Tracisz dane nie tylko przez zaniedbanie…

Ponemon Institute  przeanalizował przypadki utraty danych w 38 brytyjskich firmach z 13 różnych sektorów gospodarki. Według tego badania, niedbałość, jako pierwsze źródło wycieku danych została zastąpiona przez awarie systemowe.

Wzrost o 13% w kosztach utraty danych oznacza, że organizacje zapłacą 71 funtów za każdy utracony wpis. Tego, co firma średnio zapłaci, nie da się za bardzo ustalić, bo sumy wahają się od 36 000 do 6,2 miliona funtów.

29% z tych ataków to te, którą są złośliwe lub noszą znamiona przestępstwa. To wzrost o 7% w 2010 roku, w porównaniu z poprzednim okresem. Spośród wszystkich przypadków, w których wyciekły dane, aż 37% wynikało z awarii systemów, co w porównaniu z 2009 rokiem stanowi 7% wzrostu. Zagubienie, kradzież lub błędy popełnione przez zewnętrzne osoby to o 5% więcej niż w 2009 roku, czyli 29%. Natomiast zaniedbanie to „tylko” 34%, co oznacza spadek o 11%.

Wsród badanych, 7 firmz 10 jako rozwiązanie swoich problemów podało szyfrowane danych, a 69% (czyli prawie tyle samo) zdecydowało się na zwiększenie kontroli użytkowników.

Ponadto w zeszłym roku, Biuro Komisarza ds. Informacji (Information Commissioner’s Office = ICO) dostało w ręce nowe metody – miedzy innymi możliwość nakładania dotkliwych kar pieniężnych na firmy, które tracą dane z powodu niedbałości.

“Regulators are cracking down to ensure organisations implement required data security controls or face harsher penalties,” said Dr Larry Ponemon, chairman and founder of the Ponemon Institute. “Confronted with both malicious and non-malicious threats from inside and outside the organisation, companies must proactively implement policies and technologies to mitigate the risk of costly breaches.”

Kto może ucierpieć na kradzieży jednego laptopa?

AvMed Health Plans (dostarczyciel usług medycznych w USA) właśnie stara się „posprzątać” po utracie danych. Otóż na początku grudnia, z biura firmy w Gainsville skradziono 2 firmowe laptopy. Najgorsze jest to, że złodzieje zyskali dostęp do informacji osobistych 200 000 obecnych i byłych klientów i członków ich rodzin – poinformowała firma na łamach Gainesville.com.

Co zawierały te 2 laptopy? Nazwiska, adresy, numery telefonów, numery ubezpieczenia społecznego i informacje o zdrowiu pacjentów. Z drugiej strony, firma informuje, że ryzko kradzieży tożsamości jest dość niskie, ze wzgledu na to, że dane były zapisane bez szczególnej kolejności. Szkoda tylko, że 12 dni po zdarzeniu, firma odkryła, że dane na jednym z dwóch laptopów nie były odpowiednio szyfrowane.

AvMed informuje, że na razie nie było żadnych informacji o kradzieży tożsamości, a oni sami mają o wiele lepszą perspektywę na cała sytuację, od czasu gdy klienci zaczęli przystępować do programu ochrony tożsamości, zapewnionego przez firmę na najbliższe 24 miesiące.

IDC: większość wewnętrzynych wycieków danych to przypadek

Wypadki wycieku lub utraty danych o wiele częściej są powodowane przez „swoich”, a wyrządzona szkoda często dzieje się przez przypadek. Mimo to, takie wypadki mają bardzo duże konsekwencje. Tak przynajmniej mówi ostatnie badanie IDC – firmy zajujacej się badaniem przemysłu, sponsorowane przez RSA.

Jak mówi raport z badania, 52 % respondentów stwierdziło, że zecydowana większość wypadków utraty danych ma charakter przypadkowy, a 19% uważa, że były zamierzone.  Kolejne 26 % twierdzi, że ich problemy były kombinajcą umyslnego działania i nieszczęsliwych wypadków.

“Jedna z rzeczy, która nas zaskoczyła, to to, jak duża liczba takich incydentów jest nieumyślna”, mówi Chris Young, członek zarządu RSA, cytowany przez Dark Reading. “Mimo, ze pracownicy starają się rzetelnie wykonać swoją pracę, często nie wiedzą, że mogą narażać swojego pracodawcę na straty.” Zobacz więcej

Kolejni Specjaliści opuszczają Obamę

No i co z tego, że Biały Dom ma ma nowy, wspaniały plan bezpieczeństwa w sieci, skoro większość osób odpowiedzialnych za jego wprowadzenie i ugruntowanie zrezygnowało z pracy w administracji Barracka Obamy w ciągu ostatnich kilu miesięcy.

Najpierw, w marcu, Rod Beckstrom zrezygnował z funkcji dyrektora National Cybersecurity Center, wydziału w Departamencie Bezpieczeństwa Wewnętrznego. Rzeczone centrum zajmuje się koordynowaniem ochrony sieci komputerów cywilnych, wojskowych i wywiadu. Dlaczego Beckstrom zrezygnował? Otóż, w liście, który przekazał, pisze, że zbyt mały budżet którym dysponował i nieudolna kontrola ze strony National Security Agency nie pozwalały mu na rzetelne wykonywanie pracy.

Kolejną osobą, która ogłosiła swoją rezygnację była Melissa E. Hathway. Melissa była głównym dyrektorem ds. bezpieczeństwa w sieci w administracji Obamy. Miesiące opóźnienia w powłaniu osoby odpowiedzialnej za nadzorowanie bezpieczeństwa sieci krytycznych dla Stanów Zjednoczonych. The Register wskazuje, że Hathway była jednym z najlepszych kandydatów na „cara bezpieczeństwa sieci”, osoby która miałaby możliwość zabezpieczać sieci i infrastrukturę, które pracuja dla banków, szpitali i giełdy w USA.

Jako trzecia, całkiem nie dawno zrezygnowała Mischel Kwon. Szefowa wydziału wewnątrz Departamentu Bezpieczeństwa Wewnętrznego, który zajmował się zarządzaniem kryzysowym w wyjątkowych sytuacjach zagrożenia sieci. Plotka rozpowszechniona przez Washington Post mówi, że Kwon była sfrustrowana biurokratyzacją i brakiem faktycznej władzy, co powstrzymywało ją przed spełnianiem swojej pracy. Właściwie, to nie jest pozycja, którą zajmuje się długo. W ciągu ostatnich 5 lat dyrektorzy zmeiniali się 4 razy.

Mam nadzieję, że mimo tych przeszkód, plan bezpieczeństwa w sieci zostanie wprowadzony bez kolejnych rezygnacji, opóźnień etc.. Trzymam kciuki!

Jak się (nie) chronią najlepsi…

Kiedy myślisz o instytucjach, takich jak Brytyjskie Ministerstwo Obrony, podejrzewasz pewnie, że ochrona jest tam wręcz nie do przejścia. Tak, że nie zadrzesz z nimi już drugi raz. Niestety, jak rzeczone ministerstwo podaje (V3.co.uk) w ostatnich latach, przypadki utraty danych wzrosły 4 razy. Według nieoficjalnych źródeł w 2008 i 2009 roku stało się to 8 razy, co wobec 2 w poprzednim okresie jest imponujacą liczbą. Najbardziej poważne okazało się zaginięcie przenośnego dysku twardego z posiadłości jednego z wykonawców dla ministerstwa. Były tam imiona i nazwiska, numery paszportów i dane do kont bankowych 1,7 miliona osób.

Wśród innych wypadków było zgubienie trzech pamięci USB z „bezpiecznej posiadłości rządowej”. Na nich z kolei były dane wszystkich członków personelu pomocniczego RAF, kótrzy odbywali służbę od 2002 do 2008 roku, a także ich krewnych.

Z kolei w kwietniu zeszłego roku, nieszyfrowany laptop został skradziony z budynku ministerstwa, wraz z danymi osobistymi 300 ludzi.

Ministerstwo Obrony przyznaje, że traciło urządzenia elektroniczne, pamieci przenosnie lub wydrukowane dokumenty ponad 15 razy – w tym 6 razy z biur rządowych.

Mam wrażenie, że prywatna firma zrobiłaby coś z tym jakieś 8 utrat danych temu. Ale w końcu to sa fundusze publiczne. Może teraz zainwestuja w jakiś system ochrony?

Twoje Dokumenty w Social Media

Facebook, LinkedIn, Twitter, codziennie odwiedzane przez pracowników prawie każdej firmy. Dzielimy się informacjami – nawet czasem w zbyt dużych ilościach – z każdą osobą obecną w sieci. Nie chodzi o to, żebyśmy rezygnowali z korzysci jakie daje networking online, ale musimy być świadomi, które na nas tam czychają. Jak we wszystkich dziedzinach powiązanych z ochroną danych – niezbezpieczeństwo jest albo wewnątrz, albo na zewnatrz organizacji. Zarówno złośliwe oprogramowanie, które obrało na cel social media jak i Twoi właśni pracownicy, pozbawieni odpowiedniego przeszkolenia, bądź umyślnie umieszczają poufne informacje w sieci.

To jak tego uniknąć? Na pewno nie można tego zignorować. Na pewno nie zatrzaśniesz tych drzwi, skoro social media mają taki wpływ na Twoją firmę. Ograniczenia czasu użytkowania też raczej nie pomogą. W końcu, żeby opublikować jeden post, potrzebne jest kilkanaście sekund, a może trafić on do każdego.

Czytając pewien artykuł na temat social media w pracy, natrafiłem na wnioski z pewnego badania (badanie Sophos), które pokazało, że 62.8% firm nie było zadowolone z tego, że ich pracownicy dzielą się zbyt wieloma informacjami na Facebooku, a 66% jednoznacznie stwierdziło, że pracownicy używający social networks narażaja bezpieczeństwo firmy.

Prawda. I co z tym zrobisz? Masz 3 sposoby. Najpierw ogranicz dostęp pracownikom do poufnych dokumentów (np. poprzez system białej listy). To tylko jest chwilowe rozwiązanie. Potem przeszkol ich. Powiedz co jest dobrym zachowaniem, a co naraża dobro firmy. Na koniec – obserwuj ich ruchy. Jakie pliki, na czym i gdzie przenoszą. Albo módl się o cud.