9000:1

Jeden pracownik wystarczył, żeby nieumyślnie stracić dane 9,000 byłych i obecnych urzędników Wydziału Zdrowia Stanu Kalifornia. Miał bardzo dobry pomysł – skoro miał dostęp do tych danych, skopiował je na swoją pamięć flash. Jedyny problem był w tym, że stracił tę pamięć, a wraz z nią, nazwiska, daty urodzenia, adresy i inne dane w archiwach wynagrodzeń 9000 poszkodowanych.

 

Wydział zdrowia  teraz bada, jaki jest rozmiar tego wycieku danych, a główny winowajca przebywa na przymusowym urlopie, odpowiadając na pytania, które pomogą zrozumieć co się stało.  Wyciek danych został wykryty dzięki stanowemu systemowi monitorowania bezpieczeństwa, który powiadomił o podejrzanej aktywności odpowiednie służby jeszcze w kwietniu. Oczywiście, teraz instytucja zapewnia, że poprawiła swoje zabezpieczenia aby uniknąć podobnych wypadków.

Zakładam, że zostało zainstalowane rozwiązanie z zakresu endpoint security, które może blokować usb, jeżeli nie spełniają pewnych wymogów (np. nie są szyfrowane), kontrolować porty i monitorować jakie pliki są przenoszone. Kontrola urządzeń przenośnych to wciąż temat niezbyt popularny, ale czasem rozwiązanie tego rodzaju, szczególnie jedno z tych bardziej skomplikowanych (http://www.endpointprotector.com/) może pomóc zapobiegać wyciekom danych i ochroni przed ignorancją pracowników.

Nowa jakość w bezpieczeństwie danych :)

Spotkaliście się wcześniej ze steampunkiem? Za pl.wikipedia.org:

Steampunk – odmiana fantastyki naukowej, specyficzna, boczna gałąź cyberpunku. W przeciwieństwie do cyberpunku, technologia otaczająca bohaterów nie jest oparta na elektronice lecz na mechanice (np. odpowiednikiem komputera jest maszyna różnicowa). Akcja utworów steampunkowych przeważnie rozgrywa się w epoce wiktoriańskiej – erze rewolucji technicznej, wieku pary (stąd nazwa gatunku: steam, ang. – para), w której historia potoczyła się inaczej niż w naszych dziejach. Dzięki temu steampunk zalicza się także do nurtu tzw. historii alternatywnej.

Zastanawiacie się jak wyglądało by bezpieczeństwo IT w epoce pary? Dzięki steampunker.ru możemy zobaczyć to na własne oczy. Po ustawieniu

właściwej kombinacji liczb, możemy używać pamięci flash wewnątrz. Mi Przypomina on Cryptex – narzędzie do przechowywania wrażliwych informacji z książek Dana Browna. Jedyna różnica jest taka, że w tym przypadku pendrive nie zostanie zniszczony, jeżeli spróbujemy go otworzyć siłą. Na razie powstał tylko jedno takie urządzenie, ale myślę, że część firm czegoś takiego może poszukiwać – zamiast blokować dostęp do portów USB dla pracowników, mogą pozwolić na przenoszenie wrażliwych danych na tak zabezpieczonych pamięciach.

Ewentualnie zawsze pozostaje szyfrowanie pamięci USB np. dzięki Easy Lock lub o krok dalej, kontrolowanie przenoszonych plików – np. dzięki Endpoint Protector. Zasada jest prawie ta sama – nie da się otworzyć zawartości bez odpowiedniego hasła. A i szyfrowanie może być tańsze od produkcji takich cudeniek z mosiądzu.

 

PICNIC – czyli przed idiotyzmem nic nas nie obroni

Słyszeliście kiedyś ten akronim – „problem in chair, not in computer”?

Chodzi po prostu o to, że nie ważne jak dobrze zabezpieczymy swoje pliki, nie ważne ile wydamy na zakup rozwiązań bezpieczeństwa, zawsze znajdzie się jeden użytkownik, który sprawi, że nasze dane mogą trafić w niepowołane ręce.

bloomberg.com opisuje pewną kampanię, stworzoną przez instytucję rządową – departament bezpieczeństwa wewnętrznego. Mechanizm był bardzo prosty – personel „rozrzucił” twarde dyski, płyty CD, pamięci flash na parkingach instytucji rządowych i prywatnych firm, dostarczających im rozwiązania. Jaki był tego cel? Przede wszystkim sprawdzenie czy hakerzy mogą tym kanałem dotrzeć do poufnych informacji.

Wynik przerósł najśmielsze oczekiwania. Właściwie to udowodnił jak bardzo bezmyślni mogą  być pracownicy – do komputerów podłączone zostało 60% procent urządzeń pozostawionych na parkingach. Jeśli chodzi o te urządzenia, które miały oficjalne logo, było to 90% urządzeń. Pełen raport badania ujrzy światło dzienne w drugiej połowie roku, ale już teraz wyniki skłaniają do myślenia.

„Wkładając” nie autoryzowane urządzenie, użytkownik naraża całą siec na niebezpieczeństwo utraty, bądź zniszczenia danych. Mała i prosta rzecz, a tak wiele osób o tym zapomina.

Dlatego właśnie największe zagrożenie dla bezpieczeństwa siedzi przed komputerem na krześle.

Co z tym można zrobić? Jest sporo sposobów. Jeżeli chodzi o urządzenia przenośne – to przede wszystkim ich kontrola. W prosty sposób można zablokować wszystkie porty USB w firmowych komputerach. Bardziej sprytny administrator będzie wiedział, że to doprowadzi do małego chaosu w firmie – dlatego dobrym rozwiązaniem jest odpowiednie rozwiązanie do kontroli, np. Endpoint Protector, produkowany przez CoSoSys. Wprowadza nam 2 różnice – nie blokujemy a autoryzujemy odpowiednie urządzenia, odpowiednim użytkownikom i z drugiej strony monitorujemy to co się dzieje, łącznie z przenoszonymi plikami, żeby wiedzieć, kiedy reagować.

Kto może ucierpieć na kradzieży jednego laptopa?

AvMed Health Plans (dostarczyciel usług medycznych w USA) właśnie stara się „posprzątać” po utracie danych. Otóż na początku grudnia, z biura firmy w Gainsville skradziono 2 firmowe laptopy. Najgorsze jest to, że złodzieje zyskali dostęp do informacji osobistych 200 000 obecnych i byłych klientów i członków ich rodzin – poinformowała firma na łamach Gainesville.com.

Co zawierały te 2 laptopy? Nazwiska, adresy, numery telefonów, numery ubezpieczenia społecznego i informacje o zdrowiu pacjentów. Z drugiej strony, firma informuje, że ryzko kradzieży tożsamości jest dość niskie, ze wzgledu na to, że dane były zapisane bez szczególnej kolejności. Szkoda tylko, że 12 dni po zdarzeniu, firma odkryła, że dane na jednym z dwóch laptopów nie były odpowiednio szyfrowane.

AvMed informuje, że na razie nie było żadnych informacji o kradzieży tożsamości, a oni sami mają o wiele lepszą perspektywę na cała sytuację, od czasu gdy klienci zaczęli przystępować do programu ochrony tożsamości, zapewnionego przez firmę na najbliższe 24 miesiące.

Ochrona danych przynosi szczęście.

Mam takie wrażenie, że osoby, które pracują dla firm chroniących swoje poufne dane, są szczęśliwsi. I nawet mogę wyjaśnić dlaczeog.

Teraz własnie pracuję w tkaiej firmie. Używa ona oprogramowania, które zapewnia ochronę przed kradzieżą poufnych informacji, więc żadne dane nie wychodzą poza firmową sieć. Skoro nie ma wycieków danych, nie ma też strat finansowych z tego powodu. Skoro nie ma strat, przychód jest stabilniejszy i firma może inwestować w swój rozwój. Dlatego moja praca jest pewna, firma nie oszczędza na mojej pensji i pozwala sobie na wzrost zatrudnienia.

Ale skoro pieniądze szczęścia nie dają, to weź pod uwagę inne apekty – na przykład to, że pracownik, który sie mniej martwi, jest bardziej zrelaksowany, produktywny, jest w lepszym humorze, więc jest po prostu szczęśliwszy. Szczególnie pracownik, którego zadaniem jest dbanie o bezpieczeństwo danych. Jego praca staje się przyjemniejsza i daje mu czas na dodatkowe, innowacyjne zadania.

To co w takim razie mogą zrobić CEO i CIO, żeby mieć szczęśliwszy pracowników? To proste, zainwestować w taką ochronę. Sprawić, że pracownikom będzie łatwiej wykonywać pracę, że będą lepiej zarabiać i mniej się martwić.

Co o tym myślisz? Czy da się tak po prostu uszczęśliwić pracowników?

Jak chronią się systemy płatności on-line.

Paymark, system płatności elektronicznych w Nowej Zelandii wybrał Endpoint Protector firmy CoSoSys jako swoje oprogramowanie do kontroli urządzeń przenośnych i DLP. Firma obsługuje ponad 75% transakcji elektronicznych w kraju i działa już ponad 20 lat. W swojej decyzji kierowali się przede wszystkim prostym sposobem użytkowania, krótkim czasem wdrożenia i możliwością zintegraowania systemu z istniejącymi w firmie rozwiązaniami. Ciekawe jest to, że produkt małej firmy został wybrany spośród rozwiązań proponowanych przez Devicewall, McAfee i Symantec.

Jeśli chodzi o płatnosci elektroniczne, sprawa z ochrona danych wcale nie jest prosta. Klientom bardzo zależy na najwyższej możliwej ochronie ich danych. Dlatego tego typu firmy inwestują w zróżnicowane systemy ochrony danych, także na przenośnych urządzeniach. Z dreugiej strony, taka ochrona nie może ingerować w efektywność pracy. Ponadto, poza Endpoint Security, firma stosuje także inne zabezpieczenia, dlatego ważne było, żeby orpogramowanie mogło współpracować z tym już zainstalowanym.

“Prostota Endpoint Protector przekroczyła nasze oczekiwania. Szybkośc wdrożenia i wprowadzania zmian jest imponująca. Natomiast możliwość szyfrowania danych dokładnie uzupełniła nasze potrzeby” Conrad Morgan, Manager ICT Security

Więcej informacji o wprowadzaniu systemów kontroli urządzeń i rozwiązań DLP w segmencie płatności on-line możecie znaleźć w case study na temat wprowadzenia rozwiązania CoSoSys w Paymark.