IT turvalisus ja mille üle mõelda

Raul Orav — Thu, 16 Feb 2023 10:33:50 +0000

Arvutikasutajatel, IT-tehnikutel ja ettevõtte IT-töötajatel on kõigil oluline roll turvalise arvutuskeskkonna säilitamisel. Kasutaja seisukohast on oluline hoida seadmed ja andmed turvalisena, kasutades tugevaid paroole, vältides pahavara ja mitte klõpsates kahtlastel linkidel. IT-tehnikud vastutavad võrgu turvalisuse eest, sealhulgas tulemüüride ja viirusetõrjetarkvara konfigureerimise ja hooldamise eest, haavatavate süsteemide lappimise ja kasutajate harimise eest ohutute andmetöötlustavade osas. Lõpuks peaksid organisatsiooni IT-töötajad tagama, et kõik süsteemid on nõuetekohaselt kaitstud, neid regulaarselt jälgitakse ning et paigas on asjakohased turvapoliitikad ja -protseduurid. Need on vaid mõned näited sellest, kuidas organisatsiooni erinevad sidusrühmad peavad kokku tulema, et tagada IT-turvalisuse nõuetekohane käsitlemine. Tegelikkuses tuleks neid teemasid pikalt arutada, et kõik sidusrühmad oleksid üksmeelel võrgu turvalisuse parimal viisil.

Arvutikasutaja turvalisus

1. Kasutage tugevaid paroole ja värskendage neid regulaarselt.

2. Võimalusel lubage kahefaktoriline autentimine.

3. Installige ja värskendage viiruse- ja pahavaratõrjetarkvara.

4. Olge ettevaatlik kahtlaste meilide, linkide ja manuste suhtes.

5. Ärge jagage võrgus tundlikku teavet.

6. Varundage olulised andmed.

7. Kasutage turvalist veebibrauserit.

8. Hoidke oma operatsioonisüsteem ja rakendused ajakohased.

9. Olge avalike WiFi-võrkude kasutamisel ettevaatlik.

10. Kasutage virtuaalset privaatvõrku (VPN).

11. Vältige kahtlastel hüpikakendel klõpsamist.

12. Ärge jätke oma arvutit järelevalveta.

13. Ärge kasutage jagatud arvuteid tundlike tegevuste jaoks.

14. Ärge laadige alla volitamata tarkvara.

15. Kasutage tulemüüri.

16. Kaitske oma mobiilseadmed.

17. Logige pärast kasutamist kõikidelt kontodelt välja.

18. Kasutage turvalisi makseviise.

19. Ärge salvestage oma arvutisse tundlikku teavet.

20. Ärge avage tundmatute saatjate e-kirju.

IT tehniku turvalisus

1. Süsteemidele ja andmetele juurdepääsu andmisel järgige minimaalsete privileegide põhimõtet.
2. Muutke regulaarselt kõigi süsteemide ja rakenduste vaikeparoole.
3. Kasutage tugevaid paroole, millel on mitut tüüpi tähemärki ja vahelduv korrapära.
4. Rakendage võrkudele ja tundlikele andmetele juurdepääsuks kahefaktoriline autentimine.
5. Looge ja haldage kogu riist- ja tarkvaravara inventuuri.
6. Piirake füüsilist juurdepääsu süsteemidele, võrkudele ja andmetele ainult volitatud töötajatele.
7. Rakendage mobiilseadmete halduspoliitikat kõigi ettevõtete võrkudele juurdepääsuks kasutatavate seadmete jaoks.
8. Tehke regulaarselt turvavigade tuvastamiseks turvaaukude kontrolli ja läbitungimisteste.
9. Jälgige võrguliiklust kahtlaste tegevuste suhtes.
10. Rakendage tarkvara paikade haldust, et tagada süsteemide ja rakenduste ajakohasus.
11. Kasutage viirusetõrjetarkvara, et kaitsta süsteeme pahatahtliku tarkvara ja tegevuse eest.
12. Koolitage töötajaid küberjulgeoleku parimate tavade kohta ja teadvustage neid võimalikest ohtudest.
13. Jälgige kasutajate juurdepääsu süsteemidele ja andmetele ning jälgige väärkasutamist.
14. Rakendage kõigi edastatavate ja puhkeolekus olevate andmete krüpteerimine.
15. Kasutage välisohtude eest kaitsmiseks turvalist tulemüüri.
16. Konfigureerige turvaliselt kõik süsteemid, võrgud ja rakendused.
17. Seadistage sissetungimise vältimise süsteem, et tuvastada ja vältida pahatahtlikku tegevust.
18. Varundage kriitilisi andmeid ja süsteeme sageli, et tagada ründe korral taastamine.
19. Kasutage konfidentsiaalsete andmete jälgimiseks ja kaitsmiseks andmekao vältimise süsteeme.
20. Koostage reageerimisplaan ja harjutage avariitaaste stsenaariume.

Vastutav IT töötaja turvalisus

1. Tagage, et kõiki IT-süsteeme jälgitaks regulaarselt ja uuendataks kõrgeima turbetaseme säilitamiseks.
2. Kasutage IT-turbe mitmekihilist lähenemist, sealhulgas tulemüüre, krüptimist, paroolikaitset ja muid meetmeid.
3. Luua selged põhimõtted ja protseduurid konfidentsiaalse teabe ohutuks käitlemiseks.
4. Harida töötajaid IT-turbepoliitika ja -protseduuride osas ning tagada nende järgimine.
5. Kasutage ettevõtte andmete kaitsmiseks turvalist andmete varundussüsteemi.
6. Piirake juurdepääs tundlikele andmetele ainult neile, kellel on õigustatud teadmisvajadus.
7. Võrgu kaitsmiseks pahatahtliku tarkvara eest kasutage uusimat pahavara- ja viirusetõrjetarkvara.
8. Kontrollige regulaarselt süsteeme haavatavuste leidmiseks ja kõrvaldage tuvastatud riskid.
9. Rakendage kõigi kasutajate jaoks kahefaktoriline autentimine.
10. Kasutage andmete kaitsmiseks edastamise ajal krüptimist.
11. Kehtestage mobiilseadmete halduspoliitika tagamaks, et kõik töötajate kasutatavad mobiilseadmed on turvalised.
12. Looge paikade haldamise poliitika ja veenduge, et kõik süsteemid on ajakohased.
13. Kasutage klientide andmete kaitsmiseks turvalist veebisaiti.
14. Rakendage tugevat paroolipoliitikat ja veenduge, et kõiki paroole vahetataks regulaarselt.
15. Koostage intsidentidele reageerimise plaan, et lahendada kõik ilmnevad IT-turbeintsidendid.
16. Kasutage pahatahtlike veebisaitide eest kaitsmiseks veebifiltreerimislahendust.
17. Jälgige kasutaja tegevust võrgus, et tuvastada kahtlane tegevus.
18. Veenduge, et kõik kolmandatest osapooltest müüjad ja tarnijad järgiksid ettevõtte IT-turbepoliitikat.
19. Kasutage läbitungimistestisüsteemi, et testida IT-turvasüsteemide nõrkusi.
20. Tagada, et kõik IT-süsteemid vastavad asjakohastele valdkonna eeskirjadele ja standarditele.

Meie kontakt siit.

The post IT turvalisus ja mille üle mõelda appeared first on Visioline Infra OÜ.

Veebirakenduse kasutajatuvastus

Raul Orav — Sun, 08 Feb 2015 22:32:42 +0000

turvalisus

Lihtne äriks vajalik veebipõhine tarkvara võib kasutada info saatmiseks krüpteerimata infot. Sealhulgas ka süsteemi sisenemisel saadetav kasutajanimi ja parool. See tähendab, et selle kasutajanime teada saamiseks on vaid vaja ühendust “pealt kuulata”. See on võimalik suhteliselt lihtsalt, selle jaoks on isegi olemas tarkvarad. Seega on elementaarne, et kasutajanimed ja paroolid tuleks krüpteerida.

Kasutajanime ja parooli krüpteerimine ja selle edastamine kliendi ja serveri vahel on mõistlikum lahendus – seega kui keegi hakkab keset Teie andmevahetust infot pealt kuulama siis on seda peaaegu võimatu loetavaks muuta. Sellel on aga nõrk koht – nimelt, ühenduse loomise hetkel vahetatakse ikkagi infot osaliselt “lahtiselt”, st.ikka veel on võimalik Sinu kasutajanimi ja parool suure tahtmise juures loetavaks muuta.

Vahendajarünne (ingl Man-in-the-middle attack, MITM) on andmeturbe mõiste, mis tähendab rünnakut, kus kahe otspunkti vahelist ühendust kontrollib pahatahtlik kasutaja, kellel on võimalik otspunktide vahel saadetavaid andmeid muuta.

Kindlaks võib pidada sellist lahendust, kus “jutu pealtkuulamiseks” võtit kliendi ja serveri vahel mitte mingit moodi ei saadeta. Isegi mitte selleks, et omavahel “salakeel” kokku leppida. Selle jaoks on olemas lahendus, kus kellaaja ning unikaalse numbrite ja tähtede kombinatsiooniga(mis on varem Sinu telefoni sisestatud) genereeritakse Sinu mobiil ekraanile kood, mille sisestad veebirakendusse. Kuna kood sõltub kellaajast siis ka ühekordne pealt kuulamine ei anna tulemust (selliselt loodud ühendus võiks enne aeguda kui Sinu kood suudatakse välja nuhkida), lisaks on kõik krüpteeritud.

Sisuliselt võib sellist lahendust pidada sarnaseks kunagi kasutuses olnud PIN kalkulaatoriga – lihtsalt antud juhul on PIN kalkulaatori tarkvara Sinu telefonis.

Ärikriitilised andmed peaks olema väga hästi kaitstud. Kas Sa tead kuidas on Sinu andmed kaitstud?

Loe edasi: http://en.wikipedia.org/wiki/Man-in-the-middle_attack