Naruszenie bezpieczeństwa danych w BCBS pod mikroskopem.

BCBS (Blue Cross Blue Shield) zajmuje się ubezpieczeniami zdrowotnymi dużej części amerykańskiego społeczeństwa. Innymi słowy przechowuje dane takie jak infomacje o podatniku i numer ubezpieczenia społecznego, które wcześniej pobiera od 800000 dostarczycieli usług medycznych w całych Stanach Zjednoczonych. I wszystko jest dobrze, póki te dane są bezpieczne i wykorzystywane jedynie przez firmę ubezpieczeniową. Jednak w momencie, kiedy pojawia się naruszenie bezpieczeństwa danych w firmie, sytuacja przestaje byc przyjemna. Szczególnie, gdy instytucja nie poinformuje głównych zainteresowanych, o tym, co się stało.

Nie tylko prowadzi to do utraty dobrego wizerunku, ale też przyciąga uwagę służb porzadkowych. Wyciek danych w BCBS jest właśnie pod lupą Prokuratury Genralnej w Connecticut. Dlaczego? Prawo Stanowe dokładnie podkreśla ważność tego, aby w razie wycieku danych klientów, niezwłocznie poinformować ich o zdarzeniu. BCBS podobno tego nie zrobiło.

Cała sytuacja zadziała się w sierpniu, kiedy to laptop z poufnymi danymi został skradziony. W dniu dzisiejszym, jedynie stan Connecticut prowadzi na ten temat śledztwo, w imieniu 18 817 dostarczycieli usług medycznych na swoim terytorium. Stawką jest roczny monitoring tego, co się dzieje z bezpieczeństwem informacji w firmie i nakaz wprowadzenia dodatkowej ochorny danych.

Z drugiej strony, BCBS wyraźnie podkreśla, że zaczęli powiadamiać zainteresowanych w kilka dni po incydencie, a nie miesiąc później, tak jak informuje prokuratura. W każdym razie, wspomniany monitoring wcale im nie przeszkadza, wręcz mogliby rozszerzyć go na 2 lata – przynajmniej w jednym z oddziałów.

Z cyberprzestępczością na codzień.

Jeżeli kiedykolwiek się zastanawiałeś, jak dużo zagrożeń ze strony cyberprzestępczości napotyka na codzień agencja federalna, to właśnie znalazłeś odpowiedź. Przynajmniej jedno. Codziennie. Około jednej trzeciej specjalistów IT, zatrudnionych przez agencje federalne, mówi, że przy najmniej raz dziennie doswiadczają albo zewentrznego ataku, działania złosliwego oprogramowania, zagubienia urzadzenia przez pracownika, przeglądania danych przez osoby nieupoważnione lub jakiegokowliek innego zagrożenia w sieci.

Pewnie przynajmniej część z nich pracuje w tych samych agencjach. Daltego właśnie te liczby są niepokojące. Ani częstotliwość, ani konsekwencje ataków nie zmieniły się raczej w stosunku do lat poprzednich. Najczęstsze problemy to w tym roku malware (u 33% respondentów), nieodpowiednie korzystanie z sieci przez pracowników (25%), zarządzanie dostępem do sieci dla zaakceptowanych, zdalnych użytkowników (25%)  szyfrowanie danych (23%).

Więkoszść uczestników badania, jako rozwiązanie tego problemu wybrała zakup nowego, lepiej dostosowanego oprogramowania do bezpieczeństwa sieci. I z racji, że większośc agencji juz teraz szuka rozwiązań na rynku, nie jest niespodzianka wynik badań rynku firym Input (DarkReading). Otóż, według badania, wydatki na bezpieczeństwo IT wśród agencji federalnych wzrosną o 48% z 7,9 miliarda USD do 11,7 miliarda USD w 2011 roku. Obecnie rozwijana centrum bezpieczeństwa danych NSA i centrum operacyną się właśnie kluczowymi inwestycjami w tym zakresie.

Kolejni Specjaliści opuszczają Obamę

No i co z tego, że Biały Dom ma ma nowy, wspaniały plan bezpieczeństwa w sieci, skoro większość osób odpowiedzialnych za jego wprowadzenie i ugruntowanie zrezygnowało z pracy w administracji Barracka Obamy w ciągu ostatnich kilu miesięcy.

Najpierw, w marcu, Rod Beckstrom zrezygnował z funkcji dyrektora National Cybersecurity Center, wydziału w Departamencie Bezpieczeństwa Wewnętrznego. Rzeczone centrum zajmuje się koordynowaniem ochrony sieci komputerów cywilnych, wojskowych i wywiadu. Dlaczego Beckstrom zrezygnował? Otóż, w liście, który przekazał, pisze, że zbyt mały budżet którym dysponował i nieudolna kontrola ze strony National Security Agency nie pozwalały mu na rzetelne wykonywanie pracy.

Kolejną osobą, która ogłosiła swoją rezygnację była Melissa E. Hathway. Melissa była głównym dyrektorem ds. bezpieczeństwa w sieci w administracji Obamy. Miesiące opóźnienia w powłaniu osoby odpowiedzialnej za nadzorowanie bezpieczeństwa sieci krytycznych dla Stanów Zjednoczonych. The Register wskazuje, że Hathway była jednym z najlepszych kandydatów na „cara bezpieczeństwa sieci”, osoby która miałaby możliwość zabezpieczać sieci i infrastrukturę, które pracuja dla banków, szpitali i giełdy w USA.

Jako trzecia, całkiem nie dawno zrezygnowała Mischel Kwon. Szefowa wydziału wewnątrz Departamentu Bezpieczeństwa Wewnętrznego, który zajmował się zarządzaniem kryzysowym w wyjątkowych sytuacjach zagrożenia sieci. Plotka rozpowszechniona przez Washington Post mówi, że Kwon była sfrustrowana biurokratyzacją i brakiem faktycznej władzy, co powstrzymywało ją przed spełnianiem swojej pracy. Właściwie, to nie jest pozycja, którą zajmuje się długo. W ciągu ostatnich 5 lat dyrektorzy zmeiniali się 4 razy.

Mam nadzieję, że mimo tych przeszkód, plan bezpieczeństwa w sieci zostanie wprowadzony bez kolejnych rezygnacji, opóźnień etc.. Trzymam kciuki!

Jak się (nie) chronią najlepsi…

Kiedy myślisz o instytucjach, takich jak Brytyjskie Ministerstwo Obrony, podejrzewasz pewnie, że ochrona jest tam wręcz nie do przejścia. Tak, że nie zadrzesz z nimi już drugi raz. Niestety, jak rzeczone ministerstwo podaje (V3.co.uk) w ostatnich latach, przypadki utraty danych wzrosły 4 razy. Według nieoficjalnych źródeł w 2008 i 2009 roku stało się to 8 razy, co wobec 2 w poprzednim okresie jest imponujacą liczbą. Najbardziej poważne okazało się zaginięcie przenośnego dysku twardego z posiadłości jednego z wykonawców dla ministerstwa. Były tam imiona i nazwiska, numery paszportów i dane do kont bankowych 1,7 miliona osób.

Wśród innych wypadków było zgubienie trzech pamięci USB z „bezpiecznej posiadłości rządowej”. Na nich z kolei były dane wszystkich członków personelu pomocniczego RAF, kótrzy odbywali służbę od 2002 do 2008 roku, a także ich krewnych.

Z kolei w kwietniu zeszłego roku, nieszyfrowany laptop został skradziony z budynku ministerstwa, wraz z danymi osobistymi 300 ludzi.

Ministerstwo Obrony przyznaje, że traciło urządzenia elektroniczne, pamieci przenosnie lub wydrukowane dokumenty ponad 15 razy – w tym 6 razy z biur rządowych.

Mam wrażenie, że prywatna firma zrobiłaby coś z tym jakieś 8 utrat danych temu. Ale w końcu to sa fundusze publiczne. Może teraz zainwestuja w jakiś system ochrony?

Najsłabsze ogniwo

Niedawno opublikowany raport „Sophos Security Threat Report” wskazuje na kolejne zagrożenia bezpieczeństwa informacji w firmach spowodowane przez nieodpowiedzialność pracowników. Obok utraty danych np. poprzez przenoszenie ich za pomocą niezabezpieczonych urządzeń USB, przesyłania mailem poufnych informacji firmowych, tym razem naświetlony zostaje problem korzystania przez pracowników z wszelkiego rodzaju serwisów społecznościowych.

Badanie firmy Sophos pokazuje, iż ponad 33% pracowników otrzymało spam za pomocą portalu społecznościowego, natomiast co piąty pracownik stał się ofiarą phishingu. Niepokojące jest również to iż niemal jedna trzenia z nich nie miało świadomości, iż stało się ofiarą oszustwa.

Niestety nasz kraj znalazł się w czołówce krajów, w których znajduje się najwięcej złośliwego oprogramowania zajmując 9. miejsce. W 2009 liderem tego niechlubnego zestawienia jest USA (39,6%), wyprzedzając Chiny (14,7%) i Rosję (6,3%).

Aby dowiedzieć się więcej o tym badaniu zachęcam do zapoznania się z artykułem w serwisie Onet.pl.

Bezpiecznie jak w regionie

Serwis IDG opublikował podsumowanie raportu Deloitte „The 6th Annual Global Security Survey”, który odzwierciedla stan bezpieczeństwa w firmach oraz wskazuje najpoważniejsze zagrożenia w IT security. Badanie wskazuje, że aż 50% przebadanych firm z regionu EMEA (Europe, Middle East and Africa) doświadczyło naruszenia bezpieczeństwa w ciągu 12 miesięcy.

Do najpoważniejszych zagrożeń w dalszym ciągu należą ataki na infrastrukturę IT od zewnątrz, choć w tym obszarze widać tendencję spadkową, która może być wynikiem wzrastającej świadomości na temat sposobów ochrony. Niepokojąco szybko wzrasta problem zagrożeń wewnętrznych w firmach spowodowanych np. naruszeniem bezpieczeństwa IT przez pracowników, nieprzestrzeganie polityki bezpieczeństwa lub kradzież danych za pomocą urządzeń USB. 26% ankietowanych firm odpowiedziało, iż ten problem dotknął ich w ciągu ostatniego roku.

„Ubiegłoroczne informacje o wyciekach istotnych danych właśnie przez przeniesienie lub utratę w urządzeniach przenośnych sugerują, że ten obszar wymaga dalszych prac. Ochrona pamięci przenośnych, urządzeń klasy PDA, telefonów smartphone i odtwarzaczy MP3 będzie wymuszać stosowanie zabezpieczeń ograniczających ryzyko utraty danych tą drogą.”

Więcej na temat samego raportu znajdziecie tutaj.

Głupota największym zagrożeniem

Znamy już wyniki najnowszego badania przeprowadzonego przez firmę Mediarecovery w podczas konferencji Confidence 2009 w Krakowie. W odpowiedzi na pytanie o największe zagrożenie dla bezpieczeństwa informatycznego w firmie ankietowani najczęściej wskazywali „głupotę pracowników”. 79% przebadanych osób stwierdza, iż pracownicy przez swoje nieodpowiedzialne zachowanie stanowią największe zagrożenie dla bezpieczeństwa IT w firmach.

Na kolejnych miejscach uplasowały się brak wiedzy administratorów, hackerstwo oraz piractwo komputerowe, które to odpowiedzi zostały wskazane przez odpowiednio 25%, 9% i 4% ankietowanych.

Jak podaje magazyn PC World, nieznajomość i nieprzestrzeganie polityki bezpieczeństwa najczęściej przyczyniają się do wycieku informacji z firm. Wiele problemów przysparzają również samowolna instalacja oprogramowania oraz zajmowanie firmowych łączy w celach innych niż praca.

Z oświadczenia przekazanego wraz z opublikowaniem raportu wynika iż

specjaliści działów IT narażeni są również na uszczypliwości, a nawet agresję ze strony swoich współpracowników z innych działów.

Pracownikom nie podoba się ograniczanie dostępu do Internetu oraz blokowanie serwisów społecznościowych oraz niektórych stron www).

Czy kogoś z Was zaskoczyły wyniki tego badania? Bo mnie nie

Zagrożenia wewnętrzne rosną w siłę

Postanowiłam podzielić się z Wami najważniejszymi informacjami wyczytanymi w artykule „Przyczajony pracownik, ukryty haker” opublikowanym w magazynie CIO. Autorzy artykułu zwracają szczególną uwagę na rosnące znaczenie zagrożeń wewnętrznych, na jakie narażone są obecnie przedsiębiorstwa. Ten temat jest dość często poruszany przeze mnie, ponieważ w dalszym ciągu zagrożenia z nim związane są niedoceniane przez IT Managerów w Polsce. Patrząc na coraz częstsze przykłady utraty danych w firmach można być pewnym, iż prędzej czy później ten temat będzie na ustach większości IT managerów.

Najnowsze badania Secure Computing wskazują, iż ponad 80% przypadków wycieku danych z przedsiębiorstw jest wynikiem niekompetencji i zaniedbań pracowników wynikających z braku wiedzy o zasadach bezpieczeństwa i ochronie informacji. Przedsiębiorstwa powinny, więc nie tylko wprowadzać odpowiednie narzędzia i procedury bezpieczeństwa, ale również nieustannie edukować pracowników w zakresie polityki bezpieczeństwa.

Po raz kolejny przenośne urządzenia USB uważane są za jedną z głównych przyczyn utraty danych.

Analitycy Gartnera szacują, że 47% korporacyjnych danych przechowywanych jest na urządzeniach przenośnych. Weźmy pod uwagę również, że w ciągu ostatnich 2 lat w Stanach Zjednoczonych zgubiono ponad 350 tysięcy takich urządzeń. Nigdy nie dowiemy się, co tak naprawdę stało się z wrażliwymi informacjami przechowywanymi na nich. O ile nie zawsze możemy uniknąć kradzieży lub zguby podręcznego pendrive’a, o tyle IT managerowie mają odpowiednie narzędzia, aby uniemożliwić dostęp osób trzecich do przechowywanych informacji. Sama polityka mówiąca o potrzebie szyfrowania danych jest niewystarczająca, gdyż pracownicy mogą o tym zapominać. Są natomiast aplikacje, które narzucają szyfrowanie danych na przenośne urządzenia. Jedne z ciekawszych rozwiązań znajdziecie na stronie www.Kontrola-USB.com.

Okazuje się, iż skuteczne kasowanie danych z dysków również stanowi nie lada problem dla rodzimych przedsiębiorstw. Kroll Ontrack Polska przeprowadził test polegający na zbadaniu zawartości 100 dysków zakupionych na giełdach komputerowych i w serwisach aukcyjnych. Na 25 przebadanych przez specjalistów dyskach znajdowało się 118 klauzul poufności, bazy klientów (18 364 rekordy z dokładnymi danymi osobowymi), 3 strategie marketingowe, 12 budżetów firmowych i 687 różnego rodzaju umów. Te wyniki nie wymagają większego komentarza.

Dziwić się tylko można, że w Polsce dochodzi do stosunkowo niewielkiej ilości nagłaśnianych incydentów z wyciekiem poufnych danych firmowych.

Zabezpieczenia przed zagrożeniami wewnętrznymi

W ostatnim czasie prezentowałam dość dużą ilość przykładów kradzieży, bądź wycieku informacji w firmach. Postanowiłam iż tym razem, w odpowiedzi na prośbę jednego z czytelników, bardziej skoncentrować się na aspekcie minimalizowania zagrożeń wewnętrznych w firmach, które bardzo często spowodowane są nielojalnością lub niekompetencją pracowników.

Powołując się na raport IDC oraz PriceWaterhouseCoopers , jedna trzecia wszystkich zagrożeń w organizacjach to wyciek poufnych informacji. Natomiast na czele listy sposobów, w jaki cenne dane opuszczają przedsiębiorstwa znajdują się wszelkiego rodzaj urządzenia magazynujące jak urządzenia USB, karty pamięci, telefony (smartphone’y), iPod’y.

Sposobów minimalizacji zagrożeń jest zapewne kilka, lecz tylko poprawnie wdrożone i wykorzystane mogą być skuteczne.

Zacznijmy, więc od polityki bezpieczeństwa, która powinna w strategiczny sposób określać samo podejście firmy do zarządzania informacjami i dostępem do nich. Zdaję sobie sprawę, że istota polityki bezpieczeństwa nie jest niczym odkrywczym. Jednak nie chodzi tu o samo stworzenie szeregu zasad i reguł, co jest procesem niezbyt skomplikowanym. Kluczem do sukcesu jest jednak edukacja pracowników firmy (na wszystkich szczeblach) oraz odpowiednia motywacja do ich przestrzegania. Liczne badania potwierdzają, iż ponad połowa pracowników firm świadomie nie przestrzega procedur związanych z bezpieczeństwem danych.

Czy jest na to rozwiązanie? Oczywiście można rozpocząć od fizycznego zablokowania portów USB w komputerach firmowych. Według mnie jest to jednak rozwiązanie bardziej utrudniające życie i pracę, niż przyczyniające się do ochrony danych. Wiele komputerów korzysta chociażby z myszki i klawiatury podłączonych za pomocą USB. Co więcej, jest wiele firm, które w codziennej pracy korzystają z pamięci USB. W takich sytuacjach potrzebne jest bardziej „inteligentne” rozwiązanie, w postaci odpowiedniego oprogramowania. Osobiście korzystam i jestem bardzo zadowolona z funkcjonalności programu Endpoint Protector firmy CoSoSys. EPP pozwala nie tylko na nadawanie użytkownikom, bądź grupom użytkowników praw do korzystania z określonych urządzeń USB, ale pozwala w szybki i prosty sposób monitorować transfer danych wykonany przez każdego z użytkowników. Dużym udogodnieniem jest funkcja Białej Listy, która pozwala określić które dane mogą opuścić sieć komputerową. Wszystkie pliki nie znajdujące się na Białej Liście nie mogą zostać skopiowane. Bardzo cenna jest również funkcja wymuszonego szyfrowania danych zapisywanych na nośniki, dzięki czemu mamy pewność, iż nawet w przypadku zguby lub kradzieży urządzenia, dane firmowe pozostają niedostępne dla osób trzecich. Więcej informacji oraz darmową wersję próbną możecie pobrać ze strony producenta. Tak jak wspominałam, korzystam z tego oprogramowania zawodowo oraz prywatnie i jestem w pełni zadowolona. Być może to rozwiązanie pomoże również Wam w ochronie swoich komputerów.

A może ktoś z Was korzystał już z darmowej wersji EPP lub innego tego typu oprogramowania i chciałby się podzielić własnymi doświadczeniami?! Myślę, że to świetny moment i miejsce na wymianę Waszych doświadczeń!

Zagrożenia bezpieczeństwa w MSP

Powołując się na artykuł opublikowany w serwisie „Security Standard” niedawno przedstawiony raport pt. „2009 Global Small and Mid-sized Business Security and Storage” wskazuje na dużą skalę występujących naruszeń bezpieczeństwa w małych i średnich przedsiębiorstwach. Ponad połowa przebadanych firm w przeciągu ostatnich kilku miesięcy spotkała się z problemem bezpieczeństwa IT. Mimo iż główną przyczyną utraty danych były uszkodzenia systemu, to aż 39% przypadków spowodowane było winą pracownika.

Większość przedsiębiorstw jest świadomych niebezpieczeństw, na jakie narażone są sieci komputerowe, jednak wiele firm nie potrafi się przed nimi zabezpieczyć. Najczęściej podawaną przyczyną jest przestarzały sprzęt i rozwiązania techniczne, oraz niska świadomość pracowników odnośnie polityki bezpieczeństwa.

Zaskakującym dla mnie jest fakt, iż 46% małych i średnich przedsiębiorstw nie ma odrębnego zespołu IT, który odpowiadałby nie tylko za kwestie techniczne związane z zarządzaniem siecią firmową oraz z bezpieczeństwem informacji. Oznacza to, iż odpowiedzialność za zabezpieczenia spada zazwyczaj na członków obarczonych innymi odpowiedzialnościami.