Doslova šokující závěry přinesl nedávný výzkum společnosti Western Digital, který mapoval práci s citlivými daty u více než 2000 zaměstnanců. Ti se sestávali z největší části z „běžných uživatelů“, ovšem více než 35 % sledované skupiny tvořili správci dat.
Zaměstnanci a ochrana dat
Výše uvedený výzkum agreguje poznatky získané z malých firem (do 100 zaměstnanců) přes střední podniky (do 500 zaměstnanců) až po pobočky nadnárodních korporací (přes 5000 zaměstnanců) napříč evropskými zeměmi. Zkoumána byla nejrůznější odvětví a sektory – od průmyslu a energetiky, přes právní a finanční služby až po veřejný sektor a zdravotnictví. Výsledky jsou vše, jen ne ideální – posuďte ostatně sami:
- 68 % správců dat udává, že způsob nakládání zaměstnanců s citlivými daty je větší hrozbou než kybernetický útok zvenčí.
- 25 % kritických událostí ohrožujících kybernetickou bezpečnost bylo způsobených zaměstnanci.
- 22 % zaměstnanců si uvědomuje, že přímo ohrozili bezpečnost citlivých dat.
- 55 % zaměstnanců má přístup k citlivým datům, ačkoliv by jej vůbec neměli mít.
- 98 % správců dat apeluje na zesílení zabezpečení přenosu a ukládání vysoce citlivých dat.
- 89 % uživatelů sdílí data, resp. pracují na projektech, které toto sdílení vyžadují
- 69 % uživatelů pak udává, že sdílí i vlastní soukromá úložiště dat
- 27 % uživatelů se přiznalo, že disponuje citlivými daty i při odchodu ze zaměstnání.
Jednou z příčin tak riskantního chování v souvislosti s kopírováním, sdílením a ukládáním citlivých dat je home office a politika BYOD (Bring Your Own Device, česky „přines si vlastní zařízení“ – tj. zaměstnavatel akceptuje nebo přímo vybízí uživatele, aby používali svůj vlastní soukromý hardware pro pracovní účely). Problém je, že soukromá zařízení velmi často nesplňují požadavky zajištění kybernetické bezpečnosti, ať už jde o autorizaci a verifikaci uživatelů, nebo nezašifrovaná úložiště.
Jak zajistíte vyšší ochranu firemních dat?
K výše uvedeným problémům můžete přistoupit vícero způsoby, které uvádíme níže. K dosažení optimálních výsledků rozhodně doporučujeme jejich kombinaci.
Proškolení zaměstnanců
Jelikož problém riskantního zacházení s citlivými daty vychází primárně z chování uživatelů, naprostým základem je důkladné a soustavné školení kybernetické bezpečnosti a zásad nakládání s firemními daty.
→ Tip: Zjistěte, proč jsou důkladně proškolení zaměstnanci základem zajištění kybernetické bezpečnosti.
Stav proškolení svých zaměstnanců potom můžete zjistit speciálními penetračními testy.
→ Tip: Zjistěte více o obraně vůči vnitřním hrozbám v článku o penetračních testech sociálním inženýrstvím.
Zálohování dat
Pravidelné zálohování samo o sobě sice nezabrání úniku citlivých dat, ale jde o efektivní metodu jak předejít ztrátě dat z jiných důvodů, včetně neúmyslného smazání. Zálohy dat navíc představují poslední záchranu, pokud dojde ke kybernetickému útoku prostřednictvím ransomwaru či jiného malwaru.
→ Tip: Přečtěte si o pravidlu „3-2-1“, jak správně zálohovat data.
Nasazení DLP systémů
Zaměstnanci z výše uvedeného výzkumu uvedli následující nejběžnější způsoby, jak nejčastěji sdílí a přenášejí citlivá data:
- 47 % – e-mail
- 45 % – cloudové nebo jiné online sdílení
- 31 % – sdílení z lokálního pevného disku
- 25 % – flash disk nebo jiné USB zařízení
Ze statistik přitom víme, že mezi nejpočetnější příčiny úniku citlivých dat patří nahrávání firemních souborů na cloud a posílání citlivých dat e-mailem mimo společnost. Pokud se vám nedaří dosáhnout dodržování bezpečnostních politik ze strany zaměstnancům školením, je načase nasadit DLP systémy jako je např. Safetica.
DLP systémy ochrání vaše citlivá data vynucováním dodržování bezpečnostních politik, a navíc vám poskytnou podrobný přehled o chování vašich zaměstnanců vč. efektivity využívání pracovní doby a firemní výpočetní techniky.
DLP systémy disponují širokým spektrem bezpečnostních nástrojů, které zajistí:
- blokaci tisku citlivých souborů,
- blokaci kopírování na neautorizovaná externí zařízení (flash disku nebo jiná USB zařízení),
- blokaci odesílání zpráv na externí e-mailové účty,
- blokaci pořizování snímků obrazovky nebo nahrávání na web,
- přesouvání souborů citlivých dat pouze předdefinovanými způsoby,
- zaznamenávání činnosti uživatelů,
- okamžité informování vedení v případě bezpečnostního incidentu a
- zasílání týdenních reportů o uživatelské činnosti na internetu, používání aplikací, tisku dokumentů a životních cyklech souborů.
Obraťte se na nás, rádi vám poskytneme školení zaměstnanců přímo na míru vašim potřebám a doporučíme i naimplementujeme DLP systém, kterým efektivně a jednou provždy zajistíte ochranu firemních dat minimalizací lidských chyb.
