Chmura w Polsce jest przeważnie rozważana przy wdrażaniu nowych systemów i środowisk, jednak nadal są one w większości lokowane we własnej infrastrukturze. Rynek takich rozwiązań jak Microsoft 365 napotyka wciąż bariery regulacyjne oraz związane z obawami firm przed zmianą. Poziom akceptacji dla usług w chmurze stale się jednak zwiększa, ale głównie w mniejszych firmach, a nie w sektorze publicznym czy przy projektach finansowanych ze środków unijnych.

Mniejsi przedsiębiorcy szukają przede wszystkim gotowych rozwiązań Software as a Service (SaaS),ponieważ nie mają możliwości tworzenia własnych na bazie Infrastructure as a Service lub Platform as a Service (IaaS/PaaS). Większe firmy oraz ci, którzy potrzebują unikalnego podejścia, chętniej korzystają z PaaS i IaaS do budowania własnych rozwiązań. W Polsce najbardziej popularne i zaawansowane na rynku są usługi Backup as a Service i Disaster Recovery as a Service (BaaS/DRaaS), powszechnie oferowane zarówno przez globalnych, jak i lokalnych dostawców.

Źródło: Veeam Cloud Protection Trends Report for 2023 (https://vee.am/CPT23)

Artykuł Zabezpieczanie danych w usługach chmurowych pochodzi z serwisu CRN.

Brother od wielu lat podkreśla, że przy obecnym wysokim poziomie ilości przetwarzanych i drukowanych danych, firmy kategorycznie powinny minimalizować ryzyko ich wycieku. Tym bardziej, że aby zapewnić bezpieczne środowisko druku – zarówno w biurze, jak też podczas pracy zdalnej – wystarczy przeprowadzić właściwą konfigurację urządzeń sieciowych. Jest to szczególnie ważne, gdyż aż 11 proc. wszystkich incydentów związanych z ochroną danych dotyczyło drukarek, a 59 proc. przedsiębiorstw doświadczyło przynajmniej jednej sytuacji, w której firma utraciła dane przez brak zabezpieczenia urządzenia drukującego („Glo-bal Print Security Landscape”, Quocirca, 2019).

Tak duża skala problemów powoduje, że przedsiębiorstwa powinny rozważać wdrażanie profesjonalnych urządzeń, które zapewniają wiele funkcji ochronnych. Używają szyfrowania SSL do ochrony komunikacji w sieci IP oraz umożliwiają drukowanie jedynie po uwierzytelnieniu za pomocą kodu PIN lub karty identyfikacyjnej w celu uzyskania pewności, że treść dokumentów jest widoczna tylko dla uprawnionych użytkowników.

Większość urządzeń Brother wyposażonych jest w rozwiązanie Secure Function Lock, które daje pełną kontrolę nad tym, kto może drukować, faksować, skanować i kopiować. Funkcja ta umożliwia również nakładanie na poszczególnych użytkowników miesięcznych limitów wydrukowanych stron, a także możliwości druku w kolorze, co pozwala kontrolować koszty. Materiał skanowany na urządzeniu wielofunkcyjnym można z kolei zabezpieczyć hasłem lub poprzez wykorzystanie protokołu szyfrującego SSL. Niektóre urządzenia Brother mają też funkcję integracji ze środowiskiem Active Directory lub zastosowania protokołu LDAP w celu uwierzytelnienia użytkownika.

Dla użytkowników Secure Function Lock w urządzeniach biznesowych dostępne jest także opcjonalne rozszerzenie Secure Print+. Umożliwia ono odbieranie wydruków przez uprawnioną osobę dopiero po przyłożeniu karty (flagowe modele mają wbudowany czytnik) lub wpisaniu kodu PIN na panelu drukarki. Rozwiązanie to działa z systemami Windows i macOS, możliwa jest też jego integracja z Active Directory. Do pracy zaś nie jest wymagany dodatkowy serwer, oprogramowanie lub podłączenie do chmury.

Zapraszamy do lektury pełnej wersji opracowanego przez Brother raportu „The print security blind spot”. Jego autorzy prezentują informacje o ryzyku, na które wystawiają firmową infrastrukturę administratorzy, którzy nie przykładają szczególnej wagi do zabezpieczania urządzeń drukujących i skanujących.

Dodatkowe informacje: www.brother.pl, biuro@brother.pl

Artykuł Drukarki: niedoceniany aspekt bezpieczeństwa pochodzi z serwisu CRN.

Pierwszym krokiem do przechowywania danych kart w bezpieczniejszym miejscu jest przeniesienie wrażliwych danych do wewnątrz (nr 2 na grafice). Dlatego użytkownik powinien przechowywać klucze DESFire (klucze kart) w kontrolerze drzwi wewnątrz budynku, a nie w czytniku kart zamontowanym na zewnątrz budynku (nr 1 na grafice obok). Oznacza to, że czytniki nie będą odgrywać żadnej roli w odszyfrowywaniu danych, a więc staną się „transparentne”. Dzięki temu dekodowanie i bezpieczna komunikacja pomiędzy czytnikiem kart a kontrolerem drzwi odbywa się po bezpiecznej stronie drzwi.

Kolejny krok to przeniesienie danych na bezpieczną stronę drzwi i przechowywanie w bezpiecznym miejscu (nr 3 na grafice). W tym celu AEOS wykorzystuje moduł SAM (Secure Access Module). Jest to karta SIM, na której dane mogą być przechowywane i nie mogą być pobrane. Klucze DESFire są przechowywane w module SAM w kontrolerze drzwi wewnątrz budynku. Klucze kart są również dekodowane w SAM, co dodatkowo zmniejsza ryzyko i zapewnia jeszcze bezpieczniejszą opcję niż krok pierwszy.

Po zabezpieczeniu komunikacji między czytnikiem a kontrolerem zobaczmy, jak komunikuje się kontroler. Protokół 802.1x to standardowy sposób uwierzytelniania urządzeń próbujących podłączyć się do sieci. W przypadku zastosowania tego standardu połączenie sieciowe jest możliwe tylko wtedy, gdy protokół ufa relacji (opartej na certyfikatach cyfrowych) między urządzeniem (kontrolerem Nedap) a serwerem uwierzytelniającym. Czyli tylko zaufane urządzenia z odpowiednimi certyfikatami cyfrowymi – w tym przypadku kontrolery drzwi – mogą połączyć się z zabezpieczoną siecią. Sprzęt, który nie ma odpowiedniego certyfikatu cyfrowego, nie może się połączyć.

Tryb bezpieczny jest domyślnie dostępny w systemie AEOS i można go aktywować za pomocą oprogramowania. W tym trybie komunikacja pomiędzy serwerem AEOS a kontrolerem jest szyfrowana za pomocą protokołu TLS. Komunikacja może być szyfrowana tylko z wykorzystaniem domyślnego certyfikatu dostarczonego przez Nedap. Nie można tego zastąpić zmanipulowanymi wersjami. Uniemożliwia to również podłączenie obcych urządzeń do sieci lub wysyłanie poleceń do kontrolerów drzwi. Komunikacja pomiędzy poszczególnymi ogniwami systemu jest zabezpieczona i zaszyfrowana po bezpiecznej stronie drzwi.

AEOS End-to-end (nr 4 na grafice) wykracza poza bezpieczną komunikację między czytnikiem kart a kontrolerem drzwi. Można zabezpieczyć cały proces kontroli dostępu: od identyfikatora przez czytnik aż po kontroler drzwi i serwer centralny. Po zastosowaniu mocnego uwierzytelnienia do kontrolerów drzwi nie można ich zastąpić zmanipulowanymi wersjami. Nie można też podłączyć obcych urządzeń do sieci lub wysyłać poleceń do kontrolerów drzwi. Komunikacja pomiędzy poszczególnymi ogniwami systemu jest chroniona i zaszyfrowana po bezpiecznej stronie drzwi.

Anna Twardowska  

Regional Sales Manager na Europę Wschodnią, Nedap Security Management

 

  

Artykuł Nedap: cyberbezpieczeństwo w systemach fizycznej kontroli dostępu pochodzi z serwisu CRN.

– Nie było czegoś takiego jak w ubiegłych latach, że jeśli projekty były przesuwane w czasie, to tylko na 1-2 kwartały – podkreśla Paweł Rybczyk, Senior Territory Sales Manager CEE&CIS w Wallix.

Teraz powinno być już lepiej

Są jednak optymistyczne przesłanki, by twierdzić, że czas sprzedaży oprogramowania do zabezpieczania dostępu dopiero się zaczyna. Wcześniej budżety musiały zostać przeznaczone na sprzęt, więc zeszłoroczne inwestycje na IT dotyczyły zakupów laptopów, serwerów, rozwiązań do wideokonferencji itp. W tym roku są już pierwsze oznaki innego podejścia. Klienci, dysponując niezbędną infrastrukturą sprzętową i połączeniami VPN, chcą teraz lepiej nadzorować to, co się dzieje w ich środowisku IT.

Na decyzje o zakupie lepszej ochrony bez wątpienia wpływać będzie nagłaśnianie poważnych incydentów bezpieczeństwa w Polsce, takich jak ataki na Małopolski Urząd Marszałkowski czy CD Projekt. Coraz częściej dochodzi do nich w naszym kraju, a pytani przez CRN Polska integratorzy twierdzą, że powoływanie się na te i podobne przykłady bardzo pomaga w rozmowach.

– Ponieważ teraz stały się zdalnymi nawet te zewnętrzne usługi, które wcześniej były realizowane na miejscu w firmie, to klienci chcą mieć lepszy wgląd w zasady takiego dostępu – twierdzi Paweł Rybczyk. – I niekoniecznie kontrolowani muszą być użytkownicy z uprawnieniami superadmina. Firmy chcą wiedzieć, kto i kiedy się łączy, a dodatkowo rejestrować, co robi. Za tym idzie integracja rozwiązań IAM/PAM z uwierzytelnianiem dwuskładnikowym.

Większe zainteresowanie zarządzaniem dostępem przejawia też przemysł, bowiem w zakładach produkcyjnych część czynności, w tym związanych z utrzymaniem czy serwisem urządzeń, zaczęła być wykonywana zdalnie. Wobec konieczności rygorystycznej kontroli dostępu wymagane są profesjonalne zabezpieczenia.

Hasła prędko nie odejdą

Przeszło dwa lata temu Gartner przewidywał, że do 2022 r. 60 proc. korporacji i globalnie działających przedsiębiorstw oraz 90 proc. średnich przedsiębiorstw wdroży metody bezhasłowe w ponad 50 proc. zastosowań, co miało być ogromnym wzrostem w porównaniu z 5 proc. w 2018 r. Na początku 2021 można mieć jednak wątpliwości, czy już za rok hasła znajdą się w odwrocie. Rzeczywiście, postęp techniczny w biometrii i rozwój standardów takich jak FIDO2 sprawiają, że trend „passwordless” przybiera na sile. Powstają ciekawe rozwiązania bazujące na biometrii behawioralnej, która jest połączeniem biometrii i analizy behawioralnej UBA (User Behavior Analytics), czyli uczenia maszynowego – rejestrującego standardowe zachowania użytkownika i alarmującego, gdy odbiegają one od normy. Przykładem może być rozwijana przez polski startup usługa Digital Fingerprints.

Pytani przez CRN Polska dostawcy i integratorzy nie zauważają jednak, by klienci gremialnie rezygnowali z haseł. Zwracają przy tym uwagę, że samo hasło nie powinno być jednak podstawą udzielenia dostępu do systemów newralgicznych. Reguły polityki związane z hasłami zmieniają się, ale pewne przyzwyczajenia użytkowników zostają. Gdy korzysta się z prostych haseł, trzeba być świadomym, że jest wiele metod, które mogą być wykorzystane przez napastników do ich złamania. Kolejnym zagrożeniem jest wykorzystywanie tych samych haseł przez użytkowników w wielu serwisach.

Dlatego bardzo wzrosło zainteresowanie rozwiązaniami MFA (uwierzytelniania wieloskładnikowego, najczęściej 2FA) w najróżniejszej formie. Jednakże z jakichkolwiek systemów klienci by nie korzystali, jeżeli nie będą za tym stały odpowiednie reguły polityki bezpieczeństwa, ich egzekwowanie i monitoring, na nic całe przedsięwzięcie.

– Warto pamiętać o zasadzie „least privilege”, czyli nieudzielania użytkownikom większego dostępu niż potrzebują do wykonania danego zadania – mówi Michał Porada, Business Development Manager Cisco Security w Ingram Micro. – Im mniej dostępu, szczególnie do zasobów newralgicznych, tym administratorzy lepiej śpią. Uprawnienia powinny być okresowo sprawdzane, ponieważ w firmach role pracowników często mogą się zmieniać, zaś treść dokumentu polityki bezpieczeństwa należy weryfikować. Uwierzytelnianie się za pomocą 2FA powinno być stosowane wszędzie, gdzie to możliwe.

Według Pawła Zwierzyńskiego, inżyniera sieciowego w Vernity, istotne jest, by użytkownicy posiadali uprawnienia do systemów zgodnie z funkcją biznesową jaką sprawują w firmie. Bardzo często są one jednak zbyt duże – zarówno w warstwie sieciowej, jak i systemowej.

– Nawet jeśli na początku zasady dostępu odpowiadają pełnionym funkcjom biznesowym, to po pewnym czasie ich spójność nie zostaje zachowana, czy to przez błędy administratorów, czy przez umyślne dawanie większych uprawnień dla „świętego spokoju”. Dlatego tak ważne jest ich cykliczne rewidowanie – mówi przedstawiciel poznańskiego integratora.

Michał Porada sugeruje, by zadawać klientowi wiele pytań o rzeczy, które mają bezpośredni wpływ na bezpieczeństwo w jego firmie. Przykładowo: co się stanie po podłączeniu małego routera Wi-Fi do gniazdka LAN w ścianie obok drukarki? Czy zapewniony jest wgląd w aktywność pracowników? Z jakich aplikacji oni korzystają i w jakim stanie są stacje końcowe? Czy pracownik nie próbuje logować się do konkretnych systemów wewnętrznych z wykorzystaniem nieautoryzowanego urządzenia?

Czym jest Zero Trust?

Skrajnym ograniczeniem i pełną kontrolą dostępu, a ostatnio bardzo nośnym marketingowo hasłem, jest koncepcja Zero Trust, powstała już wiele lat temu. U jej podstaw leży konieczność weryfikowania wszelkich prób połączenia z systemem przed udzieleniem dostępu do niego. Zasadą jest brak zaufania do wszystkich i wszystkiego, nawet jeśli to coś podłączone jest już do sieci lokalnej.

– Model ten nie jest możliwy do wdrożenia za pomocą jednego „magicznego pudełka”, bo tak naprawdę pociąga za sobą wiele elementów funkcjonujących w infrastrukturze oraz dotyczy całkowitej zmiany podejścia w dostępie do danych i zasobów, a także reguł polityki z tym związanych – mówi Michał Porada. – W rezultacie mocno dotyka użytkowników końcowych i chociaż dużo się mówi o Zero Trust, to pełne wdrożenie nie jest w tym przypadku procesem ani szybkim i tanim, ani bezbolesnym.

Choć na rynku zaczęły się pojawiać kompletne oferty promowane pod szyldem Zero Trust, to jednak wielu specjalistów uważa, że nie są to tak naprawdę produkty gotowe do wdrożenia i użycia. Szyte na miarę podejście Zero Trust wymaga zwykle użycia różnych produktów, co powinno wynikać ze specyfiki konkretnego klienta. Wdrożenie trzeba poprzedzić weryfikacją wszystkich zasobów w infrastrukturze klienta oraz każdego dostępu i dopiero na tej podstawie wprowadzać ograniczenia. Problem polega na tym, że potrzebnej do tego wiedzy w przedsiębiorstwach brakuje. O ile strategiczne podejście wykazują jeszcze duże firmy, o tyle mniejsze nie mają wystarczającego know-how.

Dopiero, gdy posiada się konsekwentnie realizowaną strategię bezpieczeństwa, można wdrażać różne produkty, które pomogą w realizacji modelu Zero Trust. Dlatego integrator oferujący taki produkt powinien klientowi pomóc w stworzeniu strategii, która będzie wystarczająca nie na miesiąc lub dwa, ale znacznie dłużej. Swoją drogą, dzięki temu, niejako przy okazji, relacja z klientem także staje się długoterminowa.

– W tym kontekście Zero Trust jest czymś pozytywnym. Klienci chcą o tym podejściu rozmawiać, a dla partnerów to szansa zrobienia z bezpieczeństwa projektu, a nie sprzedaży tego czy innego produktu – mówi Paweł Rybczyk.

W kontrze do Zero Trust wydają się działać niektórzy dostawcy rozwiązań bazujących na sztucznej inteligencji. Twierdzą, że zamiast zamykać wszystko, lepiej jest wdrożyć coś, co nauczy się prawidłowych zachowań w danym środowisku, wyszukując anomalie i reagując na nie. Ten rynek jest jednak wciąż w fazie rozwoju.

Zdaniem integratora