Mjesečna serija o cyber otpornosti: Koje podatke zapravo imate?

Od podataka koje čuvate zavisi koliko ste zanimljivi napadačima

Kada se govori o cyber sigurnosti, razgovor gotovo uvijek počinje tehnologijom. Govorimo o antivirusima, firewallima, enkripciji, sigurnosnim alatima i sofisticiranim napadima.

Međutim, postoji jedno jednostavno pitanje koje se mnogo rjeđe postavlja: Šta je zapravo ono što pokušavate zaštititi?

Za većinu organizacija odgovor nije server, računar ili mreža. Odgovor su podaci.

Podaci su razlog zbog kojeg napadači ulažu vrijeme, novac i znanje u pokušaje kompromitacije sistema. Bez obzira radi li se o malom udruženju, općini, školi, medijskoj kući ili velikoj kompaniji, gotovo svaki napad na kraju ima isti cilj – pristup informacijama koje imaju određenu vrijednost.

Ponekad su to finansijski podaci. Ponekad baze korisnika. Ponekad povjerljivi dokumenti ili intelektualno vlasništvo. A ponekad su to jednostavno podaci koji se mogu zloupotrijebiti za daljnje napade.

Zbog toga je prvi korak u cyber sigurnosti mnogo manje tehnički nego što većina ljudi misli. Prvi korak je razumjeti koje podatke posjedujete.

Problem koji većina organizacija ne vidi

Zamislite da neko od vas zatraži popis svih podataka koje vaša organizacija posjeduje. Ne samo službene baze podataka, nego i Excel tabele, dokumente na zajedničkim folderima, arhive starih projekata, podatke pohranjene u cloud servisima, emailovima zaposlenika i sigurnosnim kopijama. Koliko bi vremena bilo potrebno da napravite takav popis?

U mnogim organizacijama odgovor je: danima, sedmicama ili čak mjesecima.

Tokom godina podaci se gomilaju. Projekti dolaze i prolaze. Ljudi mijenjaju radna mjesta. Mijenjaju se serveri, cloud servisi i načini rada. Rezultat je da organizacije često čuvaju ogromne količine podataka o kojima niko više nema potpunu sliku.

To nije samo organizacijski problem. To je sigurnosni problem. Ne možete zaštititi ono za što ne znate da postoji.

Svaki podatak nosi određeni rizik

Postoji rašireno uvjerenje da je više podataka uvijek bolje. Međutim, iz perspektive cyber sigurnosti vrijedi i suprotno pravilo: Svaki podatak koji posjedujete predstavlja i određenu odgovornost.

• Ako organizacija čuva podatke o zaposlenima, mora ih štititi.

• Ako čuva podatke o korisnicima ili klijentima, mora ih štititi.

• Ako čuva stare baze podataka koje više niko ne koristi, i njih mora štititi.

Napadača ne zanima da li vam je određena baza važna ili nije. Ako se može iskoristiti za ucjenu, prevaru ili krađu identiteta, ona ima vrijednost. Zbog toga se u modernoj cyber sigurnosti sve više govori o minimizaciji podataka. Ideja je jednostavna: Prikupite ono što vam je potrebno. Čuvajte ono što morate. Obrišite ono što vam više ne treba.

Nisu svi podaci jednako vrijedni

Jedna od najčešćih grešaka je tretiranje svih informacija na isti način. U stvarnosti postoje ogromne razlike između sadržaja koji je javno dostupan na web stranici i, na primjer, baze ličnih podataka zaposlenika. Ako organizacija želi efikasno upravljati rizikom, mora razumjeti koje informacije imaju najveću vrijednost.

Dobar početak je jednostavna klasifikacija:

• Javni podaci su informacije koje mogu biti dostupne svima bez značajnih posljedica.

• Interni podaci koriste se za svakodnevni rad, ali nisu namijenjeni javnosti.

• Povjerljivi podaci uključuju ugovore, finansijske informacije, interne analize i poslovne planove.

• Osjetljivi podaci obuhvataju lične podatke, zdravstvene podatke, podatke o plaćanjima i druge informacije čije otkrivanje može proizvesti ozbiljne posljedice.

Kada jednom razumijete šta imate, mnogo je lakše odrediti gdje treba ulagati najviše napora.

Počnite sa jednostavnim pitanjima

Za početak nije potreban složen projekat niti skupi konsultanti. Dovoljno je okupiti ključne ljude u organizaciji i postaviti nekoliko pitanja:

• Koje podatke prikupljamo?

• Zašto ih prikupljamo?

• Gdje ih čuvamo?

• Ko im može pristupiti?

• Koliko dugo ih čuvamo?

• Da li su nam i dalje potrebni?

Odgovori često otkrivaju mnogo više nego što se očekuje. Nerijetko se pokaže da organizacije čuvaju podatke za koje niko ne zna zašto još postoje ili ko ih koristi.

Svjesnost prije zaštite

Kada se desi sigurnosni incident, organizacije često odmah traže tehničko rješenje. Instalira se novi alat. Kupuje se nova licenca. Pojačavaju se kontrole. Sve to može biti korisno, ali nijedan alat ne može riješiti problem nepoznatih podataka. Prava sigurnost počinje svjesnošću. Morate znati šta imate prije nego što možete odlučiti kako ćete to zaštititi. Zbog toga je inventar podataka jedan od najvažnijih, a istovremeno i najzanemarenijih koraka u izgradnji sigurnosne posture.

Zaključak

Cyber sigurnost nije samo zaštita sistema i uređaja. U svojoj suštini, ona je zaštita informacija. Prije nego što razmišljate o enkripciji, sigurnosnim alatima ili naprednim tehnologijama, zastanite i postavite jedno jednostavno pitanje:

Da li zaista znate koje podatke posjedujete?

Odgovor na to pitanje često je važniji od bilo kojeg sigurnosnog proizvoda koji možete kupiti.