Revista >> Mai-Iunie 2012 [Nr. 145] >> Administratie publica

Scurgerea datelor confidenţiale din companie, între vulnerabilitate umană şi implementarea politicilor de securitate

Redactia

22 Mai 2012

Securitatea informatică nu se rezumă doar la software şi infrastructuri automatizate, ea depinde foarte mult de un factor pe care absolut nicio organizaţie, indiferent de domeniul ei de activitate, nu îl poate ignora – factorul uman. Oamenii, în general, şi angajaţii unei companii, în particular, reprezintă veriga cea mai slabă din „lanţul” securităţii informatice. Scurgerea voluntară sau involuntară de informaţii confidenţiale dintr-o companie poate avea consecinţe foarte grave pentru viitorul ei. Aşadar, unde şi cum se produce greşeala şi, mai ales, cum o putem preveni?

O să încep cu un exemplu, şi anume, incidentul informatic din primăvara anului trecut, care a avut în centru o celebră clinică medicală din România. Pe scurt, un angajat al companiei de IT care administra infrastructura unităţii medicale a cerut 300.000 de euro pentru a nu face publice datele confidenţiale a mii de pacienţi, printre care se aflau şi multe persoane publice. Autorităţile care au anchetat acest caz au punctat din start principalele efecte negative ale acestui incident: impactul pe care l-ar fi avut asupra pacienţilor publicarea fişelor medicale şi prejudiciul grav de imagine adus clinicii.

Mai mult decât atât, reprezentanţii unităţii medicale au spus că datele au fost recuperate, mulţumită back-up-ului, însă problema rămâne – acele date au fost compromise pentru totdeauna. Multe companii confundă realizarea de copii de rezervă cu securizarea datelor, pe când ele trebuie să implementeze un sistem de securizare a accesului la datele confidenţiale. Probabil, dacă informaţiile pe care clinica le stoca pe servere erau criptate, angajatul respectiv ar fi renunţat la idee.

Începeţi cu tehnologia, continuaţi cu educarea angajaţilor

La Conferinţa Naţională pentru Management Medical Modern, ediţia a XVI-a, care a avut loc la jumătatea lunii mai la Predeal, Kaspersky Lab a vorbit exact despre importanţa securizării datelor din companie şi prevenirea incidentelor informatice, ce au ca rezultat scurgerea de informaţii. Clinicile medicale din România, şi nu numai ele, trebuie să se gândească foarte serios la implementarea unei suite de securitate capabile să ofere protecţie avansată, precum şi a unor politici bine definite.

Atunci când o companie îşi alege suita de securitate, trebuie să gândească întregul proces ca implementare a unui serviciu. Cred că trebuie să acceptăm că securitatea informatică nu poate fi cumpărată ca produs la un moment dat, deoarece în sine reprezintă un proces continuu, un serviciu complex cu rolul de a sprijini activitatea de business, oricare ar fi ea. Ea începe cu procesul de audit, continuă cu implementarea serviciilor de securitate şi oferirea de consultanţă ori de câte ori este necesar.

Calitatea tehnologiilor de sub „capota” unei soluţii de securitate business, alături de numărul de brevete pe care acel provider le deţine, trebuie să se numere între principalele criterii de evaluare. În infograficul alăturat aveţi câteva informaţii referitoare la reducerea suprafeţei de atac folosind controlul Endpoint, direct de pe staţiile de lucru ale angajaţilor, folosind o soluţie de securitate avansată, asemenea Kaspersky Endpoint Security 8.

De asemenea, nu uitaţi să:

1. Actualizaţi aplicaţiile instalate (e.g. PDF viewer, Flash Player, Microsoft Office şi Java) cu ultimele versiuni de patch-uri. Pentru vulnerabilităţile cu risc major, faceţi acest lucru în cel mult două zile de la apariţia lor.

2. Actualizaţi sistemele de operare cu ultimele versiuni de patch-uri. La fel, pentru vulnerabilităţile cu risc major, rulaţi procesul de update în cel mult două zile de la apariţia actualizărilor.

3. Criptaţi întotdeauna datele confidenţiale stocate pe serverele companiei, folosind algoritmi complecşi.

4. Minimizaţi numărul de utilizatori cu privilegii de administrator, atât la nivel local, cât şi la nivel de domeniu.

5. Utilizaţi whitelisting-ul aplicaţiilor, pentru a preveni rularea software-ului periculos şi a programelor neautorizate.

6. Educaţi angajaţii în ceea ce priveşte ameninţările de pe Internet sau e-mail-urile de phishing. Evitaţi: parolele slabe, reutilizarea parolelor, expunerea adreselor de e-mail, folosirea dispozitivelor USB neautorizate.

7. Filtrarea conţinutului web pentru traficul de intrare şi de ieşire, utilizând semnături, evaluarea reputaţiei şi alte tehnici euristice, şi whitelisting-ul unui anumit tip de conţinut.