginių riziką.

Saugus Wi-Fi klientams ir darbuotojams

Prekybos vietose, viešbučiuose, restoranuose ar kitose paslaugų įmonėse Wi-Fi gali būti reikalingas tiek darbuotojams, tiek klientams.

Šie tinklai turi būti atskirti.

Galima naudoti:

Darbuotojų Wi-Fi → prieiga prie organizacijos sistemų pagal vartotojo teises

IoT/POS Wi-Fi → atskiras saugumo segmentas

Svečių Wi-Fi → tik interneto prieiga

Toks modelis padeda išvengti situacijos, kai svečio įrenginys gali pasiekti vidines verslo sistemas.

Galinių įrenginių apsauga

Darbuotojų darbo vietos yra dažnas pradinis atakos taškas.

Phishing, kenkėjiškos svetainės ar pažeidžiama programinė įranga gali būti naudojama prieigai prie organizacijos infrastruktūros gauti.

Todėl galinių įrenginių apsauga gali apimti:

• EDR;

• XDR;

• antivirusinę apsaugą;

• aplikacijų kontrolę;

• pažeidžiamumų valdymą;

• įrenginių kontrolę;

• saugumo politikų valdymą.

Tai ypač svarbu organizacijose, turinčiose daug geografiškai išskaidytų darbo vietų.

Elektroninio pašto apsauga

Darbuotojai yra vienas pagrindinių phishing atakų taikinių.

Suklastotas tiekėjo laiškas, netikra sąskaita ar prisijungimo puslapis gali būti naudojami paskyroms perimti arba finansiniam sukčiavimui.

Elektroninio pašto apsauga gali apimti:

• phishing filtravimą;

• kenkėjiškų failų analizę;

• URL tikrinimą;

• siuntėjo autentiškumo mechanizmus;

• pažangią grėsmių analizę;

• integraciją su SIEM ir SOC/MDR.

Techninės apsaugos priemonės turi būti derinamos su darbuotojų mokymais.

Ransomware atsparumas

Ransomware gali sustabdyti prekybos, rezervavimo, logistikos, sandėlio ir kitas verslo sistemas.

Todėl apsauga turi būti daugiasluoksnė:

MFA → Elektroninio pašto apsauga → EDR/XDR → Tinklo segmentavimas → PAM → Pažeidžiamumų valdymas → SIEM/SOC → Izoliuotos atsarginės kopijos.

Svarbiausias tikslas – neleisti vieno vartotojo ar vienos darbo vietos kompromitavimui sutrikdyti visos organizacijos veiklos.

Pažeidžiamumų valdymas

Didelėje organizacijoje gali veikti šimtai ar tūkstančiai IT įrenginių.

Reguliarus pažeidžiamumų vertinimas leidžia nustatyti:

• pasenusias operacines sistemas;

• neatnaujintas aplikacijas;

• pažeidžiamą tinklo įrangą;

• viešai pasiekiamas sistemas;

• netinkamas saugumo konfigūracijas.

Pažeidžiamumai turi būti prioritetizuojami pagal realų poveikį verslui.

SIEM ir saugumo analitika

Išskaidyta prekybos ar paslaugų infrastruktūra generuoja daug saugumo įvykių.

SIEM gali centralizuotai rinkti informaciją iš:

• ugniasienių;

• EDR/XDR;

• serverių;

• Active Directory;

• POS infrastruktūros;

• debesijos sistemų;

• VPN ir ZTNA;

• aplikacijų;

• kitų saugumo sprendimų.

Tai leidžia aptikti įtartiną veiklą visos organizacijos mastu, o ne analizuoti kiekvieną padalinį atskirai.

SOC/MDR

Didelėje, geografiškai išskaidytoje organizacijoje saugumo įvykių stebėjimas gali tapti sudėtingas.

SOC/MDR gali padėti užtikrinti:

• nuolatinę saugumo stebėseną;

• incidentų aptikimą;

• įspėjimų analizę;

• grėsmių paiešką;

• įvykių koreliaciją;

• reagavimo inicijavimą.

Centralizuota stebėsena padeda vienoje vietoje matyti visų padalinių ir sistemų saugumo situaciją.

Debesijos ir SaaS saugumas

Prekybos ir paslaugų įmonės vis dažniau naudoja debesijos sistemas:

• CRM;

• ERP;

• elektroninį paštą;

• dokumentų sistemas;

• klientų aptarnavimo platformas;

• kitas SaaS paslaugas.

Debesijos naudojimas turi būti derinamas su:

• centralizuotu identiteto valdymu;

• MFA;

• prieigos kontrole;

• duomenų apsauga;

• saugumo įvykių rinkimu;

• atsarginėmis kopijomis.

Debesijos paslaugos turi būti vertinamos kaip bendros organizacijos IT infrastruktūros dalis.

SASE ir saugus hibridinis darbas

Prekybos ir paslaugų organizacijose darbuotojai gali dirbti centrinėje būstinėje, padaliniuose, iš namų ar kelionėje.

SASE ir ZTNA leidžia taikyti vienodas saugumo politikas nepriklausomai nuo vartotojo vietos.

Prieiga gali būti suteikiama pagal:

• vartotojo identitetą;

• įrenginio būklę;

• vartotojo teises;

• prašomą aplikaciją;

• prisijungimo riziką.

Tai padeda sumažinti priklausomybę nuo tradicinio tinklo perimetro.

Trečiųjų šalių ir tiekėjų saugumas

Prekybos ir paslaugų sektorius priklauso nuo daugelio išorinių technologijų partnerių.

Tai gali būti:

• POS sistemų tiekėjai;

• elektroninės prekybos platformų kūrėjai;

• mokėjimų paslaugų tiekėjai;

• IT priežiūros partneriai;

• debesijos paslaugų teikėjai;

• logistikos sistemų integratoriai.

Todėl svarbu kontroliuoti:

• kokią prieigą turi tiekėjas;

• kokias sistemas jis gali pasiekti;

• ar naudojama MFA;

• kaip registruojami administravimo veiksmai;

• kada prieiga panaikinama;

• kaip valdomi incidentai.

Tiekėjo paskyra neturėtų tapti nekontroliuojamu keliu į organizacijos infrastruktūrą.

Atsarginės kopijos ir veiklos tęstinumas

Kibernetinis incidentas gali paveikti ne tik duomenis, bet ir gebėjimą aptarnauti klientus.

Todėl organizacija turi žinoti:

Kokios sistemos yra kritinės?

Kiek laiko jos gali neveikti?

Kokį duomenų praradimą galima toleruoti?

Kaip jos bus atkuriamos?

Atsarginių kopijų strategija gali apimti nekintamas, izoliuotas ir geografiškai atskirtas kopijas bei periodinius atkūrimo testus.

Kodėl AVEDUS?

Patirtis išskaidytoje infrastruktūroje

Projektuojame ir prižiūrime tinklo bei saugumo sprendimus organizacijoms, turinčioms centrinį biurą, padalinius ir nutolusias darbo vietas.

Kompleksinis požiūris

Apjungiame tinklo, identiteto, endpoint, aplikacijų, duomenų ir saugumo stebėjimo technologijas į vientisą architektūrą.

Nuo padalinio iki debesijos

Galime apsaugoti fizines prekybos vietas, darbuotojų darbo vietas, duomenų centrus, elektroninės prekybos sistemas ir debesijos paslaugas.

Nuo prevencijos iki reagavimo

Saugumo technologijas galime papildyti SIEM, SOC/MDR, pažeidžiamumų vertinimu ir reagavimu į incidentus.

Nuo projektavimo iki priežiūros

AVEDUS gali įvertinti esamą infrastruktūrą, suprojektuoti tikslinę saugumo architektūrą, įdiegti reikalingus sprendimus ir užtikrinti jų tolesnę priežiūrą.

NIS2 prekybos ir paslaugų sektoriuje

NIS2 taikymas priklauso nuo konkrečios organizacijos veiklos srities, dydžio ir vaidmens teikiant tam tikras paslaugas.

Tačiau nepriklausomai nuo formalios taikymo apimties, NIS2 rizikų valdymo principai gali būti naudingi stiprinant organizacijos kibernetinį atsparumą.

Svarbios sritys:

• rizikų valdymas;

• incidentų valdymas;

• veiklos tęstinumas;

• tiekimo grandinės saugumas;

• pažeidžiamumų valdymas;

• prieigos kontrolė;

• MFA;

• saugumo stebėsena.

Kibernetinio saugumo tikslas turi būti ne formalus atitikties pažymėjimas, o realiai veikianti organizacijos apsauga.

Daugiasluoksnė prekybos ir paslaugų apsauga

Efektyvus saugumas nėra vien ugniasienė ar antivirusinė programa.

Jį sudaro keli tarpusavyje susiję sluoksniai:

Identitetas ir MFA → Tinklo bei padalinių apsauga → Endpoint ir serverių saugumas → POS ir aplikacijų apsauga → Duomenų saugumas → SIEM/SOC → Incidentų valdymas → Atsarginės kopijos ir atkūrimas.

Toks modelis padeda apsaugoti ne tik IT infrastruktūrą, bet ir svarbiausią verslo tikslą – gebėjimą nepertraukiamai aptarnauti klientus.