Firmowa poczta elektroniczna to często jeden z słabszych punktów w systemie bezpieczeństwa firmowego IT. Jeden z obszarów najbardziej narażonych na ataki cyberprzestępców. Trudno wyobrazić sobie, żeby w dzisiejszych czasach jakakolwiek firma zrezygnowała z komunikacji mailowej. A skoro każda firma korzysta ze skrzynki mailowej, konieczne jest odpowiednio ją zabezpieczyć. Dlaczego? W dzisiejszym artykule podsumujemy czemu jest to takie ważne. Przygotowaliśmy też garść praktycznych porad jak chronić firmową pocztę. Zapraszamy!
Firmowa poczta – dlaczego trzeba ją chronić?
Poczta elektroniczna to jeden z najpopularniejszych sposobów komunikacji, nie tylko w firmach. Sami przecież chętnie korzystamy z niej na co dzień. Statystyki dobitnie to pokazują. W 2017 roku całkowita liczba wysłanych i odebranych wiadomości email wynosiła ponad 225,3 miliardów. Jak można się domyślać ta liczba cały czas sukcesywnie rośnie. Komunikacja mailowa się rozwija. Poczty elektronicznej używa ponad 3,7 miliarda osób, czyli prawie 50% całej populacji. Duża część z nich to użytkownicy firmowi. Śmiało można powiedzieć, że to jedna z najpopularniejszych form komunikacji biznesowej. Zarówno jeśli chodzi o klientów, jak również wewnątrz firmy. Wykorzystujemy ją też do przesyłania, dokumentów, różnego rodzaju danych.
Co ważne, wraz z popularnością poczty e-mail, rośnie też liczba zagrożeń, które są związane z jej wykorzystywaniem. Wirusy, scam, podstępne ataki phishingowe mogą skutecznie utrudnić Wam życie. Nikt nie może czuć się bezpiecznie. W przypadku prywatnej skrzynki mailowej, ewentualne konsekwencje mogą być jeszcze „do przełknięcia”. Zdecydowanie gorzej jeśli problem dotyczy skrzynki firmowej. Według aktualnych badań, co siódma firma na świecie doświadczyła ataku cyberprzestępców. Średnio co dziesiąty okazał się skuteczny i doprowadził do przejęcia kontroli nad kontem poczty elektronicznej pracownika.
Złośliwe oprogramowanie może nie tylko zaburzyć prawidłowe funkcjonowanie firmy ale nawet ją całkiem sparaliżować. To z kolei będzie wiązało się z poważnymi konsekwencjami biznesowymi, wizerunkowymi, finansowymi i prawnymi. Oczywiście wiele zależy od skali i rodzaju problemu. Z niektórymi wirusami poradzicie sobie od ręki, inne będą Was drogo kosztować. Wymownym przykładem może być firma Garmin. Po udanym ataku na swoją firmę, koncern zdecydował się zapłacić sowity okup grupie hakerów z Rosji, za odzyskanie kontroli nad kluczowymi usługami i produkcją, które zostały zablokowane na skutek ataku. Ile wynosił okup? Lepiej usiądźcie. Firma zapłaciła cyberprzestępcom ok 10 milionów dolarów! Jeśli hakerom udało się sparaliżować pracę tak dużego koncernu technologicznego, to wzmianka powyżej o tym, że nikt nie może czuć się bezpiecznie, zupełnie nie jest przesadzona.
To tylko przykład ale dobitnie pokazuje dlaczego tak ważne jest odpowiednie zabezpieczenie firmowej poczty i danych. Podpowiemy Wam teraz jak możecie to robić. Również w kontekście RODO.
Jak chronić pocztę firmową?
Pomocne w skutecznej ochronie firmowej poczty są z pewnością zabezpieczenia technologiczne, specjalne oprogramowanie i dedykowane rozwiązania IT. Nie ma potrzeby wymyślać koła na nowo. Od lat funkcjonują pewne uniwersalne, sprawdzone sposoby, które po prostu trzeba wdrożyć w firmie. Może nie zapewnią nam 100% ochrony, ale znacząco ją poprawią, niwelując czynniki ryzyka.
Wszystkie transmisje danych wewnątrz i na zewnątrz firmy, powinny być zakodowane. To podstawowa sprawa, która uniemożliwi dostęp do danych osobom niepowołanym. Najczęściej wykorzystuje się protokół szyfrowania SSL, który odpowiada za bezpieczeństwo przesyłanych danych w protokole HTML. Trzeba tylko pamiętać, aby odpowiednio skonfigurować oprogramowanie dla każdego użytkownika w firmie. Innym protokołem pomocnym w ochronie firmowej poczty jest SMTP, który służy do autoryzacji użytkownika. Dzięki niemu dostęp do skrzynki ma tylko upoważniona osoba. Ogólnie polecamy wyłączenie nieszyfrowanego dostępu do poczty na serwerze. W ramach „dmuchania na zimne”, które należy do najskuteczniejszych narzędzi do walki z wszelkimi problemami. Zgodzicie się?
Oczywiście niezbędne jest też zainstalowanie programu antywirusowego i jego konfiguracja, tak aby odpowiadał naszym oczekiwaniom i wychodził naprzeciw zagrożeniom. Nie zapominając oczywiście o regularnych aktualizacjach. To kolejne podstawy, które jednak w nawale codziennych spraw mogą umknąć.
Konieczne wydaje się też sprawdzenie jaki poziom zabezpieczeń gwarantuje nasz dostawca poczty. Firmy hostingowe starają się dbać o bezpieczeństwo swoich klientów, ale jak wiadomo – z różnym skutkiem. Niby każda firma deklaruje dbałość o bezpieczeństwo. Warto jest jednak sprawdzić szczegóły, zweryfikować hasła reklamowe i w zależności od warunków, wybrać odpowiedniego usługodawcę. Na serwerach pocztowych muszą funkcjonować filtry antyspamowe i antywirusowe.
Innym, podstawowym sposobem na utrzymanie bezpieczeństwa poczty elektronicznej, są kopie bezpieczeństwa. „Backupy” pozwalają na przywrócenie danych w razie ich utraty, wykasowania lub przechwycenia. To nasze koło ratunkowe w przypadku większych problemów i awarii – pisaliśmy o tym szerzej na naszym blogu. Co jakiś czas powtarzamy też jak duże znaczenie ma monitoring IT. Zachęcamy do lektury podlinkowanych wpisów.
Znane są też bardziej zaawansowane zabezpieczenia. Coraz częściej do ochrony wykorzystuje się sztuczną inteligencję i mechanizmy głębokiego uczenia. Dzięki wbudowanemu interfejsowi API umożliwiającemu pełną integrację z firmową pocztą oraz analizie wcześniejszych przypadków, tego rodzaju narzędzia uczą się rozpoznawać zawczasu pewne wzorce zagrożeń i ryzyka. Dzięki automatycznej, szybkiej i szczegółowej analizie pomoże Wam skutecznie chronić przed atakami wykorzystującymi przejęte konta innych osób (Account Takeover), ukierunkowanym phishingiem (spear phishing), zagrożeniami „zero-day” i wieloma innymi typami ataków. Co ważne analizie podlega też (a może przede wszystkim) reakcje i działania pracowników.
Co ciekawe to nie wirusy czy ataki cyberprzestępców stanowią często największe zagrożenie dla bezpieczeństwa firmowej poczty, a użytkownicy. To człowiek jest często najsłabszym ogniwem. Z emaila korzystają niemal wszyscy pracownicy biurowi, a jednocześnie większość z nich nie ma wystarczającej wiedzy, żeby rozpoznać maile stanowiące zagrożenie. Często nie mają też odpowiedniej czujności, wyrobionych dobrych praktyk, żeby sprawdzać maile pod tym kątem. Dlatego jednym z najlepszych zabezpieczeń jest odpowiednie przeszkolenie pracowników. Chodzi zarówno o umiejętne korzystanie z oprogramowania antywirusowego, programów obsługujących pocztę elektroniczną, ale też o świadomość zagrożeń i wypracowanie pewnych standardów pracy w firmie. Jeśli pracownicy będą wyczuleni, aby nie klikać w podejrzane linki, nie otwierać załączników z nieznanych źródeł, będą odpowiedzialnie podchodzić do kwestii bezpieczeństwa, odpowiednio chronić swoje dane dostępowe i hasła – możecie być pewni, że ryzyko zagrożeń mocno spadnie. Pamiętajcie tylko, że dotyczy to nie tylko firmowych komputerów, ale też urządzeń mobilnych.
W interesie każdej firmy jest, aby pracownicy zostali odpowiednio poinstruowani i przygotowani do korzystania z firmowej poczty. Zwłaszcza w świetle nowych przepisów rozporządzenia o ochronie danych osobowych. RODO wprowadziło bowiem pewne zmiany, których zignorowanie może wiązać się nie tylko ze zwiększonym zagrożeniem ale też z surowymi sankcjami.
Firmowa poczta – ochrona danych osobowych
O RODO pisaliśmy już sporo. Niedawno odświeżyliśmy też nasz poradnik, w którym znajdziecie sporo praktycznych wskazówek jak chronić dane w firmie, w zgodzie z nowymi regulacjami. Zapisując się do naszego newslettera – otrzymacie ten poradnik za darmo. Zachęcamy do skorzystania.
Tak jak już wspomnieliśmy, pocztą firmową często przesyłamy dokumenty i informacje zawierające dane osobowe. Czasami już same adresy mailowe zawierające imię i nazwisko, to dane osobowe w rozumieniu RODO. Za prawidłowe przetwarzanie danych przy pomocy firmowej poczty, odpowiada administrator danych osobowych (ADO).
Jednym z podstawowych obowiązków ADO jest obowiązek zastosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych (art. 36 ust. 1 ustawy o ochronie danych osobowych). W szczególności chodzi o zabezpieczenie danych przed ich udostępnieniem osobom trzecim. RODO nie wskazuje dokładnie jakimi narzędziami i sposobami mamy chronić dane, grunt aby były skuteczne i spełniały swoją rolę. Administrator powinien sam zadbać o stosowanie odpowiedniego rodzaju zabezpieczeń. Musi opisać go w dokumentacji dotyczącej ochrony danych (polityka bezpieczeństwa) i zapoznać z nim pracowników firmy.
ADO przy przekazywaniu danych drogą elektroniczną, musi zastosować środki bezpieczeństwa na poziomie wysokim, co w praktyce będzie oznaczać konieczność wdrożenia dodatkowych zabezpieczeń chroniących przed nieuprawnionym dostępem. Czyli na przykład programów szyfrujących. W dużej części przypadków, konieczny bywa monitoring firmowej poczty.
Należy zwrócić uwagę na fakt, że w momencie przesyłania wrażliwych danych za pomocą poczty e-mail, są one jednocześnie powierzane firmie, która oferuję taką usługę. Oznacza to, że przedsiębiorstwo to może w każdej chwili (przypadkiem lub celowo) przejąć informacje – zwłaszcza, jeśli nie są zaszyfrowane. Podczas podpisywania umowy o świadczenie usług poczty elektronicznej należy zatem zadbać o to, aby strony podpisały klauzule zachowania w tajemnicy danych. Często się o tym zapomina, a firmy hostingowe na pewno nie będą nam o tym przypominać…
Bardziej szczegółowe informacje na temat tego, jak zabezpieczyć dane osobowe i inne poufne informacje przesyłane drogą elektroniczną zgodnie z RODO, można znaleźć na stronie Urzędu Ochrony Danych Osobowych – zachęcamy do zagłębienia się w ten temat. A jeśli macie dodatkowe pytania i wątpliwości – skontaktujcie się z nami!
Skuteczne zabezpieczenie firmowej poczty nie jest kwestią wyboru. To kwestia odpowiedzialności i obowiązek, która spada na każdą firmę i każdego administratora danych osobowych. W wyborze odpowiednich narzędzi i oprogramowania niezbędna będzie aktualna wiedza, audyt informatyczny, analiza ryzyka, znajomość procesów firmowych i indywidualnych potrzeb biznesu.
Mimo, że tak jak wspomnieliśmy, istnieją pewne sprawdzone sposoby i rodzaje zabezpieczeń, żadne z nich nie ma 100% skuteczności. Najlepiej sprawdzają się rozwiązania, które są dopasowane do indywidualnych warunków i konkretnego środowiska firmy. Rozumiemy to i potrafimy wykorzystać. Jeśli chcecie spać spokojnie, skorzystajcie z naszej opieki informatycznej. Po analizie wdrożymy odpowiednie narzędzia, procedury, będziemy monitorować Waszą firmę 24h/dobę, przeszkolimy pracowników i będziemy czuwać nad Waszym bezpieczeństwem. Porozmawiajmy o szczegółach!
