Hvorfor små bedrifter trenger å lære av høyprofilerte brudd på data

I en fersk rapport erklærte McAfee 2014 for «bruddets år», og det er lett å se hvorfor. Flere høyprofilerte selskaper og selskaper har lidd ødeleggende datainnbrudd siden januar, fra mer enn 50 millioner mennesker på Home Depot til 70 millioner pluss på JPMorgan. I mellomtiden har Staples, PF Chang, Goodwill og en mengde andre alle falt forebygging av nettkriminalitet.

I følge SafeNets indeks for bruddnivå for tredje kvartal 2014 var det 320 rapporterte datainnbrudd mellom juli og september, hvorav 46% involverte identitetstyveri.

Å boble under overflaten av disse viktige bruddvarslene er en mengde dataovertredelser med lavere profil som skjer hver uke som det er mindre sannsynlig at du hører om. Et mål som Home Depot gir en mulighet for en massiv lønningsdag, men det er også høyere risiko, og innebærer mye planlegging. Så det er ikke så overraskende å se noen hackere som går for lite hengende frukt som små bedrifter (SMB). Disse vil gi mindre lønningsdager, men kan være gode hvis flere trekkes etter hverandre.

Hele tiden bruker cyberkriminelle nye verktøy for å målrette SMB-er, sier Trend Micro i en av sine siste rapporter om keyloggers, som hackere kan bruke til å heve om selskapets data.

"SMB har denne falske sikkerhetsfølelsen, og tenker at et slikt angrep aldri vil skje dem, " sier Gary Davis, sjef for forbruker sikkerhet i McAfee. "Sikkerhetstrusler diskriminerer ikke etter organisasjonsstørrelse, og for SMB som har ansatte bruker flere enheter, blir det viktigere å ha sikkerhetsløsninger i klassen."

Du trenger ikke grave for langt for å finne eksempler på små til mellomstore brudd. Houstonian Hotel i Houston, Texas, så 10.000 kunders kredittkortopplysninger utsatt under et sikkerhetsbrudd tidligere i år. I mindre målestokk, men ikke mindre alvorlig, oppdaget utendørs sportsutstyrsbutikken Backcountry Gear, med base i Oregon, som sender varer over hele USA, oppdaget skadelig programvare på systemet sitt i juli 2014 som kan ha kompromittert kundedata.

"Problemet er at så mange av disse selskapene bare ikke ser på sikkerhet som noe de trenger å gjøre, men heller noe de må gjøre, " sier Marcus Ranum, sjef for sikkerhetsansvarlig i Tenable Network Security. "Å være ærlige, tar de ofte bare et minimum av tilnærming og legger ut og prøver å utsette ansvaret."

Adoptere de rette holdningene

Sikkerhet fungerer best når den behandles som en "kjernevirksomhetsprosess", i følge SMB Security Guide, et nettsted som gir råd til små bedrifter om beste praksis for sikkerhet.

Noe grunnleggende grunnleggende opplæring er nødvendig for enhver liten bedrift for å beskytte sine digitale eiendeler. Ansatte må få opplæring i å bruke unike og vanskelige passord, sa Davis, og bedriftseiere trenger å kjenne dataene sine inne og ute, hvor alt er lagret, og hvem som akkurat har tilgang til det. Å ha en åpen bok om data blant ansatte vil sannsynligvis føre til datalekkasje, enten det er bevisst eller tilfeldig.

Andre steder må bedriftseiere sørge for at appene og operativsystemene deres også blir oppdatert, men cybersikkerhet er mangefasettert og kan ha en fysisk tilstedeværelse også. Hvem har for eksempel tilgang til rom der harddisker er lagret?

"Ikke la fremmede vandre i gangene og begrense fysisk tilgang med låste dører og administrerte inngangssystemer, " sier Davis. "Sørg for å gjennomføre grundige kontroller og bakgrunn før du ansetter nye ansatte."

Ta med din egen enhet … eller ta med ditt eget datainnbrudd?

Experians 'Data Breach Response Guide 2014/2015 og Ponemon Institute stiller opp for utviklingen av en rigid policy for bruddrespons. Effektiv policy over hele linjen vil hjelpe enhver virksomhet bedre å håndtere sine datainnbrudd, spesielt når det gjelder selskaper med BYOD-praksis, som skaper flere og flere muligheter for brudd.

BYOD på kontoret blir uunngåelig, sier F-Secure sikkerhetsrådgiver Sean Sullivan.

"Fra en brukers synspunkt er BYOD en god idé, men fra et sikkerhetssynspunkt er det en forferdelig idé, " sier han. "Du spiller uflakslotteriet; oddsen er liten, men førstepremien er et betydelig tap av penger."

Enheten tilhører individet, og dette reiser spørsmål rundt ansvar, og det er derfor det å utarbeide en jernkledd policy være avgjørende og må utfylle opplæring av dine ansatte i sikkerhetsprotokoller.

"Vi anbefaler at organisasjoner gir sine ansatte ekstra opplæring rundt de fysiske enhetene selv, " legger Sullivan til. "Ved å tilby de ansatte en god brukeropplevelse, er det mindre sannsynlig at selskapets retningslinjer for sikkerhet blir ignorert."

SMB-er kan bli liggende igjen

Små bedrifter oppfordres til å ta en proaktiv tilnærming til sikkerhet og ta i bruk mentaliteten til store selskaper, da ingen andre vil se opp for deg.

"I virkeligheten har sikkerhetsindustrien sviktet små og mellomstore bedrifter, " sier Paul Lipman, administrerende direktør i iSheriff, et skysikkerhetsfirma med base i Redwood City, California. SMB-er kan gå seg vill i samtalen og får ikke den samme oppmerksomheten når det gjelder sikkerhet, og ofte forlater dem å ta seg av seg selv.

SMBer har kanskje ikke så mye å tilby en nettkriminell som et Home Depot eller et mål, men selskaper har fortsatt mye å tape.

"er ikke interessert i å stjele hemmeligheter eller åndsverk som hackere som er målrettet mot større bedrifter, " sier Lipman, men der det er en virksomhet, er det penger, og cyberkriminelle vil målrette seg mot alt de vet at de kan trenge gjennom.

Noen virksomheter blir mer og mer teknisk kunnskapsrike, men den avgjørende delen er at SMB ikke kan ta seg tid til dette. Teknologi - og cybertrusler - utvikler seg i et oppsiktsvekkende tempo.

Bank of America's Small Business Owner Report uttaler at 80% av små bedrifter har innarbeidet "en slags digital metode" i virksomheten, men dette kan omfatte sosiale medier så vel som sikkerhet. Hvor mye oppmerksomhet blir rettet mot å styrke sikkerheten, som for å utvide rekkevidden for sosiale medier?

Sikkerhetsfirma BitSight publiserte ny forskning i november 2014 som bekrefter mange bekymringer for virksomheters sikkerhet, spesielt detaljhandel, og bemerker at sikkerhetsintegriteten har gått ned i disse virksomhetene.

"Selv om det er oppmuntrende at et flertall av de overtrådte forhandlerne har forbedret sikkerhetseffektiviteten, er det mer arbeid som må gjøres, særlig innen risikostyring av leverandører, " sa BitSights CTO, Stephen Boyer, når han kunngjorde forskningen.

Det reiser flere spørsmål. Hvis du er en liten bedriftseier, har du revidert bedriftens sikkerhetspraksis og vurdert hvor sikkerhet står i hierarkiet? Etter hvert som cybertrusler utvikler seg, vil små bedrifter trenge å gjøre det samme.