Mjesečna serija o cyber otpornosti: Klasifikacija podataka, enkripcija i kontrola pristupa u praksi

Zašto nisu svi podaci jednako važni

U prethodnom članku govorili smo o važnosti razumijevanja podataka koje organizacija posjeduje. Međutim, nakon što napravite inventar podataka, vrlo brzo dolazite do novog problema. Kako zaštititi sve te informacije?

Na prvi pogled odgovor izgleda jednostavno: zaštititi sve jednako. U praksi je to gotovo nemoguće. Organizacije svakodnevno rade sa stotinama ili hiljadama različitih dokumenata, baza podataka, emailova, izvještaja i poslovnih zapisa. Neki od njih mogu biti javno dostupni bez ikakvih posljedica. Drugi mogu izazvati ozbiljnu finansijsku, reputacijsku ili pravnu štetu ako dospiju u pogrešne ruke.

Zbog toga uspješna zaštita podataka ne počinje tehnologijom. Ona počinje razumijevanjem vrijednosti informacija. Drugim riječima, prije nego što odlučite kako ćete nešto štititi, morate znati koliko je to važno.

Klasifikacija kao temelj zaštite

Zamislite da u kancelariji imate četiri ormara.

U prvom se nalaze promotivni materijali i dokumenti namijenjeni javnosti. U drugom su interne procedure i radni dokumenti. Treći sadrži ugovore, finansijske izvještaje i poslovne planove. Četvrti sadrži lične podatke zaposlenih, podatke o korisnicima i druge osjetljive informacije.

Da li biste sve te ormariće ostavili otključane? Naravno da ne biste. Ipak, upravo to se često dešava u digitalnom okruženju. Kada ne postoji klasifikacija podataka, svi dokumenti završavaju na istim lokacijama, sa sličnim nivoima zaštite i pristupa. Rezultat je da organizacija troši resurse na zaštitu manje važnih informacija, dok istovremeno ne posvećuje dovoljno pažnje onima koje su zaista kritične.

Dobra klasifikacija ne mora biti komplikovana. Za većinu organizacija dovoljne su četiri kategorije:

• Javno – informacije koje mogu biti dostupne svima.

• Interno – podaci namijenjeni zaposlenima i saradnicima.

• Povjerljivo – informacije čije bi otkrivanje moglo proizvesti poslovnu štetu.

• Osjetljivo – podaci čije bi kompromitovanje moglo dovesti do ozbiljnih posljedica po pojedince ili organizaciju.

Jednom kada su podaci klasificirani, mnogo je lakše odrediti koje zaštitne mjere treba primijeniti.

Šta enkripcija zapravo radi

Enkripcija je jedan od najčešće korištenih pojmova u cyber sigurnosti, ali i jedan od najčešće pogrešno shvaćenih. Mnogi je doživljavaju kao neku vrstu magične zaštite koja rješava sve probleme. U stvarnosti, enkripcija ima vrlo konkretan zadatak. Ona osigurava da podaci ostanu nečitljivi svima koji nemaju odgovarajući ključ za pristup.

To znači da, čak i ako napadač ukrade uređaj ili kopira određene fajlove, informacije ostaju beskorisne ukoliko nisu u mogućnosti dešifrirati njihov sadržaj. Danas većina modernih operativnih sistema nudi ugrađene mogućnosti enkripcije diskova. Ipak, mnoge organizacije ih i dalje ne koriste dosljedno. Posebno je važno razmišljati o:

• laptopima zaposlenih

• prijenosnim diskovima

• sigurnosnim kopijama

• cloud servisima

Upravo na tim mjestima često završavaju najvrjedniji podaci.

Najčešći problem nije hakovanje nego prevelik pristup

Kada se govori o zaštiti podataka, ljudi uglavnom zamišljaju vanjske napadače. Međutim, brojni sigurnosni incidenti nastaju mnogo jednostavnije. Previše ljudi ima pristup prevelikom broju informacija. Tokom godina zaposlenici mijenjaju pozicije, projekti završavaju, vanjski saradnici dolaze i odlaze, ali dodijeljene privilegije ostaju iste. Tako nastaje situacija u kojoj osobe imaju pristup dokumentima i sistemima koji im više nisu potrebni. To povećava rizik od:

• slučajnih grešaka

• internog curenja podataka

• zloupotreba kompromitovanih naloga

Zbog toga savremena cyber sigurnost insistira na principu najmanjih privilegija. Ideja je jednostavna: Svaka osoba treba imati pristup samo onim informacijama koje su joj potrebne za obavljanje posla. Ni više ni manje.

Povjerenje je dobro, evidencija je bolja

Još jedna česta greška jeste pretpostavka da je dovoljno ograničiti pristup. Međutim, jednako je važno znati šta se dešava nakon što je pristup odobren.

• Ko je otvorio dokument?

• Ko je preuzeo fajl?

• Ko je mijenjao podatke?

• Kada se to dogodilo?

Odgovori na ova pitanja dolaze iz evidencija pristupa i sigurnosnih logova. Bez njih je gotovo nemoguće istražiti incident ili dokazati šta se zaista dogodilo. Upravo zato ozbiljne organizacije ne štite samo podatke. One štite i tragove koji pokazuju kako su se ti podaci koristili.

Sigurnost nije projekat nego proces

Jedna od najvećih zabluda u cyber sigurnosti jeste uvjerenje da se zaštita podataka može riješiti jednom kupovinom softvera ili jednokratnim projektom. Podaci se mijenjaju. Organizacije se mijenjaju. Ljudi dolaze i odlaze. Zbog toga je potrebno redovno preispitivati:

• ko ima pristup kojim informacijama

• da li se podaci čuvaju duže nego što je potrebno

• da li su zaštitne mjere i dalje adekvatne

• da li postoje nove regulatorne ili poslovne obaveze

Najuspješnije organizacije ne tretiraju zaštitu podataka kao tehnički zadatak. One je posmatraju kao kontinuirani proces upravljanja rizikom.

Zaključak

Klasifikacija podataka, enkripcija i kontrola pristupa možda ne zvuče spektakularno. Ne privlače pažnju kao umjetna inteligencija, ransomware ili sofisticirani hakerski napadi. Ipak, upravo te tri oblasti predstavljaju temelj moderne zaštite informacija. Kada organizacija zna koje podatke posjeduje, razumije njihovu vrijednost i kontroliše ko im može pristupiti, značajno smanjuje posljedice gotovo svakog sigurnosnog incidenta. Cyber sigurnost na kraju nije pitanje tehnologije. To je pitanje upravljanja informacijama koje su vam povjerene.