cyberhigiena

Cyberhigiena to zestaw prostych, codziennych nawyków, które obniżają ryzyko incydentu bez potrzeby specjalistycznej wiedzy: aktualizacje, unikalne hasła, kopie zapasowe, ostrożność wobec linków. ENISA definiuje ją jako proste praktyki i kroki, które każdy może podjąć, by chronić swoje dane osobowe i urządzenia przed cyberzagrożeniami ^[1]. CERT Polska opisuje ten sam zakres pod nazwą „dobre praktyki”, z działami o aktualizacjach, hasłach, zmianie haseł domyślnych i kopiach bezpieczeństwa ^[2]. Nazwa nawiązuje do higieny osobistej: pojedyncza czynność niewiele znaczy, liczy się regularność.

Składniki

ENISA wymienia dziesięć praktyk: silne hasła, uwierzytelnianie dwuskładnikowe, regularne aktualizacje, ostrożność wobec poczty i linków, kopie zapasowe, zabezpieczenie sieci Wi-Fi, oprogramowanie antywirusowe, edukację, ograniczanie udostępniania danych osobowych i monitorowanie kont oraz urządzeń ^[1]. Tabela zestawia je z ich odpowiednikami przy utrzymaniu strony WordPress.

Podstawowe nawyki powtarzają się w cyklu, co pokazuje schemat poniżej.

RYS. 1Rutyna cyberhigieny

Jak działa

Cyberhigiena nie usuwa ryzyka, tylko je obniża. Dokumentacja WordPressa ujmuje to tak, że bezpieczeństwo to redukcja ryzyka, a nie jego eliminacja, czyli stosowanie w rozsądnym zakresie wszystkich dostępnych kontroli ^[7]. Podstawowe nawyki nie chronią przed każdym atakiem, ale zamykają najprostsze drogi wejścia: nieaktualne oprogramowanie, powtórzone hasło i brak kopii.

Hasła. CERT Polska zaleca, by każde konto miało inne hasło, zwraca uwagę, że długość jest ważniejsza niż złożoność, i proponuje łączenie czterech lub pięciu losowych, luźno powiązanych słów ^[3]. Zapamiętanie wielu haseł ułatwia menedżer haseł, który generuje je losowo i przechowuje zaszyfrowane ^[3]. Na ważnych kontach, takich jak poczta i bankowość, zaleca uwierzytelnianie dwuskładnikowe (2FA), i opisuje passkey, który jest przypisany do konkretnej witryny, więc fałszywa strona nie może go wyłudzić ^[3]. Uzasadnia to tym, że poczta jest bramą do resetowania innych haseł ^[3]. Szerzej opisuje to hasło bezpieczne hasła.

Aktualizacje. CERT Polska zaleca automatyzację dystrybucji aktualizacji bezpieczeństwa i wskazuje, że przestarzałe systemy nie powinny być używane produkcyjnie, nawet jeśli działają poprawnie ^[5]. Poprawki usuwające podatności typu zdalne wykonanie kodu powinny mieć wysoki priorytet, bo takie błędy z dużym prawdopodobieństwem są potem masowo wykorzystywane ^[5]; zob. aktualizacja oprogramowania.

Kopie zapasowe. CERT Polska opisuje zasadę 3-2-1: co najmniej trzy kopie danych, co najmniej dwa systemy przechowywania i jedna kopia w innej lokalizacji ^[4]. Zaleca kopię całkowicie offline oraz weryfikację kopii i testy odtworzeniowe ^[4], bo przestępcy stosujący ransomware niszczą kopie zapasowe, by zwiększyć presję ^[4]. Kopia, której nikt nie próbował odtworzyć, daje tylko poczucie bezpieczeństwa; dopiero udany test pokazuje, że procedura działa.

W WordPressie

Dokumentacja WordPressa zaleca, by zawsze używać najnowszej wersji, bo starsze nie dostają poprawek bezpieczeństwa ^[7], i by pilnować aktualności wtyczek ^[7]. Pomaga w tym automatyczna aktualizacja, a także pilnowanie, czy hosting nie używa wersji objętej końcem wsparcia dla wersji PHP.

Ta sama dokumentacja zaleca regularne kopie danych, w tym baz MySQL, oraz regularne migawki całej instalacji ^[7]. Kopia zapasowa (backup) trzymana wyłącznie na tym samym serwerze nie spełnia zasady 3-2-1.

Cyberhigiena dotyczy też komputera administratora. Dokumentacja WordPressa zwraca uwagę, że żadne zabezpieczenia strony ani serwera nie pomogą, jeśli na komputerze użytkownika działa keylogger ^[7]. Wśród haseł do unikania wymienia permutacje własnego imienia, nazwy użytkownika i nazwy firmy oraz słowa ze słownika w dowolnym języku ^[7].

Znaczenie

Dyrektywa NIS2 w motywie 89 wskazuje, że podmioty kluczowe i ważne powinny przyjąć szeroki zakres podstawowych praktyk cyberhigieny, takich jak zasady Zero Trust, aktualizacje oprogramowania, konfiguracja urządzeń, segmentacja sieci, zarządzanie tożsamością i dostępem oraz świadomość użytkowników ^[6]. Ten sam motyw wymienia organizowanie szkoleń dla personelu i podnoszenie świadomości w zakresie zagrożeń, takich jak phishing i socjotechnika ^[6]. Cyberhigiena nie jest więc wyłącznie zaleceniem dla osób prywatnych, lecz zestawem praktyk, których dyrektywa oczekuje od objętych nią organizacji.

Dla małej firmy prowadzącej stronę WordPress oznacza to, że nawyki właściciela i osób z dostępem do panelu są częścią zabezpieczeń tak samo jak konfiguracja serwera. W praktyce organizacji cyberhigienę utrwalają szkolenia z cyberbezpieczeństwa dla pracowników (security awareness training) i spisana polityka bezpieczeństwa.

Dobre praktyki

• Jedno konto, jedno hasło, a dla ważnych kont drugi składnik ^[3].
• Zmiana haseł ustawionych przez producenta przy konfiguracji urządzenia ^[2]; zob. domyślne hasło.
• Aktualizacje instalowane automatycznie tam, gdzie to możliwe, i plan wymiany oprogramowania bez wsparcia ^[5].
• Kopie według zasady 3-2-1, z jedną kopią offline i okresowym testem odtworzenia ^[4].
• Silne hasło bez permutacji imienia, loginu i nazwy firmy oraz bez słów ze słownika ^[7].
• Ostrożność wobec wiadomości z linkami i załącznikami oraz ograniczanie publikowanych danych osobowych ^[1].