Kibervédelem home office mellett: milyen hibák nyitnak ajtót a céges adatokhoz?

Az otthoni munka nem csak HR-kérdés

A home office sok cégnél már természetes része a működésnek. A munkatárs otthonról belép a céges levelezésbe, felhőalapú dokumentumtárba, CRM-be, számlázóba, projektmenedzsment-rendszerbe, videóhíváson egyeztet, fájlokat tölt le, ajánlatokat küld, ügyféladatokat kezel. Mindez kényelmes és hatékony lehet, de közben a céges IT-környezet határai elmosódnak. Már nem csak az iroda falai között kell védeni az adatokat, hanem nappalikban, konyhaasztalokon, kávézókban, utazás közben és otthoni Wi-Fi-hálózatokon is.

A legnagyobb hiba az, ha a cég a home office-t kizárólag munkaszervezési kedvezményként kezeli, és nem gondolja végig az informatikai feltételeit. A távoli munkavégzés nem attól biztonságos, hogy a dolgozó megbízható, hanem attól, hogy a hozzáférések, eszközök és szabályok kontrolláltak. A jó szándék nem védi meg az ügyféladatokat egy gyenge jelszótól, fertőzött magángéptől vagy rosszul megosztott dokumentumtól.

A magángép használata az egyik legnagyobb kockázat

Kisebb cégeknél gyakori, hogy a munkatárs saját laptopról vagy otthoni számítógépről dolgozik. Ez elsőre költséghatékonynak tűnhet, de komoly bizonytalanságot hoz. A cég nem tudja pontosan, frissített-e az operációs rendszer, van-e megfelelő védelem, ki használja még az eszközt, milyen programok futnak rajta, mentődnek-e rá céges fájlok, vagy belépve maradnak-e üzleti rendszerek.

Egy családi gépen például előfordulhat, hogy gyerekek játékot telepítenek, ismeretlen bővítmények kerülnek a böngészőbe, a jelszavak automatikusan mentődnek, és ugyanarról az eszközről történik a céges számlázás vagy ügyféladat-kezelés. Ez nem rosszindulat kérdése, hanem kontrollhiány. A céges adat olyan eszközön legyen kezelve, amelynek biztonsági állapotáért a cég felelősséget tud vállalni.

Ha nincs lehetőség minden munkatársnak céges laptopot adni, akkor legalább minimumszabályokat kell meghatározni: frissített rendszer, jelszóval védett felhasználói fiók, képernyőzár, vírusvédelem, tiltott fájlletöltések, külön böngészőprofil, és lehetőleg céges adatok helyi tárolásának kerülése.

Gyenge jelszavak és hiányzó kétlépcsős azonosítás

Home office-ban különösen fontos a belépési védelem. Az irodai hálózaton kívül a dolgozók gyakran közvetlenül felhős szolgáltatásokba, emailbe, dokumentumtárba vagy üzleti alkalmazásokba lépnek be. Ha ezekhez gyenge, újrahasznált jelszavak tartoznak, vagy nincs kétlépcsős azonosítás, egy adathalász támadás gyorsan teljes céges hozzáféréssé válhat.

A támadó sokszor nem technikai áttöréssel jut be, hanem megszerzett email-jelszóval. Onnantól láthatja a levelezést, számlákat, ügyfélkommunikációt, belső dokumentumokat, és akár hitelesnek tűnő üzeneteket is küldhet a cég nevében. A céges emailfiók gyakran a digitális kulcscsomó: ha az elveszik, sok más rendszer is veszélybe kerül.

Alapvető védelemként szükséges:

• egyedi, erős jelszó minden fontos rendszerhez;
• jelszókezelő a megjegyezhető, gyenge jelszavak helyett;
• kétlépcsős azonosítás levelezéshez, felhőhöz, CRM-hez, hirdetési fiókhoz;
• adminfiókok külön védelme, erősebb szabályokkal;
• kilépő munkatárs hozzáféréseinek azonnali visszavonása;
• gyanús belépések figyelése, például ismeretlen helyről vagy eszközről.

A kétlépcsős azonosítás néhány másodperces pluszlépés, de sok támadást megállíthat még akkor is, ha a jelszó kiszivárgott.

Otthoni Wi-Fi és nyilvános hálózatok

Az otthoni internetkapcsolat általában elég a munkához, de nem mindegy, hogyan van beállítva. Régi router, gyári adminjelszó, gyenge Wi-Fi-jelszó vagy vendéghálózat nélküli megosztott családi használat növelheti a kockázatot. A cégnek nem kell minden dolgozó lakását IT-laborrá alakítania, de adhat egyszerű, követhető minimumot.

Nyilvános Wi-Fi-n, például kávézóban, hotelben, pályaudvaron vagy repülőtéren még nagyobb az óvatosság igénye. Ilyenkor különösen veszélyes érzékeny rendszerekbe belépni védelem nélkül. Ha a cég távoli munkát enged utazás közben is, érdemes VPN-t vagy más biztonságos hozzáférési megoldást használni, és szabályozni, milyen adatok érhetők el nyilvános hálózatról.

Otthoni munkához praktikus minimum:

• erős Wi-Fi-jelszó, nem gyári alapbeállítás;
• router adminjelszó cseréje;
• rendszeres routerfrissítés, ha elérhető;
• vendéghálózat családi vagy látogatói eszközöknek;
• nyilvános Wi-Fi kerülése érzékeny munka esetén;
• VPN használata, ha a céges rendszer ezt igényli.

A távoli kapcsolat biztonsága nem csak a céges szerveren múlik, hanem azon is, milyen úton jut el oda a munkatárs.

Dokumentummegosztás: linkek, amelyek túl sokáig élnek

A home office egyik kényelmes eszköze a gyors fájlmegosztás. Egy link, és máris elérhető a dokumentum az ügyfélnek, alvállalkozónak vagy kollégának. A gond akkor kezdődik, ha a link bárki számára hozzáférhető, nincs lejárati idő, továbbküldhető, vagy a jogosultságot később senki nem vonja vissza. Így üzleti ajánlatok, szerződések, árlisták, HR-anyagok vagy ügyféladatok maradhatnak kint kontroll nélkül.

A biztonságos megosztásnál nem csak az számít, hogy „átment-e a fájl”, hanem az is, ki fér hozzá utána. Érdemes névre szóló megosztást használni, különösen érzékeny dokumentumoknál, és kerülni a „bárki a link birtokában megtekintheti” típusú beállítást, ha nem indokolt.

Jó gyakorlat:

• névre szóló hozzáférés általános link helyett;
• lejárati idő külső megosztásoknál;
• csak olvasási jogosultság, ha szerkesztés nem kell;
• letöltés tiltása, ha a rendszer támogatja és indokolt;
• megosztások rendszeres felülvizsgálata;
• érzékeny fájlok külön kezelése, nem vegyes mappákban.

A dokumentum megosztása nem egyszeri mozdulat, hanem hozzáférési döntés.

Adathalászat otthoni munkában: kevesebb gyors ellenőrzés

Az irodában egy gyanús emailnél könnyebb odaszólni a kollégának: „te is kaptál ilyet?”, „ez tényleg a pénzügyről jött?”, „ez a beszállító szokott így írni?”. Otthon ezek a gyors ellenőrzések hiányozhatnak. A támadók pedig pontosan erre építenek: sürgető számla, hamis Microsoft- vagy Google-belépés, futárértesítő, vezetőnek álcázott kérés, állásjelentkező csatolmánya, hamis banki figyelmeztetés.

A cégeknek érdemes egyszerű belső szabályt adni: pénzügyi utalást, jelszómegadást, belépési jóváhagyást vagy érzékeny adatküldést nem szabad kizárólag email alapján végrehajtani. Legyen második csatornás ellenőrzés, például telefon vagy belső chat, de nem az emailben megadott elérhetőségen.

Gyanús jel lehet:

• sürgős fizetési kérés szokatlan bankszámlára;
• belépési link, amely jelszót kér;
• váratlan csatolmány ismerősnek tűnő feladótól;
• nyelvi vagy formai eltérés a megszokott kommunikációtól;
• vezetői utasítás, amely megkerüli a normál jóváhagyást;
• jelszó vagy kód bekérése bármilyen formában.

A home office-szabályzat legyen rövid, de használható

Egy távoli munkavégzési szabályzatnak nem kell jogi nyelvű, hosszú dokumentumnak lennie. A dolgozó akkor fogja követni, ha érthető és kapcsolódik a napi munkához. Tartalmazza, milyen eszközről lehet dolgozni, hogyan kell belépni, hol tárolhatók céges fájlok, mit tilos magángépre menteni, mikor kell képernyőt zárni, hogyan kell gyanús emailt jelenteni, és mi a teendő elveszett laptop vagy telefon esetén.

A jó szabályzat nem akadályozza a munkát, hanem egyértelművé teszi, mi számít biztonságos működésnek. Ha a dolgozó nem tudja, mit kell tennie egy gyanús helyzetben, improvizálni fog. A kibervédelemben pedig az improvizáció gyakran drága.

A biztonságos home office nem bizalmatlanság

A home office biztonságának célja nem az, hogy a cég ellenőrizze a dolgozó minden mozdulatát. A cél az, hogy az ügyféladatok, üzleti dokumentumok, hozzáférések és pénzügyi folyamatok ne kerüljenek veszélybe csak azért, mert a munka helye rugalmasabb lett. Ehhez céges eszközök, erős belépésvédelem, rendezett dokumentummegosztás, oktatás és gyors incidenskezelés kell.

A távoli munkavégzés akkor működik jól, ha a rugalmasság nem jár kontrollvesztéssel. Egy home office-ban dolgozó csapat is lehet biztonságos, ha a cég nem utólag reagál a hibákra, hanem előre meghatározza a digitális munkavégzés alapfeltételeit.