Użytkowanie i popularyzacja szyfrowanych pamięci flash USB w organizacji

Wskazówki, które pomogą Twojej organizacji zachować poufność informacji i zachować zgodność z przepisami, takimi jak RODO w krajach UE czy NYDFS stanu Nowy Jork.

Opracowanie zasad stosowania szyfrowanych pamięci USB: ochrona i zgodność z przepisami

• Zasady dotyczące stosowania szyfrowanych pamięci USB najlepiej opracować, zanim pojawi się konieczność wykazania się ich wdrożeniem. W tym celu najlepiej uwzględnić szyfrowane pamięci USB i dotyczące ich zasady w ogólnej strategii zapewnienia bezpieczeństwa organizacji.
• Warto określić najlepsze praktyki stosowania szyfrowanych pamięci USB lub dysków zewnętrznych i wprowadzić procedurę wydawania tych urządzeń nowym pracownikom wraz z identyfikatorem lub służbowym laptopem podczas wstępnego przeszkolenia.
• Należy również stworzyć plan na wypadek konieczności odzyskania zgubionych urządzeń pamięci.

Brak wdrożonych zasad stosowania szyfrowanych pamięci USB lub dysków zewnętrznych oraz odpowiednich instrukcji ich użycia oznacza, że prace należy zacząć od zera i do chwili ich zakończenia organizacja na każdym poziomie będzie narażona na zagrożenie – w tym związane z nieprzestrzeganiem przepisów. Utrata danych i ich naruszenia stają się dla firm coraz bardziej kosztowne, ponieważ działania przestępców są coraz bardziej wyrafinowane. Badanie dotyczące cyberbezpieczeństwa z 2021 r. wykazało, że średni koszt naruszenia danych wyniósł w ujęciu globalnym 4,24 mln USD. Oznacza to 10% wzrost w stosunku do 2020 r. Uniknij tych kosztów, opracowując i wdrażając praktyczny plan zapewnienia bezpieczeństwa danych, który pozwala zapobiec atakom typu BadUSB dzięki wykorzystaniu wyłącznie zatwierdzonych szyfrowanych pamięci USB lub dysków zewnętrznych.

Szkolenia i edukacja

Dobrym pomysłem jest wdrożenie programu szkoleń, podczas których pracownicy dowiedzą się o dopuszczalnych i niedopuszczalnych sposobach korzystania z pamięci flash USB lub dysków zewnętrznych oraz o zasadach użytkowania prywatnych urządzeń w pracy.

• W trakcie szkoleń warto zaprezentować wzięte z życia przykłady utraty danych i innych negatywnych konsekwencji korzystania z nieszyfrowanych pamięci USB i dysków zewnętrznych.
• W inicjatywy ukierunkowane na zwiększenie bezpieczeństwa danych warto zaangażować dział kadr i wyższą kadrę kierowniczą. Zasady dotyczące korzystania z pamięci USB powinny być omawiane w ramach szkoleń wprowadzających dla nowych pracowników oraz szkoleń utrwalających dla już zatrudnionych.
• Kolejnym działaniem może być opracowanie programu wymiany starych urządzeń. Można stworzyć program umożliwiający pracownikom wymianę prywatnych pamięci USB lub pamięci USB wykorzystywanych w celach służbowych na pamięci USB i dyski zewnętrzne zatwierdzone do używania w firmie.

Brak przeszkolenia i wiedzy użytkowników końcowych na temat zagrożeń powoduje bezużyteczność strategii zapobiegania wyciekom danych i narażenie organizacji na ich naruszenie. Badanie przeprowadzone przez instytut Ponemon wskazuje, że 72% pracowników używa darmowych pamięci flash przywiezionych z konferencji, targów, spotkań biznesowych itp. – nawet w organizacjach, które oferują „zatwierdzone” pamięci USB.

Opracowanie i wdrożenie zasad

Należy określić zasady właściwego wykorzystania przenośnych nośników elektronicznych, w tym pamięci flash USB. Podstawowe działania obejmują:

• identyfikację osób i grup, które muszą posiadać dostęp do danych wrażliwych i poufnych oraz mogą pobierać je na szyfrowane pamięci USB i dyski zewnętrzne, oraz określenie zasad dostępu do tego typu danych;
• opracowanie tych zasad w formie pisemnej i przekazanie ich zespołom IT i użytkownikom końcowym;
• zobowiązanie wszystkich pracowników do udziału w szkoleniu oraz potwierdzeniu podpisem zrozumienia zasad dopuszczalnego użytkowania oraz konsekwencji nieprzestrzegania wytycznych.

Nieopracowanie odpowiednich zasad, do przestrzegania których zobowiązani są wszyscy pracownicy, może skutkować niepowodzeniem realizacji strategii zabezpieczenia danych w wyniku niewłaściwego korzystania z pamięci USB i dysków zewnętrznych. Określenie zasad jest zaledwie pierwszym krokiem, jednak ma on bardzo duże znaczenie. Z badania Ponemon wynika również, że prawie 50% organizacji potwierdziło, że w ciągu 24 miesięcy przed badaniem utraciło urządzenia, na których znajdowały się wrażliwe lub poufne informacje.