- Karamihan sa mga cyberattack ay gumagamit ng mga pagkakamali ng tao: mahihinang password, phishing, at masasamang pang-araw-araw na gawain.
- Ang pag-update ng mga sistema, paggamit ng MFA, pag-segment ng mga network, at pagprotekta sa mga mobile device ay lubhang nakakabawas sa saklaw ng pag-atake.
- Malaking tulong ang matibay na backup at plano sa pagtugon sa insidente kapag may nangyaring mali.
- Pinagsasama ng epektibong cybersecurity ang teknolohiya, malinaw na mga proseso, at kultura ng patuloy na pagsasanay sa buong organisasyon.
Ang ating personal at propesyonal na buhay ay umunlad online, ngunit ang ating mga pamamaraan ng pagprotekta sa ating sarili ay hindi palaging nakakasabay . Habang nagpapadala tayo ng mga email, namamahala sa ating online banking, o nagbabahagi ng mga larawan sa social media, libu-libong bagong digital na banta ang lumilitaw araw-araw, na naghahanap ng anumang pagkukulang sa seguridad.
Taliwas sa paniniwala ng marami, karamihan sa mga insidente ng cybersecurity ay hindi dahil sa mga high-tech na pag-atake na parang pelikula, kundi dahil sa mga karaniwan at kadalasang maiiwasang mga error sa cybersecurity . Mula sa mahihinang password at mapanganib na pampublikong Wi-Fi network hanggang sa luma nang software at kakulangan ng mga backup , ang maliliit at pang-araw-araw na pagkakamali ay maaaring lumala at maging sa mga malubhang problema para sa mga indibidwal, maliliit na negosyo, o maging sa malalaking korporasyon.
Bakit napakamahal ng mga pagkakamali sa cybersecurity
Nakakagulat ang mga bilang: daan-daang libong bagong variant ng malware ang natutukoy araw-araw, at milyun-milyong ninakaw na kombinasyon ng username at password ang kumakalat sa dark web . Maraming paglabag sa seguridad ang sanhi ng isang empleyadong nag-click kung saan hindi dapat, muling ginamit ang parehong password kahit saan, o nagkonekta ng isang hindi secure na device.
Sa mundo ng negosyo, lalo na sa mga freelancer at SME, mayroon pa ring umiiral na paniniwala na "nangyayari lamang ito sa malalaking korporasyon," gayong sa katotohanan, halos kalahati ng lahat ng maliliit na negosyo ay nakaranas na ng cyberattack . At ang pinakamatinding estadistika: isang malaking bilang ng mga nakaranas ng malubhang insidente ang nagsara sa loob ng ilang buwan dahil sa epekto nito sa ekonomiya, legal, at reputasyon.
Bukod pa rito, ang mga regulasyon tulad ng GDPR, ang LOPDGDD, at ang National Security Framework ay nag-uutos ng matibay na proteksyon ng datos . Ang isang simpleng pagkakamali—halimbawa, ang pag-iwan ng database na naa-access sa cloud—ay maaaring magresulta sa mga multa na hanggang 4% ng taunang kita , pagkawala ng mga customer, at pinsala sa reputasyon na napakahirap makabawi.
Dahil sa lahat ng mga kadahilanang ito, ang cybersecurity ay hindi na maaaring ituring na isang luho o isang isyu lamang ng "IT". Dapat itong isama sa estratehiya ng negosyo, na nauunawaan na ang salik ng tao ay nananatiling pinakamahinang kawing, ngunit siya rin ang pinakamadaling palakasin sa pamamagitan ng patuloy na pagsasanay, malinaw na mga proseso, at angkop na mga kagamitan.
Mahihina at muling ginagamit na mga password: ang perpektong punto ng pagpasok
Isang klasikong pagkakamali sa cybersecurity ay ang paggamit ng napakadali o paulit-ulit na mga password sa lahat ng serbisyo . Ang mga kumbinasyon tulad ng "123456", "qwerty", o "password" ay patuloy na lumalabas taon-taon sa mga ranggo ng mga pinakaginagamit... at pinakaninakaw na password.
Sinasamantala ng mga umaatake ang dalawang bagay: sa isang banda, ang paggamit ng mga halatang password na maaaring ma-crack sa pamamagitan ng mga brute-force na pag-atake; sa kabilang banda, ang credential stuffing , na binubuo ng pagsubok sa mga leaked username/password set mula sa isang serbisyo sa dose-dosenang iba't ibang website, dahil alam nilang maraming tao ang gumagamit muli ng parehong password para sa email, social network, online banking, o mga corporate application.
Sa isang kumpanya, ang isang empleyadong gumagamit ng parehong password para sa kanilang personal na email, ERP system, at corporate VPN ay parang isang bombang malapit nang ma-crash. Kung isa lang sa mga platform na iyon ang ma-kompromiso, awtomatikong mako-kompromiso rin ang lahat ng iba pang access point. At kung ang account na iyon ay mayroon ding mataas na pribilehiyo, maaaring maging lubhang malubha ang epekto nito.
Ang solusyon ay nasa pagtanggap na ang memorya ng tao ay hindi laging maaasahan at umaasa sa mga tool at patakaran: mahahabang password (hindi bababa sa 12-14 na character), natatangi para sa bawat serbisyo, at pinamamahalaan gamit ang isang mahusay na password manager . Bukod pa rito, ang pagpapagana ng multi-factor authentication (MFA) para sa lahat ng kritikal na access point ay nagsisiguro na kahit na may magnakaw ng password, kakailanganin pa rin ang pangalawang salik (app, SMS, mga pisikal na key, biometrics, atbp.) para makapasok.
Mahinang pagpapatotoo at kawalan ng two-step verification
Kaugnay ng nabanggit, isa pang karaniwang pagkakamali ay ang hindi pagpapagana ng two-step verification kapag pinapayagan ito ng platform . Ang mga email account, social network, cloud service, at admin panel ay nag-aalok ng MFA sa loob ng maraming taon, ngunit maraming user ang hindi ito pinapansin dahil sa katamaran o takot na "mahirapan" ang proseso ng pag-login.
Ang totoo ay pinipigilan ng two-step verification ang karamihan sa mga awtomatikong pag-atake sa pinagmulan nito at ginagawang lubhang mahirap ang mga bagay para sa mga cybercriminal, kahit na sa mga naka-target na kampanya. Kinikilala maging ng mga pangunahing provider na hinaharangan ng MFA ang halos 100% ng mga pag-atake ng bot.
Sa mundo ng mobile, may katulad na nangyayari sa mga screen lock: mayroon pa ring mga taong hindi gumagamit ng mga PIN, pattern, password, o biometrics para protektahan ang kanilang mga smartphone. Ang isang naka-unlock na telepono ay madaling mabiktima ng sinumang makakahanap o magnanakaw nito, dahil nagbibigay ito ng direktang access sa email, mga social network, mga banking app, mga dokumento, at mga verification code.
Mahalaga ang pag-set up ng isang matibay na lock at pag-iwas sa mga halatang PIN (tulad ng 0000 o 1234). At kapag isinama sa fingerprint o facial recognition, makakamit mo ang perpektong balanse sa pagitan ng seguridad at kaginhawahan. Pinapayagan ka pa nga ng ilang platform na malayuang pamahalaan ang device at burahin ito kung ito ay mawala.
Kapag nag-click o nagbukas ang isang user ng malisyosong attachment, maaaring ibinibigay na nila ang kanilang mga kredensyal sa isang pekeng website, nagda-download ng malware, o nagpapahintulot sa isang attacker na kontrolin ang kanilang computer. Ang mga variant tulad ng spear phishing (pag-target sa mga partikular na indibidwal gamit ang totoong impormasyon tungkol sa kanila), smishing (sa pamamagitan ng SMS), o vishing (sa pamamagitan ng voice) ay lalong nagpapapaniwala sa mga scam.
Sa mga social media at messaging app, sinasamantala rin ng mga cybercriminal ang mga pinaikling link at mga "hindi pangkaraniwang" musika, pelikula, o mga site para sa pag-download ng larawan . Dahil hindi nakikita ang tunay na URL, mas madaling itago ang isang malisyosong pahina na nag-i-install ng spyware, Trojan, o kahit ransomware sa sandaling ito ay mabisita.
Pinagsasama ng depensa rito ang teknolohiya at edukasyon: mga spam filter, awtomatikong pagsusuri ng mga link at attachment, ngunit higit sa lahat, ang patuloy na pagsasanay para sa mga empleyado at user upang matutunan kung paano matukoy ang mga pulang palatandaan (maling spelling, hindi pangkaraniwang mga domain, mga agarang kahilingan para sa data, mga pagbabago sa bank account nang walang beripikasyon, atbp.). Ang mga regular na phishing simulation ay lubos na mabisa para sa pagsukat ng antas ng pagkakalantad at pagpapabuti ng mga gawi.
Lumang software, nakabinbing mga patch, at hindi pinagana ang UAC
Isa pang karaniwang pagkakamali ay ang walang katapusang pagpapaliban sa mga pag-update ng operating system at application . Ang mga notification na "may bagong patch na available" na minamarkahan ng napakaraming tao bilang "ipaalala sa akin mamaya" ay kadalasang may kasamang mga pag-aayos para sa mga kilalang kahinaan sa seguridad, na marami sa mga ito ay aktibong sinasamantala ng mga umaatake.
Kinukonsulta ng mga cybercriminal ang parehong mga database ng kahinaan gaya ng mga system administrator at developer. Sa sandaling maglabas ang isang tagagawa ng bulletin at patch para sa isang kritikal na isyu, magsisimula ang malawakang pag-scan, na naghahanap ng mga system na hindi pa na-update . Kung ipagpapaliban ng isang kumpanya ang pag-install ng mga patch na ito nang ilang linggo o buwan, mag-iiwan ito ng malawak na daan patungo sa network nito.
Dagdag pa rito ang masamang gawain ng pag-disable ng mga kontrol tulad ng User Account Control (UAC) sa Windows , dahil nakakainis na may mga window na nagpo-pop up na humihingi ng pahintulot na gumawa ng mga pagbabago. Ang mekanismong ito mismo ang nag-aalerto sa iyo kapag may sumusubok na baguhin ang mga kritikal na setting o mag-install ng software nang walang pahintulot. Kung ito ay naka-off, mas madali para sa malware na ma-disable.
Ang makatwirang solusyon ay ang pagkakaroon ng malinaw na patakaran sa pamamahala ng patch: imbentaryo ng asset, awtomatikong pag-update hangga't maaari, pagsubok sa mga pre-production na kapaligiran para sa mga sensitibong patch, at pangunahing prayoridad para sa anumang bagay na nakakaapekto sa seguridad . Sa mga katamtaman at malalaking kumpanya, ang isang sentralisadong plataporma para sa pag-deploy ng mga update at pagsubaybay sa kanilang katayuan ay halos mahalaga.
Kinukonsulta ng mga cybercriminal ang parehong mga database ng kahinaan gaya ng mga system administrator at developer. Sa sandaling maglabas ang isang tagagawa ng bulletin at patch para sa isang seryosong isyu, magsisimula ang mga pag-scan para sa mga system na hindi pa na-update.
Malware, mga kahina-hinalang download, at mga hindi ligtas na external device
Ang malware ay hindi na lamang isang tipikal na virus na nagpapabagal sa iyong computer. Ngayon ay pag-uusapan natin ang ransomware na nag-e-encrypt sa lahat ng iyong mga file at humihingi ng ransom , mga Trojan na nagkukunwaring lehitimong programa, mga RAT na nagpapahintulot sa remote control ng iyong computer, spyware na nagnanakaw ng mga kredensyal at data ng pagbabangko, at maging ang cryptojacking malware na nagmimina ng cryptocurrency sa pamamagitan ng pagsasamantala sa processing power ng iyong makina.
Isa sa mga pasukan ng malware ay sa pamamagitan ng mga hindi hinihinging pag-download ng "libreng" software o software mula sa mga kahina-hinalang mapagkukunan . Ang mga klasikong pop-up na nagbababala na ang iyong computer ay nahawaan at nag-uudyok sa iyo na mag-install ng isang diumano'y mahimalang antivirus ay malawakang ginagamit pa rin. Sa katotohanan, ang "antivirus" na ito ay ang malware mismo, na maaari pang mag-disable ng mga lehitimong solusyon sa seguridad.
Ang isa pang pinagmumulan ng panganib ay ang mga external storage device: mga USB drive, portable hard drive, o mga hindi kilalang memory card na matatagpuan ng isang tao sa opisina o sa isang kaganapan at ikinokonekta sa kanilang computer dahil sa kuryosidad. Ang isang drive na "nakalimutan" sa tamang lugar ay maaaring makahawa sa isang buong network kung naglalaman ito ng malware na may kakayahang kumalat.
Sa mga kapaligirang pangkorporasyon, dapat maging malinaw ang patakaran: kung hindi ito isang aparatong pangkorporasyon o tahasang awtorisado, hindi ito dapat ikonekta. Bukod pa rito, lahat ng panlabas na media ay dapat i-scan gamit ang napapanahong antivirus software bago i-access ang mga nilalaman nito, at ang paggamit ng USB ay dapat limitahan sa mga kritikal na makina.
Pampublikong Wi-Fi, mga network na hindi maayos ang pagkakaayos, at digital na paniniktik
Dahil sa pag-usbong ng remote work at paglalakbay, maraming tao ang kumokonekta sa internet mula sa mga cafe, paliparan, o hotel gamit ang mga open network. Ang problema ay ang pampublikong Wi-Fi ay kadalasang hindi ligtas: ang trapiko ay madaling maharang o manipulahin nang walang karagdagang encryption.
Ang mas malala pa rito, ang mga umaatake mismo ang lumilikha ng mga decoy access point na may mga nakakaakit na pangalan (“Libreng Wi-Fi”, “Customer_Cafeteria”, atbp.). Kapag kumokonekta ang isang user, lahat ng kanilang trapiko ay dumadaan sa computer ng cybercriminal, na maaaring magnakaw ng mga kredensyal, magpasok ng malisyosong code, o mag-redirect sa kanila sa mga pekeng website nang hindi napapansin ng biktima.
Sa mga kumpanya, karaniwan din na makahanap ng mga internal network na hindi maayos ang pagkaka-segment, mga router na may mga default na password, mga hindi kinakailangang bukas na port, at mga firewall na hindi maayos ang pagkaka-configure . Anumang ganitong error ay nagpapadali sa paggalaw sa loob ng network kapag ang isang attacker ay nakakuha ng paunang entry point.
Kabilang sa mga pinakamahusay na kagawian ang pag-disable sa paggamit ng pampublikong Wi-Fi para sa mga sensitibong gawain o, kung kinakailangan, palaging kumonekta sa pamamagitan ng isang maaasahang VPN na nag-e-encrypt ng lahat ng trapiko. Sa antas ng korporasyon, mahalagang gumamit ng mga modernong protocol (tulad ng WPA3 na may 802.1X authentication), ganap na paghiwalayin ang guest network mula sa internal network, subaybayan ang mga hindi awtorisadong access point, at regular na suriin ang configuration ng lahat ng device sa network.
Hindi ligtas na paggamit ng cloud at mahinang pamamahala ng access
Lubos na pinasimple ng cloud ang pagbabahagi ng file at kolaboratibong gawain, ngunit nagdulot ito ng mga bagong karaniwang pagkakamali: ang pag-iimbak ng sensitibong data sa mga serbisyo ng cloud nang walang sapat na pag-encrypt, pagbabahagi ng mga pampublikong link nang walang kontrol, o hindi pagsuri kung sino ang may pahintulot na magbasa o sumulat ay mga karaniwang pagkakamali.
Maraming data breach ang nangyayari dahil may nag-iwan ng bucket, folder, o cloud database na nakalantad, walang password, o may mga default na credential. Sa ibang mga kaso, ang isang empleyadong wala na sa kumpanya ay mayroon pa ring access sa mga repository o administrative panel dahil sa kawalan ng mga proseso ng pag-deactivate ng user.
Samantala, ang pamamahala ng mga panloob na pahintulot ay kadalasang nakaliligtaan. Mga user na may mga pribilehiyong administratibo na hindi nila kailangan, mga account ng serbisyo na may ganap na access, mga tungkuling naiipon sa paglipas ng panahon… lahat ng ito ay lumalabag sa prinsipyo ng least privilege, na nagsasaad na ang bawat tao ay dapat lamang magkaroon ng access sa kung ano ang kailangan nila para sa kanilang trabaho.
Ang isang modernong pamamaraan ay kinabibilangan ng pagpapatupad ng mga solusyon sa Identity and Access Management (IAM) at mga modelo ng Zero Trust , kung saan walang access na ipinagwawalang-bahala at ang lahat ay patuloy na bineberipika (sino ang user, mula sa anong device at lokasyon, ano ang gusto nilang i-access, atbp.). Bukod pa rito, dapat isagawa ang mga pana-panahong pagsusuri ng pahintulot, dapat i-automate ang mga proseso ng onboarding at offboarding ng empleyado, at dapat i-audit ang access sa mga mahahalagang mapagkukunan.
Mga hindi protektadong mobile device at hindi kontroladong BYOD
Ang mga smartphone at tablet ay naging mahahalagang kagamitan sa trabaho, ngunit maraming kumpanya pa rin ang kulang sa malinaw na patakaran sa paggamit ng mga personal na device (BYOD) upang ma-access ang mga mapagkukunan ng korporasyon . Ang isang mobile device na may mga hindi na-verify na app, walang encryption, walang lock screen, o patuloy na nakakonekta sa mga hindi secure na network ay isang pangunahing entry point para sa mga umaatake.
Ang mobile malware ay maaaring magnakaw ng mga kredensyal, maniktik sa mga komunikasyon, maharang ang mga mensaheng SMS na may pag-verify , o kahit na mag-tunnel papasok sa internal network ng isang kumpanya. At dahil ang personal at corporate data ay magkakahalo sa mga device na ito, ang anumang insidente ay nagiging legal at kumplikado sa operasyon.
Para mabawasan ang mga panganib, ipinapayong magtakda ng patakaran ng BYOD na nagtatatag ng mga minimum na kinakailangan: mandatoryong pag-encrypt, pinagana ang antivirus o native na proteksyon, lock ng screen, mga updated na bersyon ng system, at pagbabawal sa mga app mula sa mga kahina-hinalang mapagkukunan . Ang pagdaragdag nito ng solusyon sa pamamahala ng mobile device (MDM) ay nagbibigay-daan para sa sentralisadong pagpapatupad ng patakaran, paghihiwalay ng mga lalagyan ng personal at kumpanya, at malayuang pagbura ng impormasyon ng korporasyon kung ang device ay nawala o nanakaw.
Mga nakalantad na webcam at kawalan ng pisikal na privacy
Isang hindi gaanong napag-uusapan ngunit napakaseryosong aspeto ay ang pagkakalantad ng mga webcam at mikropono . Ang ilang uri ng malware ay may kasamang mga function na malayuang pag-access na nagpapahintulot sa umaatake na i-on ang camera nang hindi napapansin ng gumagamit, mag-record ng video o audio, at maniktik sa mga pag-uusap, dokumento, o gawi.
Sa maraming laptop, ang tanging indikasyon ay isang maliit na ilaw na umiilaw, ngunit may mga pag-atake na maaaring manipulahin maging ang mga indikasyong ito. Ang paglalagay ng sticker sa ibabaw ng camera ay nakakatulong sa visual na aspeto, ngunit kailangan mong malaman kung paano i-disable ang mga input device o pamahalaan ang mga ito mula sa operating system.
Sa mga sensitibong kapaligiran (mga opisina ng ehekutibo, mga silid kung saan pinangangasiwaan ang kumpidensyal na impormasyon, mga lugar ng R&D), ipinapayong limitahan ang paggamit ng mga kamera at mikropono o gumamit ng kagamitan nang walang mga pinagsamang tampok na ito , na umaasa lamang sa mga panlabas na aparato na kumokonekta kung talagang kinakailangan. Ang pagtatatag ng malinaw na mga patakaran ng korporasyon sa bagay na ito ay nakakabawas sa parehong teknikal na panganib at takot ng mga empleyado na masubaybayan nang hindi nila nalalaman.
Hindi sapat na mga backup at kawalan ng plano sa pagtugon
Isa sa mga pinakamasakit na pagkakamali ay ang pagtuklas, pagkatapos maganap ang isang insidente, na ang mga backup ay wala, hindi kumpleto, o hindi maibabalik . Halimbawa, ang Ransomware ay gumaganap nang eksakto dito: ine-encrypt nito ang lahat ng file, at kung walang maaasahang backup, natutukso ang kumpanya na magbayad ng ransom nang walang tunay na garantiya ng pagbawi.
Para maiwasan ito, mahalagang ilapat ang 3-2-1 rule: magpanatili ng kahit tatlong kopya ng iyong data, sa dalawang magkaibang media, kung saan ang isa sa mga ito ay nakaimbak sa labas ng site (halimbawa, sa cloud o ibang data center). Ang mga backup ay dapat na awtomatikong at madalas na isagawa, naka-encrypt upang protektahan ang pagiging kumpidensyal, at regular na subukan sa pamamagitan ng mga kunwaring pagpapanumbalik.
Pantay na mahalaga ang pagkakaroon ng isang mahusay na natukoy na plano ng pagtugon sa insidente . Kapag may natukoy na paglabag, napakahalaga ng oras: mahalagang malaman kung sino ang magtatasa ng saklaw, kung sino ang magpapasya sa mga teknikal na aksyon (paghihiwalay ng kagamitan, paghihigpit sa pag-access, pag-activate ng mga backup), kung sino ang responsable sa komunikasyon sa mga kliyente, media, at awtoridad, at kung paano dokumentado ang lahat upang sumunod sa mga legal na obligasyon at matuto mula sa insidente.
Ang mga pinaka-mature na organisasyon ay nagsasagawa ng mga regular na simulation ng iba't ibang senaryo (ransomware, paglabag sa data, mga kritikal na pagkawala ng serbisyo, atbp.) upang subukan ang plano, ayusin ang mga pamamaraan, at tiyakin na, pagdating ng oras, walang sinuman ang kailangang mag-improvise sa ilalim ng pressure.
Hindi sapat na pagsasanay, mahinang kultura, at mga maling akala tungkol sa cybersecurity
Sa karamihan ng mga insidente, ang sanhi ay pagkakamali ng tao: isang pag-click, isang pag-download, isang maling pag-configure, isang padalus-dalos na desisyon. Sa kabila nito, sa maraming kumpanya, ang pagsasanay sa cybersecurity ay limitado sa isang paunang presentasyon o isang dokumento na halos walang nagbabasa . Ang resulta ay hindi alam ng mga empleyado kung paano magre-react at hindi nila nararamdaman na bahagi sila ng depensa.
Bukod pa rito, laganap ang mga mapanganib na maling akala: paniniwalang makakamit ang "100% seguridad", iniisip na "kung bibili ako ng pinakamahusay na mga kagamitan, protektado na ako" o pagtatalaga ng buong isyu sa departamento ng IT na parang walang anumang responsibilidad ang iba pang bahagi ng organisasyon.
Ang isang epektibong estratehiya ay nagsisimula sa pag-unawa na imposible ang ganap na seguridad at ang cybersecurity ay higit na isang saloobin at isang patuloy na proseso kaysa isang produkto . Nangangailangan ito ng pagsasama-sama ng pag-iwas (pagbawas ng mga kahinaan), pagtuklas (mabilis na pagtukoy ng mga hindi pangkaraniwang pag-uugali), at reaksyon (epektibong pagtugon sa mga insidente), pagkatuto mula sa bawat kaso upang mapabuti ang mga patakaran at kontrol.
Ang mga pinakakaraniwang error sa cybersecurity—mahinang password, kawalan ng MFA, phishing, luma nang software, mga hindi secure na network, maling pagkaka-configure ng mga cloud, mga hindi protektadong mobile device, mga napabayaang backup, at kakulangan ng kahandaan sa insidente—ay may pagkakatulad: maaari itong itama sa pamamagitan ng medyo simpleng mga desisyon kung ang seguridad ay itinuturing na mahalagang bahagi ng pang-araw-araw na operasyon ng organisasyon. Ang pamumuhunan sa malinaw na mga patakaran, mahusay na naipatupad na teknolohiya, at, higit sa lahat, ang mga tauhan na may kaalaman at dedikasyon ang siyang pinaka-makatwirang paraan upang mabawasan ang mga panganib at mag-navigate nang may kumpiyansa sa isang lalong nagiging agresibong digital na kapaligiran.
