Trzy największe problemy dotyczące bezpieczeństwa danych

Rik Ferguson z firmy Trend Micro przedstawia w trzech punktach problemy związane z bezpieczeństwem danych oraz ich ochroną. Z tekstu dowiecie się jak unikać pewnych, niekiedy banalnych problemów z bezpieczeństwem i obiegiem informacji.

I. Brak świadomości zarówno wśród użytkowników końcowych, jak i na poziome całego przedsiębiorstwa.

Zawsze twierdziłem, że najlepszą metodą zabezpieczenia systemu informatycznego w przedsiębiorstwie jest edukacja. Potwierdzam to jeszcze raz. Firmy muszą zrozumieć, a nie tylko wyobrażać sobie, czym są dzisiejsze zagrożenia internetowe. Należy uczyć użytkowników, jak świadomie i ostrożnie korzystać z sieci internetowych i intranetowych.

Nie można ślepo wierzyć w moc technologii, zwłaszcza, że wiele infekcji atakuje w sposób niezauważalny. Każdy powinien wiedzieć, co powinien zrobić, gdy podejrzewa, że padł lub może paść ofiarą takiego ataku.

Użytkownicy muszą sobie również uświadomić, jaką wartość, w kategoriach pieniężnych, mają dane osobowe — zarówno ich własne, jak też innych osób. Powinni zacząć traktować te informacje z należytą uwagą i nie udostępniać ich przypadkowym odbiorcom za pośrednictwem sieci społecznościowych czy zawodowych, blogów, przez telefon, pod pretekstem fikcyjnych ankiet i tak dalej.

II. Samozadowolenie.

Gdy dochodzi do utraty danych na skutek działania szkodliwego oprogramowania lub „czynnika ludzkiego” wiele firm wcale nie czuje się za to odpowiedzialnych. Ma to ścisły związek z punktem pierwszym, czyli edukacją. Ochrona danych, za które odpowiada firma, jest bardzo ważna, a w wielu przypadkach wymagają tego prawo lub przepisy.

Dotyczy to różnych kategorii informacji, takich jak dane umożliwiające identyfikację osób (Personally Identifiable Information — PII), informacje będące przedmiotem własności intelektualnej, dane poufne istotne dla firmy lub państwa, wyniki finansowe, dane logowania czy informacje o pacjentach lub klientach. Ta lista mogłaby być o wiele dłuższa. Każde przedsiębiorstwo ma własne zbiory danych i własne zobowiązania do ich ochrony zarówno przed nieuprawnionym czy nieodpowiednim użyciem, jak i przed atakami z zewnątrz.

Obecnie wiele firm wykazuje jednak zadziwiające samozadowolenie i przystępuje do działania tylko wtedy, gdy dane są zagrożone lub ich bezpieczeństwo zostało naruszone. Firmy powinny instalować programy korygujące na wszystkich swoich komputerach natychmiast po ich udostępnieniu, a tam, gdzie jest to niepraktyczne lub niemożliwe, wdrażać hostowane technologie zapobiegające włamaniom. Zarówno pracownikom, jak i klientom należy ułatwić sprawdzanie, w jaki sposób używane są dane, za które są odpowiedzialni. Dotyczy to wszystkich doraźnych transferów informacji, które maja miejsce każdego dnia za pośrednictwem takich kanałów, jak poczta elektroniczna, protokoły HTTP i FTP, komunikatory internetowe czy urządzenia USB.

Sekretarka w klinice wysyła informacje o pacjencie na adres Hotmail konsultanta, aby mógł on je przeglądać również przez weekend. Zatrudniony w firmie programista zabiera do domu kod źródłowy oprogramowania na przenośnym urządzeniu. Komputer służący do przetwarzania płatności jest zainfekowany szkodliwym oprogramowaniem przechwytującym dane, ponieważ „nie było czasu na zainstalowanie poprawek w systemie operacyjnym”. Czy takie sytuacje można uznać za normalne? Mam nadzieję że nie dotyczą Twojej firmy, ale dopóki nie zaczniesz zarządzać sprzętem i oprogramowaniem w sposób prewencyjny, kontrolując planowane oraz nieplanowane transfery danych, musisz przygotować się na problemy (o ile już nie wystąpiły).
 
III. Brak analizy przyczyn.

Tradycyjnie rozwiązania zabezpieczające, zarówno te stosowane na brzegu sieci, jak i te wdrażane na serwerach czy urządzeniach klienckich, koncentrują się na wykrywaniu, blokowaniu oraz usuwaniu infekcji szkodliwego oprogramowania, ale nie oferują skutecznej analizy przyczyn. Tymczasem użytkownicy powinni wiedzieć skąd pochodzą zagrożenia: czy szkodliwe oprogramowanie zostało pobrane wraz z danymi, pocztą elektroniczną, poprzez zainfekowany napęd USB, komunikator internetowy, czy jeszcze inaczej? Nie wystarczy powiedzieć: „Komputer X został zainfekowany wirusem Y, ale już go usunąłem, nie musicie się niczego obawiać”.

To może zapewnić firmie komfortowe poczucie, że znów się udało (podkreślam słowo „może”; czy wiadomo, jak długo oprogramowanie znajdowało się na komputerze, zanim zostało wykryte?), ale nie daje nikomu informacji potrzebnych do poprawienia stanu bezpieczeństwa i zmniejszenia ryzyka oraz zapobiegania takim samym lub podobnym infekcjom w przyszłości. Inteligentne rozwiązanie zabezpieczające powinno nie tylko monitorować pracę komputera, ale również przeprowadzać szczegółową analizę przyczyn nawet w przypadku opóźnionego wykrycia eksploitu już w pierwszym dniu jego pojawienia się (ang. zero-day).

Autor: Rik Ferguson, Senior Security Advisor, Trend Micro
Źródło: Trend Micro