Jak se krade v korporacích – únik informací

Nedávno jsme dělali bezpečnostní audit v jedné nejmenované firmě, kterou trápil únik informací, a učinili jsme zajímavé zjištění.

Daná společnost investovala nemalý peníz do implementace sofistikovaného nástroje zabraňujícímu úniku dat a nastavení jejich host based i network based DLP nástroje bylo velice restriktivní. Po pravdě řečeno s tak paranoidní bezpečností jsme se nikde zatím nesetkali. Ovšem vzhledem k tomu, že i v této společnosti, tak jako i ve většině ostatních, nebyla bezpečnost budována komplexně, přišel i zde útočník na způsob, jako si citlivá data odnést.

Firma již byla zoufalá, protože se jednalo o velice citlivá data, která byla šifrována, a ke kterým mělo přístup jen několik málo lidí. Vesměs se jednalo o členy představenstva a jejich asistentky, které jim dokumenty na jednání tiskly. Firma již předtím, než se nás obrátila, provedla interní šetření a dospěla k závěru, že citlivé informace musí vynášet někdo jiný, než osoby, které k nim mají legitimní přístup, nejspíš prý někdo z IT.

Na náš dotaz, co se děje s dokumenty, které asistentky na jednání představenstva svým manažerům tisknou, se nám dostalo odpovědi, že jsou vhozeny do sběrného boxu, který je vybaven patentním zámkem, od něhož má klíč pouze společnost, která pro ně skartaci citlivých dokumentů zajišťuje.

Dalším šetřením jsme zjistili, že problém s únikem informací začal až poté, co byly zrušeny, z důvodu snížení nákladů, hluku a prachu, skartovací stroje, kterými byla dříve vybavena každá kancelář. Jako první nás napadlo, zda informace nekrade přímo společnost, která tuto činnost provádí. Ovšem, abychom toto mohli ověřit, museli bychom provést audit i v této společnosti a to jsme zatím nechtěli.

Když jsme si totiž blíže prohlédli sběrný box, napadla nás ještě jedna možnost. Sběrný box byl sice velice robustní a konstrukce a typ zámku též vylučovala, že by se dal otevřít pomocí planžety nebo nějakých nástrojů. Ovšem otvor, kterým se dokumenty dovnitř vhazovaly, byl široký téměř jeden centimetr a jestliže dokument prošel dovnitř, mohl by projít i ven. Ale jak dosáhnout na dno přes metr hlubokého kontejneru?

Vzpomněli jsme si na to, jak jsme ještě jako děti vyndávaly ježka z klece. Prostě jsme ho vyklepaly. A tak jsme se rozhodli to zkusit i zde. Kontejner byl sice těžký, ale když se otočil vzhůru nohama, tak se dokumenty nahromadily u štěrbiny a pak se už daly s použitím určitého násilí vytáhnout.

Teď už jen zbývalo zjistit, kdo to nejspíš stejným způsobem provádí. Z docházkového systému jsme zjistili, že jeden zaměstnanec zůstává zpravidla jeden den v týdnu v práci o něco déle než ostatní. A nebylo asi náhodou, že to bylo zrovna vždy den před odvozem kontejneru.

Závěr: Citlivé dokumenty raději skartujte hned. Nikdy nevíte, kdo se k nim může dostat.

Pokud vás tento článek zaujal, můžete odkaz na něj sdílet.

Štítky:

  1. JH

    Dost dobrý :)


K článku “Jak se krade v korporacích – únik informací” se zde nachází 1 komentář.

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.

Přihlášeným uživatelům se tento formulář nezobrazuje - zaregistrujte se.

Jméno:(požadováno)
E-mail:(požadováno - nebude zobrazen)
Web:

Text vaší reakce: