Nieumyślne ujawnienie

Większość incydentów wynika ze zwykłych czynności wykonanych nieco źle. Błędny odbiorca to najczęstsza pojedyncza przyczyna. Najczęściej takie pomyłki zdarzają się w usługach komunikacji elektronicznej, czyli kanale, którym przechodzi większość ujawnień.

Każde z tych działań to zwykła czynność robocza wykonana nieco błędnie. Wysyłanie plików, udostępnianie dokumentów i publikowanie raportów to właśnie praca. Usterką jest jeden źle skierowany krok w zadaniu powtarzanym setki razy w tygodniu: wolumen plus rutyna równa się częstotliwość. Samo szkolenie uświadamiające nie rozwiąże problemu, bo zaangażowani zwykle znają zasady i chcieli ich przestrzegać. To nieumyślna strona ryzyka wewnętrznego.

Przypadkowe ujawnienie często wychodzi na jaw późno, zwykle dzięki komuś spoza organizacji. Niezamierzony odbiorca je zgłasza, partner zauważa nieznane dane, a badacz znajduje odsłonięte repozytorium. Gdy dane opuszczą organizację, stają się wyciekiem danych, nad którym nikt nie ma kontroli.

Wycofanie w praktyce zawodzi: e-maila, który opuścił organizację, nie da się cofnąć, a pobranego pliku nie da się odpobrać. Dlatego największy ciężar spoczywa na prewencji. Reagowanie przebiega jednak jak przy każdym naruszeniu:

1. 1

   Ustalić zakres

   Określić, co ujawniono i komu.

2. 2

   Spróbować wycofania

   Użyć cofnięcia lub odwołania dostępu, jeśli platforma na to pozwala.

3. 3

   Ocenić obowiązki

   Sprawdzić obowiązki zgłoszeniowe wobec regulatorów.

4. 4

   Odnotować wynik

   Zapisać, co się stało i jakie działania podjęto.

W ujęciu regulacyjnym przypadkowe ujawnienie jest naruszeniem danych niezależnie od zamiaru. Na gruncie GDPR nieuprawnione ujawnienie danych osobowych uruchamia ocenę względem 72-godzinnego progu zgłoszenia. Organy nadzorcze badają, czy wdrożono odpowiednie środki techniczne i organizacyjne, dlatego liczą się udokumentowane mechanizmy prewencyjne i zapisy audytowe.

Skuteczne są mechanizmy, które ingerują w sam tok pracy, a nie dopiero po nim. To podstawowe zadanie zapobiegania utracie danych. W tej kategorii ostrzeżenie działa lepiej niż cicha blokada: zamiar użytkownika jest poprawny, więc zwykle wystarczy powiedzieć mu, co właśnie robi.

Gdy reguła zatrzymuje transfer, użytkownik widzi komunikat napisany przez administratora, a jego treść ustawia się w konsoli. Blokowanie transferu danych obejmuje też reguły reagujące na liczbę odbiorców, dzięki czemu wiadomość rozesłana do szerokiego grona zostaje wychwycona, nawet gdy każdy adres wygląda niewinnie.

1 / 2

• 
• 

Zacznij od danych, które najbardziej zaszkodziłyby po wycieku, a potem od kanałów, którymi faktycznie są wysyłane. Polityki pisane dla wszystkich plików naraz kończą blokowaniem zwykłej pracy i zostają wyłączone.

Czytaj dalej: Techniczny wyciek informacji: czym jest i jak się chronić?; Inżynieria społeczna a systemy DLP: jak chronić firmę przed wyciekami danych.