Które dane w końcu wyciekły?

Ostatni atak w stylu DoS (Denial of Service) na serwer nie tylko pozwolił na przełamanie się przez ochronę sieci, ale także na dostęp do komputera, który zawierał nazwiska, numery identyfikatorów, a także numery telefonów 2500 obecnych i byłych pracowników. Mimo, ze takie dane, jak numery ubezpieczenia społecznego, nie były przechowywane na serwerze, był on połaczony z innymi maszynami, które zawierały prywatne dane 26000 osób i dostawców.

Na szczęście wszystkie dane uczniów znajduja się w różnych sieciach w Eugene School District, więc nikt z nich nie ucierpiał na wycieku danych. Tak jakby jednymi ofiarami byli dorośli.

Z kolei zbiór danych 26000 osób wcale nie ma tkaiej pewności. Nie ma dowodów ani na to, że dane wyciekły, ani na to, że pozostały w spokoju. Cały czas jest prowadzone śledztwo w tej kwestii, a strona internetowa szkoły opublikowała informację o wycieku. Oczywiście do tego zostąły podjęte wszelkie działania, żeby zabezpieczyć serwer, aby wszystkie informacje, które nie padły ofiarą ataku, pozostały bezpieczne.

Więcej informacji znajdziesz  tutaj.

Co chcą kraść pracownicy?

Jeżeli którykolwiek z managerów zastanawia się jeszcze, czy jego pracownicy mogliby wynieść poufne dane z firmy, to odpowiedź jest prosta. Tak. I wiedzą, że jest to niezgodne z prawem. A większość firm zdaje sobie sprawę, że niebezpieczeństwo leży wewnątrz ich struktur, ale robią niewiele żeby je zażegnać. Takie wnioski wysnuło Dark Reading po porównaniu dwóch badań stworzonych przez producentów oprogramowania do ochrony.

Jedno z nich skupiło się na 600 pracownikach z działów finansowych w Nowym Yorku, USA, i Londynie. Wielu z respondentów przyznało, że często „zabierali pracę” do domu i zatrzymywali dla własnych korzyści. Podczas gdy zdecydowana więksozść wiedziała, że jest to nielegalne, częśc przyznała się, że zmieniając pracę, zabierali ze sobą informacje z poprzedniej firmy, a inni stwierdzili, że podzielili by się poufnymi informacjami z rodziną, przyjaciółmi, lub wtedy gdy pomogłoby im to w znalezieniu lepszej pracy. Niektórzy, po prostu traktowali takie dane jako swoją „polise ubezpieczeniową”.

To co najchetniej zabraliby z Twojej firmy? Na pewno list klientów i podpisanych kontrkatów, oferty, plany współpracy. Rzadziej informacje o produktach. Read more

Jak chronią się systemy płatności on-line.

Paymark, system płatności elektronicznych w Nowej Zelandii wybrał Endpoint Protector firmy CoSoSys jako swoje oprogramowanie do kontroli urządzeń przenośnych i DLP. Firma obsługuje ponad 75% transakcji elektronicznych w kraju i działa już ponad 20 lat. W swojej decyzji kierowali się przede wszystkim prostym sposobem użytkowania, krótkim czasem wdrożenia i możliwością zintegraowania systemu z istniejącymi w firmie rozwiązaniami. Ciekawe jest to, że produkt małej firmy został wybrany spośród rozwiązań proponowanych przez Devicewall, McAfee i Symantec.

Jeśli chodzi o płatnosci elektroniczne, sprawa z ochrona danych wcale nie jest prosta. Klientom bardzo zależy na najwyższej możliwej ochronie ich danych. Dlatego tego typu firmy inwestują w zróżnicowane systemy ochrony danych, także na przenośnych urządzeniach. Z dreugiej strony, taka ochrona nie może ingerować w efektywność pracy. Ponadto, poza Endpoint Security, firma stosuje także inne zabezpieczenia, dlatego ważne było, żeby orpogramowanie mogło współpracować z tym już zainstalowanym.

“Prostota Endpoint Protector przekroczyła nasze oczekiwania. Szybkośc wdrożenia i wprowadzania zmian jest imponująca. Natomiast możliwość szyfrowania danych dokładnie uzupełniła nasze potrzeby” Conrad Morgan, Manager ICT Security

Więcej informacji o wprowadzaniu systemów kontroli urządzeń i rozwiązań DLP w segmencie płatności on-line możecie znaleźć w case study na temat wprowadzenia rozwiązania CoSoSys w Paymark.

Czego brkauje w DuPont?

DuPont zdecydowanie powinno unikać swoich pracowników. Kolejny raz udowodnili, że ich specjalnością jestkradzież sekretów firmy  i ich sprzedaż. Po poprzednim incydencie, kiedy firma straciła prawie 400 000 000 USD, zwolniony został (a także oskarżony) pracownik chińskiego pochodzenia – z powodu nieodpowiedniego obchodzenia się z tajemnicami handlowymi.Tak jak wyjaśnia portal DarkReading, DuPont odkryło, co tka naprawdę robił pracownik całkiem przypadkiem. Po prostu przegladano jego twardy dysk przed transferem do Chin (pracownika, nie dysku ). Znalzło się tam zbyt dużo plików na temat m-in. technologii OLED.

“Jako firma, która opiera się na rozwoju nowych technologii, DuPont stara się chronić swoje wyjątkowe i poufne patenty,” było napisane w oświadczeniu firmy. „Takie wydarzenia podburzają nasze dążenia do ochrony przed naruszeniem naszych praw do nauki i technologii, które przynoszą korzyści nie tylko naszym udziałowcom, ale także pracownikom, a przede wszystkim, klientom”

W takim sytuacji całkiem niezłym rozwiązaniem jest zamykanie pracowników w więzieniach i obciążanie ich wysokimi karami finansowymi. Z drugiej stronu, czy to jest naprawdę skuteczne? Ja bym raczej wybrał jakieś oprogramowanie chroniace przed kradzieżą tkaich danych 

IDC: większość wewnętrzynych wycieków danych to przypadek

Wypadki wycieku lub utraty danych o wiele częściej są powodowane przez „swoich”, a wyrządzona szkoda często dzieje się przez przypadek. Mimo to, takie wypadki mają bardzo duże konsekwencje. Tak przynajmniej mówi ostatnie badanie IDC – firmy zajujacej się badaniem przemysłu, sponsorowane przez RSA.

Jak mówi raport z badania, 52 % respondentów stwierdziło, że zecydowana większość wypadków utraty danych ma charakter przypadkowy, a 19% uważa, że były zamierzone.  Kolejne 26 % twierdzi, że ich problemy były kombinajcą umyslnego działania i nieszczęsliwych wypadków.

“Jedna z rzeczy, która nas zaskoczyła, to to, jak duża liczba takich incydentów jest nieumyślna”, mówi Chris Young, członek zarządu RSA, cytowany przez Dark Reading. “Mimo, ze pracownicy starają się rzetelnie wykonać swoją pracę, często nie wiedzą, że mogą narażać swojego pracodawcę na straty.” Zobacz więcej

Kolejni Specjaliści opuszczają Obamę

No i co z tego, że Biały Dom ma ma nowy, wspaniały plan bezpieczeństwa w sieci, skoro większość osób odpowiedzialnych za jego wprowadzenie i ugruntowanie zrezygnowało z pracy w administracji Barracka Obamy w ciągu ostatnich kilu miesięcy.

Najpierw, w marcu, Rod Beckstrom zrezygnował z funkcji dyrektora National Cybersecurity Center, wydziału w Departamencie Bezpieczeństwa Wewnętrznego. Rzeczone centrum zajmuje się koordynowaniem ochrony sieci komputerów cywilnych, wojskowych i wywiadu. Dlaczego Beckstrom zrezygnował? Otóż, w liście, który przekazał, pisze, że zbyt mały budżet którym dysponował i nieudolna kontrola ze strony National Security Agency nie pozwalały mu na rzetelne wykonywanie pracy.

Kolejną osobą, która ogłosiła swoją rezygnację była Melissa E. Hathway. Melissa była głównym dyrektorem ds. bezpieczeństwa w sieci w administracji Obamy. Miesiące opóźnienia w powłaniu osoby odpowiedzialnej za nadzorowanie bezpieczeństwa sieci krytycznych dla Stanów Zjednoczonych. The Register wskazuje, że Hathway była jednym z najlepszych kandydatów na „cara bezpieczeństwa sieci”, osoby która miałaby możliwość zabezpieczać sieci i infrastrukturę, które pracuja dla banków, szpitali i giełdy w USA.

Jako trzecia, całkiem nie dawno zrezygnowała Mischel Kwon. Szefowa wydziału wewnątrz Departamentu Bezpieczeństwa Wewnętrznego, który zajmował się zarządzaniem kryzysowym w wyjątkowych sytuacjach zagrożenia sieci. Plotka rozpowszechniona przez Washington Post mówi, że Kwon była sfrustrowana biurokratyzacją i brakiem faktycznej władzy, co powstrzymywało ją przed spełnianiem swojej pracy. Właściwie, to nie jest pozycja, którą zajmuje się długo. W ciągu ostatnich 5 lat dyrektorzy zmeiniali się 4 razy.

Mam nadzieję, że mimo tych przeszkód, plan bezpieczeństwa w sieci zostanie wprowadzony bez kolejnych rezygnacji, opóźnień etc.. Trzymam kciuki!

Jak się (nie) chronią najlepsi…

Kiedy myślisz o instytucjach, takich jak Brytyjskie Ministerstwo Obrony, podejrzewasz pewnie, że ochrona jest tam wręcz nie do przejścia. Tak, że nie zadrzesz z nimi już drugi raz. Niestety, jak rzeczone ministerstwo podaje (V3.co.uk) w ostatnich latach, przypadki utraty danych wzrosły 4 razy. Według nieoficjalnych źródeł w 2008 i 2009 roku stało się to 8 razy, co wobec 2 w poprzednim okresie jest imponujacą liczbą. Najbardziej poważne okazało się zaginięcie przenośnego dysku twardego z posiadłości jednego z wykonawców dla ministerstwa. Były tam imiona i nazwiska, numery paszportów i dane do kont bankowych 1,7 miliona osób.

Wśród innych wypadków było zgubienie trzech pamięci USB z „bezpiecznej posiadłości rządowej”. Na nich z kolei były dane wszystkich członków personelu pomocniczego RAF, kótrzy odbywali służbę od 2002 do 2008 roku, a także ich krewnych.

Z kolei w kwietniu zeszłego roku, nieszyfrowany laptop został skradziony z budynku ministerstwa, wraz z danymi osobistymi 300 ludzi.

Ministerstwo Obrony przyznaje, że traciło urządzenia elektroniczne, pamieci przenosnie lub wydrukowane dokumenty ponad 15 razy – w tym 6 razy z biur rządowych.

Mam wrażenie, że prywatna firma zrobiłaby coś z tym jakieś 8 utrat danych temu. Ale w końcu to sa fundusze publiczne. Może teraz zainwestuja w jakiś system ochrony?

Twoje Dokumenty w Social Media

Facebook, LinkedIn, Twitter, codziennie odwiedzane przez pracowników prawie każdej firmy. Dzielimy się informacjami – nawet czasem w zbyt dużych ilościach – z każdą osobą obecną w sieci. Nie chodzi o to, żebyśmy rezygnowali z korzysci jakie daje networking online, ale musimy być świadomi, które na nas tam czychają. Jak we wszystkich dziedzinach powiązanych z ochroną danych – niezbezpieczeństwo jest albo wewnątrz, albo na zewnatrz organizacji. Zarówno złośliwe oprogramowanie, które obrało na cel social media jak i Twoi właśni pracownicy, pozbawieni odpowiedniego przeszkolenia, bądź umyślnie umieszczają poufne informacje w sieci.

To jak tego uniknąć? Na pewno nie można tego zignorować. Na pewno nie zatrzaśniesz tych drzwi, skoro social media mają taki wpływ na Twoją firmę. Ograniczenia czasu użytkowania też raczej nie pomogą. W końcu, żeby opublikować jeden post, potrzebne jest kilkanaście sekund, a może trafić on do każdego.

Czytając pewien artykuł na temat social media w pracy, natrafiłem na wnioski z pewnego badania (badanie Sophos), które pokazało, że 62.8% firm nie było zadowolone z tego, że ich pracownicy dzielą się zbyt wieloma informacjami na Facebooku, a 66% jednoznacznie stwierdziło, że pracownicy używający social networks narażaja bezpieczeństwo firmy.

Prawda. I co z tym zrobisz? Masz 3 sposoby. Najpierw ogranicz dostęp pracownikom do poufnych dokumentów (np. poprzez system białej listy). To tylko jest chwilowe rozwiązanie. Potem przeszkol ich. Powiedz co jest dobrym zachowaniem, a co naraża dobro firmy. Na koniec – obserwuj ich ruchy. Jakie pliki, na czym i gdzie przenoszą. Albo módl się o cud.

Co trzeci pracownik gotowy kraść firmowe dane

Uwaga pracodawco! Co trzeci pracownik twojej firmy jest gotowy kraść poufne informacje z twojej firmy, jeśli przyniesie mu to późniejsze korzyści np. łatwiejsze znalezienie pracy lub korzyści finansowe. Są to wyniki badania przeprowadzonego przez Inforsecurity Europe w trakcie konferencji poświęconej zagadnieniom bezpieczeństwa IT.

„Infosecurity Europe podaje także, że 68 proc. pracowników jest przekonana, iż kradzież wrażliwych danych firmy jest łatwa, a 88 proc. potwierdza, że informacje, do których mają dostęp przedstawiają istotną wartość”.

Infosecurity ostrzega, iż przestępcy z łatwością wyłapują nielojalnych pracowników, gotowych na kradzież istotnych danych. Organizacje powinny poświęcać więcej uwagi kwestiom edukacji pracowników na temat polityki bezpieczeństwa oraz ochrony wrażliwych informacji. Wszystkie reguły, polityki i zasady warto wspomagać odpowiednim zabezpieczeniem sprzętowym, jak i oprogramowaniem. Biorąc pod uwagę wyniki badania warto zwrócić uwagę na oprogramowanie, które cieszy się rosnącą popularnością wśród IT Managerów – oprogramowanie pozwalające kontrolować punkty końcowe komputerów w sieci, jednocześnie nadając bądź odbierając dostęp określonym użytkownikom na korzystanie z pewnych urządzeń. Jednym z takich software’ów jest Endpoint Protector, który jednocześnie dba o to, aby dane kopiowane na przenośne urządzenia magazynujące były zaszyfrowane, przez co niedostępne dla osób trzecich. Więcej informacji znajdziecie na stronie www.Kontrola-USB.com

Bezpiecznie jak w regionie

Serwis IDG opublikował podsumowanie raportu Deloitte „The 6th Annual Global Security Survey”, który odzwierciedla stan bezpieczeństwa w firmach oraz wskazuje najpoważniejsze zagrożenia w IT security. Badanie wskazuje, że aż 50% przebadanych firm z regionu EMEA (Europe, Middle East and Africa) doświadczyło naruszenia bezpieczeństwa w ciągu 12 miesięcy.

Do najpoważniejszych zagrożeń w dalszym ciągu należą ataki na infrastrukturę IT od zewnątrz, choć w tym obszarze widać tendencję spadkową, która może być wynikiem wzrastającej świadomości na temat sposobów ochrony. Niepokojąco szybko wzrasta problem zagrożeń wewnętrznych w firmach spowodowanych np. naruszeniem bezpieczeństwa IT przez pracowników, nieprzestrzeganie polityki bezpieczeństwa lub kradzież danych za pomocą urządzeń USB. 26% ankietowanych firm odpowiedziało, iż ten problem dotknął ich w ciągu ostatniego roku.

„Ubiegłoroczne informacje o wyciekach istotnych danych właśnie przez przeniesienie lub utratę w urządzeniach przenośnych sugerują, że ten obszar wymaga dalszych prac. Ochrona pamięci przenośnych, urządzeń klasy PDA, telefonów smartphone i odtwarzaczy MP3 będzie wymuszać stosowanie zabezpieczeń ograniczających ryzyko utraty danych tą drogą.”

Więcej na temat samego raportu znajdziecie tutaj.