Kradzież danych

Dalej w temacie badań...Imperva przeprowadziła badania z których wynika, że kradzieże danych z firm są naprawdę bardzo popularne.
Prawie trzy czwarte badanych (72%) przyznało się do tego, że wynoszą z firmy należące do niej dane. Najchętniej przywłaszczane są dane osobowe klientów (robi to 26% badanych), dokumenty działu HR i dane marketingowe (po 25% badanych). Co dziesiąty, jeśli tylko ma okazję, kradnie z firmy listy osób mających stracić pracę. Metody kradzieży nie są skomplikowane. 23% osób zapisuje je na kartach pamięci i laptopach. Kolejne 13% używa do tego urządzeń przenośnych.

Dodatkowo aż 85% badanych przyznaje się do tego, że posiada cenne firmowe informacje na domowym komputerze lub smartfonie. Ułatwia to polityka firm, które w 60% przypadków nie posiadają planu zmuszającego zatrudnionych do kasowania danych po odejściu z pracy.

Termin ważności danych

Kopalniawiedzy doniosła, że wymyślono oraz zaimplementowano system X-pire pozwalający na ustawianie "terminu ważności" zdjęć umieszczanych w sieci.

Od razu zacząłem się zastanawiać czy tego typu rozwiązanie można by również wprowadzić do ochrony poufnych informacji. Na przykład działające na odwrotnej zasadzie - wpierw wszystko jest zabronione, a po upływie jakiegoś czasu informacja staje się publiczna. Kto pierwszy wdroży takie rozwiązanie? Może wikileaks?

Socjotechnika w praktyce

Na JoeMonster można obejrzeć perfekcyjnie przygotowaną kradzież torebki z kartą kredytową oraz późniejszą kradzież PINu ofiary.
Polecam - tam naprawdę mogą pracować fachowcy (Marcin, wielkie dzięki za link)

Bank może odpowiadać za czyny swojego byłego pracownika

na portalu RP pojawiła się interesująca informacja dotycząca odpowiedzialności banku za ujawnianie przez pracowników informacji stanowiących tajemnicę bankową.

Sąd Najwyższy stwierdził, że bank może odpowiadać wobec klienta także w wówczas, gdy informacje o stanie jego kont przekazał przestępcom jego były pracownik.

Polecam zapoznanie się z resztą informacji. Ciekawe jak ostatecznie zakończy się sprawa. Banki raczej nie będą musiały obawiać się gigantycznych odszkodowań (jak w tym przypadku konieczności oddania pieniędzy wpłaconych porywaczom), niemniej podkreśla jak ważna jest poufność danych klientów w bankach.

Ochrona informacji

O tym jak ważne dla przedsiębiorstw jest bezpieczeństwo informacji piszę raczej na bieżąco. Jakiś czas temu na Interii p. Waldemar Podel opublikował artykuł "Ściśle tajne przez poufne" gromadzący prawne wymagania dotyczące ochrony informacji pracodawców.
Bardzo zachęcam do lektury - naprawdę pożyteczny opis. Brakuje mi w nim co prawda odniesień do innych, szczegółowych zagadnień (dane osobowe, informacje niejawne, różnego rodzaju tajemnice zawodowe (lekarska, adwokacka, dziennikarska...)) ale może pojawi się ciąg dalszy.

Ziarnko do ziarnka

Zabezpieczając informacje często koncentrujemy się na najważniejszych z nich - bazach danych, krytycznych raportach i zestawieniach.
Równocześnie ignoruje się często drobne fragmenty informacji, które poskładane (niekiedy mozolnie) pozwalają uzyskać pełne informacje bez szczególnego wysiłku.
Walające się wydruki dotyczące sytuacji klienta, wyrzucane do kosza na śmieci notatki z rozmów telefonicznych, robocze wersje punktów audytowych, niewłaściwe uprawnienia do mniej ważnych systemów, nadmiar osób mających dostęp do teoretycznie nieważnych danych, niezamknięta szafka zawierająca wyłącznie wydruki bieżącej korespondencji z klientem, zbyt głośna rozmowa przy obiedzie, bez żadnych szczególnych tajemnic. Takie rzeczy to codzienność.
Pojedynczo te sytuacje nie stanowią większego zagrożenia, niemniej odpowiednio zebrane i przeanalizowane potrafią pokazać naszą sytuację (lub sytuację naszych partnerów czy klientów) w zupełnie inny świetle.

Przytoczę tu słowa Johna Stewarta - CSO w Cisco

Dlaczego hakerom się udaje? Mają szczęście, są cierpliwi, są błyskotliwi. Są również lepiej opłacani niż ty.

Czyli po pierwsze im się chce, po drugie mają czas a po trzecie mają dobry pomysły. Dzięki temu, oraz dzięki temu, że popełniasz te drobne błędy o których napisałem wcześniej to oni mają przewagę...
Pamiętaj - bezpieczeństwo informacji zależy od Ciebie!

Ubezpieczenie Wikileaks

Wczoraj na wikileaks.org (wszyscy już chyba wiedzą czym się zajmuje ta strona) pojawiło się coś baaaardzo interesującego. Powiedziałbym, ze to swoiste novum
W dziale dotyczącym wojny w Afganistanie pojawił się plik o nazwie "insurance.file". No i zaczęło się zastanawianie co takiego posiadają twórcy strony. Biorąc pod uwagę ostatnie oskarżenia, przesłuchania itp można zakładać, że jest to coś czym będą próbowali zaszantażować rząd USA. Teraz pewnie hakerzy (i dziennikarze) z całego świata będą próbować to sobie zaciągnąć i spróbować złamać zabezpieczenia.

Rozumiem intencje, niemniej uważam,że wolność słowa powinna mieć swoje granice. Informacja naprawdę może wyrządzić bardzo rzeczywiste szkody. A szantażu szczególnie nie lubię.

ABRA - rozwiązanie dla pracusiów

Dr. Mariusz Stawowski (Clico) zaprezentował w poniedziałek bardzo ciekawe urządzenie produkcji Checkpoint o nazwie ABRA.

Nie planuję zajmować się recenzjami sprzętu, niemniej jest to urządzenie, które zwróciło moją szczególną uwagę ze względu na szereg bardzo praktycznych zastosowań. Często spotyka się sytuację w której pracownicy muszą skończyć coś w domu. Pojawia się wtedy problem jak mogą zabrać pracę ze sobą, zapewnić bezpieczeństwo poufnych informacji na domowym PC.

No i tu rozwiązaniem jest właśnie ABRA. Jest to pendrive z wbudowanymi z wirtualnymi windowsami oraz podstawowymi narzędziami. Zapewnia bezpieczeństwo danych zarówno podczas transportu (AES 256) jak i pracy w domu (wirtualna maszyna uruchamiająca się samoczynnie, korzystająca z zasobów PC ale uniemożliwiająca wyniesienie danych z pendrive poza bezpieczne środowisko.

Załączam kilka notatek jakie Zrobiłem podczas pokazu:
- Nie można nic zainstalować, standardowy zestaw aplikacji, wszystko podpisane cyfrowo,
- Rozpoznawanie sieci zewnętrznej i uniemożliwienie wyniesienia danych poza urządzenie,
- Szyfrowanie AES 256, ograniczona ilość prób odgadnięcia hasła,
- Blokowanie po określonym czasie braku aktywności,
- Weryfikacja środowiska pod kątem zabezpieczeń i decyzja czy uruchomić wirtualną maszynę,
- Nie ma konfiguracji sieciowej, wykorzystuje to co jest w komputerze,
- Centralna aktualizacja, centralne odzyskiwania hasła ,
- Bezpieczne środowisko dostępu do sieci wewnętrznej - można umożliwić VPN po SSL,
- Teoretycznie uniemożliwia włamania 0- day exploit, gdyż takowe próbują wstrzyknąć kod do maszyny wirtualnej a ten jest natychmiast wykrywany i blokowany.

Potencjalne zastosowania umożliwiają również środowiska dla centrów zapasowych, zabezpieczenie najważniejszych czynności (typu wykorzystywanie online służbowych kart kredytowych czy dokonywanie przelewów) . Klientem chwilowo jeszcze nie zostanę, niemniej warto wiedzieć, że są już takie zabawki.

Kolejna mała aferka szpiegowska

Znów miała miejsca kolejna mała aferka szpiegowska. Disney ogłosił, że próbowano sprzedać jego poufne dane finansowe. Oczywiście takie informacje dotyczące spółek giełdowych wywołują zmiany kursów, co znaczy, że można na tym trochę zarobić. To co znamienne to fakt, że podane kto próbował dokonać malwersacji - asystentka.
Taka jest rzeczywistość bezpieczników. Pewne kategorie pracowników są szczególnie podatne na tego typu pomysły. Nie dość, że zarabiają stosunkowo niewiele to mają dostęp do poufnych danych, znacznej wartości rynkowej.
Do takich osób zalicza się:
- asystentki i sekretarki (przygotowujące materiały dla kierownictwa)
- sprzątaczki (czyszczące biurka i kosze na śmieci
- ochroniarzy (kręcących się po firmie)
- praktykantów i pracowników tymczasowych (którym wrzuca się zazwyczaj najpilniejszą ale i najważniejszą robotę)

I jak tu w takiej sytuacji chronić dane...?


A tak przy okazji - ciekawe podejście do poufności danych zaprezentowane zostało też w przypadku jakiejś gry komputerowej:
Jakiś czas temu Ninja Theory ujawniło, że pracuje nad " zupełnie nowym, niezwykle tajnym projektem, na temat którego nie ujawniono nawet jednego słowa". Piękny przykład podejścia "wiem ale nie powiem" :-) Ale zainteresowani wiedzą już, że mają czegoś szukać, więc pewnie to prędzej czy później znajdą.