9000:1
Jeden pracownik wystarczył, żeby nieumyślnie stracić dane 9,000 byłych i obecnych urzędników Wydziału Zdrowia Stanu Kalifornia. Miał bardzo dobry pomysł – skoro miał dostęp do tych danych, skopiował je na swoją pamięć flash. Jedyny problem był w tym, że stracił tę pamięć, a wraz z nią, nazwiska, daty urodzenia, adresy i inne dane w archiwach wynagrodzeń 9000 poszkodowanych.
Wydział zdrowia teraz bada, jaki jest rozmiar tego wycieku danych, a główny winowajca przebywa na przymusowym urlopie, odpowiadając na pytania, które pomogą zrozumieć co się stało. Wyciek danych został wykryty dzięki stanowemu systemowi monitorowania bezpieczeństwa, który powiadomił o podejrzanej aktywności odpowiednie służby jeszcze w kwietniu. Oczywiście, teraz instytucja zapewnia, że poprawiła swoje zabezpieczenia aby uniknąć podobnych wypadków.
Zakładam, że zostało zainstalowane rozwiązanie z zakresu endpoint security, które może blokować usb, jeżeli nie spełniają pewnych wymogów (np. nie są szyfrowane), kontrolować porty i monitorować jakie pliki są przenoszone. Kontrola urządzeń przenośnych to wciąż temat niezbyt popularny, ale czasem rozwiązanie tego rodzaju, szczególnie jedno z tych bardziej skomplikowanych (http://www.endpointprotector.com/) może pomóc zapobiegać wyciekom danych i ochroni przed ignorancją pracowników.
Nowa jakość w bezpieczeństwie danych :)
Spotkaliście się wcześniej ze steampunkiem? Za pl.wikipedia.org:
Steampunk – odmiana fantastyki naukowej, specyficzna, boczna gałąź cyberpunku. W przeciwieństwie do cyberpunku, technologia otaczająca bohaterów nie jest oparta na elektronice lecz na mechanice (np. odpowiednikiem komputera jest maszyna różnicowa). Akcja utworów steampunkowych przeważnie rozgrywa się w epoce wiktoriańskiej – erze rewolucji technicznej, wieku pary (stąd nazwa gatunku: steam, ang. – para), w której historia potoczyła się inaczej niż w naszych dziejach. Dzięki temu steampunk zalicza się także do nurtu tzw. historii alternatywnej.
Zastanawiacie się jak wyglądało by bezpieczeństwo IT w epoce pary? Dzięki steampunker.ru możemy zobaczyć to na własne oczy. Po ustawieniu
właściwej kombinacji liczb, możemy używać pamięci flash wewnątrz. Mi Przypomina on Cryptex – narzędzie do przechowywania wrażliwych informacji z książek Dana Browna. Jedyna różnica jest taka, że w tym przypadku pendrive nie zostanie zniszczony, jeżeli spróbujemy go otworzyć siłą. Na razie powstał tylko jedno takie urządzenie, ale myślę, że część firm czegoś takiego może poszukiwać – zamiast blokować dostęp do portów USB dla pracowników, mogą pozwolić na przenoszenie wrażliwych danych na tak zabezpieczonych pamięciach.
Ewentualnie zawsze pozostaje szyfrowanie pamięci USB np. dzięki Easy Lock lub o krok dalej, kontrolowanie przenoszonych plików – np. dzięki Endpoint Protector. Zasada jest prawie ta sama – nie da się otworzyć zawartości bez odpowiedniego hasła. A i szyfrowanie może być tańsze od produkcji takich cudeniek z mosiądzu.
Nowa, ponadnarodowa agencja.
Ostatnie miesiące przyniosły dość sporo zmian, jeżeli chodzi o zaufanie do niektórych dostawców usług w internecie (PlayStation Network), ataki na pewne instytucje rządowe etc. Anonymous i LulzSec to dwie grupy, które bardzo mocno naraziły się administratorom bezpieczeństwa i sprawiły, że zupełnie inaczej patrzymy na to, co może się stać z naszymi danymi.
Stąd pomysł zawiązania międzynarodowej grupy, właściwie to organizacji pozarządowej, która połączy działania różnych instytucji – śledczych np. EuroPolu, rządów, a także firm specjalizujących się w dziedzinie bezpieczeństwa. Jej rola to przede wszystkim wymiana informacji między zaangażowanymi podmiotami.
Z dniem 5 lipca organizacja International Cyber Security Protection Alliance została oficjalnie założona w Londynie. Teraz czekamy na rezultaty.
Z jednej strony mamy romantyczny obraz hakera, który sprzeciwia się establishmentowi, z drugiej strony konglomerat korporacji, rządów zachodnich Państw i ponadnarodowych służb bezpieczeństwa. LulzSec na facebook.com ma ponad 11 000 fanów, EuroPol – niewiele ponad 300.
Ważne tylko, żeby nasze własne dane były bezpieczne.
Kto tym razem? Citigroup.
Dziś dowiedziałem się, że Citigroup – właściciel m-in. mojego banku (Citi Handlowy) stracił jeden procent informacji z bazy danych klientów. A były to nazwiska, adresy e-mail i numery konta 210 000 tysięcy klientów banku. Jak podaje gazeta.pl, bank nawet bezpłatnie wymieni karty klientom, którzy zostaje poszkodowani.
To w czym problem? Otóż bank wie o tym incydencie od początku maja. W tym czasie wielu użytkowników mogło się stać ofiarami np. ataków phishingowych. Paweł Zegarłowicz , rzecznik prasowy banku w Polsce zapewnił, że:
w ostatnim okresie nie zaobserwowano jakiejkolwiek aktywności związanej z tą informacją prasową
co jest nawet uspokajające, zważając na to, że dane Polskich klientów nie zostały naruszone. Za to wired.com dotarło do pracownika, który zapewnia, że
implemented enhanced procedures to prevent a recurrence of this type of event
ale co to znaczy dla klientów, jakie kroki dokładnie podejmuje bank – tego się nie dowiemy.
Proste, prawda? Nic tak nie wzbudza chaosy jak świadomość, że nasze pieniądze nie są bezpieczne. W dzisiejszych czasach, każdy może stracić oszczędności życia, za to przestępca nawet nie musi wychodzić z domu. A do zyskania są duże pieniądze. Szkoda tylko, że nie zawsze bank bierze za to odpowiedzialność.
Przenieś się w chmurę…
Już masz dość tego, że z awarią laptopa tracisz swoje pliki? Trzymaj je w chmurze – Twoje dane będą przechowywane i obrabiane w potężnej farmie komputerowej. Swoje zdjęcia powierzysz google i wrzucisz na Picassę. To samo zrobisz z dokumentami – od dziś to będą Twoje google docs. A może usługi z bezpieczeństwem danych – możesz wykorzystać np. myEndpoint Protector. Genialne, prawda? Cloud computing to przyszłość, nie tylko dla Ciebie, ale także dla Twojej firmy. Read more
Szkocki Sąd odpowiedzialny za wyciek danych
Czy uważasz, że szkocki sąd to bezpieczna instytucja? Ja też tak myślałem. A teraz ujawniono informację, że Biuro Komisarza ds. Informacji ujawniło, że poufne dokumenty stały się ofiarą recyclingu w Glasgow.
Ujawniło się to w bardzo prosty sposób. Jeden z dzienników opublikował szczegóły na temat dokumentów dotyczących pewnej apelacji z września 2010. Redaktor raportów sądowych zgubił te dokumenty, właściwie to z racji, że sąd nie sprecyzował w jaki sposób powinny być zabezpieczane.
Teraz odbywa się „polowanie na czarownice”, którego nieodłącznym elementem jest kampania informacyjna o wymaganiach względem bezpieczeństwa informacji. Każda osoba, która przechowuje bądź używa poufnych dokumentów musi podpisać odpowiednie oświadczenie zrozumienia.
Małe rybki są łątwiejsze do złapania?
W 2010 roku, Europa wyprzedziła obie Ameryki i Azję w kwestii naruszenie bezpieczeństwa informacji przez Internet. Dlatego wszyscy eksperci bezpieczeństwa skupiają uwagę na tym kontynencie. Wyjątkowo, bycie nr 1. nie jest najlepszą rekomendacją.
Po pierwsze, chiński rząd ściśle kontroluje dostawców internetu, więc wszystkie nielegalne elementy ich biznesu trafiły do Europy Wschodniej. Według Jamz Yaneza z Tren Micro, dzięki twardej polityce, spadła ilość SPAMu w Chinach. Ale co z tego, skoro Państwo Środka jest drugim, po Europie źródłem cyberprzestępczości.
Poza tym, coraz częściej ataki mają skalę lokalną. Na przykład w Brazylii, ataki w stylu phishing albo botnet najczęściej dotykają małych, lokalnych banków.
Na pewno też specjalnie bezpieczne nie będą nowe platformy. To, ze używasz mniej popularnego systemu, wcale nie chroni Ciebie przed targetowanymi atakami. Poza tym, ważne jest, żeby kontrolować nie tylko Twój OS, ale także aplikacje, które używasz.
Jak łatwo narazić wiele osób na kradzież tożsamości?
Jeden pendrive. Należał do pracownika Cooper University Hospital. Zginął 8 lipca. Czy powinno kogokolwiek to obchodzić? Tak, na przykład absolwentów Cooper University, którzy byli rezydentami w uniwersyteckim szpitalu. Kilka dni później zostało to zgłoszone odpowienim służbom, które już ponad 2 tygodnie sprawdzają jak duże to jest zagrożenie dla uniwersytetu.
Oczywiście, jak zwykle w takich sytuacjach – znalazca dostła pełen pakiet danych – numer ubezpieczenia społecznego, adres i telefon. I oczywiście dane nie były szyfrowane ani jakkolwiek inaczej chronione.
A co powiedział na ten tmeat sam Uniwersytet? Oczywiście zapewnia, że zostaną zbadane okoliczności zaginięcia pendrive’a. Poza tym każda z zagrożonych osób dostała sugestię, aby poinformować indywidulanie o tym policję.
Na razie nie ma informacji o kimkolwiek, kto mógł stać się ofiarą tego problemu.
Opłaty dodatkowe w biurze podróży
Biuro podróży z Edmonton jest właśnie przedmiotem śledztwa. Śledztwa na temat oszustwa za pomoca kart kredytowych po fali skarg klientów, którzy stracili ponad 50 000 USD. Według odpowiedzialnych za policyjne śledztwo, były pracownik jest oskarżony w tej sprawie, ale podobno także moga być z tą sprawą powiązani także inni pracownicy.
Cały czas śledczy są we mgle, ale jasne jest to, że 11 byłych klientów, którzy korzystali z usług agencji, zauważyło, że nie tylko oni korzystają ze swoich kart kredytowych. Na początku, skarga spłynęła od klienta, który został obciążony 20 000 USD długu na karcie kredytowej. Wszystkie razem pozwy stworzyły sumę ponad 50 000 USD.
Wprawdzie niewiadomo, do ilu kart kredytowych uzyskano dostęp, skoro praktycznie każdy pracownik miał dostęp do tych danych. Policja może zebrać wystarczajaco dowodów, żeby zatrzymać i ukarac sprawców. Teraz potrzebują czasu.
Gdzie wyciek danych kosztuje najwięcej?
Każdy wyciek danych, jeżeli Twoja firma działa w USA, kosztuje więcej niż gdziekolwiek indziej. Ponemon Institute w swoim najnowszym badaniu pokazuje, że utrata danych w USA niesie ze sobą 2 razy większe straty niż gdziekolwiek indziej. Wszystko jest zależne od prawodwastwa w tej kwestii. W końcu nie tylko USA, ale także inne kraje mają złożone zasady związane z bezpieczeństwem i skutkami utraty danych.
Porównując skutki wycieku danych w 5 krajach – USA, UK, Niemczech, Francji i Australii, autorzy wywnioskowali, iż USA, mimo, że 46 stanów wprowadziło prawo nakazując firmie-ofierze publiczne informownie o ataku, to koszt z każdego incydentu jest o 43% wyższy niż światowa średnia. Potem są Niemcy, gdzie kosz taki jest o 25% wyższy od światowej średninej. Z racji, żę w UK, Francji i Australii nie ma praw zmuszających do informacji o wyceiku danych, koszty tego, są de facto niższe od średniej światowej. Dla porównania, na kampanię ifnormacyjną w związku z wyciekiem danych w USA poświęca się ok. 500 tysięcy dolarów, a we Francji, jedną piątą tego.
Ponemon wyróżnia 5 kategorii kosztów w takich sytuacjach: wykrycie, eskalacja, powiadomienie, odpowiedź po wycieku i straty klientów.
