Cyberbezpieczeństwo agencji ochrony: dane klientów

Agencja ochrony rzadko myśli o sobie jak o atrakcyjnym celu ataku. A trzyma u siebie rzeczy, których nie ma w jednym miejscu nawet sam zleceniodawca: rzuty obiektów, opis rozmieszczenia kamer i czujek, kody i procedury wejścia, instrukcje posterunków, grafiki mówiące dokładnie, kiedy dany posterunek jest obsadzony jedną osobą, dane osobowe całego personelu oraz dostępy do systemów kamerowych kilkunastu kontrahentów. Cyberbezpieczeństwo firmy ochroniarskiej nie jest więc tematem informatycznym — jest przedłużeniem ochrony fizycznej, bo ktoś, kto zdobędzie ten zestaw informacji, wie o obiekcie więcej niż jego kierownik.

Dobra wiadomość jest taka, że zdecydowana większość incydentów w firmach tej wielkości nie wymaga do obrony żadnych zaawansowanych narzędzi. Wchodzi się przez najprostsze furtki: konto po zwolnionym pracowniku, hasło używane w kilku miejscach, wiadomość podszywającą się pod zleceniodawcę, kopię zapasową, której nigdy nie sprawdzono. Poniżej lista tych furtek i sposób ich zamknięcia.

Co konkretnie ma agencja, czego chce napastnik

Warto to nazwać, bo dopóki nie nazwiemy, temat wydaje się abstrakcyjny.

• Wiedza o obiektach. Instrukcje, rzuty, lokalizacja punktów kontrolnych, godziny obchodów, słabe punkty ogrodzenia. To komplet informacji potrzebnych do przygotowania włamania.
• Grafiki. Kto pełni służbę, kiedy jest jedna osoba, kiedy następuje zdanie służby i kiedy uwaga jest najniższa.
• Dostęp do kamer. Podgląd na żywo u wielu zleceniodawców z jednego miejsca.
• Dane osobowe personelu. Adresy, numery, dokumenty, uprawnienia. Materiał na kradzież tożsamości i na presję wobec konkretnej osoby.
• Poczta administracji. Kanał, którym da się wystawić fałszywą fakturę albo poprosić o zmianę numeru rachunku.

Napastnik nie musi zdobyć wszystkiego. Wystarczy jeden z tych zbiorów, żeby powstał realny problem — także wobec zleceniodawcy, który powierzył wam swoje dane.

Cyberbezpieczeństwo firmy ochroniarskiej: higiena minimalna

Hasła nie mogą się powtarzać. Jedno hasło używane do poczty, do systemu kamer i do panelu rozliczeń oznacza, że wyciek w dowolnym miejscu otwiera wszystkie pozostałe. Menedżer haseł dla całej firmy rozwiązuje to raz i nie wymaga od ludzi pamiętania czegokolwiek poza jednym hasłem głównym.

Drugi składnik logowania wszędzie, gdzie się da. Poczta, panel administracyjny, dostęp do kamer, systemy zleceniodawców. To najskuteczniejsza pojedyncza zmiana, jaką można wprowadzić w tydzień: samo hasło przestaje wystarczać.

Uprawnienia według roli, nie według zaufania. Pracownik ochrony potrzebuje swojego grafiku, swoich zadań i możliwości zapisania zdarzenia. Nie potrzebuje danych osobowych całej załogi ani wglądu w obiekty, na których nie służy. Dyspozytor potrzebuje szerszego widoku, ale niekoniecznie dostępu do rozliczeń. Ograniczenie zakresu nie jest wyrazem nieufności — jest ograniczeniem szkody z jednego przejętego konta.

Odcięcie dostępu tego samego dnia, w którym ktoś odchodzi. To najczęstsza luka w tej branży i najbardziej banalna. Konto w systemie, dostęp do kamer, klucze, karty, grupa na komunikatorze. Warto mieć jedną listę czynności przy odejściu i odhaczać ją co do punktu, tak jak odhacza się wydanie sprzętu.

Konta imienne, nigdy wspólne. „Ochrona1” z hasłem znanym całej zmianie sprawia, że nie da się ustalić, kto co zrobił. Przy sprawie spornej ze zleceniodawcą to kosztuje więcej niż cały incydent.

Aktualizacje. Telefony służbowe, komputery w biurze, rejestratory obrazu. Rejestrator z fabrycznym hasłem i wystawiony na świat to jedna z najczęstszych dróg wejścia do sieci obiektu.

Kopie zapasowe, które ktoś odtworzył. Kopia, której nigdy nie przywrócono próbnie, jest tylko przypuszczeniem. Odtworzenie próbne raz na jakiś czas to jedyny sposób, żeby wiedzieć, że kopia w ogóle działa i że obejmuje to, co trzeba. Jedna kopia powinna być poza siedzibą i poza siecią — inaczej zaszyfrowanie systemów zabierze też ją.

Szyfrowanie urządzeń przenośnych. Zgubiony laptop kierownika kontraktu bez szyfrowania to wyciek wszystkich dokumentów, które miał na dysku.

Phishing wymierzony w administrację

Ataki na firmy tej wielkości rzadko są techniczne. Są socjotechniczne i celują w dwie osoby: tę, która obsługuje pocztę firmową, i tę, która wykonuje przelewy.

Typowe scenariusze powtarzają się do znudzenia i właśnie dlatego łatwo je rozpoznać, jeśli ktoś je wcześniej opisał:

• wiadomość rzekomo od kierownika kontraktu z prośbą o pilne przesłanie zestawienia z danymi personelu;
• informacja od „dostawcy” o zmianie numeru rachunku, z fakturą wyglądającą jak poprzednie;
• link do „panelu”, który wygląda znajomo i prosi o zalogowanie;
• telefon od osoby podającej się za informatyka zleceniodawcy, proszącej o kod z wiadomości;
• pilna prośba od „zarządu” wysłana pod koniec dnia, kiedy nikogo nie ma, żeby zapytać.

Obrona jest organizacyjna, nie techniczna. Zasada powinna brzmieć: każda zmiana numeru rachunku i każde przesłanie zestawienia z danymi osobowymi wymaga potwierdzenia innym kanałem, pod numerem, który macie zapisany od wcześniej, a nie pod tym z wiadomości. Do tego jasny komunikat dla zespołu: nikt nigdy nie zostanie ukarany za zgłoszenie podejrzanej wiadomości ani za pomyłkę zgłoszoną natychmiast. Firmy, w których ludzie boją się przyznać do kliknięcia, dowiadują się o incydencie po kilku dniach.

Pierwsze godziny po incydencie

Kolejność ma znaczenie, bo najwięcej szkód powstaje między wykryciem a reakcją.

Odciąć, nie kasować. Odłączyć zajęte urządzenie od sieci, ale go nie wyłączać i nie czyścić. Ślady są potrzebne do ustalenia, co się stało i jak daleko sięgnął napastnik.

Zmienić hasła z czystego urządzenia — zaczynając od poczty, bo to ona służy do odzyskiwania wszystkich innych dostępów.

Sprawdzić reguły przekierowań w poczcie. Klasyczny ruch napastnika to ciche przekierowanie kopii korespondencji na własny adres. Bywa, że zostaje tam miesiącami.

Ustalić zakres. Jakie dane, o kim, z jakiego okresu, czy dotyczyły personelu, czy zleceniodawców, czy obejmowały dostępy do kamer.

Powiadomić, kogo trzeba. Zleceniodawców, których dane mogły zostać ujawnione, oraz — w przypadkach dotyczących danych osobowych — właściwy organ nadzorczy, zgodnie z obowiązującymi zasadami zgłaszania naruszeń. Terminy i tryb zgłoszenia sprawdźcie u doradcy, bo są sformalizowane.

Zapisać przebieg. Kto co zauważył, o której, jakie działania podjęto. Ten zapis będzie potrzebny i przy wyjaśnianiu sprawy, i przy rozmowie z kontrahentem.

Wyciągnąć jeden wniosek strukturalny. Nie „byliśmy nieostrożni”, tylko konkretna zmiana: drugi składnik logowania w danym systemie, odcięcie kont po odejściu tego samego dnia, potwierdzanie przelewów innym kanałem.

Sposób pracy też jest zabezpieczeniem

Największym cichym ryzykiem w agencjach nie są ataki, tylko rozproszenie danych. Grafiki krążące jako pliki w wiadomościach, zdjęcia ze zdarzeń w prywatnych telefonach, instrukcje posterunków na pendrivach, dane personelu w arkuszu na czyimś pulpicie. Nie da się chronić czegoś, co istnieje w kilkunastu kopiach u kilkunastu osób.

Skupienie tych danych w jednym miejscu z dostępem według roli usuwa większość problemu przy okazji. Grafik pracy widoczny tylko dla osób, których dotyczy, elektroniczna książka służby zamiast zdjęć w prywatnych galeriach i portal klienta zamiast wysyłania załączników pocztą to trzy zmiany, które równocześnie porządkują pracę i zmniejszają powierzchnię ataku.

Uwaga o obowiązkach formalnych

Obowiązki związane z ochroną danych osobowych, zgłaszaniem naruszeń, powierzeniem przetwarzania oraz zabezpieczeniem informacji wynikają z przepisów, z umów ze zleceniodawcami i z wewnętrznych procedur. Wymagania te zmieniają się w czasie i mogą różnić się w zależności od rodzaju działalności i obiektu. Zakres obowiązków, tryb zgłoszenia naruszenia i wymaganą dokumentację zweryfikujcie u właściwego organu oraz u doradcy. Ten artykuł nie stanowi porady prawnej.

Najczęstsze pytania

Od czego zacząć, jeśli agencja nie robiła dotąd nic? Od drugiego składnika logowania do poczty i systemów kamerowych, od odcinania dostępów w dniu odejścia pracownika oraz od sprawdzenia, czy kopia zapasowa daje się odtworzyć.

Czy potrzebny jest własny informatyk? Nie do wdrożenia opisanych podstaw. Potrzebna jest natomiast jedna osoba odpowiedzialna za listę dostępów i za to, żeby była aktualna po każdej zmianie kadrowej.

Jak rozpoznać wiadomość podszywającą się pod zleceniodawcę? Po presji czasu, po prośbie o dane osobowe lub o zmianę rachunku i po tym, że odpowiedź ma iść pod inny adres niż zwykle. Reguła jest prosta: potwierdzenie innym kanałem, pod numerem zapisanym wcześniej.

Co zrobić w pierwszej godzinie po wykryciu incydentu? Odłączyć urządzenie od sieci bez wyłączania go, zmienić hasła z czystego urządzenia zaczynając od poczty, sprawdzić przekierowania w skrzynce i zacząć zapisywać przebieg zdarzeń.

Jeśli chcecie ograniczyć liczbę miejsc, w których leżą dane obiektów i personelu, zajrzyjcie do opisu systemu.