Kradzież danych a utrata danych
Utrata danych to każde nieuprawnione ujawnienie danych, celowe albo nie. Pracownik, który przez pomyłkę wyśle arkusz do niewłaściwej osoby, powoduje utratę danych.
Kradzież danych jest zawsze celowa. Osoba świadomie wynosi dane, których wynosić nie powinna, z zamiarem wykorzystania ich wbrew interesowi organizacji.
Różnica dotyczy zamiaru, a ten ma znaczenie dla zapobiegania, wyjaśniania i reakcji. Przypadkową utratę ogranicza się szkoleniami, zasadami pracy i DLP, który wychwytuje pomyłki. Kradzież wymaga zabezpieczeń uwzględniających unikanie wykrycia: sprawca ukrywa działania, korzysta z dozwolonych kanałów, żeby się wtopić, i zaciera ślady.
Co zwykle jest kradzione
Własność intelektualną często zabierają pracownicy odchodzący do konkurencji. Dane klientów służą do wyłudzeń i wywiadu konkurencyjnego albo są sprzedawane podmiotom trzecim. Poświadczenia otwierają dalszy dostęp albo trafiają na rynki przestępcze.
| Kategoria | Co obejmuje |
|---|---|
| Własność intelektualna | Kod źródłowy, projekty techniczne, wyniki badań, receptury, plany produktowe |
| Dane klientów | Listy kontaktów, dane kont, historia zakupów |
| Dane finansowe | Modele cenowe, warunki umów, sprawozdania finansowe, informacje o fuzjach i przejęciach |
| Poświadczenia | Hasła, klucze API i certyfikaty |
| Informacje strategiczne | Plany biznesowe, strategie marketingowe, stanowiska negocjacyjne, dokumenty dla organów nadzoru |
Kto kradnie dane
Dane kradną różne rodzaje zagrożeń wewnętrznych oraz napastnicy z zewnątrz:
- Odchodzący pracownicy: kategoria o dużym znaczeniu. Osoby, które przyjęły ofertę u konkurenta albo dostały wypowiedzenie, mogą kopiować dane w tygodniach przed odejściem.
- Osoby wewnętrzne z poczuciem krzywdy: pracownicy kierujący się urazą, poczuciem niesprawiedliwości lub różnicą poglądów, którzy mogą wynosić dane, by zaszkodzić organizacji albo ją ujawnić.
- Osoby wewnętrzne działające dla zysku: ci, którzy wynoszą dane na sprzedaż, do wyłudzeń lub na potrzeby własnej działalności.
- Przejęte konta: napastnicy, którzy zdobyli uprawnione poświadczenia i działają jak osoba wewnętrzna. Zamiar jest zewnętrzny, ale dostęp i aktywność są wewnętrzne.
- Złośliwe oprogramowanie: trojany wykradające informacje oraz zaawansowane ataki APT, które automatyzują zbieranie i wyprowadzanie danych.
Typowe metody
Kradzież danych korzysta z tych samych kanałów co uprawniona praca, dlatego bez analizy treści trudno ją odróżnić. Prawa kolumna pokazuje, który element DLP na punktach końcowych obserwuje dany kanał.
| Kanał | Jak dane wychodzą | Co w Anexet to monitoruje |
|---|---|---|
| Prywatne konta w chmurze | Przesyłanie na prywatne Google Drive, Dropbox lub OneDrive ze stacji firmowej | Kontrola wysyłania do chmury |
| Prywatna poczta | Wysyłanie plików na prywatny adres, by sięgnąć po nie później | Przechwytywanie poczty |
| Nośniki wymienne | Kopiowanie na pamięci USB, dyski zewnętrzne lub nośniki optyczne | Kontrola urządzeń z kopiami cieniowymi |
| Komunikatory | Wysyłanie plików przez WhatsApp, Telegram, Signal lub platformy współpracy | Monitoring komunikatorów i czatów zespołowych |
| Drukowanie | Wydruk dokumentów wrażliwych, by wynieść je na papierze | Monitoring drukowania |
| Przygotowanie danych | Zbieranie plików w jednym archiwum przed transferem, by ograniczyć widoczne działania | Punktacja ryzyka behawioralnego |
| Fotografowanie ekranu | Zdjęcie ekranu telefonem, z pominięciem kanałów cyfrowych | Pośrednio, przez sygnały zachowania |
Dlaczego kradzież danych trudno wykryć
Podstawowa trudność polega na tym, że każde działanie z osobna jest uprawnione. Pracownik, który wysyła plik do chmury, pisze e-mail albo kopiuje na USB, robi to, co pracownicy robią na co dzień. Kradzież widać dopiero we wzorcu: co jest przenoszone (treść wrażliwa), kiedy (w okolicy odejścia), ile (ponad zwykły poziom) i dokąd (konta prywatne, miejsca zewnętrzne).
Wykrywanie wymaga czterech rodzajów sygnałów, a analiza zachowań użytkowników i podmiotów (UEBA) łączy te behawioralne:
- analiza treści: co jest przenoszone;
- profil zachowania: czy dla tego użytkownika to nietypowe;
- kontekst: czy użytkownik odchodzi, jest objęty postępowaniem albo sięga po nietypowe dane;
- monitorowanie kanałów: czy miejsce docelowe jest prywatne, czy zewnętrzne.
Jak to wygląda w Anexet
Kopiowanie i wklejanie w obrębie jednej stacji roboczej przenosi dane bez żadnego transferu plików, dlatego wymaga osobnego zapisu. Anexet śledzi to przez monitoring schowka: każde kopiowanie łączy ze źródłem, a każde wklejenie z miejscem docelowym.
Ile kosztuje kradzież danych
Skutki kradzieży danych wykraczają poza same dane i zwykle pojawiają się równocześnie w kilku postaciach:
- Szkoda konkurencyjna: skradziona własność intelektualna lub plany strategiczne wprost wspierają konkurencję.
- Szkoda dla klientów: skradzione dane klientów umożliwiają wyłudzenia, kradzież tożsamości i naruszenia prywatności.
- Kary regulacyjne: w przypadku danych regulowanych pojawiają się obowiązki zgłoszeniowe i możliwe kary na gruncie RODO, HIPAA lub CCPA.
- Szkoda wizerunkowa: publiczne ujawnienie osłabia zaufanie klientów i partnerów.
- Koszty prawne: postępowanie wyjaśniające, spory sądowe i możliwe postępowanie karne.
Od czego zacząć
Zacznij od danych, których wyciek zaszkodziłby najbardziej, a potem od kanałów, którymi naprawdę się przemieszczają. Polityki pisane naraz dla każdego pliku kończą się blokowaniem pracy i wyłączeniem.
Zapobieganie to zestaw zabezpieczeń, a nie jedna zablokowana transmisja. Przewodnik zapobieganie kradzieży danych opisuje pełny zestaw.
Czytaj dalej: Top 5 rodzajów danych, które próbują wykraść konkurenci; Jak oficer bezpieczeństwa wykrywa insidera za pomocą systemu DLP?.
Wyciek rzadko wygląda jak atak. Wygląda jak zwykły dzień pracy, jeden transfer za drugim.
Anexet TeamJak rozwiązuje to Anexet
Anexet odpowiada na kradzież danych połączeniem modułów DLP i kontroli urządzeń:
Architektura on-premise zapewnia, że dane monitoringu, oceny ryzyka i materiały ze spraw pozostają w infrastrukturze organizacji, co ma znaczenie, ponieważ dane z postępowania w sprawie kradzieży same są wrażliwe.
Wykrywanie oparte na treści
cyfrowe odciski chronionych dokumentów, banki skrótów dla konkretnych plików, tezaurusy bezpieczeństwa dla terminów związanych z własnością intelektualną oraz integracja z etykietami poufności, dzięki czemu kradzież konkretnych, cennych danych jest wykrywana po tym, co się przemieszcza, a nie tylko po tym, że coś się przemieszcza.
Kontrola urządzeń
moduł kontroli urządzeń monitoruje i może blokować nośniki wymienne (USB, dyski zewnętrzne, nośniki optyczne, urządzenia mobilne jako nośnik) według typu urządzenia, numeru seryjnego albo identyfikatora sprzętowego. Polityki zapisu z kopią cienia zachowują kopię każdego pliku zapisanego na nośnik zewnętrzny, tworząc ślad audytu nawet wtedy, gdy zapis jest dozwolony.
Pełne pokrycie kanałów
agenci na stacjach roboczych monitorują pocztę, ruch WWW, aplikacje magazynów chmurowych, komunikatory, drukowanie, schowek i przechwytywanie ekranu, czyli kanały, którymi dochodzi do kradzieży.
Egzekwowanie blokad
polityki mogą zablokować transfery pasujące do treści wrażliwej, skierować je do kwarantanny w celu weryfikacji albo zgłosić alertem.
Punktacja ryzyka behawioralnego
mechanizm analizy ryzyka oznacza użytkowników, których zachowanie wskazuje na gromadzenie danych albo przygotowanie do kradzieży, w tym w okolicy zdarzeń związanych z odejściem.
Postępowania wyjaśniające i materiał dowodowy
moduł postępowań buduje uporządkowane sprawy z wykrytych zdarzeń, z eksportem materiału na potrzeby postępowania prawnego lub dyscyplinarnego.
Funkcja kontroli urządzeń
Dowiedz się więcej