За последние 10 лет данные стали не просто информацией, а ценным активном. Многие бизнесы строятся на основе данных, а некоторые разрушаются из-за их утери.
Персональные данные клиентов, аналитика, отчеты о финансовых операциях и многое другое – все это ценится не меньше денег.
Да, вокруг стало очень много информационного «мусора», но даже среди сложно идентифицируемых данных опытный киберпреступник сможет найти настоящий клад. Развитие информационных технологий идет быстро, новая информация появляется и обрабатывается каждую секунду. Часто, компании просто не успевают отделять «зерна» от «плевел» и, соответственно, отправляют в свободное плаванье чувствительные данные, например, личные адреса клиентов, куда они заказывали доставку товара.
Большинство компаний уже научились собирать данные, некоторые из них – обрабатывать, меньшее число – анализировать, а вот защищать – далеко не все.
В этой статье мы расскажем, какие данные считаются чувствительными, как их защищать и какие главные ошибки допускаются при работе с чувствительными данными.
Именно поэтому бизнес собирает данные еще до того, как будет знать зачем их использовать. Собирает на всякий случай. Точно так же не всегда получается сразу определить степень важности данных и уровень защиты необходимый им. Кто-то в таком случае выбирает путь перестраховки и априори хранит данные под надежной защитой, а кто-то оставляет их в открытом доступе, тем самым подвергая их риску.
Чувствительные данные или нет можно определить, задавшись вопросом – что будет, если их украдут? Есть два варианта развития событий. Не будет ничего – значит данные не относятся к чувствительным. Преступник, прямым или косвенным образом может навредить бизнесу или клиентам. Например, украв личные данные, ФИО и телефоны, опубликовать их в сети, ударить по репутации компании. Или, украв данные человека – его адрес, покупательские привычки и, например, дату рождения, подготовить атаку на основе социальной инженерии.
К чувствительным данным относится информация, которая в перспективе может навредить ее владельцу. Для обычных людей чаще всего это персональные и финансовые данные, медицинские сведения, данные об отношениях с другими людьми и графические материалы личного характера, а также данные о предпочтениях. Для бизнеса – внутренние коммерческие показатели, базы клиентов и сотрудников, конфиденциальные документы, анализы рынка и так далее.
По большому счету, то, что относиться к конфиденциальной информации и персональным данным должно быть защищено. Но на этом работа с определением типа данных не заканчивается. Например, коммерческую тайну можно защищать по 21 приказу или по своему усмотрению, а вот персональные данные надо классифицировать и защищать по закону.
Эксперты по информационной безопасности считают, что для определения чувствительных данных компании ИБ-отделу вместе с представителями разных отделов – бухгалтерии, юридического отдела, HR, маркетинга нужно сформировать правила, согласно которым можно будет идентифицировать чувствительную информацию. Главным ориентиром здесь будет потенциальный финансовый или репутационный ущерб от утечки информации.
Правда, не всегда показатель потенциальной угрозы при утечке данных может быть объективен. Многие киберинциденты с применением социальной инженерии показывают, что даже безобидные на первый взгляд данные о человеке можно использовать для совершения преступления.
Распространенные ошибки, позволяющие утекать чувствительным данным:
Кроме того, часто информация оказывается недооцененной как со стороны бизнеса, так и со стороны частных лиц. Так, например, человек может считать важными данные своего паспорта, но совершенно не придавать значение публикации в социальных сетях информации о состоянии своего здоровья.
Еще один фактор, способствующий утечкам — концепция BYOD (Bring your own device), когда сотрудники могут работать и получать доступ к корпоративным данным со своих личных устройств. Согласно исследованию Mobile Security Index от Verizon, 41% сотрудников имеют доступ к корпоративным системам со своего телефона и планшета. Уровень безопасности личных устройств обычно гораздо ниже, чем у рабочих, что позволяет хакерам проникнуть в корпоративную сеть через уязвимые девайсы работников. Чтобы избежать утечек через смартфоны сотрудников, можно использовать специальные экранирующие устройства, блокирующие радиосигналы мобильных гаджетов.
Как и в любом другом направлении информационной безопасности на первое место выходят элементарные меры. Так, не стоит забывать об обновлениях, своевременном обучении персонала правилам кибергигиены и использовании защитных программ.
Для более крупных и развитых в вопросах информационных технологий компаний вопрос находиться на более высоком уровне решения, так как они уже научились не только анализировать и сегментировать данные, но и защищать их. Но здесь остается другая сторона медали – сами пользователи сервисов компаний. Они могут находиться в крайне низкой степени осведомленности по поводу ценности своих персональных данных и провоцировать утечки.
Персональные данные клиентов, аналитика, отчеты о финансовых операциях и многое другое – все это ценится не меньше денег.
Да, вокруг стало очень много информационного «мусора», но даже среди сложно идентифицируемых данных опытный киберпреступник сможет найти настоящий клад. Развитие информационных технологий идет быстро, новая информация появляется и обрабатывается каждую секунду. Часто, компании просто не успевают отделять «зерна» от «плевел» и, соответственно, отправляют в свободное плаванье чувствительные данные, например, личные адреса клиентов, куда они заказывали доставку товара.
Большинство компаний уже научились собирать данные, некоторые из них – обрабатывать, меньшее число – анализировать, а вот защищать – далеко не все.
В этой статье мы расскажем, какие данные считаются чувствительными, как их защищать и какие главные ошибки допускаются при работе с чувствительными данными.
Чем отличаются обычные данные от чувствительных?
После того как на рынке появилась тенденция собирать данные, компании занялись этим вплотную. Это дает много возможностей для роста, расширения и оптимизации бизнеса, а также для вывода новых услуг на рынок. Так, например, анализируя поведение клиентов, можно предлагать им необходимые товары в самое удачное время. Или, элементарно, зная дни рождения клиентов, присылать купон на скидку в подарок, тем самым мотивируя совершить новую покупку. Возможностей много и все они произрастают из абсолютно разного вида данных.Именно поэтому бизнес собирает данные еще до того, как будет знать зачем их использовать. Собирает на всякий случай. Точно так же не всегда получается сразу определить степень важности данных и уровень защиты необходимый им. Кто-то в таком случае выбирает путь перестраховки и априори хранит данные под надежной защитой, а кто-то оставляет их в открытом доступе, тем самым подвергая их риску.
Чувствительные данные или нет можно определить, задавшись вопросом – что будет, если их украдут? Есть два варианта развития событий. Не будет ничего – значит данные не относятся к чувствительным. Преступник, прямым или косвенным образом может навредить бизнесу или клиентам. Например, украв личные данные, ФИО и телефоны, опубликовать их в сети, ударить по репутации компании. Или, украв данные человека – его адрес, покупательские привычки и, например, дату рождения, подготовить атаку на основе социальной инженерии.
К чувствительным данным относится информация, которая в перспективе может навредить ее владельцу. Для обычных людей чаще всего это персональные и финансовые данные, медицинские сведения, данные об отношениях с другими людьми и графические материалы личного характера, а также данные о предпочтениях. Для бизнеса – внутренние коммерческие показатели, базы клиентов и сотрудников, конфиденциальные документы, анализы рынка и так далее.
Как понять, что данные чувствительные
Кража или раскрытие чувствительных данных нарушает конфиденциальность клиентов компании, приводит к финансовым потерям, и даже может поставить под угрозу безопасность организации. Именно поэтому очень важно отделять чувствительные персональные данные от обычных. Для этого надо произвести классификацию данных и анализ рисков. Это может включать оценку потенциального ущерба в случае утечки данных, а также оценку законодательных требований в отношении конкретных типов данных.По большому счету, то, что относиться к конфиденциальной информации и персональным данным должно быть защищено. Но на этом работа с определением типа данных не заканчивается. Например, коммерческую тайну можно защищать по 21 приказу или по своему усмотрению, а вот персональные данные надо классифицировать и защищать по закону.
Эксперты по информационной безопасности считают, что для определения чувствительных данных компании ИБ-отделу вместе с представителями разных отделов – бухгалтерии, юридического отдела, HR, маркетинга нужно сформировать правила, согласно которым можно будет идентифицировать чувствительную информацию. Главным ориентиром здесь будет потенциальный финансовый или репутационный ущерб от утечки информации.
Правда, не всегда показатель потенциальной угрозы при утечке данных может быть объективен. Многие киберинциденты с применением социальной инженерии показывают, что даже безобидные на первый взгляд данные о человеке можно использовать для совершения преступления.
Основные ошибки при работе с чувствительными данными
В утечке чувствительных данных может быть виноват как бизнес, так и пользователи. Со стороны бизнес чаще всего причина в банальном несоблюдении правил информационной безопасности. Например, незащищенные корпоративные сети, работа на старых ОС или отсутствие антивирусной защиты. Со стороны пользователя – незнание правил кибергигиены и непонимание, какие данные могут быть чувствительными.Распространенные ошибки, позволяющие утекать чувствительным данным:
- недостаточная защита паролей и учетных записей;
- отсутствие классификации данных в компании;
- неправильная настройка систем безопасности;
- отсутствие шифрования данных;
- сотрудники, не обученные правилам кибергигиены.
Кроме того, часто информация оказывается недооцененной как со стороны бизнеса, так и со стороны частных лиц. Так, например, человек может считать важными данные своего паспорта, но совершенно не придавать значение публикации в социальных сетях информации о состоянии своего здоровья.
Еще один фактор, способствующий утечкам — концепция BYOD (Bring your own device), когда сотрудники могут работать и получать доступ к корпоративным данным со своих личных устройств. Согласно исследованию Mobile Security Index от Verizon, 41% сотрудников имеют доступ к корпоративным системам со своего телефона и планшета. Уровень безопасности личных устройств обычно гораздо ниже, чем у рабочих, что позволяет хакерам проникнуть в корпоративную сеть через уязвимые девайсы работников. Чтобы избежать утечек через смартфоны сотрудников, можно использовать специальные экранирующие устройства, блокирующие радиосигналы мобильных гаджетов.
Как и в любом другом направлении информационной безопасности на первое место выходят элементарные меры. Так, не стоит забывать об обновлениях, своевременном обучении персонала правилам кибергигиены и использовании защитных программ.
Выводы
Тема чувствительных данных только набирает свои обороты, так как активно использовать персональные данные или данные компании для совершения преступлений злоумышленники научились только в последние годы. Как раз когда бизнес начала активно собирать данные и анализировать.Для более крупных и развитых в вопросах информационных технологий компаний вопрос находиться на более высоком уровне решения, так как они уже научились не только анализировать и сегментировать данные, но и защищать их. Но здесь остается другая сторона медали – сами пользователи сервисов компаний. Они могут находиться в крайне низкой степени осведомленности по поводу ценности своих персональных данных и провоцировать утечки.
