Przez najbliższy miesiąc, większość urzędów administracji publicznej będzie pracować w trybie zdalnym. Dla wielu z nich to rewolucja – przede wszystkim pod względem technologicznym. Eksperci ESET przypominają, co należy wziąć pod uwagę, aby nie stać się łatwym łupem dla cyberprzestępców podczas urzędowego „home office”.
Według danych GUS*, z końcem 2019 roku w administracji publicznej w Polsce zatrudnione były aż 455 182 osoby. Z powodu pandemii wiele z nich co najmniej do 4 grudnia dołącza do tych pracowników sektora prywatnego, którzy już wcześniej przeszli na tryb „home office”. Zgodnie z rozporządzeniem, to kadra zarządzająca będzie decydować, którzy urzędnicy mogą pracować z domu, a jakie zadania będą nadal wymagać obecności w urzędach. Szczegółowe zasady pracy zdalnej reguluje tzw. ustawa Covidowa. Zgodnie z nią (Art. 3.4 i 3. 5), narzędzia i materiały oraz obsługę logistyczną ma zapewnić pracodawca, ale istnieje także możliwość używania narzędzi własnych „pod warunkiem, że umożliwia to poszanowanie i ochronę informacji poufnych i innych tajemnic prawnie chronionych”.
Tymczasem szczegółowa analiza incydentów z zakresu cyberbezpieczeństwa, jakie miały miejsce w III kwartale 2020 pokazała, że pracownicy zdalni wciąż znajdują się na celowniku hakerów. Przejście na home office urzędników, którzy bardzo często mają dostęp do wielu wrażliwych danych, na pewno ich zainteresuje.
– Rośnie liczba ataków wymierzonych w pracowników zdalnych. W minionym kwartale zanotowaliśmy m.in. znaczny wzrost cyberataków na osoby, korzystające w trakcie pracy zdalnej z protokołu RDP w ramach funkcji pulpitu zdalnego i w ten sposób uzyskujących dostęp do firmowych zasobów – wyjaśnia Kamil Sadkowski z ESET.
Przedstawiciele polskiej administracji samorządowej, zapytani o największe wyzwania związane z pracą zdalną, wymieniają m.in. szybki zakup nowego sprzętu i oprogramowania zapewniającego bezpieczną łączność z urzędowymi bazami danych oraz fakt, iż z niektórymi bazami danych nie da się zdalnie pracować. Część urzędów już w trakcie wiosennego lockdownu zaopatrzyła się w nowe sprzęty, głównie laptopy. O czym jeszcze powinni pamiętać urzędnicy w tym pełnym wyzwań czasie?
TOP 5 porad ekspertów ESET na czas pracy zdalnej:
1. Skuteczna polityka haseł
Hasła stosowane podczas logowania do służbowych sprzętów i systemów powinny być długie i trudne do odgadnięcia, regularnie zmieniane, a kilkukrotne wprowadzenie błędnego hasła powinno blokować dostęp do danego konta. Do służbowych zastosowań nie wykorzystuje się tych samych haseł, z których na co dzień korzysta się prywatnie.
2. Zasady bezpieczeństwa w sieciach bezprzewodowych
Podstawa to nie łączenie się pod żadnym pozorem z otwartymi sieciami Wi-Fi, które nie wymagają podania hasła. Na komputerze, który będzie wykorzystywany do pracy, należy też wyłączyć wszystkie funkcje związane z udostępnianiem danych. Trzeba zweryfikować czy na wykorzystywanym routerze Wi-Fi jest ustawione szyfrowanie WPA2 i silne hasło.
3. Dobre nawyki: wyloguj się i aktualizuj
Na służbowych urządzeniach pracujących w domu powinna zostać włączona funkcja automatycznej aktualizacji. To kluczowe, aby były na nich na instalowane wszystkie bieżące łatki bezpieczeństwa. Natomiast kończąc pracę albo z jakiegokolwiek innego powodu odchodząc od swojego biurka, należy wylogować się ze służbowej sieci. Domownicy nie są pewnie cyberprzestępcami, ale mogą np. nieświadomie przyczynić się do incydentów utraty danych czy udostępnienia ich nieuprawnionym osobom.
4. Szyfrowanie wrażliwych plików
Służbowe dokumenty powinny być przechowywane oddzielnie od prywatnych, najlepiej w przeznaczonym do tego celu, zaszyfrowanym katalogu. Wrażliwe dane pobierane na prywatne urządzenie, powinny być zaszyfrowane. Warto także wdrożyć politykę, w ramach której wszystkie zmodyfikowane dokumenty muszą być zapisywane na urzędowych serwerach oraz regularnie backupowane.
5. Zadania dla administratora
Na pracownikach działów IT spoczywa teraz szczególna odpowiedzialność. Powinni przede wszystkim pamiętać o wyposażeniu zdalnych pracowników w pakiety bezpieczeństwa, dysponujące takimi funkcjami, jak m.in. firewall, antyphishing czy skanowanie nośników wymiennych pod kątem wirusów. W ich gestii leży też przeszkolenie kadry pod kątem właściwego używania sprzętów i unikania cyberzagrożeń. Konfigurując zdalną infrastrukturę, warto natomiast pamiętać o kwestiach takich jak:
• Wieloskładnikowe uwierzytelnianie (MFA). Pozwala to na ochronę m.in. przed atakami z wykorzystaniem skradzionych loginów i haseł.
• VPN podczas łączenia z wewnętrzną siecią. Umożliwia szyfrowanie ruchu pomiędzy komputerem pracownika i siecią firmową oraz rozszerzenie stosowanych rozwiązań bezpieczeństwa także na urządzenia zdalne.
• Wirtualne pulpity. Korzystanie z ich infrastruktury sprawia, że służbowe pliki i dane przechowywane są wyłącznie na maszynie wirtualnej.
• Zabezpieczenie przed atakami z wykorzystaniem RDP. Najlepiej nie łączyć się za jego pomocą przez Internet bezpośrednio ze swoimi serwerami. Jeśli nie jest to możliwe – należy podjąć dodatkowe kroki, by zabezpieczyć się tak szybko i dokładnie, jak to tylko możliwe.
* Źródło: Raport GUS - Zatrudnienie i wynagrodzenia w gospodarce narodowej w 2019 roku