Bezpieczeństwo w małej firmie rzadko przewraca się z powodu wyrafinowanego ataku. Częściej przez rzeczy prozaiczne: to samo hasło w kilku miejscach, dostęp byłego pracownika, którego nikt nie odebrał, zdalny pulpit wystawiony wprost do internetu. Zaczynam od uporządkowania tych rzeczy, bo dają największy efekt przy najmniejszym koszcie.
Uwierzytelnianie wieloskładnikowe (MFA)
Zdalny pulpit, VPN, poczta i logowanie na serwery to miejsca, w których hasło jest jedyną przeszkodą — a hasło najłatwiej wychodzi poza firmę: trafia do cudzego formularza, zostaje na kartce, powtarza się w prywatnym serwisie. Wdrażam uwierzytelnianie wieloskładnikowe (MFA): po jego włączeniu samo hasło nie wystarczy, logowanie trzeba jeszcze potwierdzić drugim składnikiem. Zwykle da się to włączyć na tym, co firma już ma — jestem partnerem Rublona, polskiego producenta systemu MFA.
Jak wygląda logowanie po wdrożeniu. Dla pracownika dochodzi jeden krok, doklejony na końcu tego, co robił dotąd. Konta, hasła i adresy zostają te same.
- Loguje się jak zwykle. Otwiera zdalny pulpit, VPN albo pocztę i podaje swoją nazwę użytkownika oraz hasło.
- Zamiast wejść od razu, dostaje pytanie o drugi składnik. Na ekranie widzi, do czego ktoś próbuje się zalogować, więc od razu wie, czy to jego własna próba.
- Potwierdza na drugim urządzeniu. Przy powiadomieniu w telefonie wybiera „zatwierdź" albo „odrzuć". Przy kluczu sprzętowym wkłada go do portu i dotyka. Przy kodzie jednorazowym przepisuje go z aplikacji, SMS-a albo listy kodów zapasowych.
- Wchodzi. Sesja otwiera się tak jak wcześniej, bez dodatkowych kroków w środku. Na komputerach firmowych, z których korzysta codziennie, pytanie o drugi składnik można ograniczyć do rzadszych sytuacji — to kwestia ustawienia polityki.
- Pytanie, którego się nie spodziewał, jest sygnałem. Prośba o potwierdzenie, kiedy nikt się nie loguje, znaczy, że ktoś zna hasło. Pracownik odrzuca, zgłasza, hasło idzie do zmiany. Na tym polega realna zmiana: wyciek hasła przestaje być cichy.
Metodę dobieram do tego, jak ludzie w firmie pracują. Przy stanowisku biurowym najwygodniejsze jest powiadomienie w telefonie; tam, gdzie telefonu nie wolno wnosić albo bywa poza zasięgiem, lepiej sprawdza się klucz sprzętowy lub kod jednorazowy. Warto, żeby każdy miał drugą metodę w zapasie — zgubiony telefon nie może oznaczać dnia bez dostępu do poczty.
Metody uwierzytelniania dostępne w Rublonie. Materiał producenta.
Uprawnienia i konta
Porządkuję to, kto ma do czego dostęp. Efektem jest odpowiedź na pytania, które w wielu firmach zostają bez odpowiedzi: kto może otworzyć które dane, co się dzieje z kontem osoby, która odchodzi, i co zrobić, kiedy pracownikowi zginie laptop.
Zapory i segmentacja sieci
Konfiguruję zapory sieciowe i polityki dostępu — pracuję głównie na Palo Alto. Segmentacja oddziela od siebie części sieci, które nie mają powodu się widzieć: gościnne wi-fi nie sięga serwerów, a stanowisko w produkcji nie widzi księgowości.
Microsoft 365
Konfiguruję bezpieczeństwo tożsamości i poczty firmowej: uwierzytelnianie, reguły dostępu, ochronę skrzynek. To zwykle pierwsze miejsce, przez które ktoś próbuje wejść do firmy.
Jak to wygląda w praktyce
Najpierw sprawdzam stan zastany i mówię, co realnie warto zmienić — w kolejności od rzeczy, które dają najwięcej. Nie zaczynam od wymiany sprzętu, jeśli ten sam efekt da zmiana konfiguracji.