Seiber ddiogelwch i fusnesau: Holi ac Ateb gydag Espanaro

Mae seiber ddiogelwch yn fater allweddol i bob busnes, waeth beth fo’i faint neu’r sector. O ddiogelu eich asedau digidol a chydymffurfio â rheoliadau, i atal colledion ariannol a meithrin ymddiriedaeth cwsmeriaid, mae cael ymrwymiad cryf i seiber ddiogelwch  yn hanfodol.

Buom yn siarad ag Espanaro, sy’n bartner ymgynghori peirianneg a darparu gwasanaethau yn y DU, i ateb rhai o’r cwestiynau pwysicaf sydd gan fusnesau ynghylch seiber ddiogelwch . Mae Espanaro yn arbenigo mewn peirianneg systemau, peirianneg meddalwedd, ac integreiddio systemau o fewn y sector Amddiffyn.

Os ydych chi eisiau dysgu sut i adnabod ymosodiad seiber, sut y dylai eich busnes ymateb os ydych chi'n profi un, faint o hyfforddiant y dylech chi fod yn ei roi i'ch gweithwyr, a mwy, daliwch ati i ddarllen.

Beth yw rhai o’r bygythiadau seiber ddiogelwch  mwyaf cyffredin i fentrau bach a chanolig (BBaChau)?

Er y gallai elw ymosodiad fod yn llawer llai nag ar gyfer busnes mwy, mae seiber droseddwyr yn aml yn ystyried busnesau bach a chanolig fel targed haws gyda llai o reolaethau o bethau yn eu lle i atal ymosodiad.

Y bygythiadau mwyaf cyffredin y mae BBaChau yn eu hwynebu yw :

• Ymosodiadau gwe-rwydo – lle mae seiber droseddwyr yn defnyddio e-byst neu negeseuon twyllodrus i dwyllo cyflogeion i ddatgelu gwybodaeth sensitif, fel manylion mewngofnodi neu fanylion ariannol. Gall ymosodiadau gwe-rwydo arwain at fynediad heb awdurdod a thorri rheolau diogelu data.
• Ransomware - mae'r math hwn o faleiswedd yn amgryptio data cwmni ac yn gofyn am bridwerth am gael ei ryddhau. Gall busnesau bach a chanolig fod yn arbennig o agored i niwed oherwydd efallai nad oes ganddynt systemau wrth gefn cadarn neu fesurau seiber ddiogelwch  pwrpasol.
• Malware - gall meddalwedd faleisus heintio system, achosi difrod neu ddwyn gwybodaeth sensitif. Efallai y bydd busnesau bach a chanolig yn cael eu targedu gyda gwahanol fathau o malwares, gan gynnwys ysbïwedd, adware, a trojans.
• Bygythiadau mewnol - gall gweithwyr, naill ai'n fwriadol neu'n anfwriadol, fod yn fygythiad sylweddol i seiber ddiogelwch . Gallai hyn olygu rhannu gwybodaeth sensitif, clicio ar ddolenni maleisus yn ddamweiniol, neu achosi niwed yn fwriadol.
• Diogelwch wedi'i ffurfweddu'n anghywir - gall hyn gynnwys technoleg diogelwch lle mae cyfrineiriau diofyn, cyfrineiriau gwan, neu gyfluniadau ansicr yn cael eu gweithredu.

• Diffyg hyfforddiant - mae ymwybyddiaeth annigonol o seiber ddiogelwch  ymhlith gweithwyr yn cynyddu'r risg o ddioddef ymosodiadau peirianneg gymdeithasol a thoriadau diogelwch eraill.

   

Pa effeithiau y gall ymosodiad seiber ddiogelwch  eu cael ar fy musnes?

Gall torri rheolau diogelu data, taliadau pridwerth, ac amser segur system arwain at golledion ariannol sylweddol i gwmnïau a gallant erydu ymddiriedaeth cwsmeriaid a niweidio enw da. Gallai ymosodiadau ransomware a bygythiadau seiber eraill amharu ar weithrediadau busnes, gan arwain at golli amser segur a chynhyrchiant.

Mae angen i fusnesau hefyd fod yn ymwybodol o reoliadau diogelu data fel GDPR. Gall methu â chydymffurfio â'r rhain arwain at ganlyniadau cyfreithiol a dirwyon, gan ychwanegu at y baich ariannol. Gall colli data busnes sensitif neu ddata cwsmeriaid gael canlyniadau hirdymor, gan effeithio ar gystadleurwydd a pherthnasoedd cwsmeriaid.

Sut gall fy musnes adnabod ymosodiad seiber a sut y gall eu hatal?

Mae yna fesurau canfod ac atal amrywiol y gall eich busnes eu cymryd i amddiffyn ei hun, gan gynnwys:

Canfod

• Hyfforddiant - addysgu gweithwyr am beryglon e-byst gwe-rwydo. Dylent fod yn ofalus wrth glicio ar ddolenni neu lawrlwytho atodiadau o ffynonellau anhysbys.
• Diogelwch rhwydwaith - gweithredu waliau tân, systemau canfod ymyrraeth ac offer gwybodaeth diogelwch a rheoli digwyddiadau (fe’i adwaenir yn gryno yn y diwydiant fel SIEM) i fonitro a rheoli traffig rhwydwaith, gan nodi a rhwystro gweithgareddau amheus.
• Archwiliadau diogelwch rheolaidd - cynnal profion treiddiad rheolaidd i nodi gwendidau a gwendidau yn eich systemau cyn y gall ymosodwyr eu hecsbloetio.

Atal

• Diweddariadau meddalwedd - cadwch yr holl feddalwedd, gan gynnwys systemau gweithredu a chymwysiadau, yn gyfredol gyda'r clytiau / patsys diogelwch diweddaraf. Mae llawer o ymosodiadau seiber yn targedu gwendidau mewn meddalwedd sydd wedi dyddio.
• Rheoli mynediad - cyfyngu mynediad defnyddwyr i'r lleiafswm sydd ei angen ar gyfer eu swyddi. Mae hyn yn lleihau'r difrod posibl pe bai’r trefniadau diogelwch yn cael eu torri.
• Dilysu cryf : Gorfodi'r defnydd o ddilysu aml-ffactor (DAM) i ychwanegu haen ychwanegol o ddiogelwch, gan ei gwneud yn ofynnol i ddefnyddwyr ddarparu sawl mathau o ddulliau adnabod.
• Amgryptio data sensitif - bydd ei amgryptio wrth ei gludo ac wrth orffwys yn ei ddiogelu rhag cael ei ryng-gipio neu ei gyrchu gan unigolion anawdurdodedig.
• Cynnal archwiliadau diogelwch rheolaidd – bydd hyn yn adnabod unrhyw elfennau agored i niwed a gwendidau yn y system. Gall hyn helpu i fynd i'r afael â phroblemau posibl cyn iddynt gael eu hecsbloetio.
• Mynediad diogel o bell – os oes gennych weithwyr o bell, sicrhewch fod mynediad o bell yn ddiogel. Gall hyn olygu defnyddio Rhwydweithiau Preifat Rhithwir (VPN) a dulliau dilysu diogel.
• Hyfforddiant rheolaidd - addysgu gweithwyr am y bygythiadau diweddaraf, sgamiau gwe-rwydo, ac arferion gorau ar gyfer cynnal diogelwch.
• Datblygu cynllun ymateb i ddigwyddiad – dylai’r cynllun hwn gynnwys camau i nodi, cyfyngu, dileu, adfer a dysgu o ddigwyddiadau sydd a wnelo diogelwch.
• Copi wrth gefn o ddata - gwnewch gopi wrth gefn o ddata hanfodol yn rheolaidd a sicrhewch eich bod yn profi'r prosesau gwneud copi wrth gefn ac adfer o bryd i'w gilydd.
• Asesiad risg trydydd parti - asesu a rheoli sefyllfaoedd diogelwch gwerthwyr trydydd parti sydd â mynediad i'ch systemau neu sy'n trin eich data.
• Polisïau diogelwch - sefydlu a gorfodi polisïau diogelwch ar draws y sefydliad, sicrhau bod gweithwyr yn ymwybodol o arferion gorau diogelwch ac yn cydymffurfio â nhw.
• Cydweithio – ystyriwch weithio gydag arbenigwyr seiber ddiogelwch  i asesu a gwella eich mesurau diogelwch yn rheolaidd.
• Yswiriant - mynnwch yswiriant seiber ddiogelwch  i liniaru colledion ariannol rhag ofn y bydd ymosodiad seiber llwyddiannus.

 

Faint o hyfforddiant ddylwn i fod yn ei roi i'm gweithwyr cyflogedig a ble dylwn ni ddechrau?

I ddechrau, dylai eich busnes roi cyflwyniad i weithwyr ar sut i adnabod ac adrodd ar ddigwyddiadau. Mae hon yn elfen hanfodol i annog defnyddwyr i gymryd rhan weithredol yn y gwaith o ddiogelu eich busnes.

Mae hyfforddiant rheolaidd yn allweddol. Gall hyn fod ar ffurf fideos ar-lein neu gyfryngau hyfforddi tebyg. Gall ymosodiadau ffug, fel e-byst gwe-rwydo ffug, fod yn fuddiol ond gallant hefyd arwain at ‘bethau cadarnhaol ffug’ lle mae gweithwyr yn fodlon clicio ar y ddolen i 'weld beth sy'n digwydd'. Mae hyn yn ei gwneud yn ofynnol i reolwr diogelwch y busnes ddeall ei staff a pha ddulliau sydd fwyaf addas ar gyfer gwahanol grwpiau, er enghraifft llawr siop, rheolwyr, cyfarwyddwyr.

Dylai'r hyfforddiant rheolaidd hwn hefyd gael ei ategu gan ddiweddariadau/hysbysiadau, wedi'u llywio gan wybodaeth am fygythiadau a dadansoddiadau i nodi bygythiadau sy'n benodol i'r busnes.

Sut dylai fy musnes ymateb os torri’r drwy ein trefniadau diogelwch neu petae'n profi ymosodiad seiber?

Mae'n bwysig cael cynllun wedi'i gynllunio ymlaen llaw ac wedi'i ymarfer, sy'n rhoi map ffordd clir i ddefnyddwyr a staff diogelwch o sut i ymateb i fathau penodol o ymosodiad. Dylech gynllunio hyn ar y cyd â'r tîm TG busnes a darparwyr TG lle caiff gwasanaethau eu rhoi ar gontract allanol.

Dylai’r cynlluniau hyn gynnwys:

• Camau i’w gweithredu ar unwaith, er enghraifft datgysylltu'r system o'r rhwydwaith ehangach.
• Ysgogi cynllun ymateb i ddigwyddiad a hysbysu aelodau perthnasol y tîm, megis y rheolwr diogelwch, adrannau cyfreithiol, AD, tîm/darparwr TG
• Cyfrifoldebau rôl wedi'u diffinio'n glir
• Cynllun fforensig ar gyfer mathau unigol o ymosodiad; dylai hyn ddilyn proses ddogfenedig i sicrhau bod tystiolaeth yn cael ei chasglu mewn ffordd drylwyr ac y gellir nodi effeithiau/cyrhaeddiad llawn y digwyddiad
• Proses adrodd – gall hyn fod i awdurdodau cyfreithiol, rhwymedigaethau cytundebol a all fod gan y busnes, a’r busnes ehangach.
• Fel rhan o’r broses adrodd hon a’r rôl a neilltuwyd, dylid darparu gwybodaeth mewn modd amserol a thryloyw i randdeiliaid a lle bo angen, y cyhoedd yn ehangach.
• Gofynion seiber-yswiriant – gwneud yn siŵr bod prosesau’n cadw at y gofynion hyn i leihau’r oedi cyn talu.

Cynllun adfer/adnewyddu

• Dylid datblygu a phrofi cynllun i adfer yn y tymor byr a'r tymor hir. Gall hyn fod yn rhan o gynllun adfer ar ôl trychineb eich busnes, ond mae angen ei ddogfennu gan roi llwybr clir ymlaen i bob rhanddeiliad, gan leihau difrod ac yn y pen draw lleihau’r gost i'r busnes.
• Gall y cynllun hwn gynnwys proses o sut i adolygu digwyddiadau/materion a datblygu strategaethau lliniaru yn y dyfodol i atal ail-ddigwyddiad, megis hyfforddiant, cyfluniad technoleg neu bryniadau.

• Seiber-yswiriant – unwaith y bydd yr holl ddogfennaeth a thystiolaeth wedi’u casglu, rhowch y wybodaeth hon i’r parti yswiriant er mwyn cyflymu taliadau.

   

Sut alla i sicrhau bod fy ngweithwyr yn defnyddio cyfrineiriau cryf?

Gall gorfodi gofynion cyfrineiriau cymhleth gael yr effaith negyddol o orfodi staff i ysgrifennu cyfrineiriau ar nodiadau post-it neu ailddefnyddio cyfrineiriau ar draws dyfeisiau. Yn lle hynny, ystyriwch ddefnyddio'r dull tri gair. Mae hyn yn annog defnyddwyr i greu cyfrineiriau mwy cofiadwy gan ddefnyddio tri gair gwahanol, er enghraifft mae “ JiraffMawrAfal ” yn llawer haws ei gofio nag “L!nKlN82FhQp3@ ”, ond yn darparu lefel debyg o gymhlethdod a fyddai’n ei amddiffyn rhag ymosodiad.

Gallech hefyd feddwl am annog ac addysgu staff i ddefnyddio rheolwyr cyfrinair diogel neu ddulliau storio diogel eraill. Mae hyn hefyd o fudd i'r gweithwyr trwy godi ymwybyddiaeth sy'n trosi i'w bywydau personol gan wella eu gwytnwch seiber ddiogelwch  eu hunain.

Yn ogystal, dylech sicrhau bod cyfrineiriau'n cael eu storio'n ddiogel yn eu systemau mewnol, er enghraifft trwy ddefnyddio’r hyn a elwir yn ychwanegu ‘halen a stwnsio’ yn briodol, a thrwy hynny leihau'r defnydd o gyfrineiriau a allai fod yn agored i actorion maleisus.

Pa gymorth sydd ar gael i fusnesau?

Mae NCSC y DU yn cynnig cyngor ac arweiniad i BBaChau – gallwch ddarllen eu canllaw busnesau bach yma.

Mae fframweithiau fel Fframwaith Cybersecurity NIST neu ISO/IEC 27001 yn darparu dull strwythuredig o reoli risg seiber ddiogelwch . Gall gweithredu’r fframweithiau hyn helpu busnesau i sefydlu, gweithredu a gwella eu harferion seiber ddiogelwch .

Mae safonau a chymdeithasau diwydiant-benodol yn aml yn cynnig canllawiau a chymorth. Er enghraifft, mae Safon Diogelwch Data'r Diwydiant Cardiau Talu (PCI DSS) yn berthnasol i fusnesau sy'n trin gwybodaeth cardiau talu. Gall ymuno â chymdeithasau diwydiant ddarparu cyfleoedd rhwydweithio a mynediad at adnoddau seiber ddiogelwch  a rennir.

Gall cwmnïau ymgynghori Seiber ddiogelwch  helpu i gynhyrchu asesiadau risg, nodi gwendidau, a darparu atebion wedi'u teilwra. Gall yr arbenigwyr hyn gynnig mewnwelediadau ac argymhellion gwerthfawr yn seiliedig ar anghenion penodol eich busnes.

Yn olaf, ystyriwch yswiriant seiber ddiogelwch  i liniaru colledion ariannol mewn achos o dorri trefniadau diogelwch. Fodd bynnag, mae'n bwysig nodi y dylai yswiriant ategu, nid disodli, mesurau seiber ddiogelwch cryf.

 

Beth sydd nesaf?

Os oes gennych unrhyw gwestiynau am seiber ddiogelwch  neu os oes angen cymorth arall arnoch ar gyfer eich busnes, cysylltwch â'ch Swyddog Portffolio.