Pytanie, jak zabezpieczyć sieć firmową, nie ma odpowiedzi w postaci jednego zakupu, tylko czterech rzeczy zrobionych w odpowiedniej kolejności: wiedzieć, co jest w sieci, podzielić ją, uporządkować dostępy administracyjne i aktualizować urządzenia. Ten artykuł opisuje każdą z nich, wskazuje, czego nie załatwiają, i mówi wprost, które z nich wymagają stałego nadzoru.
Dlaczego akurat warstwa sieciowa
Rozmowa o bezpieczeństwie w firmie zaczyna się zwykle od komputerów, czyli od antywirusa, haseł i kopii zapasowych, co jest słuszne, ale niepełne, ponieważ pomija warstwę, w której te komputery ze sobą rozmawiają.
Sieć przesądza bowiem o czymś, czego ochrona pojedynczej stacji nie obejmuje: jak daleko sięga skutek jednego incydentu. Zainfekowany laptop w sieci, w której wszystko widzi wszystko, ma dostęp do serwera plików, kamer, drukarek i komputera księgowości, podczas gdy ten sam laptop w sieci podzielonej widzi ułamek tego.
Na tym polega cała różnica i dlatego warto zacząć od czterech podstaw opisanych niżej. Każda z nich jest jednorazową robotą pozostawiającą trwały efekt, ale trzy z czterech wymagają potem regularnego doglądania, co zaznaczam przy każdej osobno, ponieważ jest to najczęściej pomijana część tej rozmowy.
Podstawa 1: wiedzieć, co jest w sieci
Nie da się zabezpieczyć czegoś, czego się nie zna, co brzmi banalnie do chwili, w której ktoś sporządzi listę i okaże się, że w sieci pracuje sprzęt, o którym nikt nie pamiętał: stara drukarka z własnym serwerem, rejestrator poprzedniego monitoringu albo urządzenie zostawione przez byłego dostawcę.
Minimalna lista powinna obejmować to, co jest podłączone przewodowo i bezprzewodowo, do czego służy i kto za to odpowiada, czy da się tym zarządzać i czy ktoś ma do tego dostęp, a także czy urządzenie nadal otrzymuje aktualizacje od producenta.
Ten ostatni punkt bywa nieprzyjemny, ponieważ sprzęt sieciowy, który przestał być wspierany, nie dostanie już poprawek błędów bezpieczeństwa, mimo że działa i nikomu nie przeszkadza.
Czy wymaga nadzoru: tak, ponieważ lista pozostaje aktualna dokładnie do następnego zakupu.
Podstawa 2: podzielić sieć
Segmentacja polega na rozdzieleniu sieci na osobne części i opisaniu, co wolno między nimi, co realizuje się zwykle przez VLAN-y, czyli logiczne sieci wydzielone na tym samym okablowaniu.
Podział sprawdzający się w większości firm wygląda następująco:
| Segment | Co w nim jest | Czy widzi resztę |
|---|---|---|
| Firmowy | komputery pracowników, serwery, drukarki | tak, w zakresie potrzebnym do pracy |
| Gościnny | urządzenia gości i klientów | nie, wyłącznie internet |
| Urządzenia i kamery | kamery IP, sprzęt IoT, klimatyzacja, sterowniki | nie, poza wskazanym punktem zapisu |
| Zarządzanie | panele urządzeń sieciowych | tylko dla administratorów |
Sensowna kolejność wdrażania prowadzi od wydzielenia sieci gościnnej, przez kamery i urządzenia, aż po resztę, ponieważ pierwsze dwa kroki dają największy efekt przy najmniejszym ryzyku zakłócenia pracy.
Więcej o samym mechanizmie piszemy w artykule o segmentacji VLAN w firmie.
Czy wymaga nadzoru: umiarkowanie, ponieważ raz wykonany podział działa, ale każde nowe urządzenie trzeba przypisać do właściwego segmentu, bez czego po dwóch latach połowa sprzętu ląduje w segmencie firmowym, „bo tam działało od razu”.
Podstawa 3: uporządkować dostępy administracyjne
To podstawa pomijana najczęściej, prawdopodobnie dlatego, że nie wymaga żadnego zakupu.
Firma powinna umieć odpowiedzieć, kto ma dostęp administracyjny do urządzeń sieciowych, czy dysponuje pełnymi prawami do tych urządzeń, czy raczej zależy od konta wykonawcy, czy hasła domyślne zostały zmienione, czy po zakończeniu współpracy z kimkolwiek dostępy zostały odebrane oraz gdzie te dane są zapisane i kto ma do nich dostęp poza jedną osobą.
Sieć, do której firma nie ma pełnych praw administracyjnych, jest siecią zależną od jednej osoby lub jednego dostawcy, a ryzyko to ujawnia się w najgorszym możliwym momencie, czyli przy awarii albo przy zmianie wykonawcy.
Jak przeprowadzić to porządnie przy zmianie dostawcy, opisujemy w artykule o zmianie firmy IT i przejęciu administracji.
Czy wymaga nadzoru: tak, ponieważ dostępy rozjeżdżają się przy każdej zmianie kadrowej.
Podstawa 4: aktualizować urządzenia sieciowe
Oprogramowanie przełączników, punktów dostępowych i bram otrzymuje poprawki, w tym poprawki błędów bezpieczeństwa, tymczasem typową sytuacją w małej firmie pozostaje sprzęt pracujący na wersji z dnia montażu, ponieważ nikt nie ustalił, kto ma się tym zajmować.
Aktualizacja urządzenia sieciowego wymaga jednak restartu, a restart oznacza przerwę, dlatego nie jest to czynność „przy okazji”, tylko działanie zaplanowane, obejmujące ustalone okno serwisowe poza godzinami pracy, kolejność prowadzącą od urządzeń brzegowych przez szkielet do dostępu, sprawdzenie po każdym etapie, czy wszystko wróciło, oraz zapisany plan powrotu do poprzedniej wersji na wypadek, gdyby coś poszło nie tak.
Platformy zarządzania siecią pokazują wersje na wszystkich urządzeniach jednocześnie i pozwalają zaplanować aktualizację na wybraną godzinę, co należy do tych funkcji, dla których w ogóle warto mieć sprzęt zarządzalny.
Czy wymaga nadzoru: zdecydowanie tak, ponieważ jest to jedyna z czterech podstaw będąca czynnością cykliczną, a nie stanem.
Sieć gościnna to granica, nie uprzejmość
Warto nazwać to osobno, ponieważ bywa traktowane jako gest wobec klientów.
Sieć gościnna ma jedno zadanie, czyli dać dostęp do internetu bez dostępu do czegokolwiek innego, co oznacza własny segment, brak widoczności zasobów firmowych i najczęściej także izolację urządzeń gości między sobą.
Pierwszy częsty błąd polega na utworzeniu osobnej nazwy sieci i osobnego hasła przy zachowaniu tego samego segmentu, w wyniku czego „sieć gościnna” jest wyłącznie drugim hasłem do tej samej sieci i nie stanowi żadnej granicy. Drugi polega na tym, że pracownicy zaczynają korzystać z sieci gościnnej, ponieważ hasło jest krótsze, przez co po kilku miesiącach staje się ona główną siecią firmy, tyle że pozbawioną zabezpieczeń.
Czego te cztery podstawy nie załatwiają
Powiedzmy to wprost, ponieważ tu bardzo łatwo obiecać za dużo.
Podstawy te nie chronią komputerów, gdyż segmentacja ogranicza wprawdzie zasięg incydentu, ale nie powstrzyma złośliwego oprogramowania na stacji roboczej, co należy do ochrony endpointów. Nie chronią kont ani poczty, ponieważ wyłudzenie hasła do poczty firmowej dzieje się poza siecią lokalną, a przeciwdziała mu uwierzytelnianie wieloskładnikowe i porządek w kontach. Nie zastępują kopii zapasowych, bo żaden podział sieci nie odtworzy danych, do czego służy backup z przetestowanym odtworzeniem. Nie są też zgodnością z przepisami: segmentacja bywa jednym z elementów, na które powołuje się przy RODO czy NIS2, sama w sobie nie czyni jednak firmy zgodną z czymkolwiek, a ocena zgodności należy do prawnika lub inspektora ochrony danych, nie do inżyniera sieciowego.
Zaznaczam to wyraźnie: ten artykuł nie jest poradą prawną i opisuje wyłącznie warstwę techniczną.
Jak zabezpieczyć sieć firmową: kolejność, którą polecamy
- Spis tego, co jest w sieci.
- Zmiana haseł domyślnych i uporządkowanie dostępów administracyjnych.
- Wydzielenie sieci gościnnej.
- Wydzielenie kamer i urządzeń.
- Ustalenie, kto i kiedy aktualizuje urządzenia sieciowe.
- Reszta podziału sieci.
Punkty 1 i 2 nie kosztują nic poza czasem, dając przy tym najwięcej, dlatego firma, która wykona choćby tylko te dwa, i tak znajdzie się w lepszym miejscu niż większość.
Kto to robi
Dochodzimy do sedna, ponieważ trzy z czterech podstaw wymagają stałego doglądania.
Możemy przeprowadzić to jednorazowo, wykonując przegląd, projekt podziału, wdrożenie i dokumentację oraz przekazując pełne prawa administracyjne, dzięki czemu zostaje dokument opisujący, co gdzie jest i dlaczego, przydatny również wtedy, gdy firma ma własnego informatyka.
Możemy też objąć środowisko stałą opieką, przejmując nadzór nad tymi czterema podstawami: monitoring stanu urządzeń, aktualizacje w uzgodnionych oknach serwisowych, przypisywanie nowych urządzeń do właściwych segmentów, przegląd dostępów przy zmianach kadrowych oraz utrzymanie dokumentacji w stanie zgodnym z rzeczywistością, przy czym zakres i czasy reakcji zapisujemy w umowie.
Trzeciej drogi nie ma, ponieważ podstawy wdrożone raz i pozostawione bez opieki rozjeżdżają się w tempie zmian w firmie, a nie w tempie zmian w technologii.
Warstwa sieciowa stanowi część większej całości: ochrona komputerów, poczty i kont należy do cyberbezpieczeństwa dla firm, a jeśli sieć wymaga najpierw uporządkowania, zaczynamy od budowy i utrzymania sieci firmowych.
Umów bezpłatny przegląd IT i zacznijmy od punktu pierwszego, czyli od sprawdzenia, co właściwie jest w Twojej sieci.