לרוב זה קורה בתום לב, מחוסר ידיעה ולעיתים אף בזדון! כדי להגן על הארגון מפני איומי רשת יומיומיים כדאי להכיר את הטעויות הנפוצות ביותר שעובדים עושים באמצעות המחשב אשר חושפות אותם להתקפות סייבר ואיומים נפוצים כגון: וירוסים, תוכנות ריגול ופרסום ותולעי מחשב ובכך מגדילים את הסיכוי לפרצות באבטחת המידע של הארגון שיכולות להוביל למתקפות סייבר מסוכנות ולנזקים כלכליים ותדמיתיים.

בטח אתם יושבים ואומרים לנו זה לא יקרה או אנחנו זהירים, בואו ותהיו כנים ותבדקו באמת כמה אתם זהירים...

1. מתן הרשאות מותאמות תפקיד וצורך

באמצעות הגדרת הרשאות באופן מסודר הארגון יכול לפקח על פעילות העובדים במחשבים. אנשים מתקינים על מחשביהם כל מיני תוכנות משלל מקורות שלעתים לא ברור טיבם  וכל התקנה כזו יכולה להיות פתח לפריצה ולהוות איום ממשי על אבטחת המידע של הארגון. מומלץ במיוחד להגביל את אפשרויות ההתקנה לעובדים בהתאם לתפקידם ולאפשר התקנה של תוכנות ספציפיות שמשרתות את התפקיד ולהעניק הרשאות המאפשרות התקנה רק לעובדי ITאו עובדים בעלי כישורים, מיומנות, ידע ומודעות בנושא אבטחת המידע.

2. גלישה באינטרנט

מומלץ למנוע גלישה באתרים שהם לא נדרשים לצרכי העבודה, כגון: אתרי משחקים חינמיים (במקרים רבים באתרים כאלו מצויות תוכנות ריגול ומעקב או שהן "מודבקות" למשחקים עצמם או הפלאגינים, שמאפשרים משחק) אתרי ספורט, שימוש בצ'אטים אשר מגדילים את הסיכוי לזליגה של קבצים ותוכן מתוך הארגון.

כל גלישה באתר כזה חושפת את הארגון לאיומים חיצוניים. מומלץ להתקין מערכות ייעודיות שתפקידן לנטר את האתרים אליהם העובדים יכולים להיכנס ולחסום את הגישה לאתרים שמוגדרים כבעיתיים. מערכות אלו משמשות מעין פילטר ויכולות אף לסמן את העובד "הסורר" שלא ממלא אחר ההנחיות באמצעות מעקב אחר הרגלי הגלישה של העובדים.

3. שימוש במחשב נייד

במקרים רבים עובדים משתמשים במחשב נייד שאותו הם לוקחים הביתה ואז חזרה לעבודה והפוך. למעשה מכניסים את המחשב הנייד לסביבה הביתית שהיא אינה מאובטחת באותה הרמה בה מאובטח הארגון. בסביבה הביתית לעיתים יש משתמשים אחרים או ילדים אשר עושים שימוש במחשב ובכך מגדילים את רמת הסיכון והחשיפה  לאיומים עבור הארגון, שאינם נתונים לפיקוח ולבקרה. לכן כדאי להקפיד על הפרדה בין העבודה לבית ולא לאפשר לילדים ולמשתמשים אחרים להשתמש במחשב. כדאי גם להתקין מערכות לחיבור מרחוק מהבית בדרך מוצפנת (VPN וכדומה) ולוודא שעל המחשב עצמו יש את כל אמצעי אבטחת המידע שעומדים באותם סטנדרטים של הארגון כאשר ישנן אף מערכות ייעודיות לעניין זה שלא יאפשרו התחברות ו/או גישה מרחוק אם לא עומדים בסטנדרט הארגוני.

4. אובדן או גניבה של מחשבים ניידים

מחשבים ניידים וכן בכלל ציוד נייד כמו טאבלטים, סמארטפונים וכו' מועדים יותר לאובדן או גניבה כיוון שאנשים נוסעים איתם לחו"ל, ברכבת, ברכב וכדומה והם מטבעם ניידים, קטנים יותר וקלים לנשיאה. מומלץ להצפין את כל המחשב / ההתקן הנייד ואף להתקין מערכת אשר יודעת לאתר היכן המחשב נמצא ולמחוק את המידע מרחוק במידת הצורך. כך שבמידה ויש סיכוי לגניבת מידע ותוכן המחשב הופך להיות רק "ברזל" והנזק לארגון מוגבל לשווי הציוד שאבד או נגנב שהוא זניח לעומת שווי המידע שעליו, וכן המערכות מאפשרות אף לעתים איתור הגנב והשבת הרכוש / האבדה.

5. אימייל

האיום הנפוץ ביותר הוא "דייג" מקוון (Phishing), הכוונה היא להתחזות של האקרים בכדי לגנוב זהות ולהשיג מידע רגיש.  הפיתיון לרוב נשלח למשתמש בצורת הודעה תמימה בפורום ועד לדואר זבל שנשלח במסווה של דואר אלקטרוני חשוב או הודעה על זכיה, הגרלה מיוחדת או מבצע אטרקטיבי ואף הודעות במסווה של הודעת אבטחה משירות מוכר כמו PayPal, בנק, Gmail, Facebook, LinkedIn וכדומה. האקרים רבים מתחזים ושולחים קישורים ולינקים כאלו, כל לחיצה על לינק כזה עלולה להשתיל וירוס במחשב או לגרום למשתמש לעדכן את פרטיו האישיים באתר דמי מתחזה וכך בעצם מוסרים פרטים רגישים ביותר כולל סיסמאות להאקר ללא ידיעה.  כיום מאוד קל לשלוח מייל שמכיל חומר התקפי לתוך ארגונים, ולמרות שישנן מערכות ייעודיות שיודעות לסנן היטב את מרבית הוירוסים והמיילים שמטרתם הוא דייג מקוון. מומלץ לא לפתוח בכלל מיילים כאלה, שנשלחו ממקור שאינו מזוהה ובטח שלא ללחוץ על קישורים ולינקים חשודים ולא מזוהים. גם לגבי כאלה שנראים כביכול ממקור מזוהה הרי שהם צריכים לעורר חשד גדול, לרוב אגב אלו נשלחים לכאורה מגוף מוכר אבל כזה שהמשתמש בכלל לא היה איתו בקשר וזוהי כמובן "נורה אדומה" משמעותית.

6. הגדרת סיסמאות

מומלץ להגדיר סיסמא בעלת מורכבות. הכוונה למשל לשילוב בין אותיות גדולות ואותיות קטנות ומספרים וסימנים מיוחדים בכדי למנוע מתוכנות אוטומטיות לאתר את הסיסמה בקלות. קומבינציה פשוטה מגדילה את הסיכוי לפריצה. תוכנות זדוניות אלו רצות על כל הקומבינציות האפשריות (ידוע כשיטת Brute Forcing) וכמובן שככל שהסיסמא קלה יותר ל-"ניחוש" הזמן הנדרש לפצחה נמוך יותר. במידה והסיסמא מורכבת מספיק אז הסיכוי שתוכנות רצות יפרצו את הסיסמאות קטן. לא מומלץ גם להגדיר בתור סיסמא תאריכי לידה, שמות של הילדים, מספרי תעודת זהות וכדומה וכל מידע שניתן לקשרו למשתמש או לנחש באמצעות קומבינציות סבירות (ידוע כשיטת Dictionary Attack). את הסיסמאות צריך להחליף בתדירות גבוהה יחסית ולא להחליפן לסיסמאות שדומות למה שהוגדר בעבר. ארגונים צריכים להטמיע מדיניות סיסמאות כאמור במערכותיהם, Hard Coded, כדי למנוע פריצה חמורה זו, ומרבית המערכות כיום ערוכות לכך היטב.

7. ביטחון פיזי

כדי למנוע פריצה ידנית מומלץ להתוות מדיניות לגבי אנשים שאינם עובדים בארגון ונכנסים למשרדים כגון ספקים חיצוניים, טכנאים ואנשי מחשבים, שבמסגרתה יוגדר כי הם נכנסים לארגון בליווי צמוד ולאחר הזדהות ותיעוד של הגעתם ועזיבתם כולל דרך לזיהויים. אלו יכולים להשתיל באופן ידני משהו במחשבים או להעתיק מידע ותוכן באמצעות דיסק נשלף. לעתים אף גורם תמים שמופיע לכאורה באקראי כמו "מתרים" או אדם שאיבד את דרכו מתגלה כהאקר או כשלוח של מתחרים זדוניים, לא אחת היו אף מקרים של מועמדים פיקטיביים לתפקיד שהתגלו כ-"שתולים" או כאלו שהושתלו בחברות כוח אדם המספקות שירותים חיצוניים כמו שירותי ניקיון משרד (או אז המשרד גם "מנוקה" מהמידע הרגיש שבו...).

8. מחלקת IT

חשוב להגדיר ברמה הארגונית כי אחד מתפקידיה של מחלקה זו יהיה לעסוק באופן קבוע בנושא אבטחת מידע, בקרה וניטור. להשתמש בעדכונים שוטפים שמציעה מערכת ההפעלה, שימוש בתוכנות לאיתור וירוסים, שימוש בתוכנות ניקוי שונות, רכיבי חומת אש בכדי לחסום התקשרויות בלתי רצויות וחדירת האקרים ומניעת זליגת נתונים מחוץ לארגון.  הסטנדרט המקובל היום הוא להעסיק איש ITביחס של 1:8 לכל עובד בארגון. מחלקתIT  טובה יכולה למנוע פריצות באבטחת מידע ולמזער איומים באמצעות הגדרת נהלי עבודה והטמעת מדיניות ברורה ומתן הרשאות מוגבלות בהתאם לצורך ולתפקיד. תפקיד המחלקה גם  ליישם את הנהלים במערכות כדי למנוע מאנשים לעשות שגיאות. יש להקפיד כי אנשי המחלקה הם בעלי ידע מתאים, כישורים מתאימים ועוברים הכשרות בתחום אבטחת המידע וכן מעסיקים יועצים חיצוניים (מומחים) להשלמת פערים שלא מצופה ממחלקת ה-ITלתת להם מענה, כמו-גם מענה לתקריות ואירועי חירום או אירועים חריגים בכלל בתחום אבטחת המידע.