Duomenų nutekėjimas – tik laiko klausimas

Vienas esminių pokyčių, kuriuos įteisino BDAR, yra prievolė per 72 val. pranešti atsakingoms institucijoms apie duomenų nutekėjimą.

„Jei iki šiol galėjome tvirtinti, kad didžioji dalis duomenų nutekėjimo atvejų yra neviešinami ir žiniasklaidoje pasirodo tik mažoji jų dalis – dažniausiai tik tie atvejai, kai duomenis praranda didelės korporacijos – dabar ši prievolė liečia visas organizacijas be išimčių. Pavyzdžiui dabar būtų visiškai nesuprantami ir nepateisinami tokie atvejai, kaip Šveicarijos telekomunikacijų giganto „Swisscom“ sprendimas 5 mėnesius slėpti, kad 2018 m. pradžioje nutekėjo 800.000 vartotojų asmeninių duomenų įrašai“, – komentuoja Ramūnas Liubertas, „ESET Lietuva“ IT inžinierius.

Silpnoji grandis – darbuotojai

Daugeliui įmonių, ypač smulkiojo ir vidutinio verslo atstovų, gali atrodyti, kad duomenų nutekėjimas yra didžiojo verslo problema. Tačiau, anot pašnekovo, saugumo ekspertai laikosi nuomonės, kad duomenų nutekėjimas kiekvienoje organizacijoje tėra laiko klausimas.

„Su smulkesniais ar stambesniais saugumo pažeidimų atvejais kasdien susiduria dauguma organizacijų, pavyzdžiui, dėl to, kad darbuotojai turi perteklinę prieigą prie jautrių duomenų, gali kopijuoti svarbius failus. Tačiau apie  pasekmes susimąstoma tik tada, kai nutinka kas nors rimta: nutekinama svarbi informacija ar verslo paslaptys išduodamos konkurentams“, – komentuoja p. Liubertas.

Jis tikslina, kad tokie darbuotojų veiksmai nebūtinai yra tyčiniai – daugeliu atveju duomenys nutekinami tiesiog dirbant savo darbą.

„Vienas efektyviausių būdų įsiskverbti į organizaciją yra programišių naudojamos socialinės inžinerijos kampanijos, nukreiptos būtent į silpniausią įmonių saugumo grandį – darbuotojus. Jie atakuojami kenkėjiškais laiškais su pavojingomis nuorodomis, kurias paspaudus atsisiunčiama kenksmingų programų, ar su legalius dokumentus imituojančiais virusų diegimo failais. Vienas neatsargus mygtuko paspaudimas, ir štai – turime problemą, – iliustruoja p. Liubertas. – Kita bėda, su kuria susiduria įmonės, yra buvusių darbuotojų veiksmai. Atsisveikinant su darbuotoju retai kada imamasi priemonių užtikrinti, kad jis neišsineštų svarbių duomenų. Tiesa, jei darbuotojas tuos duomenis ir taip „nešė“ namo visą laiką, kol dirbo įmonėje, kažin ar verta tikėtis norimų rezultatų iš paskutiniojo audito“.

Yra sprendimų

Anot p. Liuberto, pagelbėti gali tokie duomenų nutekėjimo prevencijos sprendimai kaip 2016 m. prie ESET Technologijų Aljanso prisijungusi „Safetica“, kuri apsaugo įmones nuo įvairių žmogiškojo faktoriaus sukeliamų saugumo grėsmių: suplanuoto ar netyčinio duomenų nutekinimo, kenksmingų darbuotojų veiksmų, produktyvumo problemų, naudojimosi asmeniniais įrenginiais darbo tikslais pavojų.

„Duomenų nutekėjimo prevenciją (ang. Data loss prevention, DLP) įmonėje leidžia įgyvendinti skirtingi „Safetica“ moduliai. Šiam tikslui skirtas DLP modulis leidžia žymėti jautrius duomenis, kurti taisykles darbui su jais, vykdyti įvairius apribojimus, pavyzdžiui, neleisti kopijuoti, įrašyti, siųsti ir panašiai. Šis modulis taip pat padeda stebėti darbuotojų veiksmus, atliekamus su duomenimis, valdyti prieigos teises. Jei reikia pernešti svarbius duomenis, pavyzdžiui, įrašyti partnerystės sutartį į USB atmintinę, „Safetica“ ją užšifruoja, todėl niekas negalės jos pamatyti, kol nebus patvirtinta autorizacija – pametus USB atmintinę, svarbūs duomenys liks apsaugoti nuo pašalinių akių“, – kalba specialistas.

Kiti „Safetica“ moduliai padeda užtikrinti duomenų apsaugą įmonės viduje.

[infogram id="718a1a0a-83cf-450d-bcab-23d879509d2b" prefix="Y0x" format="interactive" title="TR: Esset Citata (VS)"]

„Auditor“ modulis padeda atlikti turimos techninės ir programinės įrangos auditą, licencijų naudojimą, darbuotojų produktyvumą ir spausdinimo įpročius. Apribojimų modulis leidžia blokuoti norimas interneto svetaines, programas, taip pat kontroliuoti spausdinimą. „Safetica Mobile“ modulis suteikia galimybę nuotoliniu būdu užrakinti ar aktyvuoti duomenų trynimo komandą, jei mobilusis įrenginys pametamas ar pavagiamas, siekiant apsaugoti įmonės duomenis asmeniniame darbui naudojamame įrenginyje“, – vardija p. Liubertas.

Įdomu, kad „Safetica“ renka tokią informaciją, kuri gali būti naudojama kaip įrodymas vidiniame arba teisiniame tyrime, susidūrus su duomenų nutekėjimu.

„Viskas priklauso nuo konkrečių nustatymų. „Safetica“ pateikia informaciją apie darbuotojus, kurie dirba su jautriais duomenimis ir parodo, kaip kiekvienas iš jų su jais elgiasi. Taip pat įvertina saugumo incidentų riziką bei įspėja apie neproduktyvią darbuotojų veiklą“, – atskleidžia pašnekovas.

Nepamiršti prevencijos

Deividas Pelenis, „ESET Lietuva“ pardavimų vadovas, teigia, kad geriausios priemonės apsaugoti konfidencialią informaciją yra prevencija ir gebėjimas laiku informuoti darbuotojus.

„Kiekviena įmonė privalo nusistatyti vidaus tvarkos taisykles ir reglamentus – nurodyti darbuotojams, kaip saugiai dirbti kompiuteriu ir naudotis įmonės sistema. Svarbiausia šias taisykles surašyti trumpai ir aiškiai, pasirūpinti, kad darbuotojas jas matytų vos tik įjungęs kompiuterį, naršyklę ar darbo programą. Svarbu nepamiršti ir mokymų, per kuriuos būtų primenamos saugaus darbo taisyklės. Turint omeny, kaip dažnai saugumo incidentai įvyksta dėl neapdairaus darbuotojų elgesio, kibernetinio saugumo mokymus darbuotojams rekomenduojama vesti reguliariai. Per juos reikia kalbėti ne tik apie saugų naršymą internete ir darbą su el. pašto programa, bet ir apie išorinių laikmenų naudojimą“, – pataria pašnekovas.

[infogram id="0eaeb988-c495-4c9c-99ae-c028a50b53f8" prefix="uDs" format="interactive" title="TR:Esset (VS)"]