Hvorfor er cybersikkerhed i non-profit- og ikke-statslige organisationer så vigtig
Cyberangreb mod almennyttige NPO’er og NGO’er er på vej igen. Er din organisation sikker?
This post is also available in:
English
Ingen er sikker på internettet i dag, ligesom hackere ikke diskriminerer, når de vælger deres ofre. Et klart eksempel her på er deres ubarmhjertige indsats for at målrette indsatsen mod virksomheder, der aktiverer på området for sociale forandringer, nemlig almennyttige organisationer (NPO’er) og ikke-statslige organisationer (NGO’er).
Mens tilfælde af cyberangreb i denne industri har været stigende på det sidste på grund af COVID-19 pandemien, er konceptet ikke nyt. I de følgende linjer vil jeg give dig et overblik over, hvordan almennyttige organisationer og ngo’er håndterer deres cybersikkerhed, samt kort diskutere historien med hackinghændelser, der involverede dem.
Endelig vil jeg diskutere fem punkter af cybersikkerhed for non-profit og ikke-statslige organisationer, en række væsentlige overvejelser at huske på. Så hvis du er interesseret i at forbedre din ngo’ers online forsvar, så fortsæt med læsningen.
En oversigt over cybersikkerhed i NPO’er og NGO’er
Nonprofitorganisationer og ikke-statslige organisationer er afhængige af informationsteknologi til at styre deres anliggender. Desuden kan en stor del af de data, de håndterer, klassificeres som følsomme, fordi de omhandler sociale og velgørende formål. Dette skaber en stærk efterspørgsel efter avanceret cybersikkerhed på området, men ak, gør disse virksomheder rent faktisk brug af det i praksis?
Som pr resultaterne af en rapport offentliggjort af Institute for Critical Infrastructure Technology (ICIT), havde mere end 50% af de responderende npo’er og ngo’er oplevet et ransomware angreb. Desuden, bekræftede, 51% at de havde en specifikt udpeget enhed eller person med ansvar for cybersikkerhed, 49% havde ikke.
Ud af de 49% repræsenteret ved organisationer uden et eksplicit cybersikkerheds fokus, svarede kun 11%, at de havde planer om at gennemføre et online forsvarssystem i de følgende 6 til 12 måneder. Men hele 86% havde ikke en sådan plan på plads.
Det kommer ikke som nogen overraskelse, da npo’er og ngo’er er stærkt afhængige af donorfinansiering. Langt størstedelen af støtten er rettet mod humanitære hjælpeaktioner, som ikke giver dem for meget spillerum i gennemførelsen af en cybersikkerhedsinfrastruktur.
Desværre, skaber dette et utal af netværkssårbarheder, som hackere kan udnytte. I det følgende afsnit vil jeg diskutere nogle af de mest berygtede cyberangreb udført mod non-profit og ikke-statslige organisationer i nyere historie.
Større cyberangreb mod almennyttige virksomheder og ngo’er
“Cozy Bear and the Dukes”
Den første serie af cyberangreb på non-profit og ikke-statslige organisationer, jeg ønsker at diskutere, er dem, der begås af Cozy Bear and the Dukes. Dette kan lyde som navnet på et rigtig cool underjordisk indie band, men jeg kan forsikre, at de giver dig et show du ikke ønsker at deltage i.
Efter præsidentvalget i USA i 2016 iværksatte to russiske hackergrupper kendt som Cozy Bear and the Dukes en stædig spear-phishing-kampagne mod flere amerikanske ngo’er og tænketanke.
Med titler som “The’Shocking’ Truth about Election Rigging” og en “FYI” meddelelse sendt under falske Clinton Foundation branding, opfordrede hackere ofre fra disse organisationer til at downloade en malware-fil. Når Microsoft .lnk fandt sin vej ind på en computer, aktiverede det et PowerDuke Backdoor program og lavede den målrettede maskine til en botnet zombie.
The Bronze President Case
I begyndelsen af 2020 rapporterede Security Week, at en kinesisk hackergruppe, der opererer under navnet BRONZE PRESIDENT, er blevet afsløret for at målrette ngo’er i hele Syd- og Østasien siden 2014. En produktiv cyber-spionage ring, BRONZE PRESIDENT brugte både offentlige og proprietære værktøjer til at overvåge nævnte organisationer, samt stjæle deres data og miskreditere dem regelmæssigt.
Gennem brugerdefinerede batch scripts, havde gruppen indsamlet filer fra de målrettede ngo’er i årevis. Hvad mere er, at de fik fingrene i legitimationsoplysninger fra følsomme og høj-privilegiums netværkskonti. Hackere forfulgte primært virksomheder, der gennemførte forskning i forbindelse med kinesiske interesser i lande som Mongoliet og Indien.
Dette førte cybersikkerheds eksperter til at tro, at gruppen enten blev finansieret eller i det mindste tolereret af den kinesiske regering. Ikke desto mindre, syntes deres handlinger ikke at tilpasse sig de typisk patriotiske cyberkriminelle, hvilket er grunden til denne hypotese endnu ikke er verificeret.
Blackbaud-hændelsen
Nogle gange, målretter cyberangreb ikke de organisationer, de ønsker at hacke individuelt. I stedet, fokuserer ondsindede aktører deres indsats på en tredjeparts leverandør, der ville give dem mulighed for at ramme flere datasæt med én sten. Det er præcis, hvad der skete i første halvdel af 2020, da cloud computing software leverandør Blackbaud blev hacket som en del af en indviklet ransomware hændelse.
Blackbaud leverer den sociale gode niche, som består af non-profit, fonde, sundhedsorganisationer, uddannelsesinstitutioner, og individuelle agenter for forandring. Virksomheden har over 45,000 der arbejder på det humanitære område, og mindst 200 USA-baserede og 63 UK-baserede virksomheder i denne kategori blev påvirket af ransomware angreb. Berømte navne omfatter Red Barnet, CARE Canada, Partners in Health, World Vision og Human Rights Watch.
Selv om det er spekuleret på, at angrebet startede omkring februar 2020, blev det ikke opdaget indtil maj, og oplysningerne blev offentliggjort i juli samme år. Blackbaud, samt dens berørte kunder, forbliver uvisse om omfanget af de skader, som hackere påførte deres data.
De store drenge er ikke okay
Hvis Coronavirus krisen har lært os noget i form af cybersikkerhed, er det, at omdømme og størrelse af en organisation ikke kan beskytte den mod forbryderisk indblanding af hackere. Ondsindede aktører har gjort bytte på vores kollektive frygt omkring COVID-19 lige siden de første dage af udbruddet, og non-profit nichen er ikke anderledes.
April måned 2020 kom med en stigning i cyberangreb rettet mod berømte ngo’er, såsom Mercy Corps og International Federation of Røde Kors og Røde Halvmåne Societies. Selv Verdenssundhedsorganisationen (WHO) blev forgæves ramt af en kompleks phishing-svindel, der efterlignede FN’s e-mail-system. Alle disse ting havde én ting til fælles: profitere ud af Coronavirus-relaterede bekymringer af medarbejdere.
Som pr en erklæring fra Mercy Corps chief information officer Michael Boeglin for Devex medieplatform via e-mail,
Vi har helt sikkert bemærket en stigning i cyberangreb og phishing forsøg, da mange af vores teammedlemmer rundt om i verden har skiftet til at arbejde eksternt. Angribere udnytter den frygt, forvirring og stress, som folk oplever under pandemien ved at sende phishing, smishing [falske sms’er], og andre typer af angreb designet til at udnytte denne frygt. De ved, at folk er distraherede, søger oplysninger fra flere kilder, og generelt er mere sårbare på tidspunkter som disse.
Jagan Chapagain, generalsekretæren for Røde Kors, identificerede to hovedårsager til stigningen i angreb. Ifølge ham, er hackere enten interesseret i det finansielle aspekt, der kommer sammen med håndtering af donationer, eller de ønsker at have en god tid i lockdown, da de “har masser af tid til at eksperimentere med deres færdigheder.”
Cybersikkerheds Overvejelser for NPO’er og NGO’er
#1 Udfør en cybersikkerhedsrevision for at identificere sårbarheder
Det første skridt i at forbedre din organisations cybersikkerhed er at udføre en revision. Dette vil hjælpe dig med ikke blot at identificere sårbarheder i dit netværk og din arbejdsgang, men også skitsere effektive strategier til at bekæmpe dem.
Din første mulighed her ville således være at foretage en intern cybersikkerheds revision ved at centralisere data indsamlet fra medarbejder tracking af software og overvågning af brugeraktivitet. Dette vil give dig mulighed for at få en bedre fornemmelse af, hvad der foregår bag lukkede døre, samt:
- bestemme tilstanden af organisationens sikkerhed,
- bekræfte et sæt cybersikkerhedsregler,
- og håndhæve de relevante standarder og bedste praksis.
Hvis du ikke er tilfreds med omfanget af din virksomheds ressourcer, når du udfører en cybersikkerheds revision, er der også mulighed for at indgå en aftale med en tredjepart professionel til at gøre det for dig. Dette er kendt som en ekstern cybersikkerheds revision. Er du interesseret? Så tøv ikke med at bestille en gratis cybersikkerheds konsultation med os ved at fange os på sales.inquiries@heimdalsecurity.com.
#2 oplær dine medarbejdere i Cyber security
Menneskelige fejl er stadig den hyppigste årsag til cyberangreb, med en hændelsesprocent på 60%. Kort sagt, kan utrænede medarbejdere være en af dine største sikkerhedsforpligtelser i øjeblikket. Ikke desto mindre kan denne kløft håndteres med cyberuddannelsesseminarer, hvor medarbejderne kan lære at praktisere onlinesikkerhed og identificere trusler.
Afholdelse af regelmæssige cybersikkerhedskurser vil hjælpe dit personale med at:
- identificere ondsindede links og vedhæftede filer i e-mails,
- genkende forsøg på at udgive sig for at være virksomheder eller
- praktiserer sikker browsing og undgå mistænkelige websteder,
- anvende BYOD’s bedste praksis for at begrænse eksponeringen
- og forstå deres ansvar over for din organisations data.
Disse aspekter kan alle indlæres og drøftes internt, men det er altid en god idé at konsultere en ekspert, når du er i nød. Investering i ordentlig cybereducation for din ikke-statslige organisation kan synes anstrengende, men det vil betale sig i det lange løb.
#3 Sæt en organisations-dækkende password politik i kraft
Selvom det er rigtigt, at password management falder ind under cybersikkerheds uddannelseskategorien, fortjener det sin egen underafdeling. Som jeg har nævnt nogle gange før, kan hackere, der angriber NPO’er og NGO’er bare ikke få nok af at stjæle login-oplysninger.
Det er her en password politik kommer i spil. En stærk adgangskode skal:
- indeholde både store og små bogstaver
- plus et par tal og symboler,
- og ændres regelmæssigt, så eventuelle stjålne legitimationsoplysninger bliver forældede,
- men ikke i henhold til en fast kalender, så ondsindede aktører kan lære den.
Ja, det fik du læst ik, hackere kan faktisk finde ud af, hvis du skifter adgangskoder på en tidsplan og bruge det mod dig med smart timet angreb. Derfor er det afgørende at opnå omfattende uddannelse i cyber sikkerhed, hvis de informerer personalet om, hvad de bedste praksis for håndtering af adgangskoder er.
#4 at praktisere princippet om mindst privilegium (PoLP)
Mens det at skabe stærke adgangskoder og ændre dem en gang imellem vil tilbyde din organisation en vis grad af beskyttelse, er det på ingen måde en fejlsikker tilgang. Derfor bør det næste skridt i din holistiske tilgang til cybersikkerhed være at begrænse adgangen. På denne måde, vil det selv hvis en hacker kommer ind i dit netværk, ikke formå at inficere alle enheder i det.
Den måde at opnå dette på er ved at praktisere princippet om mindst mulig privilegium, hvilket indebærer, at hver medarbejder kun vil have de minimumsrettigheder for adgangsrettigheder, der kræves for at udføre deres opgaver. Ikke desto mindre kan dette blive tidskrævende for din ngo’s netværks admin, hvilket er grunden til jeg anbefaler at bruge en privilegeret adgang management (PAM) løsning i tandem med PoLP.
Heimdals egen Thor AdminPrivilege™ er en intuitiv PAM-løsning, der hjælper din netværksadministrator med at administrere brugeradgang. Ikke alene giver det mulighed for nem eskalering af rettigheder for en bestemt mængde tid, men det udfører også en automatisk de-eskalering på det første tegn på en cyber-trussel. Det er den eneste løsning af sin art, der giver sidstnævnte fordel, da det fungerer sammen med vores forebyggelses og detektionsværktøjer, samt andre, du måske allerede ejer.
Heimdal® Privileged Access
Management
#5 beskytte dine aktiver med en komplet cybersikkerheds suite
Apropos Heimdals forebyggelses- og detektionsværktøjer er det femte og sidste skridt til en holistisk cybersikkerhedstilgang i nonprofitorganisationer og ikke-statslige organisationer at dække hele dit område. PAM kan kun tage dig så langt på sikkerhedsskalaen, hvilket betyder, at det er tid til at planlægge.
Vores kerneudbud af Thor Foresight Enterprise registrerer og beskytter mod ransomware og andre trusler på niveauerne af DNS, HTTP og HTTPs. Hvad mere er, dens avancerede AI og machine learning teknologi spotter selv de bedst skjulte APT’er. Når det kombineres med vores Næste generation af Thor Vigilance Enterprise- og antivirusprogrammer, får du Thor Premium Enterprise, en komplet endpoint registrerings- og svarløsning.
For at opsummere det hele …
Hackere har ikke noget problem med at målrette sociale forandringsorienterede organisationer med deres cyberkriminalitets sprees. Hold din NGO’s værdifulde private data ude af deres hænder gennem en holistisk cybersikkerhedstilgang, der ikke kun er afhængig af værktøjer, men også uddannelsesmæssige ressourcer. Som det altid er tilfældet med cyberangreb, er forebyggelse den bedste medicin. Reaktion bør kun være din sidste udvej.