Szkocki Sąd odpowiedzialny za wyciek danych
Czy uważasz, że szkocki sąd to bezpieczna instytucja? Ja też tak myślałem. A teraz ujawniono informację, że Biuro Komisarza ds. Informacji ujawniło, że poufne dokumenty stały się ofiarą recyclingu w Glasgow.
Ujawniło się to w bardzo prosty sposób. Jeden z dzienników opublikował szczegóły na temat dokumentów dotyczących pewnej apelacji z września 2010. Redaktor raportów sądowych zgubił te dokumenty, właściwie to z racji, że sąd nie sprecyzował w jaki sposób powinny być zabezpieczane.
Teraz odbywa się „polowanie na czarownice”, którego nieodłącznym elementem jest kampania informacyjna o wymaganiach względem bezpieczeństwa informacji. Każda osoba, która przechowuje bądź używa poufnych dokumentów musi podpisać odpowiednie oświadczenie zrozumienia.
Pentagon: Tak, to było najwieksze cyberzagrożenie w historii USA.
Pentagon w końcu potwierdził, wyciek danych, który zdarzył się w 2008 roku, który jeden z ich najwyższych przedstawicieli nazwał „najbardziej znaczącym przełamaniem zabezpieczeń w historii wojskowych komputerów w USA”. Atak został przeprowadzony przez agenta obcego wywiadu, który użył pendrive’a, żeby zainfekować wojskowe komputery. Między innymi te, które były w centrum dowodzenia, odpowiedzialnym za operacje w Iraku i Afganistanie.
„przyczółkiem, z którego dane mogłyby być transferowane na serwery będące pod kontrolą innych państw” – mówi William J. Lynn 3d, zastępca sekretarza bezpieczeństwa dla the New York Times. „Każdy administrator nabardziej boi się właśnie takiego scenariusza: niebezpieczny program, który po cichu opanowuje sieć, stworzony aby dostarczyć plany operacyjne w ręce nieznanych przeciwników,” dodaje Lynn.
Sprawca całego zamieszania, pendrive wielkości zapalniczki, który został podłączony do wojskowego laptopa w bazie na Bliskim Wschodzie, stął się
Zadzwoń, sprawdź, czy ktoś ukradnie Twoją tożsamość.
Tak, znwou ukradziono komputer. Właściwie komputery. Tym razem z Montefiore Medical Center. Komputery przechowywały poufne dane studentów i pacjentów, przechowywane przez wydział finansów i administrację School Health Program. Serio, czy chodiz tu o sprzęt, czy dane na tych stacjach roboczych?
Najpierw, w końcu maja, 2 desktopy zostął poprostu wyniesione z biur wydziału finansów, a sama kradzież została odkryta kilka dni później. Oczywiście, na dyskach twardych znajdowały się dane pacjentów – przedewszystkim ich imiona i numery fizycznych kart pacjenta. U niektórych pacjentów również były to numery ubezpieczenia społecznego, daty urodzenia, daty przyjęcia do szpital, a także dane ubezpieczycieli.
Potem, w okolicach 10 czerwca, kolejne 3 komputery zostały skradzione. Tym razem wykryto ten incydent na następny dzień. I co? Te komputery zaginęły z biur administracji Montefiore’s School Health Program – progrmau zdrowia dla uczniów szkół. DatalossDB szacuje, że znalazło się tam 23 000 zestawy danych (nazwisko, data urodzenia, numer karty pacjenta i dane kontaktowe opiekunów. 23 000 niepełnoletnich osób padło ofiarą kradzieży komputerów.
Wszystkie ukradzione komputery były chronione hasłami, ale Montefiore nie wspomina o jakiejkolwiek innej ochronie. Na dzień dzisiejszy, ściśle współpracują z policją w śledztwie. I ani policja, anie przedstawiciele centrum nie wierzą, że złodziejom chodziło o dane na komputerach. Ciekawe co z tymi, którzy odkupią od nich rzeczone komputery. Pacjenci, ich opiekunowie, studenci mogą skontaktować się z Montefiore pod specjalnym numerem telefonu, żeby dowiedzieć się, czy padli ofiarami tego incydentu.
Pomieszaj, dopasuj, wyślij.
Wygląda na to, że tym teraz zajmuje się HM Revenue & Customs (odpowiednik Urzędy Skarbowego w Wielkiej Brytanii). Po nadaniu ulg podatkowych ponad 50 000 osobom, które wnioskowały o nie wnioskowali, informacje na ten temat przesłali pocztą. Komu? Wniskodawcom. Każdy z nich otrzymał całkiem sporo prywatnych informacji i powiadomienie o nadaniu ulgi, tyle, że żadna osoba nie dostała kompletu swoich dokumentów, tylko cudzych. Wysokośc rocznych zarobków, fragment numeru konta, numer ubezpeczenia i nazwiska zostały losowo przekazane wnioskodawcom. HMRC zaświadcza, że zamierza przeprosić ofiary i zapewnia, że nie wynikną z tej kwestii żadne kradzieże informacji.
Błąd, który naraził tylu ludzi na niebieczeństwo, zdarzył się gdzieś w trakcie procesu drukowania tych informacji. Oczywiście śledztwo trwa, a w międzyczasie przedstawiciele firmy zamierzaja przepraszać poszkodowanych i dostarczyć nowe informacje o przyznanych ulgach.
Ja mam nadzieję, że wszystko co się dzieje, niech tylko HMRC pozna przyczyny i poinformuje o wszystkim klientów.
Skąd jeszcze wypływają dane?
28 000 członków funduszu kredytowego Straży Pożarnej w Los Angeles jest zagrożone wyciekiem ich prywatnych danych. Niedawno władze funduszu powidomiły ich, że podejrzewają wyciek danych przy przenoszeniu plików. Po prostu możliwe jest, że pewna część danych został skopiowana podczas przeprowadzki organizacji do nowego biura.
Dane, które mogły zostać skradzione to przede wszystkim nazwiska, adresy i numery telefonów, oraz numery ubezpieczenia społecznego. Na początku fundusz, powołując się na nowoczesną technologię i protokoły uprwaniające użytkowników, chciał utwierdzić członków, że ich dane sa bezpieczne (zmniejszając niepokój)). Z drugiej strony – przy tej ilości danych osobowych, w systemach o mniejszych zabezpieczeniach – będzie łatwiej dostać do zasobów członków. Na dzień dzisiejszy, fundusz będzie poddawany minitorowaiu pok kątem przepływów pieniężnych i obiecuje, że w przyszłości lepiej obsłuż transfery
Gdzie wyciek danych kosztuje najwięcej?
Każdy wyciek danych, jeżeli Twoja firma działa w USA, kosztuje więcej niż gdziekolwiek indziej. Ponemon Institute w swoim najnowszym badaniu pokazuje, że utrata danych w USA niesie ze sobą 2 razy większe straty niż gdziekolwiek indziej. Wszystko jest zależne od prawodwastwa w tej kwestii. W końcu nie tylko USA, ale także inne kraje mają złożone zasady związane z bezpieczeństwem i skutkami utraty danych.
Porównując skutki wycieku danych w 5 krajach – USA, UK, Niemczech, Francji i Australii, autorzy wywnioskowali, iż USA, mimo, że 46 stanów wprowadziło prawo nakazując firmie-ofierze publiczne informownie o ataku, to koszt z każdego incydentu jest o 43% wyższy niż światowa średnia. Potem są Niemcy, gdzie kosz taki jest o 25% wyższy od światowej średninej. Z racji, żę w UK, Francji i Australii nie ma praw zmuszających do informacji o wyceiku danych, koszty tego, są de facto niższe od średniej światowej. Dla porównania, na kampanię ifnormacyjną w związku z wyciekiem danych w USA poświęca się ok. 500 tysięcy dolarów, a we Francji, jedną piątą tego.
Ponemon wyróżnia 5 kategorii kosztów w takich sytuacjach: wykrycie, eskalacja, powiadomienie, odpowiedź po wycieku i straty klientów.
Twoje dane w śmietniku
Wszyscy martwimy się dziurami w ochronie naszych danych, słabymi politykami bezpieczeństwa, które otwierają drogę dla najgorszych koszmarów świata IT, kradzieżą i oszustwem… a zopominamy o jednej kwestii. Są firmy, których nie obchodzie co się stanie z informacjami o nas. Tak po prostu.
Wyobraź sobie taką sytuajcę: firma X kończy swoją działalność, z racji, że kiedyś było lepiej i nie warto się przejmować, tylko należ uniknąc strat i taktycznie się wycofać. Przez lata zbierali prywatne dane od swoich wszystkich klientów. Tych danych powinni sie teraz skutecznie pozbyć. Właściwie to wystarczyłoby kliknąć ‘delete’ i cieszyć się świętym spokojem. A co jak te dane spoczywają w wydrukowanej formie, w jakimś segregatorze? Są dwa wyjścia – czasochłonne i nieczasochłonne. Czasochłonne oznacza, że ktoś przepuści te dokumenty przez niszczarkę. Nieczasochłonne to scernariusz, w którym worek z dokumentami ląduje w najbliższym koszu na śmieci. Jak myślisz, które z tych rozwiązań jest częściej wybierane?
Tak się stało przy okazji likwidacji sklepu-wypożyczalni Hollywood Video w centrum handlowym w Baring Village. Z powodu upadku całej sieci, sklepy były likwidowane. A setki deklaracji członkowskich wylądowały w koszu na śmieci na tyłach centrum. Nieświadomi klienci byli narażenie na kradzież ich tożsamości i oszustwa. Większość formularzy zawierała nazwiska, adresy, daty urodzin, numery dowodów osobistych oraz wzoty podpisów. A część nawet dane kart kredytowych.
Na szczęście, część formularzy została odnaleziona i zwrócona sygnotariuszom, a pozostałe zostaną zniszczone przez policję. A kto ponosi winę za to? Byli pracownicy? Firma? A może użytkownicy, którzy nie interesowali się co się dzieje z ich danymi?
Które dane w końcu wyciekły?
Ostatni atak w stylu DoS (Denial of Service) na serwer nie tylko pozwolił na przełamanie się przez ochronę sieci, ale także na dostęp do komputera, który zawierał nazwiska, numery identyfikatorów, a także numery telefonów 2500 obecnych i byłych pracowników. Mimo, ze takie dane, jak numery ubezpieczenia społecznego, nie były przechowywane na serwerze, był on połaczony z innymi maszynami, które zawierały prywatne dane 26000 osób i dostawców.
Na szczęście wszystkie dane uczniów znajduja się w różnych sieciach w Eugene School District, więc nikt z nich nie ucierpiał na wycieku danych. Tak jakby jednymi ofiarami byli dorośli.
Z kolei zbiór danych 26000 osób wcale nie ma tkaiej pewności. Nie ma dowodów ani na to, że dane wyciekły, ani na to, że pozostały w spokoju. Cały czas jest prowadzone śledztwo w tej kwestii, a strona internetowa szkoły opublikowała informację o wycieku. Oczywiście do tego zostąły podjęte wszelkie działania, żeby zabezpieczyć serwer, aby wszystkie informacje, które nie padły ofiarą ataku, pozostały bezpieczne.
Więcej informacji znajdziesz tutaj.
Co chcą kraść pracownicy?
Jeżeli którykolwiek z managerów zastanawia się jeszcze, czy jego pracownicy mogliby wynieść poufne dane z firmy, to odpowiedź jest prosta. Tak. I wiedzą, że jest to niezgodne z prawem. A większość firm zdaje sobie sprawę, że niebezpieczeństwo leży wewnątrz ich struktur, ale robią niewiele żeby je zażegnać. Takie wnioski wysnuło Dark Reading po porównaniu dwóch badań stworzonych przez producentów oprogramowania do ochrony.
Jedno z nich skupiło się na 600 pracownikach z działów finansowych w Nowym Yorku, USA, i Londynie. Wielu z respondentów przyznało, że często „zabierali pracę” do domu i zatrzymywali dla własnych korzyści. Podczas gdy zdecydowana więksozść wiedziała, że jest to nielegalne, częśc przyznała się, że zmieniając pracę, zabierali ze sobą informacje z poprzedniej firmy, a inni stwierdzili, że podzielili by się poufnymi informacjami z rodziną, przyjaciółmi, lub wtedy gdy pomogłoby im to w znalezieniu lepszej pracy. Niektórzy, po prostu traktowali takie dane jako swoją „polise ubezpieczeniową”.
To co najchetniej zabraliby z Twojej firmy? Na pewno list klientów i podpisanych kontrkatów, oferty, plany współpracy. Rzadziej informacje o produktach. Read more
Naruszenie bezpieczeństwa danych w BCBS pod mikroskopem.
BCBS (Blue Cross Blue Shield) zajmuje się ubezpieczeniami zdrowotnymi dużej części amerykańskiego społeczeństwa. Innymi słowy przechowuje dane takie jak infomacje o podatniku i numer ubezpieczenia społecznego, które wcześniej pobiera od 800000 dostarczycieli usług medycznych w całych Stanach Zjednoczonych. I wszystko jest dobrze, póki te dane są bezpieczne i wykorzystywane jedynie przez firmę ubezpieczeniową. Jednak w momencie, kiedy pojawia się naruszenie bezpieczeństwa danych w firmie, sytuacja przestaje byc przyjemna. Szczególnie, gdy instytucja nie poinformuje głównych zainteresowanych, o tym, co się stało.
Nie tylko prowadzi to do utraty dobrego wizerunku, ale też przyciąga uwagę służb porzadkowych. Wyciek danych w BCBS jest właśnie pod lupą Prokuratury Genralnej w Connecticut. Dlaczego? Prawo Stanowe dokładnie podkreśla ważność tego, aby w razie wycieku danych klientów, niezwłocznie poinformować ich o zdarzeniu. BCBS podobno tego nie zrobiło.
Cała sytuacja zadziała się w sierpniu, kiedy to laptop z poufnymi danymi został skradziony. W dniu dzisiejszym, jedynie stan Connecticut prowadzi na ten temat śledztwo, w imieniu 18 817 dostarczycieli usług medycznych na swoim terytorium. Stawką jest roczny monitoring tego, co się dzieje z bezpieczeństwem informacji w firmie i nakaz wprowadzenia dodatkowej ochorny danych.
Z drugiej strony, BCBS wyraźnie podkreśla, że zaczęli powiadamiać zainteresowanych w kilka dni po incydencie, a nie miesiąc później, tak jak informuje prokuratura. W każdym razie, wspomniany monitoring wcale im nie przeszkadza, wręcz mogliby rozszerzyć go na 2 lata – przynajmniej w jednym z oddziałów.
