Duomenys šiuolaikinėje įmonėje yra beveik tokie pat svarbūs kaip darbuotojai, įranga ar finansai. Klientų kontaktai, sutartys, sąskaitos, vidiniai dokumentai, darbuotojų informacija ir prisijungimo duomenys kasdien keliauja tarp kompiuterių, telefonų, serverių bei nuotolinių darbo vietų. Kol viskas veikia sklandžiai, apie saugumą dažnai negalvojama. Tačiau užtenka vieno neatsargaus paspaudimo, neteisingai išsiųsto laiško ar prarasto įrenginio, kad situacija pasikeistų.
Ar duomenų apsauga aktuali tik didelėms organizacijoms? Tikrai ne. Mažesnės įmonės neretai tampa patraukliu taikiniu todėl, kad jų apsaugos priemonės būna paprastesnės, o atsakomybės nėra aiškiai paskirstytos. Veiksminga įmonės duomenų apsauga prasideda ne nuo vienos programos įdiegimo. Ji prasideda nuo supratimo, kokius duomenis įmonė turi, kas gali juos pasiekti ir kas nutiktų, jeigu jie patektų į netinkamas rankas.
Kodėl įmonės duomenys tampa vis vertingesniu taikiniu
Įmonės kaupia daug informacijos, kuri gali turėti tiesioginę finansinę vertę. Tai gali būti klientų duomenys, mokėjimų informacija, komerciniai pasiūlymai, būsimi projektai, darbuotojų dokumentai ar vidiniai procesų aprašymai. Nusikaltėliams nebūtinai reikia pavogti visą duomenų bazę. Kartais pakanka kelių prisijungimų, kad būtų galima apsimesti darbuotoju, išsiųsti klaidingą sąskaitą ar pasiekti kitus įmonės išteklius.
Grėsmės kyla ne tik iš išorės. Duomenys gali būti prarasti ir dėl paprastos žmogiškos klaidos. Darbuotojas gali nusiųsti dokumentą netinkamam gavėjui. Gali palikti nešiojamąjį kompiuterį viešoje vietoje. Gali naudoti silpną slaptažodį arba tą patį slaptažodį keliose sistemose.
Ar tai reiškia, kad darbuotojais negalima pasitikėti? Ne. Tai reiškia, kad įmonėje turi būti sukurta aplinka, kurioje saugiai elgtis būtų paprasta, o klaidų tikimybė būtų kuo mažesnė.
Nuo ko pradėti duomenų apsaugos planą
Pirmasis žingsnis yra duomenų inventorizacija. Įmonė turi žinoti, kokią informaciją ji renka, kur ją saugo, kam ją perduoda ir kiek laiko ją išlaiko. Negalima tinkamai apsaugoti to, ko organizacija pati aiškiai nesupranta.
Reikėtų įvertinti ne tik pagrindines informacines sistemas. Svarbūs ir darbuotojų kompiuteriuose laikomi dokumentai, bendrinami aplankai, elektroninio pašto dėžutės, mobilieji įrenginiai, popieriniai dokumentai bei atsarginės kopijos. Kartais jautriausia informacija slepiasi ne pagrindinėje sistemoje, o prieš kelerius metus sukurtame faile, prie kurio vis dar gali prisijungti didelė darbuotojų grupė.
Praktinis duomenų vertinimas gali apimti šiuos veiksmus
- nustatyti, kokie duomenys įmonėje yra svarbiausi;
- pažymėti, kur ir kokiu formatu jie saugomi;
- patikrinti, kas turi prieigos teises;
- įvertinti galimas praradimo ar atskleidimo pasekmes;
- pašalinti nereikalingas kopijas ir pasenusią informaciją;
- paskirti atsakingus žmones už skirtingas duomenų grupes;
Toks sąrašas atrodo paprastas. Vis dėlto jis padeda pamatyti realią situaciją. Dažnai paaiškėja, kad dalis darbuotojų turi daugiau teisių, nei jiems iš tikrųjų reikia.
Kuo svarbi duomenų saugumo vadybos sistema
Pavienės saugumo priemonės gali būti naudingos, tačiau jos ne visada veikia kaip viena visuma. Įmonė gali turėti atsargines kopijas, sudėtingus slaptažodžius ir prieigos kontrolę, bet nežinoti, kas turi reaguoti į incidentą. Dėl to reikalinga duomenų saugumo vadybos sistema.
Tai nėra vien techninė sistema ar vienas dokumentas. Tai nuoseklus taisyklių, atsakomybių, procedūrų ir kontrolės priemonių rinkinys. Jis padeda įmonei valdyti duomenų saugumą kaip nuolatinį procesą, o ne kaip vienkartinį projektą.
Gerai veikianti duomenų saugumo vadybos sistema atsako į konkrečius klausimus. Kas įmonėje atsakingas už saugumą? Kaip suteikiamos prieigos teisės? Kada jos panaikinamos? Kaip darbuotojai praneša apie įtartiną laišką? Ką reikia daryti praradus darbo telefoną? Kaip tikrinamos atsarginės kopijos?
„Didžiausia problema atsiranda tada, kai visi mano, kad duomenų saugumu rūpinasi kažkas kitas. Aiškiai paskirta atsakomybė dažnai apsaugo geriau nei sudėtingos, bet nenaudojamos taisyklės“, – sako IT saugumo specialistas Mantas.
Sistema neturi tapti šimto puslapių dokumentu, kurio niekas neskaito. Ji turi būti suprantama ir pritaikyta realiam įmonės darbui.
Prieigos teisės turi atitikti darbuotojo pareigas
Viena dažniausių problemų yra per plačios prieigos teisės. Darbuotojas pradeda dirbti įmonėje ir gauna prieigą prie kelių sistemų. Vėliau pakeičia pareigas, tačiau senosios teisės lieka. Po kelerių metų jis gali pasiekti informaciją, kuri su dabartiniu darbu visiškai nesusijusi.
Saugiausias principas yra paprastas. Žmogus turi pasiekti tik tuos duomenis, kurių jam reikia konkrečioms užduotims atlikti. Ne daugiau.
Prieigos teisės turėtų būti reguliariai peržiūrimos. Ypač svarbu tai padaryti darbuotojui pakeitus pareigas, išėjus ilgų atostogų ar baigus darbą įmonėje. Paskyros panaikinimas neturėtų priklausyti nuo to, ar kas nors apie jį prisimins. Šis veiksmas turi būti įtrauktas į aiškią darbuotojo išėjimo procedūrą.
Ar vadovams turi būti suteikta prieiga prie visko? Nebūtinai. Aukštesnės pareigos savaime nereiškia, kad žmogui reikia matyti visus asmens duomenis, technines sistemas ar finansinius dokumentus. Prieigos turėtų būti grindžiamos darbo poreikiu, o ne pareigų pavadinimu.
Slaptažodžių neužtenka
Ilgas ir unikalus slaptažodis yra svarbus, bet vien jo nepakanka. Slaptažodžiai gali būti pavogti per apgaulingus laiškus, nutekėti iš kitų sistemų arba būti netyčia atskleisti. Todėl svarbi papildoma prisijungimo patvirtinimo priemonė.
Darbuotojai taip pat neturėtų dalytis bendromis paskyromis. Kai keli žmonės naudoja tą patį prisijungimą, tampa sunku nustatyti, kas atliko konkretų veiksmą. Be to, vienam darbuotojui išėjus iš įmonės tenka keisti slaptažodį ir jį iš naujo perduoti visiems likusiems žmonėms.
Slaptažodžių taisyklės turi būti realistiškos. Reikalavimas kas kelias savaites sugalvoti naują sudėtingą slaptažodį gali paskatinti darbuotojus jį užsirašyti matomoje vietoje. Daug naudingiau skatinti naudoti ilgus, unikalius slaptažodžius ir saugų jų valdymo būdą.
Darbuotojų mokymai turi būti praktiški
Daugelis incidentų prasideda nuo įtikinamai atrodančio elektroninio laiško. Jame darbuotojo prašoma skubiai prisijungti, atidaryti dokumentą, patvirtinti mokėjimą ar atnaujinti paskyros informaciją. Tokios žinutės išnaudoja skubėjimą, smalsumą ir norą padėti.
Vieną kartą parodyti ilgą pristatymą nepakanka. Saugumo mokymai turi būti trumpi, reguliarūs ir susiję su kasdienėmis situacijomis. Darbuotojams naudinga parodyti tikrus apgaulingų laiškų požymius, paaiškinti, kur pranešti apie įtarimą, ir priminti, kad už pranešimą jie nebus baudžiami.
Ką darbuotojas turėtų daryti gavęs netikėtą prašymą atlikti mokėjimą? Sustoti ir patikrinti informaciją kitu ryšio kanalu. Ar pakanka atrašyti į tą patį laišką? Ne, nes siuntėjo paskyra gali būti perimta.
Svarbu kurti ne baimės, o atsakingumo kultūrą. Jeigu darbuotojas bijos prisipažinti, kad paspaudė įtartiną nuorodą, įmonė praras brangų laiką. Kuo anksčiau apie incidentą sužino atsakingi žmonės, tuo didesnė tikimybė sumažinti žalą.
Atsarginės kopijos padeda tik tada, kai veikia
Įmonė gali reguliariai kurti atsargines kopijas ir vis tiek prarasti duomenis. Kaip tai įmanoma? Kopijos gali būti sugadintos, nepakankamai dažnos, laikomos toje pačioje sistemoje arba niekada neišbandytos.
Atsarginių kopijų planas turi numatyti, kokie duomenys kopijuojami, kaip dažnai tai daroma, kiek laiko kopijos saugomos ir kas atsakingas už jų atkūrimo patikrą. Bent dalis kopijų turėtų būti atskirta nuo pagrindinės darbo aplinkos. Priešingu atveju kenkėjiška programa gali paveikti ir originalius duomenis, ir jų kopijas.
Ar pakanka matyti pranešimą, kad kopija sukurta sėkmingai? Ne. Tikrasis patikrinimas yra duomenų atkūrimas. Įmonė turi periodiškai išbandyti, ar iš kopijos galima atkurti failus, sistemas ir svarbiausius veiklos procesus.
Taip pat svarbu nustatyti, kiek laiko įmonė gali veikti be tam tikros sistemos. Vienai komandai kelių valandų sutrikimas gali būti nedidelis nepatogumas. Kitai tai gali reikšti sustojusius užsakymus, klientų skundus ir tiesioginius finansinius nuostolius.
Kaip pasiruošti duomenų nutekėjimo pasekmėms
Net ir atsakingai besirūpinanti įmonė negali visiškai panaikinti incidento tikimybės. Todėl svarbu ne tik saugotis, bet ir pasiruošti veiksmams dėl duomenų nutekėjimo. Iš anksto sudarytas reagavimo planas sumažina paniką ir padeda greičiau priimti sprendimus.
Plane turėtų būti nurodyta, kas vertina incidento mastą, kas stabdo neteisėtą prieigą, kas išsaugo tyrimui reikalingą informaciją ir kas bendrauja su klientais, darbuotojais ar partneriais. Taip pat reikia numatyti teisinius bei informavimo įsipareigojimus.
Pirmomis valandomis svarbu nepradėti chaotiškai trinti failų ar išjungti visų įrenginių. Tokie veiksmai gali sunaikinti tyrimui reikalingus duomenis. Kiekvienas sprendimas turi būti koordinuojamas.
Komunikacija taip pat svarbi. Bandymas slėpti incidentą gali padaryti daugiau žalos nei pats nutekėjimas. Žmonėms reikia aiškiai paaiškinti, kas įvyko, kokie duomenys galėjo būti paveikti ir kokių veiksmų jie turėtų imtis. Geriau pateikti patikrintą informaciją nei skubėti su spėjimais.
Nuotolinis darbas sukuria papildomų rizikų
Dirbant nuotoliniu būdu įmonės duomenys palieka įprastą biuro aplinką. Darbuotojai jungiasi iš namų, kelionių vietų ar viešųjų erdvių. Jie naudoja skirtingus interneto tinklus, nešiojamuosius kompiuterius ir telefonus. Dėl to saugumo taisyklės turi apimti ne tik biuro įrangą.
Darbo įrenginiai turėtų būti apsaugoti ekrano užraktu, duomenų šifravimu ir reguliariais atnaujinimais. Darbuotojai turėtų žinoti, kad jautrių dokumentų negalima palikti matomoje vietoje ar aptarinėti viešoje erdvėje.
Ar asmeninis kompiuteris gali būti naudojamas darbui? Tai priklauso nuo įmonės politikos ir duomenų jautrumo. Tačiau tokiu atveju turi būti aišku, kaip atskiriami darbo ir asmeniniai duomenys, kas atsakingas už įrenginio atnaujinimus ir kaip informacija pašalinama pasibaigus darbo santykiams.
Duomenų apsauga yra nuolatinis procesas
Kartą atliktas saugumo auditas negarantuoja ilgalaikės apsaugos. Įmonėje atsiranda naujų darbuotojų, sistemų, tiekėjų ir darbo metodų. Keičiasi ir grėsmės. Todėl saugumo priemones būtina reguliariai peržiūrėti.
Įmonei naudinga stebėti ne tik įvykusius incidentus, bet ir pavojingas situacijas. Pavyzdžiui, darbuotojas laiku pastebėjo įtartiną laišką arba neteisingai nustatytos prieigos teisės buvo ištaisytos dar prieš įvykstant žalai. Tokie atvejai parodo, kur procesus galima sustiprinti.
Veiksminga įmonės duomenų apsauga nėra vien IT skyriaus užduotis. Vadovai priima sprendimus dėl prioritetų ir išteklių. Personalo specialistai valdo darbuotojų priėmimo bei išėjimo procesus. Teisininkai vertina įsipareigojimus. Darbuotojai kasdien sprendžia, kaip elgtis su informacija.
Nuo ko pradėti šiandien? Galima pasirinkti vieną konkretų veiksmą. Peržiūrėti svarbiausių sistemų prieigas. Patikrinti atsarginės kopijos atkūrimą. Aptarti su darbuotojais, kaip atpažinti apgaulingą laišką. Maži, bet nuoseklūs žingsniai ilgainiui sukuria daug stipresnę apsaugą nei retai vykdomi dideli projektai. Saugumas tampa veiksmingas tada, kai jis yra įprasta kasdienio darbo dalis, o ne tema, apie kurią prisimenama tik po incidento.
