Przejęte konto pocztowe daje dostęp do korespondencji, plików i kalendarza. To najczęstszy początek poważnego incydentu w firmie.
Drugi składnik logowania
Najskuteczniejsze pojedyncze zabezpieczenie. Samo hasło, choćby długie, nie chroni przed wyłudzeniem.
Mechanizm jest prosty: do zalogowania potrzebne jest coś, czego napastnik nie zdobędzie razem z hasłem. Wygodniej wdraża się to etapami, zaczynając od kont z najszerszym dostępem. Warto z góry ustalić, co robimy, gdy pracownik zgubi telefon, bo bez tego pierwsze takie zdarzenie kończy się wyłączeniem zabezpieczenia dla wszystkich.
Konta o wysokich uprawnieniach
Administratorzy jako pierwsi i bezwzględnie. Przejęcie takiego konta oznacza dostęp do wszystkiego.
Dobrą praktyką jest oddzielenie konta administracyjnego od zwykłego konta roboczego tej samej osoby. Codzienna poczta i przeglądanie stron odbywają się wtedy na koncie bez uprawnień. Warto też wiedzieć, ile kont administracyjnych w ogóle istnieje, co wychodzi przy przeglądzie uprawnień i udostępnień.
Wyłudzenia
Wiadomości podszywające się pod dostawcę albo pod przełożonego. Krótkie szkolenie na rzeczywistych przykładach działa lepiej niż regulamin.
Najkosztowniejszy wariant to wiadomość o zmianie numeru rachunku, przychodząca w trakcie prawdziwej wymiany korespondencji. Obroną nie jest czujność, tylko zasada: zmiana rachunku potwierdzana telefonicznie, na numer z umowy, a nie z wiadomości. Poprawne zabezpieczenia nadawcy w poczcie firmowej utrudniają podszywanie się pod domenę firmy.
Podejrzane logowania
Powiadomienia o logowaniu z nietypowego miejsca. Szybka reakcja ogranicza skutki.
Reakcja to zmiana hasła, wylogowanie wszystkich sesji i sprawdzenie, czy w skrzynce nie pojawiła się reguła przekazująca pocztę na zewnątrz. To ostatnie jest typowym śladem przejęcia konta i bywa niezauważane najdłużej. Warto też ustalić, kto w firmie dostaje takie powiadomienia.
Urządzenia
Poczta firmowa na prywatnym telefonie bez zabezpieczenia ekranu jest luką. Wymóg blokady jest minimum.
Sensowne minimum obejmuje blokadę ekranu, aktualny system i możliwość zdalnego usunięcia danych firmowych z urządzenia. Warto ustalić na piśmie, że firma może to zrobić, zanim zajdzie potrzeba. Osobno trzeba pomyśleć o komputerach współdzielonych, gdzie zalogowana sesja zostaje otwarta dla kolejnej osoby.
Odebranie dostępu
Natychmiast przy zakończeniu współpracy, wraz z wylogowaniem wszystkich sesji.
Samo zmienienie hasła nie kończy aktywnych sesji na telefonie ani w aplikacjach, które zapamiętały logowanie. Pełna kolejność kroków jest częścią procedury odejścia pracownika.
Czego to nie załatwia
Zabezpieczenia kont nie chronią przed błędem uprawnionego użytkownika. Osoba, która ma dostęp, może skasować dane albo wysłać je pod zły adres, a logowanie będzie w pełni poprawne. Dlatego zabezpieczenia idą w parze z kopią zapasową i z rozsądnym zakresem uprawnień, nie zamiast nich. Nie chronią też przed danymi wyniesionymi świadomie: baza kontrahentów skopiowana do arkusza i zabrana na prywatny dysk wygląda w rejestrach jak zwykła praca. Tu pomagają wyłącznie zawężone uprawnienia i umowa, a nie kolejne ustawienie w panelu.
