Απειλές κατά της Ασφάλειας Πληροφοριών

Η πληροφορία μάς περιβάλλει διαρκώς· ζούμε βυθισμένοι σε ένα πυκνό νέφος δεδομένων που αλλάζει συνεχώς. Αυτά τα δεδομένα έχουν γίνει πολύτιμο περιουσιακό στοιχείο, πηγή ισχύος και πλούτου για όσους τα κατέχουν. Ο κόσμος έχει αρχίσει να «κυνηγά» πληροφορίες, και έχουν εμφανιστεί νέες πηγές ευπάθειας – απειλές για την Ασφάλεια Πληροφοριών. Ποιες είναι αυτές; Πόσο επικίνδυνη μπορεί να είναι η πληροφορία σε λάθος χέρια; Ποιες επιλογές προστασίας υπάρχουν; Μάθετε περισσότερα στο άρθρο μας.

Οι έννοιες της «ασφάλειας» και της «απειλής πληροφοριών»

Ας ορίσουμε τις βασικές έννοιες: πληροφορία, απειλή και ασφάλεια, και τι σημαίνουν.

Πληροφορία είναι το σύνολο δεδομένων σχετικά με οποιοδήποτε επιλεγμένο θέμα, φαινόμενο, διαδικασία, κοινωνικό αντικείμενο κ.λπ., που μπορεί να χρησιμοποιηθεί για τον χαρακτηρισμό τους. Η αξία της πληροφορίας δεν μπορεί να μετρηθεί· διαφορετικά δεδομένα μπορεί να έχουν διαφορετική αξία για διαφορετικά μέλη της κοινωνίας. Ένα όμως είναι κοινό για όλα: η πληροφορία έχει σίγουρα αξία.

Απειλή είναι κάθε σκόπιμη ή ακούσια επίδραση σε πληροφορίες με στόχο την απόκτηση και χρήση τους για την πρόκληση βλάβης στο υποκείμενο της πληροφορίας.

Ασφάλεια είναι η βασική έννοια της προστασίας από απειλές για οποιαδήποτε οντότητα (φυσικό πρόσωπο, οργανισμό, κράτος).

Γενική εικόνα των απειλών κατά της Ασφάλειας Πληροφοριών

Ένα σύνολο μέτρων Ασφάλειας Πληροφοριών περιλαμβάνει πολλά στάδια για τη διασφάλιση της ακεραιότητας του συστήματος πληροφοριών. Σε αυτά περιλαμβάνονται τα προληπτικά μέτρα (που στοχεύουν στην πρόβλεψη περιστατικών Ασφάλειας Πληροφοριών), ο εντοπισμός και η ανίχνευση απειλών (που στοχεύουν στον καθορισμό των ακριβών παραμέτρων μιας επικίνδυνης κατάστασης και στον εντοπισμό της εντός του συστήματος πληροφοριών), ο εντοπισμός της θέσης της απειλής (περιορισμός της εγκληματικής επίδρασης και εξάλειψη της επικίνδυνης κατάστασης) και ο μετριασμός των συνεπειών (μέτρα για την αποκατάσταση της ακεραιότητας των πληροφοριών και της αξιοπιστίας του συστήματος Ασφάλειας Πληροφοριών).

Είναι σημαντικό να κατανοήσουμε ότι όταν συμβεί ένα περιστατικό Ασφάλειας Πληροφοριών, κάθε μέτρο θα έχει σημασία, όπως και η διασφάλιση μιας ολοκληρωμένης και συνεπούς προσέγγισης στην εφαρμογή τους. Ωστόσο, αξίζει να συμφωνήσουμε ότι η πρόληψη και η προειδοποίηση για ένα περιστατικό ΑΠ είναι πολύ πιο αποτελεσματική από το πιο σύγχρονο πρόγραμμα αντιμετώπισης. Στον τομέα της Ασφάλειας Πληροφοριών, ο κανόνας «καλύτερα πρόληψη παρά θεραπεία» ισχύει εξίσου.

Τύποι απειλών κατά της Ασφάλειας Πληροφοριών

Συνηθίζεται να διακρίνουμε τρεις βασικούς τύπους απειλών κατά της Ασφάλειας Πληροφοριών:

1. απειλές κατά της εμπιστευτικότητας·
2. απειλές κατά της ακεραιότητας·
3. απειλές άρνησης υπηρεσίας.

Οι απειλές κατά της εμπιστευτικότητας είναι, θα λέγαμε, τα πιο τυπικά προβλήματα Ασφάλειας Πληροφοριών. Εν τέλει, η ίδια η φύση της πληροφορίας απαιτεί τον καθορισμό του πεδίου πρόσβασης σε αυτήν και τη θέσπιση πλαισίων εμπιστευτικότητας. Απειλή κατά της εμπιστευτικότητας είναι η εμφάνιση της δυνατότητας μη εξουσιοδοτημένης πρόσβασης και χρήσης πληροφοριών.

Οι απειλές κατά της ακεραιότητας είναι η διαδικασία σκόπιμης ή εκούσιας παραβίασης της ενότητας και της αυθεντικότητας των πληροφοριών, με σκοπό να εμποδιστεί η χρήση τους στην αρχική τους μορφή. Μπορεί να προκληθούν είτε από επίδραση στην ίδια την πληροφορία είτε στην υποδομή που χρησιμοποιείται για την αποθήκευση και τη μετάδοσή της.

Απειλές άρνησης υπηρεσίας – διατάραξη του συστήματος πληροφοριών με στόχο την παρεμπόδιση της πρόσβασης στις αποθηκευμένες πληροφορίες.

Ποιοι τύποι απειλών υπάρχουν;

Υπάρχει μεγάλος αριθμός απειλών κατά της Ασφάλειας Πληροφοριών, όσοι και οι τύποι πληροφοριών που υπάρχουν σήμερα.

• Απειλές ανά στόχο:

• το κράτος·

• οι επιχειρήσεις·

• τα φυσικά πρόσωπα.

Ανά τύπο πρόθεσης:

• οικονομικές·

• αφορούσες τη φήμη·

• αποκάλυψη προθέσεων.

Ανά πηγή απειλής:

• εκτός του συστήματος πληροφοριών·

• εντός του συστήματος πληροφοριών.

Ανά τύπο ζημιάς:

• γενική·

• τοπική·

• ιδιωτική.

Ανά βαθμό επίδρασης στο σύστημα πληροφοριών:

• παθητικές (η δομή και το περιεχόμενο του συστήματος παραμένουν αμετάβλητα)·

• ενεργές (η δομή και το περιεχόμενο του συστήματος υφίστανται αλλαγές).

Ομάδες απειλών κατά της Ασφάλειας Πληροφοριών:

• τεχνικές·

• ανθρωπογενείς·

• φυσικές.

Απειλές ανά κατεύθυνση δράσης

Ας εξετάσουμε αναλυτικότερα τις απειλές κατά της Ασφάλειας Πληροφοριών για το κράτος. Στην περίπτωση αυτή, το υποκείμενο της πληροφορίας είναι το ίδιο το κράτος, ως φορέας εμπιστευτικών δεδομένων. Από την οπτική ενός στόχου προσοχής για τους απατεώνες στον χώρο της πληροφορίας, αυτό δεν είναι ο πιο προφανής στόχος. Το κράτος εκπροσωπείται από πλήθος θεσμών που διασφαλίζουν την ενότητα και τη λειτουργία αυτής της πολιτικής οντότητας: εγκαταστάσεις υγείας και εφοδιαστικής, εκπαιδευτικά ιδρύματα, τα μέσα ενημέρωσης, νομοθετικά και εκτελεστικά όργανα, κέντρα πληροφοριών και πολλά άλλα. Με άλλα λόγια, στόχος επίθεσης είναι κάθε θεσμός του οποίου οι πληροφορίες θα μπορούσαν να συνιστούν απειλή για τα συνταγματικά δικαιώματα και τις ελευθερίες των πολιτών, για την εφαρμογή της κρατικής πολιτικής της χώρας, για την κρατική υποδομή ή για τα κρατικά δίκτυα και συστήματα πληροφοριών.

Η Ασφάλεια Πληροφοριών αποτελεί σημαντικό μέρος της διαμόρφωσης μιας ολοκληρωμένης στρατηγικής εθνικής ασφάλειας. Σε αυτήν περιλαμβάνονται επίσης:

• τεχνολογική·

• παραγωγική·

• νομισματική και πιστωτική·

• πρώτων υλών·

• ενεργειακή·

• περιβαλλοντική·

• πληροφοριακή·

• επισιτιστική ασφάλεια.

Για να εφαρμοστεί η κρατική πολιτική ασφάλειας του χώρου πληροφοριών, είναι απαραίτητο να ληφθούν υπόψη οι πιθανές απειλές και να αναπτυχθεί μια στρατηγική προσέγγιση στην Ασφάλεια Πληροφοριών. Αυτό περιλαμβάνει τη δημιουργία και επιβολή νομοθετικών και κυβερνητικών απαιτήσεων, την υποστήριξη διεθνών και εθνικών προτύπων πολιτικής Ασφάλειας Πληροφοριών, την παροχή τεχνικής και τεχνολογικής υποστήριξης για τα μέτρα, καθώς και την εφαρμογή προγραμμάτων κατάρτισης και ευαισθητοποίησης σχετικά με την Ασφάλεια Πληροφοριών στον πληθυσμό κ.λπ.

Βασικές απειλές κατά της Ασφάλειας Πληροφοριών για το κράτος:

• πληροφοριακός πόλεμος·

• κυβερνοεπιθέσεις·

• κυβερνοκατασκοπεία·

• κυβερνοέγκλημα·

• κυβερνοτρομοκρατία·

• αποκάλυψη κρατικών μυστικών και διαρροή άλλων εμπιστευτικών δεδομένων.

Τα βασικά καθήκοντα του κράτους, ως πρωταρχικού στόχου των απειλών πληροφοριών και βασικού πάροχου εργαλείων Ασφάλειας Πληροφοριών, είναι ο γρήγορος εντοπισμός και η αντιμετώπιση απειλών κατά μιας χώρας, η διασφάλιση ποιοτικής προστασίας των συνόρων πληροφοριών, και η δημιουργία υποδομής φιλικής προς τα εργαλεία Ασφάλειας Πληροφοριών.  

Η ανάπτυξη της πολιτικής ασφάλειας μιας χώρας λαμβάνει υπόψη τέσσερις σημαντικούς παράγοντες που συνθέτουν ένα ολοκληρωμένο σύνολο μέτρων. Σε αυτούς περιλαμβάνονται:

1. νομοθετική υποστήριξη μέτρων προστασίας πληροφοριών για όλα τα εμπλεκόμενα μέρη·

2. συμμόρφωση με διεθνή και περιφερειακά πρότυπα Ασφάλειας Πληροφοριών·

3. διασφάλιση του σεβασμού των δικαιωμάτων και υποχρεώσεων όλων των συμμετεχόντων στη διαδικασία·

4. δημιουργία ενός ασφαλούς πλαισίου Ασφάλειας Πληροφοριών για το κράτος.

Απειλές Ασφάλειας Πληροφοριών για την επιχείρηση

Η εταιρεία κατέχει μεγάλο όγκο ευαίσθητων δεδομένων και αποτελεί στόχο για διάφορους τύπους απατεώνων. Τα ακόλουθα δεδομένα ενδέχεται να παρουσιάζουν ιδιαίτερο ενδιαφέρον για εχθρικά μέρη:

1. βάσεις δεδομένων και συστήματα αποθήκευσης πληροφοριών·

2. το σύστημα αρχείων και το περιεχόμενό του·

3. κωδικούς πρόσβασης, δεδομένα ελέγχου ταυτότητας και εξουσιοδότησης χρηστών·

4. πνευματική ιδιοκτησία·

5. οδηγίες και περιγραφές μοναδικών τεχνολογικών διαδικασιών κ.λπ.

Οι τρόποι με τους οποίους μπορούν να αποκτηθούν εμπιστευτικές πληροφορίες σε μια επιχείρηση αντιστοιχούν σε τρεις βασικές ομάδες απειλών ασφάλειας και αντιστοιχούν σε ανθρωπογενείς, τεχνογενείς και φυσικές απειλές.

Από πρακτική άποψη, οι κύριες απειλές κατά της Ασφάλειας Πληροφοριών σε οποιοδήποτε επίπεδο μιας επιχείρησης μπορεί να είναι:

• η επικαιρότητα των εκδόσεων λογισμικού και antivirus, η χρήση μη αδειοδοτημένου λογισμικού·

Έχουμε γράψει πολλές φορές για τη σημασία των έγκαιρων ενημερώσεων λογισμικού. Οι τελευταίες εκδόσεις λογισμικού λαμβάνουν υπόψη τα πιο πρόσφατα δεδομένα για απειλές ασφάλειας και προειδοποιούν για πιθανές ευπάθειες.

• άρνηση διαφοροποίησης της πρόσβασης στην πληροφορία για τους εργαζομένους·

Τα μοντέλα Zero Trust έχουν γίνει δημοφιλή, όπου κάθε συμμετέχων στο δίκτυο θεωρείται δυνητική απειλή για την Ασφάλεια Πληροφοριών. Αυτό οφείλεται στην εμφάνιση ολοένα και περισσότερων υπηρεσιών εξ αποστάσεως (αποθήκευση στο cloud) και στην ένταξη σταθμών εργασίας εκτός της περιμέτρου ασφαλείας του οργανισμού (τηλεργασία) στην περίμετρο της επιχείρησης.

• σκόπιμη ή ακούσια εσωτερική διαρροή (insider trading)·

Πρόκειται για διαρροή πληροφοριών εξαιτίας ατόμων εντός της περιμέτρου ασφαλείας του οργανισμού. Δεν πρόκειται πάντα για σκόπιμη ενέργεια. Συχνά, οι εργαζόμενοι δεν γνωρίζουν καν ότι μοιράζονται απαγορευμένα δεδομένα. Για την πρόληψη αυτού του τύπου απειλής, είναι απαραίτητο να διεξάγονται περισσότερες εκπαιδεύσεις σχετικά με τις τεχνικές Ασφάλειας Πληροφοριών εντός της εταιρείας, να διασφαλίζεται ότι τα δικαιώματα, τα καθήκοντα και οι ευθύνες κάθε ατόμου είναι τεκμηριωμένα, και να καθιερώνεται καθεστώς εμπορικού απορρήτου.

• χρήση προσωπικών messenger, μέσων κοινωνικής δικτύωσης, υπηρεσιών email στον χώρο εργασίας·

Η χρήση προσωπικών λογαριασμών στον χώρο εργασίας αποτελεί συνηθισμένο πρόβλημα για τους εργοδότες. Αυτό επηρεάζει όχι μόνο την αποδοτικότητα του εργαζομένου ως ατόμου (σύμφωνα με μελέτη της Microsoft, οι εργαζόμενοι αποσπώνται από τα μέσα κοινωνικής δικτύωσης κατά μέσο όρο κάθε 10 λεπτά εργασίας), αλλά και το συνολικό προφίλ ασφάλειας. Κατά κανόνα, η προσοχή στη λεπτομέρεια είναι σημαντικά χαμηλότερη στην προσωπική επικοινωνία, κάτι που οδηγεί σε εσωτερικές διαρροές και μεταφορά εμπιστευτικών δεδομένων.

• απρόσεκτη στάση απέναντι στους φορείς πληροφοριών·

Απαγόρευση χρήσης συσκευών αποθήκευσης Προσωπικών Δεδομένων και αντιγραφής δεδομένων.

• έλλειψη ενημερώσεων πρόσβασης στους σταθμούς εργασίας.

Πρόκειται επίσης για μια συνηθισμένη απειλή. Τα τμήματα Ασφάλειας Πληροφοριών δεν παρακολουθούν πάντα έγκαιρα τα διαπιστευτήρια των εργαζομένων. Ενδέχεται να προκύψουν καταστάσεις όπου ένας απολυμένος εργαζόμενος συνδέεται εξ αποστάσεως στον υπολογιστή του. Αυτό μπορεί να οδηγήσει σε διαρροές πληροφοριών. Εναλλακτικά, η ασφάλεια των στοιχείων σύνδεσης και των κωδικών πρόσβασης των εργαζομένων ενδέχεται να μην διασφαλίζεται, με αποτέλεσμα όλοι να έχουν πρόσβαση στους σταθμούς εργασίας των άλλων.

Ως μέτρο ελέγχου των εργαζομένων και ενίσχυσης της σταθερότητας ολόκληρου του συστήματος Ασφάλειας Πληροφοριών, συνιστάται η χρήση συστημάτων Data Loss Prevention (DLP). Παράδειγμα ενός τέτοιου συστήματος είναι το Anexet. Για περισσότερες λεπτομέρειες, δείτε την παρουσίαση.

Απειλές κατά ιδιωτικών πληροφοριών

Σε πολλές περιπτώσεις, οι απειλές ιδιωτικού χαρακτήρα επικαλύπτονται με τις απειλές κατά του κράτους ή των επιχειρήσεων. Σε αυτές περιλαμβάνονται η παράνομη απόκτηση, χρήση και εμπορία εμπιστευτικών πληροφοριών από τρίτους.

Μια σημαντική διαφορά για αυτήν την ομάδα απειλών είναι η χρήση εργαλείων κοινωνικής μηχανικής, καθώς το τελικό θύμα των απατεώνων είναι εξατομικευμένο. Είναι δυνατόν να υπολογιστούν τα ευάλωτα σημεία, να δημιουργηθεί ψυχολογικό προφίλ και να χρησιμοποιηθεί, να παρακολουθηθούν συνήθειες και το πρόγραμμα χρήσης πηγών πληροφοριών, και ούτω καθεξής.

Κοινωνική μηχανική είναι ένα σύνολο τεχνικών που ασκούν ψυχολογική πίεση και χειραγωγούν τρίτους για προσωπικό όφελος.

Οι κύριες τεχνικές που χρησιμοποιούνται στην κοινωνική μηχανική είναι:

• μέθοδοι χειραγώγησης συναισθημάτων·

Αυτή η μέθοδος απαιτεί τη δημιουργία ψυχολογικού προφίλ του πιθανού θύματος εκ των προτέρων, τον σχεδιασμό προτύπων συμπεριφοράς και την ανάπτυξη σεναρίων αντίδρασης σε αυτά τα πρότυπα.

• πίεση και βιασύνη·

Αυτή η μέθοδος είναι πολύ δημοφιλής μεταξύ των σύγχρονων τηλεφωνικών απατεώνων, καθώς σχεδιάζεται για να προκαλέσει συγκεκριμένη αντίδραση από τα θύματά τους. Απαιτεί από το θύμα να ανταποκριθεί γρήγορα σε ένα αίτημα, ώστε να μην είναι σε θέση να αναλύσει έγκαιρα τις ενέργειές του και να επικεντρωθεί σε αυτές.

• διεύρυνση του κύκλου εμπιστοσύνης.

Ένας ακόμη τρόπος απόκτησης εμπιστευτικών πληροφοριών χωρίς παραβίαση συστημάτων. Ο απατεώνας επιδιώκει να πλησιάσει το μελλοντικό του θύμα, δημιουργεί μια θετική εικόνα του εαυτού του και εισέρχεται στον στενό κύκλο γνωριμιών του. Αυτό το «παιχνίδι εμπιστοσύνης» βοηθά όταν το θύμα σταματά να ελέγχει τις αντιδράσεις του και χαλαρώνει. Σε αυτή την περίπτωση, ο απατεώνας πρέπει να δείξει υπομονή και απλώς να περιμένει την κατάλληλη στιγμή.

Είναι σημαντικό να θυμόμαστε ότι η προστασία των Προσωπικών Δεδομένων θα βρίσκεται πάντα στα χέρια του υποκειμένου των δεδομένων, και είναι πρωτίστως το ίδιο το υποκείμενο των δεδομένων που πρέπει να ενδιαφέρεται για την ασφάλεια των πληροφοριών του. Θα πρέπει επίσης να εφαρμόζει μεθόδους προστασίας που είναι διαθέσιμες στο σπίτι.

Τύποι απειλών κατά της Ασφάλειας Πληροφοριών ανά τύπο πρόθεσης

Με βάση τις προθέσεις τους, οι απειλές κατά της Ασφάλειας Πληροφοριών συνήθως διακρίνονται σε τρεις τύπους: οικονομικές, αφορούσες τη φήμη και αποκάλυψη προθέσεων.

Όπως υποδηλώνει το όνομα, οι οικονομικές απειλές είναι πιθανά περιστατικά Ασφάλειας Πληροφοριών που προκαλούν οικονομική ζημιά στο θύμα.

Η οικονομική ζημιά σε αυτή την περίπτωση συνίσταται σε:

1. απώλειες από την αποτίμηση των χαμένων πληροφοριών·

2. τεχνολογικό και εργατικό κόστος για την αποκατάσταση δεδομένων και υποδομής (κόστος εξοπλισμού, πληρωμή για σχετικές υπηρεσίες, μισθοί εργαζομένων κ.λπ.)·

3. αποζημίωση για ζημιές στα θιγόμενα μέρη.

Η ζημιά στη φήμη είναι μια αρνητική επίδραση άυλης φύσης, η οποία αντικατοπτρίζεται σε αρνητική μεταβολή των κοινωνικών σχέσεων (μειωμένη εμπιστοσύνη, χαμηλότερες αξιολογήσεις κ.λπ.). Μπορεί να προκληθεί στο κράτος, σε οργανισμούς και σε φυσικά πρόσωπα.

Η απειλή αποκάλυψης προθέσεων είναι η πιθανότητα να αποκαλυφθούν δυνητικά πολύτιμες πληροφορίες σχετικά με προθέσεις δράσης, οι συνέπειες των οποίων δεν μπορούν ακόμη να αξιολογηθούν σε οικονομικούς ή φήμης όρους.

Απειλές κατά της Ασφάλειας Πληροφοριών ανά πηγή απειλής

Οι απειλές κατά της Ασφάλειας Πληροφοριών διακρίνονται σε αυτές που προέρχονται από το εξωτερικό του συστήματος πληροφοριών και σε αυτές που προέρχονται από το εσωτερικό του συστήματος πληροφοριών. Εκτός του συστήματος πληροφοριών, οι απειλές μπορεί να προέρχονται από εχθρικές οντότητες (ανταγωνιστές, απατεώνες, ειδικές υπηρεσίες κ.λπ.) που χρησιμοποιούν διάφορα μέσα διείσδυσης (υλισμικό, λογισμικό κ.λπ.). Φυσικές καταστροφές και καταστροφικά γεγονότα θεωρούνται επίσης εξωτερικές πηγές απειλών.

Οι απειλές εντός του συστήματος πληροφοριών προέρχονται από συμμετέχοντες στο σύστημα (insiders, ανέντιμους εργαζομένους, τεχνικά προβλήματα με τον εξοπλισμό κ.λπ.), με τους κινδύνους από insiders να θεωρούνται γενικά οι πιο πιθανοί εντός του συστήματος πληροφοριών. Ας εξετάσουμε αυτό αναλυτικότερα.

Ορισμός των insiders

Οι insiders αποτελούν τη βασική κατηγορία κινδύνου ασφαλείας εντός της περιμέτρου του συστήματος πληροφοριών. Αυτοί οι κίνδυνοι είναι δύσκολο να υπολογιστούν, καθώς είναι δύσκολο να προβλεφθούν και να προληφθούν.

Ως insiders ορίζονται οι συμμετέχοντες εντός της εσωτερικής περιμέτρου Ασφάλειας Πληροφοριών που, σκόπιμα ή ακούσια, μεταδίδουν εμπιστευτικές πληροφορίες εκτός αυτής της περιμέτρου. Αυτή η κατηγορία χρηστών είναι αρκετά ευρεία, καθώς υπάρχουν πολλοί παράγοντες, τόσο κρυφοί όσο και προφανείς, που επηρεάζουν τα κίνητρα των ενεργειών τους.

Σε αυτά περιλαμβάνονται:

• επίτευξη προσωπικού οφέλους·

Οι insiders διαπράττουν σκόπιμα εγκλήματα στον χώρο εργασίας επειδή τους αποφέρουν οικονομικό ή ηθικό όφελος.

• ενδιαφέρον·

Αυτό το κίνητρο μπορεί να προκληθεί από περιέργεια, την επιθυμία πρόσβασης σε περιορισμένα δεδομένα προκειμένου να ενισχύσουν τη δική τους εμπειρία.

• χωρίς κίνητρο·

Αφορά απαθείς, απρόσεκτους εργαζομένους οι οποίοι, λόγω απροθυμίας ή τεμπελιάς, μεταδίδουν εμπιστευτικές πληροφορίες εκτός της περιμέτρου ασφαλείας.

• εκδίκηση·

Συχνά, πρόκειται για εργαζομένους που πρόκειται να απολυθούν ή για κρυφούς επιθετικούς μέσα σε μια ομάδα. Σε τέτοιες περιπτώσεις, η κύρια επιθυμία τους θα είναι να μεγιστοποιήσουν τη ζημιά που προκαλούν στην εταιρεία.

• ψυχολογικά προβλήματα·

Κάθε συμμετέχων στην περίμετρο ασφαλείας είναι, πρωτίστως, ένα άτομο με τα δικά του ψυχολογικά προβλήματα (τα οποία μπορεί να είναι προσωπικά ή προκλητά), τα οποία μπορεί να επηρεάσουν τα κίνητρά του.

• εκβιασμός·

Ο στόχος της διείσδυσης ενός insider είναι η απόκτηση εμπιστευτικών πληροφοριών και η μετέπειτα χρήση τους για εκβιασμό εντός μιας εταιρείας (εργαζόμενοι, διοίκηση) ή εκτός αυτής.

• πολιτικές ή ιδεολογικές διαφορές·

Αυτό μπορεί επίσης να αποτελεί κίνητρο για διαρροές δεδομένων από insiders.

• εξωτερική πίεση.

Ένα άτομο εντός της περιμέτρου ασφαλείας μπορεί το ίδιο να γίνει αντικείμενο εκβιασμού, με απαιτήσεις να παρέχει δεδομένα που ενδιαφέρουν έναν εξωτερικό παράγοντα.

Πώς μπορούν οι insiders να είναι χρήσιμοι σε ενδιαφερόμενα μέρη:

1. Ένας insider είναι συμμετέχων στο σύστημα ασφαλείας που διαθέτει τα απαραίτητα προσόντα και πρόσβαση σε εμπιστευτικές πληροφορίες.

2. Ο insider κατέχει θέση και διαθέτει επαρκή προσόντα όχι μόνο για να εντοπίσει δεδομένα, αλλά και να τα εξάγει με ασφάλεια και να τα παραδώσει στην απαιτούμενη μορφή.

3. Ένας insider μπορεί να αποκλίνει από το σχέδιο, να ενεργήσει ανάλογα με την κατάσταση ή να περιμένει την κατάλληλη στιγμή για να διεισδύσει. Για μια εξωτερική διείσδυση, μια τέτοια πολυτέλεια δεν είναι εξίσου διαθέσιμη.

4. Ένας insider μπορεί να κερδίσει άλλους εργαζομένους με το μέρος του και να δημιουργήσει μια εταιρεία πιστή στην επιρροή του.

Αντιμετώπιση των insiders

Όπως βλέπουμε, πολλά πλεονεκτήματα ευνοούν τους insiders. Είναι δύσκολο να εντοπιστούν, βρίσκονται ήδη μέσα στο σύστημα πληροφοριών, μπορούν να ενεργούν καλυμμένα, και τα πραγματικά κίνητρα τέτοιων εργαζομένων δεν είναι πάντα σαφή. Ωστόσο, αυτό δεν σημαίνει ότι το πρόβλημα πρέπει να αγνοηθεί και η κατάσταση να αφεθεί στην τύχη της. Ένα σύνολο μέτρων μπορεί να βοηθήσει στον εντοπισμό insiders και στην πρόληψη διαρροών πληροφοριών.

• κατά την πρόσληψη·

Ένας δυνητικός εργοδότης μπορεί να αξιολογήσει έναν υποψήφιο ήδη από το στάδιο της συνέντευξης: να εκτιμήσει την ψυχολογική του σταθερότητα, τα κίνητρά του, να ζητήσει πληροφορίες από προηγούμενους εργοδότες, να διερευνήσει για παραπτώματα κ.ο.κ. Ακόμη και αυτό το σύνολο ενεργειών θα αποκλείσει τους πιο ενεργούς και πιθανούς μελλοντικούς insiders.

• κατά τη διάρκεια της απασχόλησης.

Μετά την επίσημη πρόσληψη, είναι σημαντικό να μην παραμελείται ούτε ο νέος εργαζόμενος ούτε ολόκληρη η ομάδα. Άλλωστε, ένας πιθανός insider μπορεί να αποκτήσει κίνητρο ενώ εκτελεί τα καθήκοντά του, ή μπορεί ακόμη και να έχει «φυτευτεί» σε έναν οργανισμό εξαρχής. Το τμήμα Ανθρώπινου Δυναμικού και το προσωπικό ασφαλείας μπορούν να λάβουν τα εξής μέτρα:

• εκπαιδευτικά (για την ενημέρωση των εργαζομένων σχετικά με τα δικαιώματα και τις υποχρεώσεις τους όσον αφορά τη διατήρηση των πληροφοριών εντός της περιμέτρου, καθώς και τις συνέπειες παράνομων ενεργειών)·

• ψυχολογικές δοκιμασίες και ερωτηματολόγια (έρευνες και τεστ θα βοηθήσουν στον εντοπισμό δυσαρεστημένων και αναξιόπιστων εργαζομένων βάσει έμμεσων ενδείξεων)·

• τεκμηρίωση (επίσημα τεκμηριωμένη πολιτική Ασφάλειας Πληροφοριών εντός μιας εταιρείας, καθιέρωση καθεστώτος «εμπορικού απορρήτου»)·

• λογισμικό και υλισμικό (χρήση τεχνικών μέσων για τον περιορισμό της πρόσβασης σε πληροφορίες, εισαγωγή συστήματος ελέγχου ταυτότητας εργαζομένων, εγκατάσταση συστημάτων DLP·

• κατά την απόλυση. 

Και αυτό είναι ένα σημαντικό σημείο, καθώς αυτή η περίοδος είναι συχνά η πιο τεταμένη στις σχέσεις εργοδότη/εργαζομένου. Είναι απαραίτητο να καταγράφεται η μεταφορά πληροφοριών από τον αποχωρούντα εργαζόμενο, ιδίως εκτός του συστήματος πληροφοριών, και να διασφαλίζεται η ορθή λήξη της εργασιακής σχέσης.

Για περισσότερες πληροφορίες σχετικά με τον τρόπο αναγνώρισης ενός insider, διαβάστε το άρθρο μας.

Απειλές κατά της Ασφάλειας Πληροφοριών ανά πηγή απειλής και επίδραση στην ΑΠ

Οι απειλές κατά της Ασφάλειας Πληροφοριών ταξινομούνται ανάλογα με τον τύπο της ζημιάς που προκαλούν:

•    γενικές (χαρακτηριστικές για όλα τα υποκείμενα πληροφοριών)·

•    τοπικές (με εδαφικό ή δραστηριοτικό προσανατολισμό)·

•    ιδιωτικές (σχεδιασμένες για την άσκηση άμεσης πίεσης σε ένα φυσικό πρόσωπο, λαμβάνοντας υπόψη τα ατομικά χαρακτηριστικά ενός πιθανού θύματος).

Ανά βαθμό επίδρασης στο σύστημα πληροφοριών:

•    παθητικές (η δομή και το περιεχόμενο του συστήματος παραμένουν αμετάβλητα)·

•    ενεργές (η δομή και το περιεχόμενο του συστήματος υπόκεινται σε αλλαγή).

Απειλές Ασφάλειας Πληροφοριών μέσω καναλιών μη εξουσιοδοτημένης πρόσβασης

Μία από τις πιο καταστροφικές απειλές κατά της Ασφάλειας Πληροφοριών, από άποψη καταστροφής και ζημιάς, είναι η ζημιά που προκαλείται από μη εξουσιοδοτημένη πρόσβαση.

Η μη εξουσιοδοτημένη πρόσβαση (ΜΕΠ) είναι η μη εξουσιοδοτημένη διείσδυση στο σύστημα Ασφάλειας Πληροφοριών με παράκαμψη των εγκεκριμένων κανόνων ασφαλείας. Υπάρχουν τρεις τύποι μη εξουσιοδοτημένης πρόσβασης: προσωπική (μέσω ατόμου), υλισμικού (μέσω σύνδεσης εξειδικευμένου εξοπλισμού) και λογισμικού (με χρήση λογισμικού). Ας εξετάσουμε αυτό αναλυτικότερα.

Προσωπικά κανάλια της ΜΕΠ:

• μέσω φορέων πληροφοριών (κλοπή, πλαστογράφηση)·

• μέσω ανάγνωσης πληροφοριών από οπτικές πηγές (στιγμιότυπα οθόνης, φωτογραφίες και βίντεο, keyloggers)·

• μέσω εγγράφων (κλοπή, αντιγραφή)·

• μέσω παρακολούθησης εκτυπώσεων.

Κανάλια λογισμικού της ΜΕΠ:

• μέσω κακόβουλου λογισμικού και ιικού περιεχομένου (ιοί, spam, spyware)·

• μέσω πρόσβασης στη διαχείριση λογαριασμών (IDM)·

• επιθέσεις DDoS·

• στοχευμένες επιθέσεις·

• παραβίαση ιστότοπων και μέσων κοινωνικής δικτύωσης και απόκτηση δικαιωμάτων διαχειριστή·

• κινητές συσκευές.

Υλισμικό (μέσω ηλεκτρομαγνητικών, δονητικοακουστικών, οπτικών και πληροφοριακών καναλιών διαρροής πληροφοριών).

Κίνδυνοι και απειλές για την Ασφάλεια Πληροφοριών

Συχνά, έννοιες στην Ασφάλεια Πληροφοριών μπορούν να εξισώνονται μεταξύ τους: προσωπικές και ιδιωτικές πληροφορίες, κίνδυνοι και απειλές, κ.ο.κ. Ωστόσο, αυτοί οι ορισμοί δεν είναι πάντα ισοδύναμοι. Ενώ οι προσωπικές και οι ιδιωτικές πληροφορίες είναι ουσιαστικά συνώνυμες και ορίζουν τον ίδιο τύπο δεδομένων από διαφορετικές οπτικές γωνίες, οι κίνδυνοι και οι απειλές κατά της Ασφάλειας Πληροφοριών δεν μπορούν να εξισωθούν. Να γιατί.

Οι κίνδυνοι Ασφάλειας Πληροφοριών είναι ένα σύνολο αρνητικών παραγόντων που μπορούν να επηρεάσουν την ακεραιότητα, τη διαθεσιμότητα και την ευαλωτότητα των πληροφοριών. Με άλλα λόγια, πρόκειται για μια υπαρκτή, πραγματική κατάσταση. Οι απειλές, με τη σειρά τους, είναι ευκαιρίες που προκύπτουν στο σύστημα ασφαλείας για να επηρεάσουν τις πληροφορίες μέσω ευπαθειών. Για παράδειγμα: η απειλή μη εξουσιοδοτημένης πρόσβασης σε αρχεία υπολογιστή όταν προκύπτει μια ευπάθεια ασφαλείας (ο χρήστης δεν έχει αποσυνδεθεί από το προφίλ εργασίας του), η απειλή εισαγωγής κακόβουλου ιού λόγω ευπάθειας λογισμικού (χρήση μη αδειοδοτημένου λογισμικού σε υπολογιστές εργασίας), και ούτω καθεξής.

Έτσι, ο κίνδυνος Ασφάλειας Πληροφοριών μπορεί να οριστεί ως οι απειλές κατά της Ασφάλειας Πληροφοριών που έχουν αξιοποιηθεί. Σε αυτή την περίπτωση, ο τύπος για τον κίνδυνο Ασφάλειας Πληροφοριών θα ήταν ο εξής:

Συμπέρασμα

Η Ασφάλεια Πληροφοριών είναι ένα ευρύ θέμα που πρέπει να προσεγγίζεται με συνέπεια και σκέψη. Η πληροφορία σήμερα είναι ένας πολύτιμος πόρος που πρέπει να προστατεύεται από εσωτερικές και εξωτερικές απειλές. Χρησιμοποιήστε όλα τα διαθέσιμα μέτρα προστασίας και διασφαλίστε μια ασφαλή περίμετρο εντός του κύκλου πληροφοριών σας. Ίσως δεν αντιληφθείτε αμέσως τα οφέλη αυτής της ενέργειας, αλλά σίγουρα θα εκτιμήσετε την αξία της Ασφάλειας Πληροφοριών όταν προκύψουν κίνδυνοι και υλοποιηθούν απειλές.