Zarządzanie bezpieczeństwem dokumentów - jak uniknąć wycieku danych?

Wiele firm doświadcza wycieku danych, a koszty związane z ich nielegalnym użyciem sięgają setek milionów dolarów rocznie na świecie.

Według badań „The Ponemon Institute” w ciągu ostatnich 12 miesięcy ponad 70% przedsiębiorstw doświadczyło wycieku danych. Koszty bezpośrednie związane z takim incydentem to koszty poniesione na odszkodowania czy odtworzenie danych, natomiast pozostałe straty wynikają z wpływu na reputację firmy. Średni spadek rocznego dochodu brutto po zdarzeniu sięgał średnio 31%. Największe straty dotyczą wycieku wrażliwych danych klientów .

Naruszenie lub wyciek danych jest to incydent bezpieczeństwa, w którym poufne danesą kopiowane, przesyłane, oglądane, skradzione lub wykorzystane przez niepowołane osoby. Do incydentów tego typu dochodzi wobec danych w spoczynku (data-at-rest), danych w ruchu (data-in-motion) oraz danych w użyciu (data-in-use). Dane mogą zawierać informacje finansowe, bankowe, szczegóły kart kredytowych, dane personalne, tajemnice handlowe i własność intelektualną korporacji.

Do naruszenia poufności danych dochodzi niestety coraz częściej ze względu na wzrost zainteresowania urządzeniami mobilnymi. Zagrożenie atakiem spoza sieci jest nadal realne, ale obecnie należy większą uwagę przywiązywać do zdarzeń wewnętrznych.

Amerykańskie Federalne Biuro Śledcze (FBI) oraz Computer Security Institute (CSI) przeprowadziły specjalną ankietę na temat bezpieczeństwa sieci wśród 484 korporacji, z której wynika, że ponad 85% naruszeń bezpieczeństwa pochodzi z wewnątrz sieci, a szkody wyrządzone tą drogą są szesnaście razy większe od tych wyrządzonych przez hakerów.

Do naruszeń może dojść poprzez kradzież danych przez pracowników lub partnera, informacje mogą być podane przy wykorzystaniu komunikatorów, poczty elektronicznej lub poprzez umieszczanie informacji na blogach czy portalach internetowych. Często dochodzi do utraty nośnika danych lub całego komputera, słyszy się również o przypadkach sprzedaży urządzeń z poufnymi danymi.

Według kolejnego badania przeprowadzonego przez „The Ponemon Institute” wśród 2400 administratorów bezpieczeństwa, do wycieku danych najczęściej dochodzi podczas utraty sprzętu, a w dalszej kolejności - poprzez atak na sieć komputerową, niezabezpieczone urządzenia przenośne, programy do wymiany plików oraz przypadkowe wysyłanie e-maili do niewłaściwych odbiorców. Prawie połowa respondentów uważa, że ich pracownicy mają bardzo niską wiedzę na temat standardów i polityki bezpieczeństwa w firmie. Aby zmniejszyć ryzyko wycieków danych, poza wprowadzeniem odpowiednich polityk oraz określeniem poziomu poufności pewnych grup dokumentów należy także zwiększyć świadomość pracowników i zaangażować ich w proces budowania bezpieczeństwa danych korporacyjnych. Po jasnym określeniu polityk bezpieczeństwa i wdrożeniu ich w standardy korporacji można oczekiwać realnych korzyści z zastosowania narzędzi typu DLP (Data LeakPrevention).

Do ciekawych rozwiązań szyfrowania dokumentów i zarządzania uprawnieniami dostępu należy rozwiązanie DSM (Document Security Management) rozwijane przez firmę Huawei, które ma za zadanie chronić dokumenty przed niepowołanym ujawnieniem. Huawei DSM został stworzony w celu szyfrowania danych i kontroli dostępu w czasie rzeczywistym wraz ze współdzieleniem informacji,przy zachowaniu odpowiedniej autoryzacji. Umożliwia właścicielom plików wyszczególnienie użytkowników, poziomu dostępu oraz czasu, w jakim dokument może być wykorzystywany. Dodatkowo Huawei DSM zapisuje informacje o wykonywanych operacjach, co umożliwia śledzenie użytkowników zabezpieczonych dokumentów. Rozwiązanie to skutecznie zapobiega ujawnieniu informacji poprzez czytanie, edytowanie i dystrybucję dokumentów bez odpowiedniej autoryzacji.

Proces obiegu dokumentów

Proces dystrybucji dokumentów rozpoczyna się od zaszyfrowania pliku przez użytkownika na jego komputerze oraz wysłania klucza do serwera. Użytkownik może przypisać uprawnienia takie jak drukowanie, odczyt, edycja, zapisywanie, kopiowanie, dostęp online lub offline oraz określić czas ważności. Uprawnienia te mogą być przypisane do konkretnego użytkownika lub całej grupy. Dodatkowo system umożliwia dodawanie znaków wodnych do dokumentów z informacjami takimi jak nazwa użytkownika, komputera, data modyfikacji czy adres IP komputera, na którym został stworzony dokument. Zaszyfrowany dokument jest dystrybuowany normalną drogą przekazu (e-mailem, wymianą danych poprzez serwer plików). Po poprawnym uwierzytelnieniu i autoryzacji na serwerze użytkownicy mogą używać dokumentu na poziomie określonym przez uprawniania. Proces przypisywania uprawnień oraz dostępu do pliku przedstawia poniższy rysunek.

Zarządzanie bezpieczeństwem dokumentów - jak uniknąć wycieku danych?
Zarządzanie bezpieczeństwem dokumentów - jak uniknąć wycieku danych?

Architektura systemu

Aby rozwiązać problem braku zarządzania uprawnieniami dokumentów oraz konieczność wymiany dokumentów pomiędzy systemami działającymi w sieciach o różnej architekturze, DSM umożliwia uruchomienie systemu w formie rozproszonego zarządzania dokumentami lub zarządzania scentralizowanego. Scentralizowana architektura jest przewidziana dla małych i średnich przedsiębiorstw.

Zarządzanie bezpieczeństwem dokumentów - jak uniknąć wycieku danych?
Zarządzanie bezpieczeństwem dokumentów - jak uniknąć wycieku danych?

Rozmieszczenie scentralizowane jest zalecane w małych i średnich sieciach, gdzie użytkownicy znajdują się blisko siebie. W architekturze scentralizowanej musi być uruchomiony kompletny zestaw rozwiązania DSM, który składa się z serwera DSM oraz klienta uruchamianego na komputerach użytkowników.Kiedy grupa serwerów składa się z trzech lub więcej jednostek, rozwiązanie DSM wspiera backup bazy danych i serwera oraz rozkładanie obciążenia. Rozproszona architektura jest przewidziana dla średnich i dużych przedsiębiorstw (schemat na sąsiedniej stronie). Rozproszona architektura może być stosowana przy dużej ilości terminali oraz oddziałów. System Huawei DSM jest podzielony na dwa poziomy.

Pierwszy to centrum zarządzania, a drugi poziom to zarządzane węzły. Centrum zarządzania systemem DSM steruje węzłami centralnie i przypisuje do nich administratorów dokumentów. W trybie rozproszonym każdy węzeł jest oddzielnym systemem DSM. Centrum zarządzania umożliwia kontrolę nad uprawnieniami na dużą skalę. Dodatkowo dzięki DMC (Documents Management Center) wspierane jest wymienianie uprawnień pomiędzy węzłami oraz roaming użytkowników pomiędzy systemami.

Administrator może utworzyć konto użytkownika lokalnie i synchronizować dane z serwerem usług katalogowych Microsoft Active Directory(AD) oraz serwerem NovelleDirectory (ED). System DSM okresowo synchronizuje dane z serwerem usług katalogowych, dodając informacje przyrostowo, coogranicza ilość danychprzesyłanych między serwerami. Niezależny moduł synchronizowania i uwierzytelniania ułatwia integrację z istniejącymi systemami zarządzania użytkownikami.

Zarządzanie bezpieczeństwem dokumentów - jak uniknąć wycieku danych?
Zarządzanie bezpieczeństwem dokumentów - jak uniknąć wycieku danych?

Kontrola uprawnień dla użytkowników bez dostępu do serwera (Offline)

System DSM oddziela uprawnienia do dokumentów od samych plików przechowujących dane, aby umożliwić nabywanie uprawnień w czasie rzeczywistym i aktualizację uprawnień online do zaszyfrowanych plików. Ponieważ informacja o uprawnieniach jest przechowywana na serwerze DSM, użytkownik musi się do niego zalogować, jeśli chceotworzyć dokument. W przypadku, gdy użytkownik nie ma dostępu do sieci korporacyjnej, nie może zalogować się do systemu, by uzyskać uprawnienia do zaszyfrowanego pliku. Aby rozwiązać ten problem, system umożliwia przypisanie uprawnień do odczytu offline. Jeżeliużytkownik otrzymał wcześniej uprawnienia offline, będzie mógł otworzyć zaszyfrowany dokument na swoim komputerze, nie mając dostępu do serwera DSM. Uprawnienie do odczytu offline jest przypisywane do konkretnego numeru seryjnego procesora, dzięki czemu dokument będzie można otworzyć jedynie na komputerze, na którym uzyskano uprawnienia. Dodatkowo do pliku można przypisać czas, przez który uprawnienia będą ważne, oraz zdefiniować, ile razy dokument może zostać otwarty.

Wymiana uprawnień pomiędzy regionami

W trybie rozproszonej implementacji systemu każdy region ma swój serwer DSM przechowujący uprawnienia do dokumentów z regionu, w którym się znajduje. Wymiana uprawnień pomiędzy regionami odnosi się do sytuacji, w której użytkownik A z jednego regionu nada uprawnienia do pliku użytkownikowi B z drugiego regionu. Użytkownik B odpyta serwer ze swojego regionu o uprawnienia do pliku, a serwer ten poprzez komunikację HTTPS z serwerem z regionu użytkownika A odczyta uprawnienia do pliku oraz prześle klucz użytkownikowi B.

Dodatkowe metody zapobiegania wyciekowi danych

Opisany powyżej system zapobiega wyciekowi informacji poprzez szyfrowanie i kontrolę uprawnień do pliku. Są jednak sytuacje, kiedy dane trafiają w niepowołane ręce. Aby dodatkowo chronić cenne dane korporacyjne, należy rozważyć wdrożenie sytemu szyfrowania wiadomości e-mailowych oraz kontrolę informacji wysyłanych z wewnątrz sieci (na przykład w celu wyeliminowania umieszczania informacji na portalach społecznościowych). Na rynku dostępne są firewalle klasy UTM, które mogą między innymi sprawdzać treść pobieraną lub publikowaną winternecie. Firewalle typu UTM mogą sprawdzać dane przesyłane takimi protokołami jak HTTP, SMTP, POP3 lub FTP.

Wdrożenie całościowego systemu zapobiegania wyciekowi danych jest procesem złożonym i musi obejmować rozwiązania działające na różnych poziomach architektury sieci oraz na wszystkich etapach życia dokumentu. Dodatkowo musi obejmować politykę bezpieczeństwa wraz z bardzo istotnym szkoleniem pracowników w tym zakresie. Dopiero całościowe zaimplementowanie procedur oraz narzędzi może dać wymierne efekty podjętych działań.

Autorem tekstu jest: Paweł Wachelka, Product Manager Enterprise Routing &Switching Solutions Department, Huawei

Artykuł pochodzi z 2 numeru magazynu DLP expert - który bezpłatnie można pobrać ze strony: https://www.dlp-expert.pl/magazine

Źródło: Redakcja