Wiele firm jest obecnie całkowicie zależnych od danych przechowywanych na serwerach sieciowych, komputerach stacjonarnych, laptopach, urządzeniach mobilnych – lub w chmurze. Niektóre z tych danych mogą zawierać dane osobowe i/lub poufne informacje firmowe.
W tym artykule przyjrzymy się kwestiom, które należy wziąć pod uwagę, analizując bezpieczeństwo systemów komputerowych, oraz sposobom minimalizacji ryzyka utraty danych. W powiązanej karcie informacyjnej omówimy dodatkowe kwestie dla osób przechowujących dane w chmurze lub korzystających z usług outsourcingu.
Doszło do wielu głośnych incydentów utraty danych, w wyniku których duże ilości danych osobowych przedostały się do domeny publicznej. Dotyczy to dokumentacji medycznej, danych finansowych i danych pracowników.
Organizacje komercyjne są dodatkowo narażone na ryzyko utraty danych na rzecz konkurencji.
Oczywiście, większe straty danych z urzędów państwowych i korporacji trafiły na pierwsze strony gazet. Jednak każda firma, niezależnie od wielkości, może paść ofiarą utraty danych, jeśli nie podejmie rozsądnych środków ostrożności.
Według badań zleconych przez Departament Kultury, Mediów i Sportu (DCMS) w 2021 roku około 39% brytyjskich firm doświadczyło naruszenia bezpieczeństwa lub cyberataku. Raport można znaleźć pod adresem: https://www.gov.uk/government/statistics/cyber-security-breaches-survey-2022 .
Audyt wykorzystania i przechowywania danych osobowych
Weź pod uwagę potencjalnie wrażliwe i poufne dane, które przechowuje Twoja firma:
- dokumentacja pracownicza zawierająca datę urodzenia, informacje medyczne, dane dotyczące wynagrodzenia i konta bankowego itp
- rejestry klientów i dostawców wraz ze szczegółami kont bankowych/kart kredytowych, numerami PIN, hasłami, informacjami o transakcjach, informacjami o umowach, rabatami i cenami
- dane finansowe i dotyczące wyników oraz plany biznesowe
- Poufne dane nie zawsze są wygodnie przechowywane w „bezpiecznej” bazie danych. Pracownicy często muszą tworzyć i rozpowszechniać doraźne raporty (za pomocą arkuszy kalkulacyjnych i innych dokumentów), które zazwyczaj stanowią wyciągi z informacji przechowywanych w bazie danych. Tego rodzaju wyszukiwanie danych odbywa się często kosztem bezpieczeństwa danych – ponieważ sama baza danych z reguły posiada kontrolę dostępu, ale te doraźne raporty zazwyczaj jej nie posiadają
- dowiedz się, co dzieje się z danymi i jakie środki kontroli są stosowane, aby zapobiec przypadkowej lub celowej utracie tych informacji.
Analiza ryzyka i redukcja ryzyka
Kluczowe pytanie brzmi – jeśli wszystkie lub część tych danych zostanie utracona, kto może ucierpieć i w jaki sposób?
Po udzieleniu odpowiedzi na to pytanie należy podjąć kroki w celu zminimalizowania ryzyka utraty danych. Oto kilka kroków, które należy podjąć, aby zmniejszyć ryzyko utraty danych:
- wykonuj regularne kopie zapasowe i przechowuj dane kopii zapasowych bezpiecznie poza siedzibą firmy
- jeśli w chmurze przechowywane są dane wysokiego ryzyka, dowiedz się, jakie mechanizmy bezpieczeństwa są stosowane i jak w razie potrzeby możesz odzyskać wszystkie te dane
- Sprawdź rodzaj informacji przechowywanych na wszystkich urządzeniach (w tym laptopach, telefonach komórkowych, tabletach itp.) używanych poza firmą. Jeśli takie informacje zawierają dane osobowe i/lub poufne, postaraj się zminimalizować lub zanonimizować te dane. Upewnij się, że do tych danych zastosowano najodpowiedniejsze poziomy bezpieczeństwa i szyfrowania danych
- Jeśli urządzenia mobilne mają prawo korzystać z obiektów firmowych, należy upewnić się, że obowiązuje polityka „Przynieś własne urządzenie” (BYOD). Ponadto należy wdrożyć odpowiednie zabezpieczenia, aby ograniczyć rodzaj danych, które mogą być przechowywane na takich urządzeniach
- Upewnij się, że strony internetowe firm przetwarzające płatności online posiadają najwyższy dostępny poziom bezpieczeństwa, na przykład korzystają z najnowszych wersji protokołu SSL do transmisji danych. Jeśli nie przekazujesz procesu płatności do bramki płatniczej i będziesz przechowywać dane kart kredytowych na dysku lub w pamięci własnych serwerów, musisz przestrzegać standardu bezpieczeństwa danych branży kart płatniczych (PCI DSS).
- przejrzyj wykorzystanie/dostępność nośników USB i innych nośników zapisywalnych, takich jak urządzenia optyczne, w firmie i zastanów się nad ograniczeniem dostępu do tych urządzeń wyłącznie do upoważnionych użytkowników, poprzez odpowiednie ustawienia zabezpieczeń, szyfrowanie danych i kontrole fizyczne
- upewnij się, że witryny i sieci Twojej firmy są testowane pod kątem podatności na ataki i rozważ zatrudnienie firm zajmujących się testami penetracyjnymi, które przeprowadzą te testy w Twoim imieniu
- posiadać procedurę postępowania z poufnymi informacjami i ich bezpiecznego usuwania, gdy dane nie są już potrzebne; procedura ta powinna obejmować również usuwanie wydruków
- posiadać procedurę, dzięki której wszelkie dane osobowe/firmowe przechowywane na urządzeniach mobilnych mogą zostać usunięte lub dostęp do nich zostanie zablokowany
- przeszkolić personel w zakresie jego obowiązków, procedur bezpieczeństwa danych w firmie i tego, co należy zrobić w przypadku utraty danych
- przeszkolić personel w zakresie rozpoznawania fałszywych wiadomości e-mail, oprogramowania wymuszającego okup, złośliwego oprogramowania i innych potencjalnych zagrożeń, a także w zakresie procedur, które należy przestrzegać.
Naruszenie bezpieczeństwa
Oprócz ograniczania ryzyka, dobrą praktyką jest również wdrożenie procedur na wypadek naruszenia bezpieczeństwa. Powinny one koncentrować się na czterech głównych obszarach:
- plan odzyskiwania i procedury ograniczania szkód
- proces przeglądu odzyskiwania w celu oceny potencjalnych negatywnych konsekwencji dla jednostek, ich powagi lub istotności oraz prawdopodobieństwa ich ponownego wystąpienia
- Procedury powiadamiania – obejmują one nie tylko powiadomienie osób, które zostały lub potencjalnie mogą zostać dotknięte naruszeniem bezpieczeństwa. Jeśli naruszenie bezpieczeństwa wiąże się z utratą danych osobowych, należy powiadomić Komisarza ds. Informacji (ICO). Mogą istnieć inne organy regulacyjne i strony trzecie, takie jak policja, banki i media, które należy powiadomić
- po naruszeniu – upewnij się, że wdrożono odpowiednie środki zapobiegające podobnym zdarzeniom, zaktualizuj procedury i odpowiednio przeszkol lub przekwalifikuj personel.
Przydatny zasób
Narodowe Centrum Cyberbezpieczeństwa (Wielka Brytania) – www.ncsc.gov.uk/guidance .
Cyberzagrożenie dla firm w Wielkiej Brytanii – www.ncsc.gov.uk/cyberthreat .
