Kategorie
Usługi udostępniania dzielą się na pięć grup, od zarządzanych platform firmowych po jednorazowe transfery, które są praktycznie anonimowe. W odróżnieniu od bezpośredniego transferu plików udostępnianie zostawia plik w miejscu i daje innym do niego dostęp.
| Kategoria | Co oznacza |
|---|---|
| Firmowe chmury i pakiety współpracy | Zatwierdzone platformy z integracją tożsamości, uprawnieniami i logami administratora |
| Chmura konsumencka | Ta sama technologia na prywatnym koncie, poza administracją IT |
| Jednorazowe usługi transferu | Przyjmują plik i zwracają link do pobrania, często bez konta |
| Sieci peer-to-peer | Bezpośrednia dystrybucja między klientami, bez centralnego punktu kontroli |
| Pamięć platform współpracy | Pliki w kanałach czatu i przestrzeniach zespołu, zależne od członkostwa w obszarze roboczym |
Shadow IT i konta prywatne
Najczęstsza ekspozycja to nie egzotyczna usługa, lecz prywatne konto w znanym serwisie. Dwa konta na tym samym urządzeniu wyglądają dla użytkownika identycznie, a plik przeciągnięty do złego zsynchronizowanego folderu może cicho opuścić organizację.
Dozwolone i niedozwolone korzystanie używa tych samych domen i protokołów. Rozróżnienie wymaga inspekcji opartej na tożsamości lub widoczności na punkcie końcowym, bo blokada domeny nie oddzieli firmowego konta od prywatnego. Ten sam schemat dotyczy Shadow AI, czyli niezatwierdzonych narzędzi AI.
Dlaczego linki osłabiają kontrolę
Udostępnione linki niosą pięć powtarzających się słabości:
- Dostęp oderwany od tożsamości: każdy, kto ma link, zwykle może otworzyć plik.
- Dalsze przekazywanie: linki wklejone do wiadomości rozszerzają dostęp poza pierwotny krąg odbiorców.
- Trwałość: linki, które nigdy nie wygasają, działają nadal po ustaniu potrzeby biznesowej.
- Zbyt szerokie uprawnienia: edycja linku to jedno kliknięcie od dostępu dla całej organizacji, co może zamienić niewielkie udostępnienie w wyciek danych.
- Słaby audyt: zewnętrzni odbiorcy są często niezalogowani, więc dziennik nie pokazuje osoby.
Podejścia do nadzoru
Skuteczna polityka jest szczegółowa, a nie absolutna. Typowe środki to zatwierdzanie konkretnych platform i ich właściwa konfiguracja zamiast ogólnego zakazu udostępniania oraz ograniczenie klientów synchronizacji do firmowych kont, aby konta prywatne nie mogły podłączyć się do urządzeń zarządzanych.
Najpierw liczy się wykrywanie, bo egzekwowanie obejmuje tylko to, co wiadomo. Zacznij od wykrycia usług, które są faktycznie w użyciu.
Kroki przywracania kontroli
- 1
Znajdź aktywne udostępnienia
Zestaw usługi udostępniania i linki zewnętrzne już w użyciu. Większość organizacji nie docenia ich liczby.
- 2
Zatwierdź i skonfiguruj platformy
Dopuść konkretne usługi i skonfiguruj każdą poprawnie, zamiast ogólnie zakazywać udostępniania.
- 3
Ogranicz klientów synchronizacji
Zezwól na nie tylko dla firmowych kont, aby konta prywatne nie mogły zamontować się na urządzeniach zarządzanych.
- 4
Wymagaj wygaśnięcia i uwierzytelnienia
Ustaw wygasanie i uwierzytelnianie dla linków zewnętrznych, a publiczne udostępnianie ogranicz do małego zatwierdzonego zbioru treści.
- 5
Kontroluj wysyłki i odwołuj linki
Sprawdzaj wysyłane pliki według treści, aby dane regulowane zatrzymać, zanim opuszczą firmę, i okresowo odwołuj nieaktywne udostępnienia.
Wymiar zgodności
Udostępnianie decyduje, gdzie dane są przechowywane i kto je przetwarza. Wprost wiąże się to z obowiązkami ochrony danych: podstawą prawną i zasadami transferu danych osobowych na mocy RODO, wymogami retencji oraz możliwością odpowiedzi na żądania dostępu i usunięcia treści przechowywanych na platformie zewnętrznej.
Prywatne konto z danymi klientów to przetwarzanie, którego nikt nie ocenił. Dlatego nieautoryzowane udostępnianie traktuje się jako ustalenie z zakresu zgodności, a nie tylko bezpieczeństwa.
Jak to wygląda w Anexet
W monitoringu usług chmurowych tabela kontroli magazynów w chmurze określa dostęp, audyt i kopię cieniową dla każdej usługi. Osobna lista obejmuje wersje webowe tych samych usług.
1 / 2
Od czego zacząć
Zacznij od usług udostępniania już używanych na urządzeniach zarządzanych, potem zdecyduj, które są zatwierdzone, i ustaw reguły w Anexet DLP. Polityka blokująca wszystkie linki naraz zwykle spycha ludzi na prywatne konta, a wraz z nimi wraca to samo ryzyko.
Lista zatwierdzonych platform powinna być krótka i przeglądana wraz ze zmianami w firmie.
Czytaj dalej: Zapobieganie wyciekom danych przez superużytkowników.
Udostępniony link nie pyta, kto go trzyma. Kontrola zaczyna się od wiedzy, które linki istnieją.
Anexet TeamJak rozwiązuje to Anexet
Anexet traktuje usługi udostępniania jako monitorowany kanał i ocenia, co jest przesyłane, a nie tylko dokąd zmierza:
Kontrola magazynów chmurowych i udostępniania
przesłania do aplikacji magazynów chmurowych i udostępniania plików są monitorowane na urządzeniu końcowym, wraz z aktywnością klientów synchronizacji, więc użycie prywatnego konta na zarządzanym urządzeniu jest widoczne.
Polityki świadome treści
każde przesłanie jest sprawdzane za pomocą tezaurusów bezpieczeństwa (170 gotowych słowników), reguł wzorców dla ustrukturyzowanych identyfikatorów, banków skrótów dla dokładnych dopasowań plików, bibliotek cyfrowych odcisków dla dokumentów i szablonów oraz etykiet poufności.
Stopniowane działania
zezwalaj, rejestruj, alarmuj, kwarantanna do przeglądu analityka albo blokuj, w zakresie określonym przez użytkownika, grupę, miejsce docelowe i klasę treści, tak by zatwierdzone platformy działały, a treści regulowane nie wychodziły przez niezatwierdzone.
Ślad audytu
każde przesłanie jest rejestrowane z użytkownikiem, znacznikiem czasu, usługą, plikiem, klasyfikacją i podjętym działaniem, co ujawnia również, które usługi są faktycznie w użyciu.
Architektura on-premise
polityki, przechwycone treści i dzienniki pozostają w infrastrukturze samej organizacji.
Anexet DLP
Dowiedz się więcej