Kto traci w wyniku wycieku firmowych danych?

Funkcjonując w społeczeństwie informacyjnym, w którym jednym z najcenniejszych aktywów firmy są gromadzone przez nie dane, kwestia ochrony informacji nabiera kolosalnego znaczenia. Na przedsiębiorstwa, które nie dołożą należytych starań, by zabezpieczyć przechowywane na ich komputerach dane osobowe, mogą zostać nałożone dotkliwe kary finansowe. Mimo to nadal zaledwie 28 procent firm posiada oficjalną politykę bezpieczeństwa.

Aktualizacja programu antywirusowego, śledzenie i pobieranie najnowszych łatek bezpieczeństwa oraz założenie, iż każdy podejrzany link internetowy może być groźny - to tylko niektóre środki, które przeciętny użytkownik peceta powinien podjąć, aby zapewnić sobie bezpieczeństwo.

Ale jakie ryzyko zachodzi w przypadku danych, które znajdują się poza naszą kontrolą? Wiele różnych firm z sektora publicznego i prywatnego przechowuje poufne dane dotyczące przedsiębiorstw zapewniając o ich bezpieczeństwie. Niestety, czasem na wyrost.
Przypadki utraty lub kradzieży danych firmowych są coraz częstsze. Tymczasem przeprowadzone niedawno przez Grupę ds. Cyberbezpieczeństwa (ang. United States National Cyber Security Alliance) badanie ujawniło, że 65 procent małych przedsiębiorstw przechowuje w swoich bazach dane klientów, a 33 procent z nich przyznało się do przechowywania informacji o kartach kredytowych. Pomimo tego, że Internet odgrywa kluczową rolę w ich działalności, tylko 28 procent badanych firm przyznało, że ma wdrożoną oficjalną politykę w zakresie bezpieczeństwa internetowego. Jeszcze bardziej martwi fakt, że tylko 35 procent przedsiębiorstw biorących udział w badaniu stwierdziło, że zapewniło swojemu personelowi jakiekolwiek szkolenie z zakresu bezpieczeństwa internetowego, a zaledwie 14 procent zatrudnia osobę skupioną wyłącznie na bezpieczeństwie informatycznym w firmie.

Hakerzy nie są wybredni

Określenie wielkości i rodzaju firmy najbardziej narażonej na wyciek danych nie sprawia większego problemu – zagrożone są bowiem wszystkie przedsiębiorstwa. Od osób prowadzących działalność gospodarczą, przez dwuosobowe spółki cywilne, po departamenty rządowe i duże korporacje – hakerzy nie są wybredni. Nie dyskryminują żadnego ze swoich celów, a mają ku temu swoje powody - mała firma może posiadać całkiem sporo cennych informacji, do których cyberprzestępcy mogą chcieć dotrzeć. Niewielkie przedsiębiorstwo może mieć także słabą i nieszczelną warstwę ochrony danych.

Brytyjski Departament Podatków i Ceł (ang. HMRC) padł ofiarą jednego z najbardziej niechlubnych przypadków naruszenia danych[1] w najnowszej historii - po zaginięciu dwóch płyt CD ujawnione zostały zapisy dotyczące 25 milionów osób. Dalsze wydarzenia zaowocowały śledztwem dotyczącym praktyk w zakresie ochrony danych w HMRC, a także w całym sektorze rządowym, przynosząc pozytywny dla konsumentów rezultat: zwiększenie uprawnień brytyjskiego Komisarza ds. Informacji oraz Ustawę o ochronie danych, którą urzędnik ten kontroluje i egzekwuje.
Urzędowi Komisarza ds. Informacji (ICO)[2] przyznano ostatnio prawo do karania firm grzywną w wysokości do 500 tys. funtów. Kara ta może być wyznaczona w przypadku wykrycia, iż przedsiębiorstwo nie zapewnia wystarczającej ochrony danych.

- Właściwa ochrona danych jest dziś ważniejsza niż kiedykolwiek - mówi Komisarz ds. Informacji, Christopher Graham. - Jako obywatele coraz częściej jesteśmy proszeni o przeprowadzanie transakcji przez Internet. Za pośrednictwem sieci kontaktujemy się z urzędami państwowymi, bankami i innymi organizacjami przechowującymi nasze dane osobowe w ogromnych bazach danych. Gdy coś pójdzie źle, wyciek danych może spowodować realne szkody oraz narazić na niebezpieczeństwo tysiące osób.  
Komisarz ds. Informacji zaleca, aby firmy i konsumenci zgłaszali się bezpośrednio do firmy, w której zauważą niskie standardy kontroli lub w której doszło do wycieku danych. Jeśli taki pierwszy kontakt nie zaowocuje żadnym działaniem, Komisarz może interweniować w imieniu klienta.

- Jeśli to konieczne, przyjrzymy się sprawie. Jeżeli uznamy, że doszło do złamania prawa, możemy poinformować taką firmę i poprosić ją o rozwiązanie problemu. W najpoważniejszych przypadkach możemy jej to nakazać  – wyjaśnia przedstawiciel Urzędu Komisarza ds. Informacji. - Urząd nie ma jednak uprawnień do bezpośredniego przyznawania żadnego odszkodowania.

Niskie standardy – wysokie ryzyko

Stany Zjednoczone również zaostrzają ustawy dotyczące kontroli firm, które nieostrożnie obchodzą się z informacjami. Prawodawcy niedawno wprowadzili dwie nowe ustawy, służące zmuszeniu firm do prawdomówności w kwestii naruszeń danych: Ustawę o prywatności i bezpieczeństwie danych osobowych z 2009 roku (S.1490) oraz Ustawę o powiadamianiu o naruszeniach danych (S.139). Ustanowiono także organ wykonawczy - Urząd Federalnej Ochrony Tożsamości (OFIP) - będący częścią Federalnej Komisji ds. Handlu. Biorąc pod uwagę, że według szacunków ekspertów naruszenia bezpieczeństwa danych od 2005 roku dotyczą 330 milionów dokumentów zawierających wrażliwe dane osobowe, prawodawcy są silnie zmotywowani do zintensyfikowania wysiłków w zakresie ich ochrony.
Zorganizowana przez US Cyber Security Alliance kampania o nazwie StaySafeOnline[3] surowo ostrzega firmy, które nie podchodzą poważnie do zagadnienia bezpieczeństwa danych swoich klientów:

„Klienci firmy to jej potencjał. Przedsiębiorstwo nigdy świadomie nie naraziłoby ich na ryzyko, ale niskie standardy bezpieczeństwa komputerowego mogą do tego właśnie prowadzić. Głośne przypadki naruszeń danych dowodzą, że klienci nie przyjmują ze zrozumieniem faktu zagubienia, kradzieży lub narażenia ich danych na niebezpieczeństwo. Ochrona wrażliwych danych klientów to wymóg wiążący się zarówno z prawidłową polityką przedsiębiorstwa, jak i z regułami biznesowymi”.

Dane firmowe - to majątek

Przesłanie kampanii głosi, że dane firmowe są taką samą częścią majątku spółki, jak jej własność intelektualna, baza pracowników i ich umiejętności oraz środki trwałe, od dywanów, po fotokopiarkę – i tak muszą być traktowane. Firma niezdająca sobie sprawy z tej podstawowej zasady równie dobrze może wywołać skandal zamieszczając całą firmową bazę danych na stronie głównej firmy. Przedsiębiorstwa są odpowiedzialne za uniemożliwienie niepożądanym osobom dostępu do baz danych oraz za zapewnienie, że istnieje polityka regulująca ten dostęp.

Kampania StaySafeOnline zaleca firmom, aby upewniły się, iż wdrożone zostały procedury w zakresie ochrony danych klientów. Zaleca także różne środki podobne do tych, których powinni przestrzegać prywatni użytkownicy chroniący swoje dane.

Zapewnienie klientom bezpieczeństwa wymaga pełnego zabezpieczenia systemów komputerowych. Najlepsza polityka firmowa na świecie nie ochroni klientów, jeśli sieć i zasoby są narażone na ataki lub awarie, którym można przecież zapobiec.

Jak rozpoznać, czy w przedsiębiorstwie, które przechowuje informacje na temat naszej firmy, doszło do naruszenia? Według CERT (ang. zespół ds. reagowania na przypadki naruszenia bezpieczeństwa teleinformatycznego), należy szukać pewnych charakterystycznych oznak:
- podejrzane lub niewyjaśnione kwoty widniejące na rachunkach

- telefony lub rachunki dotyczące tytułów, produktów lub usług, których nasza firma nie posiada

- nieotrzymywanie regularnych rachunków lub poczty

- nowe, podejrzane tytuły płatności pojawiające się na fakturach

- nieoczekiwane odrzucenie firmowych kart kredytowych.

Jeśli na podstawie takich wskazówek przedsiębiorstwo podejrzewa, że jego dane mogły stać się przedmiotem ataku w jakiejś firmie, powinno ono najpierw skontaktować się z nią telefonicznie i, jeśli to konieczne, listownie.

Mądrym posunięciem jest także skontaktowanie się z głównymi firmami zajmującymi się informacją kredytową, jak również złożenie doniesienia w lokalnym komisariacie policji, tak aby naruszenie zostało oficjalnie zarejestrowane.

Ważne jest także rozważenie, czy wyciek danych w firmie mógł mieć wpływ na inne informacje poufne. CERT doradza, że jeśli na przykład złodziej uzyska dostęp do numeru Ubezpieczenia Społecznego pracownika, firma powinna skontaktować się z administracją Zakładu Ubezpieczeń Społecznych. Dział HR lub sam pracownik powinien skontaktować się natomiast z Wydziałem Komunikacyjnym w przypadku kradzieży prawa jazdy lub dowodu rejestracyjnego samochodu.

Kto traci najwięcej?

Istnieje wiele organizacji i agencji, które mogą pomóc, jeśli ktoś podejrzewa, że dane pracownicze lub firmowe nie są prawidłowo strzeżone, ale profilaktyka jest często znacznie skuteczniejsza niż leczenie. Jeśli w grę wchodzą różne kanały, przez które może dojść do wycieku danych, najlepszym podejściem jest ujawnianie informacji tylko zaufanym firmom i tylko wtedy, gdy jest to konieczne. Najlepiej jeśli firma może uczynić to standardem w ramach podstawowych procedur operacyjnych.

Na koniec warto wrócić do pierwszego pytania: klienci, pracownicy i przedsiębiorstwa – kto cierpi na wycieku danych? Na tym etapie odpowiedź powinna być jasna. Na włamaniach hakerów, które prowadzą do wycieku danych, cierpią wszyscy. Pod względem operacyjnym przedsiębiorstwo ponosi bezpośrednie straty z tytułu potencjalnego obniżenia zysków handlowych. Straty notują więc interesariusze firmy, zarówno korporacyjni, jak i prywatni. Pracownicy są narażeni na niebezpieczeństwo, a klienci tracą wiarę w możliwość funkcjonowania firmy na poziomie ochrony danych. 

Autor: Robert Gorby z AVG Technologies

Robert Gorby AVG Technologies

Dodaj komentarz