DLP: nedbalost

V minulém příspěvku o DLP jsme se zamýšleli nad tím, jak zabránit krádeži dat zaměstnancem, který má k datům legitimní přístup.

Dnes budeme hledat způsob, jak zabránit úniku dat z nedbalosti. K úniku informací může dojít i z nedbalosti zaměstnance, který únik informací způsobí svým nezodpovědným chováním. Pro úplnost ještě dodejme, že nedbalost může být vědomá i nevědomá. Rozdíl spočívá v tom, že zatímco v prvním případě zaměstnanec věděl, že by svým nezodpovědným chováním mohl způsobit únik informací, tak své chování nezměnil a v nepřiměřené míře spoléhal na to, že k úniku nedojde. Ve druhém případě zase zaměstnanec netušil, že by svým chováním mohl únik informací způsobit.

Je zřejmé, že v obou případech byla podceněna personální a administrativní bezpečnost. Buď byl vybrán pracovník, který má sklon se nezodpovědně chovat a bezpečnostní předpisy obcházet a ignorovat nebo nebyl dostatečně proškolen v tom, jak má s citlivými informacemi zacházet. Stejně tak je ale možné, že bezpečnostní standard jak zacházet s citlivými informacemi nemá daná společnost vypracovaný vůbec. V příspěvku o ILM zaznělo, že informace musí být chráněny během celého jejich životního cyklu a to v úložišti, během přenosu i při samotném používání či případné likvidaci. Pokusili jsem se zformulovat několik doporučení, které by měly v případě, že se jimi budou zaměstnanci řídit, riziko úniku informací výrazně snížit.

1. Šifrujte data

V okamžiku, kdy zařízení ztratíte, bude vám ukradeno, rozbije se, dáte ho do bazaru, tak se k vašim datům nikdo nedostane. V případě, že byl zvolen dostatečně silný šifrovací algoritmus a byl správně naimplementován, má útočník mizivou šanci, že se k datům dostane.

2. Skartujte data

Někteří bezpečnostní experti doporučují data místo bezpečného přepisu šifrovat. Tento názor se občas objevuje i v renomovaných periodikách. My ho však nesdílíme a to z jednoho prostého důvodu a to, že data na médiu zůstanou a nikdo neví, zda se třeba za rok neobjeví nějaká zranitelnost v algoritmu, který byl pro šifrování použit. Také výkon PC a jeho komponent v čase roste, což může usnadnit útok hrubou silou (brute force attack). Stejně tak se k datům může dostat i bývalý zaměstnanec, který zná heslo a může data dešifrovat. Likvidujte bezpečně i nosiče informací. Smazání nebo formátování nestačí. Jsme přesvědčeni, že nejspolehlivější formou likvidace dat je jejich přepis, případně fyzická likvidace daného média.

3. Zálohujte data

Pokud budete mít data pouze na jednom místě, jste vystaveni riziku, že o svá data přijdete v důsledku havárie, ztráty nebo krádeže daného zařízení. Dejte si ale pozor, kam zálohujete. Zálohovat citlivá firemní data do úložiště kdesi na internetu, není zrovna nejlepší nápad. Obliba těchto služeb však mezi uživateli stoupá a mnohými magazíny jsou dokonce doporučovány. Např. jeden redaktor deníku E15 doporučil čtenářce v čísle 133, zálohovat firemní data na internet.

4. Neponechávejte zařízení a média bez dozoru

Ke ztrátě nebo zcizení může dojít kdekoliv, na pracovišti, doma na cestě. Při přepravě mějte neustále zavazadlo obsahující notebook u sebe. Nenechávejte ho položený na sedadle ani ho nestavte na zem. Je jedno, kde jste, zda ve vlaku, autobusu nebo ve svém autě. Dost krádeží se odehrává na zastávkách a křižovatkách. Notebook můžete přepravovat v kufru, ale nenechávejte ho tam, když auto opustíte.

5. Uzamykejte obrazovku

V případě, že se potřebujete od svého notebooku vzdálit a nechcete nebo nemůžete ho vzít sebou, uzamkněte alespoň obrazovku.

6. Uklízejte po sobě

Nevyzvednuté papíry na tiskárně nebo ponechané v zasedací místnosti po skončení prezentace, workshopu nebo jiné akce mohou pro útočníka představovat velice zajímavé informace. Stejně tak nenechávejte tyto dokumenty na svém stole.  Jedná se o zásadu čistého stolu neboli „clean desk policy“. Takový hacker se pohrabe i v koši. Vznešeně se tomu říká „dumpster diving“ a je to naprosto běžná technika, jak se velice snadno a rychle dostat k zajímavým informacím.

7. Zabraňte odpozorování

V okamžiku, kdy pracujete na veřejném místě, v parku, v kavárně, ve vlaku, kdokoliv se vám může dívat přes rameno. Sedněte si tak, aby to nebylo možné, např. abyste za sebou měli zeď.

8. Nediskutujte na veřejnosti

Nikdy nevíte, kdo váš hovor může náhodou zaslechnout a pro koho pracuje. Pokud nemáte jistotu, že váš hovor nemůže někdo slyšet a jste si vědomi, že záležitost, o které se svým partnerem hovoříte, by mohla být pro konkurenci zajímavá, zvolte jiné téma hovoru.

9. Nesdílejte citlivá data

Rozhodně ne prostřednictvím nezabezpečených freemailů, internetových úložišť, webových aplikací, instant messengerů, diskusních fór a sociálních sítí typu LinkedIn nebo Facebook.

Poznámka: Nezapomínejte, že nedbale se může chovat i správce systému, který nastavuje práva a konfiguruje systém, snadno se tak může stát, že svou nedbalostí způsobí, že data, která měla být přístupná jen vybraným uživatelům, jsou najednou přístupná všem. Proto věnujte dostatek času i pravidelné revizi nastavení přístupových oprávnění.

Závěr: Zaměstnavatelé stále častěji v rámci snižování nákladů vybavují své zaměstnance služebními notebooky a vzdáleným připojením. Jaksi si ale neuvědomují, že právě možnost pracovat odkudkoliv sebou přináší i jistá rizika, kterým je nutno čelit nejen technickými prostředky, ale především zvyšováním bezpečnostního povědomí zaměstnanců v této oblasti.

A co vy, kolik z výše uvedených zásad dodržujte a máte zapracováno ve vašich interních předpisech?

Štítky: DLP, informační bezpečnost

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.