Oleh Ron Teixeira
Selama dua tahun terakhir, ada sejumlah kasus pelanggaran data yang melibatkan perusahaan besar. Sementara ini mungkin memberikan persepsi bahwa hanya perusahaan besar yang menjadi target peretas dan pencuri, kenyataannya peretas semakin menargetkan bisnis kecil karena mereka biasanya tidak memiliki sumber daya atau pengetahuan bagaimana perusahaan besar melakukannya.
Namun, itu tidak berarti usaha kecil perlu menghabiskan sejumlah besar uang dan sumber daya untuk melindungi diri mereka dari ancaman terbaru. Faktanya, menurut Symantec Threat Report baru-baru ini, 82% dari data yang hilang atau dicuri bisa dihindari jika bisnis mengikuti rencana keamanan cyber yang sederhana.
Untuk memulai pengembangan rencana keamanan siber, Anda harus memahami ancaman Internet dan bagaimana melindungi bisnis Anda dari ancaman itu secara langsung memengaruhi bottom-line Anda. Akibatnya, Aliansi Keamanan Cyber Nasional, yang mitranya meliputi Departemen Keamanan Dalam Negeri, Biro Investigasi Federal, Administrasi Bisnis Kecil, Institut Nasional untuk Standar dan Teknologi, Symantec, Microsoft, CA, McAfee, AOL dan RSA, dikembangkan atas 5 ancaman bisnis kecil Anda mungkin hadapi di Internet, kasus bisnis tentang bagaimana ancaman itu dapat melukai Anda dan tindakan praktis yang dapat Anda ambil untuk menghindari ancaman ini.
Berikut ini ringkasan lima ancaman teratas:
- # 1: Kode Berbahaya. Bom perangkat lunak perusahaan manufaktur timur laut menghancurkan semua program perusahaan dan generator kode. Selanjutnya perusahaan kehilangan jutaan dolar, dikeluarkan dari posisinya di industri dan akhirnya harus memberhentikan 80 pekerja. Untuk memastikan ini tidak terjadi pada Anda, instal dan gunakan program anti-virus, program anti-spyware, dan firewall di semua komputer dalam bisnis Anda. Selain itu, pastikan bahwa semua perangkat lunak komputer mutakhir dan berisi tambalan terbaru (mis., Sistem operasi, anti-virus, anti-spyware, anti-adware, firewall dan perangkat lunak otomatisasi kantor).
- # 2: Laptop atau Perangkat Seluler yang dicuri / hilang. Tahun lalu, laptop karyawan Departemen Urusan Veteran dicuri dari rumahnya. Laptop itu berisi 26,5 juta riwayat kesehatan veteran. Pada akhirnya, laptop itu pulih dan data tidak digunakan; namun demikian, VA harus memberi tahu 26,5 juta veteran tentang insiden tersebut, yang menghasilkan audiensi Kongres dan pengawasan publik. Untuk memastikan hal ini tidak terjadi pada Anda, lindungi data pelanggan Anda saat memindahkannya ke mana saja pada perangkat portabel dengan mengenkripsi semua data yang berada di dalamnya. Program enkripsi menyandikan data atau membuatnya tidak dapat dibaca oleh orang luar, sampai Anda memasukkan kata sandi atau kunci enkripsi.
- # 3: Tombak Phishing. Pabrikan sepeda berukuran sedang sangat bergantung pada email untuk menjalankan bisnis. Dalam kegiatan normal hari kerja, perusahaan menerima sebanyak 50.000 spam dan email phishing. Dalam satu kasus, seorang karyawan menerima email "spear phishing" yang sepertinya berasal dari Departemen TI, dan meminta karyawan untuk mengkonfirmasi "kata sandi administrator." Beruntung bagi perusahaan, ketika karyawan meminta manajer lini untuk " kata sandi administrator ”ia menyelidiki lebih lanjut dan menyadari bahwa email itu adalah penipuan. Untuk memastikan ini tidak terjadi pada Anda, instruksikan semua karyawan untuk menghubungi manajer mereka, atau cukup angkat telepon dan hubungi orang yang mengirim email secara langsung. Penting bagi Anda untuk membuat karyawan Anda mengetahui apa itu serangan tombak phishing dan waspada terhadap apa pun yang ada di kotak mereka yang terlihat mencurigakan.
- # 4: Jaringan Internet Nirkabel Tanpa Jaminan. Menurut laporan berita, peretas melakukan "pelanggaran data terbesar" melalui jaringan nirkabel. Rantai ritel global memiliki lebih dari 47 juta informasi keuangan pelanggan yang dicuri oleh peretas yang meretas jaringan nirkabel yang diamankan oleh bentuk enkripsi terendah yang tersedia bagi perusahaan. Saat ini, pelanggaran keamanan ini telah menelan biaya perusahaan $ 17 juta, dan khususnya $ 12 juta dalam satu kuartal saja, atau 3 sen per saham. Untuk memastikan ini tidak terjadi pada Anda, hen mengatur jaringan nirkabel, pastikan kata sandi default diubah dan pastikan Anda mengenkripsi jaringan nirkabel Anda dengan WPA (Wi-Fi Protected Access).
- # 5: Ancaman Karyawan Orang Dalam / Tidak puas. Mantan karyawan sebuah perusahaan yang menangani operasi penerbangan untuk perusahaan otomotif besar, menghapus informasi ketenagakerjaan penting dua minggu setelah ia mengundurkan diri dari jabatannya. Insiden itu menyebabkan kerusakan sekitar $ 34.000. Untuk memastikan hal ini tidak terjadi pada Anda, bagilah fungsi dan tanggung jawab penting di antara karyawan dalam organisasi, batasi kemungkinan bahwa satu individu dapat melakukan sabotase atau penipuan tanpa bantuan karyawan lain di dalam organisasi.
Baca di bawah untuk informasi lebih lanjut dan saran terperinci tentang cara melindungi sistem komputer Anda -
1. Kode Berbahaya (Spyware / Virus / Trojan Horse / Worms)
Menurut Studi Kejahatan Komputer FBI 2006, program perangkat lunak berbahaya terdiri dari jumlah terbesar serangan cyber yang dilaporkan, yang mengakibatkan kerugian rata-rata $ 69.125 per insiden. Perangkat lunak berbahaya adalah program komputer yang dipasang secara diam-diam di komputer bisnis Anda dan dapat menyebabkan kerusakan internal pada jaringan komputer seperti menghapus file penting, atau dapat digunakan untuk mencuri kata sandi atau membuka kunci perangkat lunak keamanan di tempat sehingga peretas dapat mencuri informasi pelanggan atau karyawan. Sebagian besar waktu, jenis program ini digunakan oleh penjahat untuk keuntungan finansial baik melalui pemerasan atau pencurian.
Studi kasus:
Sebuah perusahaan manufaktur timur laut menangkap kontrak bernilai beberapa juta dolar untuk membuat alat ukur dan instrumentasi untuk NASA dan Angkatan Laut AS. Namun, suatu pagi pekerja mendapati diri mereka tidak dapat masuk ke sistem operasi, alih-alih mendapatkan pesan bahwa sistem sedang “diperbaiki.” Tidak lama kemudian, server perusahaan macet, menghilangkan semua program perkakas dan pembuatan pabrik. Ketika manajer pergi untuk mengambil kembali kaset-kaset, ia menemukan kaset-kaset itu hilang dan masing-masing stasiun kerja juga telah dimusnahkan. CFO perusahaan bersaksi bahwa bom perangkat lunak telah menghancurkan semua program dan generator kode yang memungkinkan perusahaan untuk menyesuaikan produk mereka dan dengan demikian menurunkan biaya. Perusahaan kemudian kehilangan jutaan dolar, dikeluarkan dari posisinya di industri, dan akhirnya harus memberhentikan 80 pekerja. Perusahaan dapat mengambil penghiburan dalam kenyataan bahwa pihak yang bersalah akhirnya ditangkap dan dihukum.
Nasihat:
- Instal dan gunakan program anti-virus, program anti-spyware, dan firewall di semua komputer di bisnis Anda.
- Pastikan komputer Anda dilindungi oleh firewall; firewall dapat berupa peralatan terpisah, dibangun ke dalam sistem nirkabel, atau firewall perangkat lunak yang dilengkapi dengan banyak suite keamanan komersial.
- Selain itu, pastikan bahwa semua perangkat lunak komputer mutakhir dan berisi tambalan terbaru (mis., Sistem operasi, anti-virus, anti-spyware, anti-adware, firewall dan perangkat lunak otomatisasi kantor).
2. Laptop atau Perangkat Seluler yang dicuri / hilang
Percaya atau tidak, laptop curian atau hilang adalah salah satu cara paling umum bisnis kehilangan data penting. Menurut Studi Kejahatan FBI 2006 (PDF), laptop yang dicuri atau hilang biasanya menghasilkan kerugian rata-rata $ 30.570.Namun, insiden profil tinggi, atau insiden yang mengharuskan perusahaan untuk menghubungi semua pelanggan mereka, karena data keuangan atau pribadi mereka mungkin telah hilang atau dicuri, dapat mengakibatkan kerugian yang jauh lebih tinggi karena hilangnya kepercayaan konsumen, reputasi yang rusak dan bahkan kewajiban hukum.
Studi kasus:
Tahun lalu, seorang pegawai Departemen Urusan Veteran membawa pulang laptop yang berisi 26,5 juta riwayat medis veteran. Sementara karyawan itu tidak ada di rumah, seorang penyusup masuk dan mencuri laptop yang berisi data para veteran. Pada akhirnya, laptop itu pulih dan data tidak digunakan; namun demikian, VA harus memberi tahu 26,5 juta veteran tentang insiden tersebut, yang menghasilkan audiensi Kongres dan pengawasan publik. Fenomena ini tidak terbatas pada pemerintah, pada tahun 2006 ada sejumlah kasus korporat terkenal yang melibatkan laptop yang hilang atau dicuri yang mengakibatkan pelanggaran data. Laptop yang berisi 250.000 pelanggan Ameriprise dicuri dari sebuah mobil. Sistem Rumah Sakit Perawatan Kesehatan Providential memiliki laptop yang dicuri, yang berisi ribuan catatan medis pasien.
Nasihat:
- Lindungi data pelanggan Anda saat mengangkutnya ke mana saja menggunakan perangkat portabel dengan mengenkripsi semua data yang berada di dalamnya. Program enkripsi menyandikan data atau membuatnya tidak dapat dibaca oleh orang luar, sampai Anda memasukkan kata sandi atau kunci enkripsi. Jika laptop dengan data sensitif dicuri atau hilang, tetapi datanya dienkripsi, sangat tidak mungkin ada orang yang bisa membaca datanya. Enkripsi adalah garis pertahanan terakhir Anda jika data hilang atau dicuri. Beberapa program enkripsi dibangun ke dalam perangkat lunak basis data dan keuangan yang populer. Cukup periksa manual pemilik perangkat lunak Anda untuk mengetahui apakah fitur ini tersedia dan cara menyalakannya. Dalam beberapa kasus, Anda mungkin memerlukan program tambahan untuk mengenkripsi data sensitif Anda dengan benar.
3. Tombak Phishing
Tombak phishing menggambarkan serangan phishing yang sangat ditargetkan. Phearers tombak mengirim e-mail yang tampaknya asli kepada semua karyawan atau anggota dalam perusahaan, lembaga pemerintah, organisasi, atau grup tertentu. Pesan itu mungkin terlihat seperti berasal dari majikan, atau dari seorang kolega yang mungkin mengirim pesan email kepada semua orang di perusahaan, seperti kepala sumber daya manusia atau orang yang mengelola sistem komputer, dan dapat mencakup permintaan untuk nama pengguna atau kata sandi.
Yang benar adalah bahwa informasi pengirim email telah dipalsukan atau “dipalsukan.” Sementara penipuan phishing tradisional dirancang untuk mencuri informasi dari individu, penipuan phishing phear berfungsi untuk mendapatkan akses ke seluruh sistem komputer perusahaan.
Jika seorang karyawan merespons dengan nama pengguna atau kata sandi, atau jika Anda mengklik tautan atau membuka lampiran di email tombak phising, jendela sembul, atau situs Web, mereka mungkin membahayakan bisnis atau organisasi Anda.
Studi kasus:
Produsen sepeda ukuran sedang yang memproduksi sepeda yang digunakan dalam balapan terkenal, sangat bergantung pada email untuk menjalankan bisnis. Dalam kegiatan normal hari kerja, perusahaan menerima sebanyak 50.000 spam dan email phishing. Akibatnya, perusahaan memasang banyak filter spam dalam upaya melindungi karyawan dari email yang curang. Namun, banyak email palsu yang masih masuk ke karyawan. Dalam satu kasus, seorang karyawan menerima email "spear phishing" yang sepertinya berasal dari Departemen TI, dan meminta karyawan untuk mengkonfirmasi "kata sandi administrator." Beruntung bagi perusahaan, ketika karyawan meminta manajer lini untuk " kata sandi administrator ”ia menyelidiki lebih lanjut dan menyadari bahwa email itu adalah penipuan. Meskipun contoh ini tidak mengakibatkan kerugian finansial, itu bisa dengan mudah terjadi, dan merupakan masalah umum bagi semua bisnis.
Nasihat:
- Karyawan tidak boleh menanggapi pesan spam atau pop-up yang mengaku berasal dari bisnis atau organisasi yang mungkin Anda tangani misalnya, penyedia layanan Internet (ISP), bank, layanan pembayaran online, atau bahkan agen pemerintah. Perusahaan yang sah tidak akan meminta informasi sensitif melalui email atau tautan.
- Selain itu, jika seorang karyawan menerima email yang sepertinya berasal dari karyawan lain, dan meminta kata sandi atau jenis informasi akun apa pun, mereka tidak boleh menanggapinya, atau memberikan informasi sensitif apa pun melalui email. Sebaliknya, instruksikan karyawan untuk menghubungi manajer mereka, atau cukup mengangkat telepon dan menghubungi orang yang mengirim email secara langsung.
- Penting bagi Anda untuk membuat karyawan Anda mengetahui apa itu serangan tombak phishing dan waspada terhadap apa pun yang ada di kotak mereka yang terlihat mencurigakan. Cara terbaik untuk menghindari menjadi korban serangan phishing tombak adalah membiarkan semua orang tahu itu terjadi sebelum ada yang kehilangan informasi pribadi apa pun.
4. Jaringan Internet Nirkabel Tidak Aman
Konsumen dan bisnis dengan cepat mengadopsi dan mengimplementasikan jaringan Internet nirkabel. Menurut sebuah Studi InfoTech, penetrasi jaringan internet nirkabel akan mencapai 80% pada tahun 2008. Sementara jaringan Internet nirkabel memberikan peluang kepada bisnis untuk merampingkan jaringan mereka dan membangun jaringan dengan infrastruktur atau kabel yang sangat sedikit, ada risiko keamanan yang perlu ditangani oleh perusahaan saat menggunakan jaringan internet nirkabel. Peretas dan penipu dapat memperoleh akses ke komputer bisnis melalui jaringan Internet nirkabel terbuka, dan sebagai hasilnya, mungkin dapat mencuri informasi pelanggan, dan bahkan informasi hak milik. Sayangnya, banyak bisnis tidak mengambil tindakan yang diperlukan untuk mengamankan jaringan nirkabel mereka. Menurut Studi Institut Teknologi Bisnis Symantec / Small 2005, 60% bisnis kecil memiliki jaringan nirkabel terbuka. Selain itu, banyak bisnis kecil lainnya mungkin tidak menggunakan keamanan nirkabel yang cukup kuat untuk melindungi sistem mereka. Tidak mengamankan jaringan nirkabel dengan benar adalah seperti membiarkan pintu bisnis terbuka lebar di malam hari.
Studi kasus:
Menurut laporan berita, peretas melakukan "pelanggaran data terbesar" melalui jaringan nirkabel. Rantai ritel global memiliki lebih dari 47 juta informasi keuangan pelanggan yang dicuri oleh peretas yang meretas jaringan nirkabel yang diamankan oleh bentuk enkripsi terendah yang tersedia bagi perusahaan. Pada tahun 2005, dua peretas diduga parkir di luar toko dan menggunakan antena nirkabel teleskop untuk memecahkan kode data antara pemindai pembayaran genggam, memungkinkan mereka membobol basis data perusahaan induk dan kabur dengan catatan kartu kredit dan kartu debit dari hampir 47 juta pelanggan. Diyakini para peretas memiliki akses ke basis data kartu kredit selama lebih dari dua tahun tanpa terdeteksi. Alih-alih menggunakan perangkat lunak enkripsi terbaru untuk mengamankan jaringan nirkabelnya - Wi-Fi Protected Access (WPA), rantai ritel menggunakan bentuk enkripsi lama yang disebut Wireless Equivalent Privacy (WEP), yang menurut beberapa ahli dapat dengan mudah diretas hanya dalam 60 detik. Saat ini, pelanggaran keamanan ini telah menelan biaya perusahaan $ 17 juta, dan khususnya $ 12 juta dalam satu kuartal saja, atau 3 sen per saham.
Nasihat:
- Saat mengatur jaringan nirkabel, pastikan kata sandi standar diubah. Sebagian besar perangkat jaringan, termasuk titik akses nirkabel, sudah dipra-konfigurasi dengan kata sandi administrator default untuk menyederhanakan pengaturan. Kata sandi default ini mudah ditemukan online, sehingga tidak memberikan perlindungan apa pun. Mengubah kata sandi standar mempersulit penyerang untuk mengambil kendali perangkat.
- Selain itu, pastikan Anda mengenkripsi jaringan nirkabel Anda dengan enkripsi WPA. WEP (Wired Equivalent Privacy) dan WPA (Wi-Fi Protected Access) keduanya mengenkripsi informasi pada perangkat nirkabel. Namun, WEP memiliki sejumlah masalah keamanan yang membuatnya kurang efektif daripada WPA, jadi Anda harus secara khusus mencari peralatan yang mendukung enkripsi melalui WPA. Mengenkripsi data akan mencegah siapa pun yang mungkin dapat memonitor lalu lintas nirkabel jaringan Anda dari melihat data Anda.
5. Ancaman Karyawan Orang Dalam / Tidak puas
Karyawan yang tidak puas atau orang dalam bisa lebih berbahaya daripada peretas paling canggih di Internet. Bergantung pada kebijakan keamanan dan manajemen kata sandi bisnis Anda, orang dalam mungkin memiliki akses langsung ke data penting Anda, dan sebagai hasilnya dapat dengan mudah mencurinya dan menjualnya ke pesaing Anda, atau bahkan menghapus semuanya, menyebabkan kerusakan yang tidak dapat diperbaiki. Ada beberapa langkah dan langkah yang dapat Anda ambil untuk mencegah orang dalam atau karyawan yang tidak puas mendapatkan akses ke informasi utama dan merusak jaringan komputer Anda.
Studi kasus:
Mantan karyawan sebuah perusahaan yang menangani operasi penerbangan untuk perusahaan otomotif besar, menghapus informasi ketenagakerjaan penting dua minggu setelah ia mengundurkan diri dari jabatannya. Insiden itu menyebabkan kerusakan sekitar $ 34.000. Menurut laporan, karyawan itu kesal karena dibebaskan oleh perusahaan lebih awal dari yang ia perkirakan. Diduga, firewall perusahaan dikompromikan dan pelaku membobol basis data karyawan dan menghapus semua catatan. Pernyataan dari perusahaan menunjukkan bahwa mantan karyawan yang tidak puas adalah satu dari hanya tiga orang yang mengetahui informasi masuk dan kata sandi untuk firewall yang melindungi basis data karyawan.
Nasihat:
Ada beberapa cara perusahaan Anda dapat melindungi diri dari ancaman orang dalam atau karyawan yang tidak puas:
- Bagilah fungsi dan tanggung jawab penting di antara karyawan dalam organisasi, dengan membatasi kemungkinan satu individu dapat melakukan sabotase atau penipuan tanpa bantuan karyawan lain di dalam organisasi.
- Terapkan kebijakan kata sandi dan otentikasi yang ketat. Pastikan setiap karyawan menggunakan kata sandi yang berisi huruf dan angka, dan jangan menggunakan nama atau kata.
- Selain itu, pastikan untuk mengubah kata sandi setiap 90 hari, dan yang paling penting, hapus akun karyawan atau ubah kata sandi menjadi sistem kritis, setelah seorang karyawan meninggalkan perusahaan Anda. Hal ini mempersulit karyawan yang tidak puas untuk merusak sistem Anda setelah mereka pergi.
- Lakukan uji tuntas SEBELUM Anda mempekerjakan seseorang. Lakukan pemeriksaan latar belakang, pemeriksaan pendidikan, dll untuk memastikan bahwa Anda merekrut orang baik.
Tentang Penulis: Sebagai direktur eksekutif Aliansi Keamanan Cyber Nasional (NCSA), Ron Teixeira bertanggung jawab atas pengelolaan keseluruhan program kesadaran keamanan cyber dan upaya pendidikan nasional. Teixeira bekerja erat dengan berbagai lembaga pemerintah, perusahaan, dan nirlaba untuk meningkatkan kesadaran akan masalah keamanan Internet dan memberdayakan pengguna rumahan, usaha kecil dan komunitas pendidikan dengan alat dan praktik terbaik yang dirancang untuk memastikan pengalaman Internet yang aman dan bermakna.
9 Komentar ▼
