CIO Business World: Jaký je dle vašich zkušeností nejčastější způsob úniku dat z podniků? (například ztráta koncového zařízení, zcizení zařízení, odeslání mailem úmyslné či neúmyslné..)
Jan Sekera: Letos jsme uskutečnili výzkum The Global IT Security Risks mezi 3 300 IT profesionály s rozhodovací pravomocí ve 22 zemích. Ptali jsme se na zásadní otázky, kterým podniky čelí. Dle studie velká část dat uniká z mobilních zařízení – 23 % respondentů zaznamenalo jejich ztrátu, 15 % krádež.
Ve 13 % procentech případů se důležité informace dostaly do nesprávných rukou nepozorným jednáním uživatelů, například zasláním e-mailu na nesprávnou adresu. Data ale unikají i jinak – v 35 % malwarovou infekcí, 21 % útokem zaměřeným skrze e-mail a 17 % phishingem. Zvláštní kategorií důvodů ohrožení korporátní bezpečnosti jsou zranitelná místa instalovaných aplikací – uvedlo je 25 % dotázaných.
Jaký typ úniku obvykle vede k největším škodám?
Tohle je velice náročné určit. Záleží to na společnosti i na typu útoku. Je také důležité si uvědomit, že kybernetický útok může způsobit firmě víc než jen finanční škody – na jejich obchod může mít ztráta tajných informací velice nepříznivý dopad.
Jaké typy koncových zařízení jsou podle vašich zkušeností nejhůře zabezpečeny? (notebooky, tablety, mobily apod.) Na jaká rizika IT a uživatelé nejčastěji zapomínají?
Dnes jsme svědky rostoucího trendu BYOD, což zahrnuje počítače, chytré telefony nebo tablety. Například 33 % podniků umožňuje zaměstnancům přístup k podnikovým zdrojům z jejich chytrých telefonů. Jen 11 % jich ale využívá Mobile Device Management (MDM) software k zabezpečení. Z výsledků lze usoudit, že mobilní zařízení zejména chytré telefony a tablety jsou nejzranitelnější.
Setkali jste se v českých podmínkách s nějakými důmyslnými metodami využívání (zneužívání) sociálního inženýrství při zcizování firemních či osobních dat? Pokud ano, popište, o co se jednalo.
Sociální inženýrství nemusí být sofistikované, aby bylo účinné. Útočník v podstatě jakýmkoliv způsobem předstírá, že je IT administrátorem. Při útocích je jazyk velice důležitým faktorem. Proto má Česká republika obrovskou výhodu, společně s dalšími evropskými zeměmi, kde není angličtina oficiálním jazykem. Útočníci musí mít někoho, kdo mluví stejným jazykem jako oběti.
Dokáže DLP efektivně ochránit i před cíleným pokusem o "vynesení" informací zaměstnancem? Můžete uvést nějaké příklady z praxe? Co riziko, že se uživatelé naučí "dohled" DLP obcházet?
Pokud je DLP zavedeno správně, může zaměstnancům zabránit posílat e-maily s citlivými daty mimo firmu nebo kopírovat korporátní data na osobní USB disky. Samozřejmě, nic není dokonalé, dokonce ani technologie včetně DLP ne. Jak totiž můžou chránit data, když zaměstnancům nic nezabrání v tom, aby si z kapsy vytáhl vlastní chytrý telefon a nevyfotil si citlivé dokumenty? DLP je nicméně technologií, která pomáhá organizacím zvládnout a minimalizovat riziko, že se data ocitnou mimo perimetr sítě.
Když společnosti dosáhnou určité velikosti, musí začít spravovat rizika úniku informací. A v té chvíli přichází řada na DLP. Co si ale firmy musí uvědomit je to, že nestačí jen vzít v obchodě z police krabici se softwarem a nainstalovat jej. Musí také zaměstnancům omezit přístup k podnikovým zdrojům dle různých úrovní povolení. A také zavést určitou úroveň fyzické bezpečnosti (pro případ zmiňovaného fotografování mobilem). Řetěz je přitom silný tak jako jeho nejslabší článek – společnost proto musí důvěřovat svým zaměstnancům. Přitom samozřejmě platí – čím větší společnost, tím náročnější je ochrana dat.
V jaké fázi je podle vás v česku fenomén BYOD a podpory práce z domova? Jaký vývoj očekáváte v nadcházejícím roce a jaká hlavní bezpečnostní rizika s ním budou spojena?
Má se za to, že společnosti ušetří mnoho peněz, pokud jejich zaměstnanci budou využívat soukromá IT zařízení jako chytré telefony či tablety k práci. Východoevropský region v tom není výjimkou. Mnoho firem zavádí BYOD s neomezeným dálkovým přístupem zaměstnanců ke korporátním datům. Existují tři hlavní problémy – ochrana dat, správa dat a bezpečnost řešení BYOD, když uživatelé instalují na svá zařízení různé programy.
Velké společnosti a státní organizace zavádějí přísná omezení zabraňující přístupu k informacím pomocí mobilních zařízení. Malé a střední podniky nemají tolik citlivých informací, takže míra pronikání osobních zařízení do podnikové sítě je u nich větší. Nicméně pro eliminaci ztráty dat při jejich ztrátě či krádeži doporučujeme zavést enkrypci, ochranu PIN kódy a silnými hesly a zavedením pravidel Mobile Device Management.
PŘEDPLATNÉ
ČLÁNKY DO MAILU