Cyberbezpieczeństwo dla startupów – dobre i złe rekomendacje

Opracowanie ogólnych rekomendacji dotyczących cyberbezpieczeństwa dla startupów nie jest łatwym zadaniem. Każda firma jest inna, ma odmienną strukturę oraz chroni różne zasoby. Co więcej, spotkałem się z artykułami zawierającymi bardzo złe porady, które mogą przynieść więcej szkody niż pożytku.

Dodatkowo wiele publikacji jedynie powierzchownie omawia temat cyberbezpieczeństwa w startupach, pozostawiając czytelników z lukami w wiedzy. Zmusza ich to do zatrudnienia specjalistycznej firmy lub wdrażania ogólnikowych koncepcji metodą prób i błędów, poszukując dalszych informacji w Internecie.

Właśnie dlatego postanowiłem stworzyć serię artykułów obejmujących praktyczne rekomendacje dotyczące cyberbezpieczeństwa dla startupów.

Praktyczne rekomendacje dotyczące bezpieczeństwa dla startupów z ograniczonym budżetem

Inspiracją do tej serii był artykuł napisany przez Alexa Chapmana, zatytułowany „Practical Security Recommendations for Start-ups with Limited Budgets”.

Alex jest specjalistą ds. bezpieczeństwa IT i jednocześnie założycielem startupu, co pozwala mu spojrzeć na cyberbezpieczeństwo z obu perspektyw. Jego rekomendacje są rzeczywiście praktyczne, w przeciwieństwie do wielu innych artykułów, dlatego gorąco zachęcam do zapoznania się z jego tekstem.

W tej serii spojrzymy na temat cyberbezpieczeństwa w startupach nieco inaczej i rozwiniemy zagadnienia poruszone w artykule Alexa.

Top 10 praktycznych rekomendacji dotyczących cyberbezpieczeństwa dla startupów – infografika

Aby ułatwić przyswojenie wiedzy, stworzyliśmy infografikę zawierającą 10 praktycznych rekomendacji dla startupów, które przedstawił Alex. Dzięki temu można w prosty sposób zwizualizować wszystkie rekomendacje i szybko zapamiętać te najważniejsze.

Sprytne podejście do rekomendacji w zakresie cyberbezpieczeństwa dla Twojego startupu

Zamiast od razu przechodzić do konkretnych zaleceń, chciałbym zacząć od innej perspektywy. W obszarze cyberbezpieczeństwa zawsze jest coś do poprawienia. Niezależnie od poziomu zabezpieczeń, nikt nie może zagwarantować, że jest całkowicie odporny na ataki. Wspominałem o tym w artykule dotyczącym raportów z testów penetracyjnych: „3 rzeczy, których nie znajdziesz w raporcie z testu penetracyjnego”.

Ponieważ żadne rozwiązanie nie zapewnia pełnej ochrony przed wszystkimi zagrożeniami, sensownym podejściem jest skupienie się na tych obszarach, które są dla Ciebie najważniejsze – a niekoniecznie dla innych.

Aby określić, które aspekty są kluczowe dla Twojego startupu, warto zadać sobie trzy pytania:

1. Jakie cenne zasoby posiada moja firma?
2. Jakie zagrożenia mogą naruszyć bezpieczeństwo tych zasobów?
3. Jaki będzie koszt, jeśli te zagrożenia się zmaterializują?

Czym są zasoby?

Pod pojęciem zasobów rozumiem wszystko, co ma wartość dla Twojego startupu, na przykład:

• Know-how firmy w postaci dokumentacji i procedur
• Wrażliwe dane firmowe przechowywane w dokumentach, e-mailach czy kodzie źródłowym
• Wrażliwe dane klientów, takie jak bazy danych, loginy, informacje osobowe i dokumenty finansowe
• Usługi wspierające działanie startupu, np. e-mail, przechowywanie dokumentów, systemy do zarządzania zadaniami, urządzenia sieciowe

Na drugie pytanie odpowiem w kolejnym rozdziale tego artykułu.

Natomiast odpowiedź na trzecie pytanie nie musi być precyzyjna na samym początku. Wystarczy oszacować czas i koszty, jakie będą potrzebne na poradzenie sobie z potencjalnym atakiem.

Najważniejsze jest spisanie wszystkich odpowiedzi i uporządkowanie ich według poziomu ważności. Dzięki temu będziesz mógł skutecznie zaplanować priorytety działań w zakresie cyberbezpieczeństwa.

Kto zagraża Twojemu startupowi?

Identyfikując zagrożenia, które mogą zaszkodzić Twojemu startupowi, można je podzielić na następujące kategorie:

• Grupy przestępcze – Zorganizowane grupy cyberprzestępcze, których główną motywacją są zyski finansowe. Zazwyczaj przeprowadzają masowe ataki na wiele organizacji przy użyciu tych samych technik, zamiast koncentrować się na jednej konkretnej firmie.
• Indywidualni cyberprzestępcy – Osoby działające samodzielnie, zwykle o mniejszych budżetach i umiejętnościach niż grupy przestępcze. Ich motywacja to zazwyczaj korzyści finansowe lub polityczne.
• Złośliwi insiderzy – Pracownicy lub byli pracownicy, którzy chcą uzyskać dodatkowe korzyści kosztem firmy, zaszkodzić organizacji z powodów osobistych lub prowadzić cybernetyczne działania wywiadowcze.
• Organizacje terrorystyczne – Grupy przestępcze dążące do osiągnięcia celów politycznych, destabilizacji gospodarki lub wyrządzenia fizycznych szkód obywatelom.
• Państwowe grupy cyberzagrożeń – Agencje rządowe dysponujące ogromnym wsparciem finansowym, zaawansowanymi zasobami technologicznymi i dodatkowymi środkami, skupiające się na precyzyjnie określonych celach. Zwykle atakują duże korporacje i organizacje o znaczeniu strategicznym, dążąc do uzyskania przewagi wywiadowczej lub kontrwywiadowczej nad zdefiniowanym „wrogiem”.

Powyższe zagrożenia uszeregowałem według ich znaczenia dla typowego startupu.

Nie oszukujmy się – niezależnie od tego, czy masz jednego, czy dwudziestu pracowników, nie będziesz w stanie skutecznie obronić się przed państwowymi grupami cyberzagrożeń dysponującymi miliardowymi budżetami i dostępem do infrastruktury telekomunikacyjnej lub kluczowych zasobów internetu. Nawet największe korporacje często ponoszą w tej walce porażki. Oczywiście można utrudnić atak takim podmiotom, ale jest to mało praktyczne, bo istnieje niewielkie prawdopodobieństwo, że Twój startup znajdzie się na ich celowniku.

Zdecydowanie częstszym zagrożeniem są cyberprzestępcze grupy atakujące szeroką grupę firm oraz indywidualni przestępcy szukający organizacji o słabszych zabezpieczeniach. Ochrona przed nimi wymaga znacznie mniej wysiłku i jest realna do wdrożenia.

Niestety, smutna prawda jest taka, że możesz stać się pośrednią ofiarą ataku państwowych grup cyberzagrożeń w tzw. atakach łańcucha dostaw. W tego typu atakach cyberprzestępca kompromituje organizację, której infrastruktura posłuży jako pośrednik do dalszych działań ofensywnych. Co gorsza, ataki łańcucha dostaw są stosowane nie tylko przez państwowych aktorów, ale również przez indywidualnych cyberprzestępców i zorganizowane grupy, które sprzedają dostęp do infrastruktury organizacji lub oferują konkretne usługi, takie jak rozproszone ataki odmowy usługi (DDoS), spam czy wykorzystywanie przejętych serwerów proxy na czarnym rynku.

Zespół Verizon w raporcie Data Breach Investigation Report 2020 podsumował to w następujący sposób:

„Jeśli zostawisz swoje zasoby dostępne z internetu w stanie tak niezabezpieczonym, że ich przejęcie można zautomatyzować, atakujący zamienią Twoją infrastrukturę w środowisko współdzielone przez wielu cyberprzestępców.”

Najczęstsze cyberataki

Skoro już wiesz, jakie grupy stanowią zagrożenie dla Twojego startupu, warto również poznać ich najczęściej stosowane metody ataku. Zespół Verizon co roku przygotowuje raport dotyczący naruszeń danych. W edycji z 2022 roku wyodrębniono osiem kategorii incydentów, które odzwierciedlają najpowszechniejsze ataki:

• Podstawowe ataki na aplikacje webowe – Ataki skierowane przeciwko aplikacjom internetowym, które po początkowym przełamaniu zabezpieczeń nie obejmują wielu dodatkowych działań. Schemat „wejdź, zdobądź dane i wyjdź”.
• Odmowa usługi (DoS/DDoS) – Ataki mające na celu zakłócenie dostępności sieci i systemów, obejmujące zarówno ataki na poziomie sieciowym, jak i aplikacyjnym.
• Zgubione i skradzione zasoby – Incydenty związane z utratą aktywów informacyjnych, niezależnie od tego, czy wynikały z zaniedbania, czy złośliwego działania.
• Różne błędy ludzkie – Incydenty, w których niezamierzone działania bezpośrednio naruszyły atrybuty bezpieczeństwa danych. Nie obejmują one utraty urządzeń, która klasyfikowana jest jako kradzież.
• Nadużycie uprawnień – Incydenty wynikające głównie z nieautoryzowanego lub złośliwego wykorzystania legalnych uprawnień.
• Inżynieria społeczna – Manipulacja psychologiczna prowadząca do skłonienia ofiary do podjęcia działań lub naruszenia poufności informacji.
• Włamanie do systemu (7013 incydentów) – Złożone ataki wykorzystujące malware i/lub techniki hakerskie do osiągnięcia celu, w tym wdrożenie oprogramowania ransomware.
• Pozostałe zagrożenia – Kategorie incydentów, które nie pasują do żadnego z powyższych wzorców. Jak ten pojemnik, w którym trzymasz wszystkie kable od elektroniki, której już nie masz – „na wszelki wypadek”.

Stosuj kluczowe rekomendacje dotyczące cyberbezpieczeństwa dla startupów

Masz już zdefiniowane swoje najcenniejsze zasoby. Wiesz, jakie zagrożenia istnieją i jakie techniki ataków stosują cyberprzestępcy. Oszacowałeś potencjalne straty w przypadku skutecznego ataku na każdy z Twoich zasobów. Znasz także podstawowe zalecenia dotyczące cyberbezpieczeństwa dla startupów.

Teraz czas połączyć te informacje, wybrać odpowiednie rekomendacje i ustalić ich priorytety. Aby ułatwić ten proces, przypisałem typowe ataki (kategorie incydentów z raportu Verizon) do rekomendacji, które mogą zminimalizować ryzyko ich skutecznego przeprowadzenia. Możesz także sprawdzić, jakie dane będą chronione po wdrożeniu konkretnego zabezpieczenia.

Warto zaznaczyć, że to przyporządkowanie ma charakter subiektywny i inni eksperci mogą dokonać go w nieco inny sposób.

Nazwa rekomendacji	Poziom techniczny	Wpływ	Kategorie incydentów	Liczba incydentów
Używaj menedżera haseł i uwierzytelniania dwuskładnikowego	Niski	Wysoki	Socjotechnika, Włamania do systemów, Podstawowe ataki na aplikacje webowe	14 013
Twórz oprogramowanie z wykorzystaniem nowoczesnych frameworków	Średni	Średni	Podstawowe ataki na aplikacje webowe, Włamania do systemów	11 764
Skonfiguruj usługę bezpieczeństwa brzegowego (Edge Security Service)	Niski/Średni	Średni	Ataki typu Denial of Service, Podstawowe ataki na aplikacje webowe	13 207
Włącz nagłówki bezpieczeństwa HTTP	Niski/Średni	Średni	Podstawowe ataki na aplikacje webowe	4751
Stosuj poprawki (łatki) bezpieczeństwa	Średni	Wysoki	Podstawowe ataki na aplikacje webowe	4751
Wykonuj kopie zapasowe danych użytkowników i kodu źródłowego	Średni	Średni	Utrata i kradzież zasobów, Podstawowe ataki na aplikacje webowe, Socjotechnika, Włamania do systemów	14 898
Centralizuj logowanie	Niski	Średni	Nadużycie uprawnień, Utrata i kradzież zasobów, Podstawowe ataki na aplikacje webowe, Socjotechnika, Włamania do systemów	15 173
Zatrudniaj etycznych hakerów	Niski	Wysoki	Błędy różnego rodzaju, Podstawowe ataki na aplikacje webowe, Włamania do systemów	12 479
Konteneryzuj usługi	Wysoki	Wysoki	Podstawowe ataki na aplikacje webowe, Włamania do systemów	11 764
Wdrażaj canary tokens	Niski	Wysoki	Utrata i kradzież zasobów, Socjotechnika, Podstawowe ataki na aplikacje webowe, Włamania do systemów	17 147

Cyberbezpieczeństwo dla startupów – lista kontrolna

Sama wiedza to za mało – nie przynosi żadnej wartości, jeśli nie idą za nią konkretne działania. Aby ułatwić Ci wdrażanie niezbędnych środków ochrony, przygotowaliśmy dokument zawierający listę kontrolną rekomendacji do zaimplementowania. Dzięki niej możesz śledzić, które elementy już wdrożyłeś, a które wciąż wymagają uwagi. W ten sposób nic nie umknie Twojej uwadze:

Ogólne rekomendacje dotyczące cyberbezpieczeństwa

Wszystko to może wydawać się skomplikowane i czasochłonne, ale podstawowa zasada jest prosta.

Zastanów się, co w Twoim startupie jest najcenniejsze – to Twój kluczowy zasób biznesowy. Teraz pomyśl, ile czasu, wysiłku i pieniędzy kosztowałoby Cię jego utracenie, kradzież lub uszkodzenie.

Gdy już to określisz, przeanalizuj potencjalne sposoby, w jakie cyberprzestępcy mogą się do niego dostać. Nazywamy je „wektorami ataku”. Następnie skoncentruj się na minimalizowaniu tych wektorów i ochronie najcenniejszych zasobów w pierwszej kolejności.

Choć ten proces jest bardziej wymagający niż proste „przeczytaj i zastosuj”, w dłuższej perspektywie pozwala zaoszczędzić czas i zasoby, skupiając się na najbardziej wartościowych aktywach i najbardziej prawdopodobnych wektorach ataku.

Dodatkowo, jeśli podejdziesz do tego metodycznie i odpowiednio udokumentujesz każdy krok, przyszłe zwiększanie poziomu cyberbezpieczeństwa w Twoim startupie stanie się łatwiejsze – będziesz mieć solidne podstawy. W miarę rozwoju firmy będziesz mógł dodawać nowe zasoby i dostosowywać priorytety ochrony.

Poza podstawowymi rekomendacjami

Wdrożenie powyższych zaleceń znacząco podnosi poziom bezpieczeństwa Twojego startupu. Najbardziej dojrzałe organizacje przeprowadzają dodatkową weryfikację wdrożonych mechanizmów zabezpieczeń.

Jeśli Twój startup traktuje cyberbezpieczeństwo priorytetowo i chcesz sprawdzić, czy wszystkie mechanizmy zostały poprawnie wdrożone, skontaktuj się z nami.

Pomagamy startupom zwiększać poziom cyberbezpieczeństwa poprzez testy penetracyjne, ocenę podatności, red teaming oraz inne specjalistyczne usługi z zakresu bezpieczeństwa IT.