Naruszenie bezpieczeństwa danych w BCBS pod mikroskopem.

BCBS (Blue Cross Blue Shield) zajmuje się ubezpieczeniami zdrowotnymi dużej części amerykańskiego społeczeństwa. Innymi słowy przechowuje dane takie jak infomacje o podatniku i numer ubezpieczenia społecznego, które wcześniej pobiera od 800000 dostarczycieli usług medycznych w całych Stanach Zjednoczonych. I wszystko jest dobrze, póki te dane są bezpieczne i wykorzystywane jedynie przez firmę ubezpieczeniową. Jednak w momencie, kiedy pojawia się naruszenie bezpieczeństwa danych w firmie, sytuacja przestaje byc przyjemna. Szczególnie, gdy instytucja nie poinformuje głównych zainteresowanych, o tym, co się stało.

Nie tylko prowadzi to do utraty dobrego wizerunku, ale też przyciąga uwagę służb porzadkowych. Wyciek danych w BCBS jest właśnie pod lupą Prokuratury Genralnej w Connecticut. Dlaczego? Prawo Stanowe dokładnie podkreśla ważność tego, aby w razie wycieku danych klientów, niezwłocznie poinformować ich o zdarzeniu. BCBS podobno tego nie zrobiło.

Cała sytuacja zadziała się w sierpniu, kiedy to laptop z poufnymi danymi został skradziony. W dniu dzisiejszym, jedynie stan Connecticut prowadzi na ten temat śledztwo, w imieniu 18 817 dostarczycieli usług medycznych na swoim terytorium. Stawką jest roczny monitoring tego, co się dzieje z bezpieczeństwem informacji w firmie i nakaz wprowadzenia dodatkowej ochorny danych.

Z drugiej strony, BCBS wyraźnie podkreśla, że zaczęli powiadamiać zainteresowanych w kilka dni po incydencie, a nie miesiąc później, tak jak informuje prokuratura. W każdym razie, wspomniany monitoring wcale im nie przeszkadza, wręcz mogliby rozszerzyć go na 2 lata – przynajmniej w jednym z oddziałów.

Czego brkauje w DuPont?

DuPont zdecydowanie powinno unikać swoich pracowników. Kolejny raz udowodnili, że ich specjalnością jestkradzież sekretów firmy  i ich sprzedaż. Po poprzednim incydencie, kiedy firma straciła prawie 400 000 000 USD, zwolniony został (a także oskarżony) pracownik chińskiego pochodzenia – z powodu nieodpowiedniego obchodzenia się z tajemnicami handlowymi.Tak jak wyjaśnia portal DarkReading, DuPont odkryło, co tka naprawdę robił pracownik całkiem przypadkiem. Po prostu przegladano jego twardy dysk przed transferem do Chin (pracownika, nie dysku ). Znalzło się tam zbyt dużo plików na temat m-in. technologii OLED.

“Jako firma, która opiera się na rozwoju nowych technologii, DuPont stara się chronić swoje wyjątkowe i poufne patenty,” było napisane w oświadczeniu firmy. „Takie wydarzenia podburzają nasze dążenia do ochrony przed naruszeniem naszych praw do nauki i technologii, które przynoszą korzyści nie tylko naszym udziałowcom, ale także pracownikom, a przede wszystkim, klientom”

W takim sytuacji całkiem niezłym rozwiązaniem jest zamykanie pracowników w więzieniach i obciążanie ich wysokimi karami finansowymi. Z drugiej stronu, czy to jest naprawdę skuteczne? Ja bym raczej wybrał jakieś oprogramowanie chroniace przed kradzieżą tkaich danych 

Jak się (nie) chronią najlepsi…

Kiedy myślisz o instytucjach, takich jak Brytyjskie Ministerstwo Obrony, podejrzewasz pewnie, że ochrona jest tam wręcz nie do przejścia. Tak, że nie zadrzesz z nimi już drugi raz. Niestety, jak rzeczone ministerstwo podaje (V3.co.uk) w ostatnich latach, przypadki utraty danych wzrosły 4 razy. Według nieoficjalnych źródeł w 2008 i 2009 roku stało się to 8 razy, co wobec 2 w poprzednim okresie jest imponujacą liczbą. Najbardziej poważne okazało się zaginięcie przenośnego dysku twardego z posiadłości jednego z wykonawców dla ministerstwa. Były tam imiona i nazwiska, numery paszportów i dane do kont bankowych 1,7 miliona osób.

Wśród innych wypadków było zgubienie trzech pamięci USB z „bezpiecznej posiadłości rządowej”. Na nich z kolei były dane wszystkich członków personelu pomocniczego RAF, kótrzy odbywali służbę od 2002 do 2008 roku, a także ich krewnych.

Z kolei w kwietniu zeszłego roku, nieszyfrowany laptop został skradziony z budynku ministerstwa, wraz z danymi osobistymi 300 ludzi.

Ministerstwo Obrony przyznaje, że traciło urządzenia elektroniczne, pamieci przenosnie lub wydrukowane dokumenty ponad 15 razy – w tym 6 razy z biur rządowych.

Mam wrażenie, że prywatna firma zrobiłaby coś z tym jakieś 8 utrat danych temu. Ale w końcu to sa fundusze publiczne. Może teraz zainwestuja w jakiś system ochrony?

Nieskuteczna polityka bezpieczeństwa

To już nie pierwszy raz, gdy dowiadujemy się, iż pracownicy są najczęstszą przyczyną utraty danych w przedsiębiorstwach. Ci sami ludzie, powszechnie uważani za najcenniejszy zasób każdego przedsiębiorstwa nierzadko przyczyniają się do utraty innych cennych zasobów. Badanie firmy Kroll Ontrack wykazało, iż w 40% przebadanych firm została wprowadzona polityka bezpieczeństwa danych określająca sposoby ich użytkowania i przetwarzania. Niestety ponad połowa pracowników tych samych firm przyznaje, iż nie przestrzega zasad polityki bezpieczeństwa. Po co, więc tworzyć nieskuteczne prawo? Być może problem tkwi w nieświadomości pracowników o zagrożeniach, na jakie narażają swoje firmy?
Większość pracowników przyznaje, iż zapisuje dane firmowe na prywatnych pamięciach USB. W ten sposób administratorzy sieci nie mają najmniejszego wpływu na to jakie dane firmowe i na jakie urządzenia są kopiowane. A co w przypadku zgubienia pamięci USB?

„Przeprowadzone przez naszą firmę badanie ujawnia, że implementacja odpowiednich procedur związanych z bezpieczeństwem danych niestety nie gwarantuje ochrony kluczowych informacji firmy. Fakt ten, poparty wprowadzeniem ważnych z punktu widzenia bezpieczeństwa danych regulacji prawnych wzmacnia przekonanie, że firmy muszą być nieustannie przygotowane na utratę kluczowych danych na poziomie indywidualnego pracownika” – dodaje Paweł Odor.

Zainteresowanych poznaniem całego artykułu zapraszam pod wskazany link.

Nasi stali Czytelnicy zapewne wiedzą, iż zwracamy szczególną uwagę na istotę bezpieczeństwa USB i promujemy aktywną postawę wobec zabezpieczania sieci komputerowych przed kradzieżą i wyciekiem danych. Zamiast wprowadzania coraz to nowych przepisów i reguł administratorzy powinni proaktywnie chronić kluczowe informacje w firmach. Jednym ze sposobów minimalizacji ryzyka utraty danych poprzez przenośne urządzenia magazynujące jest kontrola portów USB w sieciach korporacyjnych. Z gotowymi rozwiązaniami przychodzą nam producenci security software, np. firma CoSoSys ze swoim oprogramowaniem Endpoint Protector. Kontrola nad portami USB wcale nie oznacza spadku efektywności pracy, lecz pozwala na śledzenie kopiowanych plików oraz wymuszenie szyfrowania danych zapisywanych na urządzeniach peryferyjnych.

Skoro rynek oferuje nam wiele efektywnych rozwiązań, czemu z nich nie skorzystać? Oby jak najmniej przedsiębiorstw musiało przypominać sobie staropolskie powiedzenie „mądry Polak po szkodzie”.

Pracownicy niosący zagrożenie?

Granica między pracą zawodową a rozrywką przed komputerem jest co najmniej niewyraźna. Internet jest bardzo często niezbędnym narzędziem pracy. Jednak komu, od czasu do czasu, nie zdarza się zerknąć na portal społecznościowy, YouTube lub wysłać prywatnej korespondencji podczas wykonywania obowiązków służbowych?

Badanie przeprowadzone przez FaceTime Communications wskazuje w jaki sposób pracownicy najczęściej korzystają z Internetu i jakie niesie to za sobą konsekwencje dla ich działów. Do najczęstszych form aktywności nie związanej z wykonywanymi obowiązkami należą prywatna korespondencja (wysyłanie wiadomości email), surfowanie po stronach www, sprawdzanie rachunków i zakupy online. Co znalazło się na kolejnych miejscach? Dowiedz się tutaj.

Aktywność w sieci niesie ze sobą zagrożenia. 73% ankietowanych menadżerów IT przyznało, że miało do czynienia z co najmniej jednym, związanym z surfowaniem po stronach www, atakiem złośliwego oprogramowania.

Niestety tuż obok zagrożeń zewnętrznych związanych z nieostrożnością pracowników oraz atakami złośliwego oprogramowania, przedsiębiorstwa są narażone na niebezpieczeństwa wewnętrzne związane z kradzieżą i wyciekiem danych.

W celu ochrony przed zagrożeniami korporacje przyznają się do śledzenia aktywności swoich pracowników w sieci. Prawie 80% pracodawców monitoruje firmową pocztę, a 65% odwiedzane strony www. 40% właścicieli firm jest zainteresowanych plikami przekazywanymi siecią peer-to-peer, 38% rozmowami prowadzonymi przez komunikatory internetowe, a 36% sprawdza poczynania swoich podwładnych na portalach społecznościowych.

Niestety wciąż niewiele przedsiębiorstw zabezpiecza się przed zgubnym działaniem przenośnych urządzeń magazynujących o dużej pojemności. Brak kontroli nad portami USB w sieciach korporacyjnych prowadzi do niekontrolowanego transferu danych, często poufnych, między urządzeniami USB, iPod’ami, kartami pamięci etc. Z badania firmy SanDisk wynika, iż 77% ankietowanych pracowników używa osobistych dysków flash USB do celów biznesowych. W przypadku zgubienia przez pracownika takiego urządzenia cenne informacje firmowe stają się łupem przypadkowych osób. Aby zapobiegać tego typu incydentom przedsiębiorstwa powinny kontrolować kopiowanie i przesyłanie danych firmowych, jednocześnie szyfrując dane przechowywane na urządzeniach magazynujących. Jednym ze sposobów ochrony jest oprogramowanie Endpoint Protector firmy CoSoSys, dzięki któremu administrator sieci zezwala lub zabrania korzystania z określonych urządzeń peryferyjnych, jednocześnie ściśle określając jakiego rodzaju pliki mogą być kopiowane.

Naszym zdaniem każdy pracodawca powinien znaleźć złoty środek między zaufaniem do pracowników, a stosowanymi formami zabezpieczeń sieci komputerowych. Z jednej strony zbyt natarczywa inwigilacja źle wpłynie na morale i motywację do pracy, z drugiej strony pracodawca musi przewidzieć to czego pracownik zazwyczaj nie przewidzi lub, co gorsza, ochronić firmę przed złymi zamiarami pracowników. Tu właśnie przychodzi z pomocą wspomniane wyżej oprogramowanie.

CoSoSys – edukacja przez humor

CoSoSys, lider w dziedzinie oprogramowania zabezpieczającego komputery przed kradzieżą danych postanowił użyć dość niekonwencjonalnej metody, aby podnieść świadomość zagrożeń na jakie jesteśmy narażeni. Humorystyczna seria komiksów, ukazująca się w każdy czwartek na stronie EndpointProtector.com, w przystępny i zabawny sposób pokazuje najczęstsze przyczyny wycieku poufnych informacji z firm. Nietrudno zauważyć, iż jednym z największych zagrożeń dla przedsiębiorstwa są jego pracownicy, którzy przez zaniedbanie mogą narazić firmę na utratę cennych danych.

Jako, że humor i zabawa to nie jedyny cel komiksu, w każdym odcinku znajdziecie również wskazówki jak zapobiegać problemom jakie napotkali bohaterowie. Seria została zaprojektowana, aby promować aplikację pomagającą zabezpieczać sieci komputerowe – Endpoint Protector.

„Ostatnie badania przeprowadzone w Stanach Zjednoczonych oraz Wielkiej Brytanii ukazują niepokojący trend: wzrastająca liczba nadużyć związanych z kradzieżą i utratą danych, jaki i rosnące straty finansowe nimi spowodowane. Każdego roku dane milionów ludzi są narażone na kradzież tożsamości lub fałszerstwa, podczas gdy niewiele osób zarówno dotkniętych tym problemem, jak i odpowiedzialnych za nie zdaje sobie sprawę, że większości tych przypadków można było uniknąć. Zabezpieczenie prywatnych komputerów, jak i sieci komputerów w firmach nie jest trudnym zadaniem. Właśnie dlatego wkładamy dużo wysiłku, aby edukować i zwiększać świadomość potrzeby zabezpieczania urządzeń komputerowych” wyjaśnił Roman Foeckl, CoSoSys CEO.

Kolejny odcinek komiksu już w następny czwartek. Wszystkie, do tej pory opublikowane, odcinki możecie zobaczyć tutaj. Możecie również zarejestrować się na stronie EndpointProtector.com, aby kolejne odcinki trafiały bezpośrednio na Wasze skrzynki pocztowe.

Kradzież danych – rosnące zagrożenie

Wyniki badania ankietowego przeprowadzonego przez Mediarecovery w 2007 roku wskazują, iż ponad 2/3 polskich specjalistów do spraw bezpieczeństwa IT miało do czynienia z problemem nielojalności pracowników.

Chęć zemsty, chęć zarobku oraz zwykła głupota to najczęstsze motywy nielojalnych pracowników, na jakie zwraca uwagę Zbigniew Engiel, specjalista Mediarecovery.

Problem kradzieży, szpiegostwa czy wycieku informacji nie jest nowy ani w Polsce, ani na świecie. Zdziwienie budzi jednak znaczący wzrost pozytywnych odpowiedzi na pytanie o nielojalność pracowniczą. „Spowodowane to być może nie tyle wzrostem incydentów związanych z wyciekiem informacji, a raczej z lepszą wykrywalnością tego typu zdarzeń„ – twierdzi specjalista Mediarecovery. Polskie firmy i instytucje coraz chętniej inwestują bowiem w sprzęt i oprogramowanie dedykowane informatyce śledczej.

Materiały dowodowe zebrane dzięki takiemu oprogramowaniu są nieocenione, w przypadku gdy poszkodowany pracodawca zdecyduje się na wejście na drogę prawną.

Dowiedz się więcej na temat rosnącego zagrożenia związanego z dynamiką kradzieży danych