Przykład niedawnego naruszenia bezpieczeństwa danych przenoszonych na nieszyfrowanej pamięci USB

Pochodzący z 30. października 2017 r. przykład dotyczy portu lotniczego Heathrow w Londynie, gdzie do przechowywania danych poza chmurą wykorzystuje się nieszyfrowane pamięci USB. Niestety, dane nie były standardowo przechowywane na szyfrowanych pamięciach USB. Niewdrożenie odpowiednich standardów bezpieczeństwa danych i zabezpieczeń przed utratą danych z wykorzystaniem szyfrowanych pamięci USB doprowadziło do groźnego dla UE poważnego naruszenia bezpieczeństwa poufnych i zastrzeżonych informacji.

Londyn – nieszyfrowana pamięć USB doprowadziła do wycieku poufnych lub zastrzeżonych plików:

• Pamięć zawierała 76 folderów / 174 dokumenty
• Informacje o środkach ochrony Królowej
• Pliki wskazywały rodzaje dokumentów tożsamości niezbędnych do wchodzenia do stref zastrzeżonych
• Harmonogram patroli ochrony
• Mapy rozmieszczenia kamer przemysłowych
• Jeden dokument mówił o niedawnych atakach terrorystycznych i omawiał typ zagrożenia dla lotniska

Podobne do tego przypadki utraty pamięci USB mają miejsce dużo częściej, niż się przypuszcza i stanowią najlepszy przykład powodów, dla których wdrożenie standardu / polityki użytkowania szyfrowanych pamięci USB przez pracowników każdej organizacji powinno mieć najwyższy i najpilniejszy priorytet.

Wystarczy skorzystać z oferty szyfrowanych pamięci USB firmy Kingston, wśród których znaleźć można cieszące się doskonałą renomą pamięci linii IronKey, które zapewniają zgodność ze wszystkimi wymaganiami biznesowymi i rządowymi. Więcej informacji

Na co zwracać uwagę?

Istnieje jeden niezmienny czynnik w postaci elementu ludzkiego / zagrożenia od wewnątrz, który objawia się poluzowaniem standardów, polityk oraz brakiem rozliczalności i odpowiedzialności. Dane, informacje identyfikowalne osobowo oraz poufne są nadal kluczowymi elementami, które wymagają najbardziej ścisłej ochrony.

Przechowywanie danych poza chmurą na szyfrowanych pamięciach USB to konieczność!

Analiza ostatnich naruszeń bezpieczeństwa danych, ich wycieków i przejęć wskazuje jednoznacznie, że większości z tych incydentów można było zapobiec. Przyczynami większości z tych incydentów były proste przeoczenia, od nieuwagi, niewłaściwie określonych priorytetów po niewdrożenie odpowiednich standardów, polityk i procedur.

Obszar ten obejmuje bezpieczeństwo, ochronę i zabezpieczenie informacji o obywatelach / pracownikach, od danych osobowych po informacje zdrowotne i finansowe. Ponadto konieczne jest również zapewnienie ochrony poufnych informacji firmy, dotyczących bezpieczeństwa narodowego, strategii obrony kraju i danych wywiadowczych.

Czy warto trafić na nagłówki gazet?

Przepisy od 2018 roku: bez zachowania zgodności zagrożenie ogromnymi grzywnami i pozwami

Zarówno Ogólne Rozporządzenie o Ochronie Danych Osobowych w UE (EU GDPR) i amerykańskie przepisy NYDFS - 23 NYCRR 500 zalecają szyfrowanie danych:

• Standardy bezpieczeństwa przetwarzania danych
  • Organizacje szyfrują dane wrażliwe – w trakcie tranzytu i przechowywania.
• EU GDPR: Szyfrowanie danych osobowych (Artykuł 32, Bezpieczeństwo przetwarzania)
  • Więcej informacji
• NYDFS: Szyfrowanie danych wrażliwych – w trakcie tranzytu i przechowywania. (Sekcja 500.15, Szyfrowanie danych niepublicznych)
  • Więcej informacji

3 najważniejsze sprawy

Przechowywanie danych w chmurze / poza chmurą

Jak wiadomo, rozwiązania chmurowe są świetne, ale czy w każdym przypadku?

• Nieprzerwany dostęp – ale czy Internet jest dostępny zawsze i wszędzie?
• Niezawodny / bezpieczny dostęp – ale czy można ufać bezpłatnym sieciom Wi-Fi?
  • Patrz artykuł Krack - Wi-Fi WPA2 security cracked
• Następny atak cybernetyczny – czy będzie to złośliwe oprogramowanie, a może wymuszające okup?

Dzięki szyfrowanym pamięciom USB (przy połączeniu z siecią Wi-Fi lub bez) mamy pewność, że dane są chronione, dostępne, a utrata pamięci nie jest równoznaczna z udostępnieniem danych osobom postronnym.

Uzupełnienie istniejących zabezpieczeń punktów końcowych na poziomie urządzeń dzięki rozwiązaniom zapobiegającym utracie danych (Data Loss Prevention – DLP).

Szyfrowane pamięci USB marki Kingston / IronKey są doskonałym rozwiązaniem, pozwalającym uniknąć blokowania wszystkich portów USB. Nikomu chyba nie zależy na celowym obniżeniu efektywności lub produktywności pracowników mobilnych.

Zabezpieczenie punktów końcowych udostępnia wiele korzyści w odniesieniu do polityk zarządzania użytkownikami i grupami użytkowników.

• Określenie, kto może mieć dostęp do portów USB
• Wydanie firmowych szyfrowanych pamięci USB firmy Kingston
• Dopuszczenie tylko konkretnego modelu pamięci USB – działa tylko 1 model szyfrowanych pamięci USB
• Zablokowanie dostępu innych podłączanych urządzeń – działają tylko firmowe szyfrowane pamięci USB
• Dopuszczanie lub ograniczanie możliwości zapisywania plików na szyfrowanych pamięciach USB
• Kontrola kopiowanych plików oraz godzin użycia pamięci po raz ostatni

Zarządzanie zagrożeniami i redukcja ryzyka

Rodzina szyfrowanych pamięci USB firmy Kingston, obejmująca renomowane rozwiązania IronKey, zapewnia wielopoziomowe bezpieczeństwo, ochronę danych oraz funkcje zarządzania ryzykiem.

• Ochrona danych przechowywanych na szyfrowanych pamięciach USB w pełni zgodna z przepisami
• 256-bitowe szyfrowanie sprzętowe AES w trybie XTS
• Zgodność za standardem FIPS 197 lub FIPS 140-2 Level 3

Dostępne rozwiązania zarządzane

Błyskawiczna kontrola nad wszystkimi szyfrowanymi pamięciami USB, od poziomu globalnego po pojedyncze urządzenia

• Safeconsole - DTVP 3.0 i DT4000G2 Managed
• IronKey EMS - IronKey D300 Managed i IronKey S1000 Enterprise

Więcej informacji

Globalne przepisy przewidujące ochronę danych za pomocą szyfrowania:

Ogólne Rozporządzenie o Ochronie Danych Osobowych UE (EU GDPR) – data wejścia w życie: maj 2018 r. Applies to every organization that processes personal data of EU citizens, will take full effect in May 2018. Organizations to implement and ensure a level of security appropriate to the risk, including…encryption of personal data" (Article 32, Security of processing) Więcej informacji

Regulacja Departamentu Obsługi Finansowej Stanu Nowy Jork (NYDFS – 23 NYCRR 500) – data wejścia w życie: luty 2018 r. Applies to every organization in New York that processes corporate / personal data. The proposal calls for organizations to encrypt sensitive data both in-transit and at-rest. (Section 500.15 Encryption of Nonpublic Information.) Więcej informacji

Dowiedz się więcej o szyfrowanych pamięciach USB – Kingston Technology