Potrivit ENISA Threat Landscape Report 2018, scurgerile de informaţii continuă să fie unul dintre riscurile cibernetice în creştere, acoperind o gamă variată de informaţii compromise – de la datele cu caracter personal colectate de către firmele de internet și cele care furnizează servicii online, până la datele de afaceri stocate în infrastructurile IT.
Atunci când breşele de securitate ajung subiecte intens dezbătutate în spaţiul media, accentul cade fie asupra unor potenţiale atacuri din partea “concurenţei”, fie asupra eșecului proceselor și tehnicilor de apărare cibernetică.
Cu toate acestea, adevărul incontestabil este că – în ciuda impactului sau a ţintei vizate – scurgerile de informaţii sunt de obicei cauzate de acțiunile individuale ale unor persoane sau ca urmare a unei erori în procesele interne ale companiei în cauză. Ocazional, o eroare tehnică sau a configurarea greșită poate provoca, de asemenea, o scurgere de informaţii. Agenția Uniunii Europene pentru Securitatea Rețelelor și a Informațiilor (ENISA) subliniază însă aspectul potrivit căruia, conform unui raport recent, dezvăluirea neintenționată a stat la baza celor mai multe scurgeri de informaţii în 2018.
Tendinţe şi statistici generale
· în martie 2018, aproximativ 500.000 de conturi de e-mail cu parole erau puse la vânzare pe Dark Web la preţul de 90 de dolari;
· în trimestrul III 2018, s-a înregistrat o creștere cu 20% a pierderilor de date confidențiale în comparație cu trimestrul III 2017;
· dacă divulgările de date ar continua la nivelul din 2015, amenzile aplicate în conformitate cu GDPR ar putea înregistra o creștere de 90 de ori, de la 1,4 miliarde lire în 2015 la 122 miliarde de lire sterline;.
· actorii interni reprezintă 29% dintre persoanele implicate în dezvăluirea datelor – 26% dintre aceştia sunt administratori de sistem, 22% sunt utilizatori finali, 12% sunt medici sau asistente medicale, iar 22% sunt reprezentanţi de alţii.
Cazuri de scurgeri de informaţii în 2018
· în luna ianuarie, informaţiile colectate prin aplicaţia de fitness Strava au dus la descoperirea locaţiilor unor baze militare secrete ruseşti, britanice şi americane din Siria şi Afganistan. Informaţiile au fost dezvăluite prin dispozitivele Fitbit, conectate la conturile utilizatorilor Strava;
· compania de marketing Exactis a lăsat aproximativ 340 de milioane de înregistrări expuse în mod public pe un server accesibil. Deşi acestea nu includeau numere de securitate socială ori numerele cărților de credit, a fost vorba totuşi de 2 TB de informații foarte personale despre sute de milioane de adulți;
· la sfârșitul verii, un lanț hotelier chinez a expus datele a cca. 130 de milioane de clienți, inclusiv informații despre nume, numere de telefon, adrese de e-mail, numere de cont bancar și detalii privind rezervările;
· Sungy Mobile Ltd., unul dintre cei mai importanți dezvoltatori de aplicații mobile din lume, a dezvăluit informaţiile a aproximativ 50 de milioane de consumatori, din cauza unui backup greşit a bazei de date.
Cum reducem scurgerile de informaţii?
· anonimizaţi, pseudonimizaţi, minimizaţi şi criptaţi datele în conformitate cu Regulamentul GDPR;
· stocaţi datele folosind doar sisteme informatice securizat;
· limitaţi privilegiile de acces pentru utilizatori, urmărind principiul “necesităţii de a cunoaşte” (accesul la informaţii clasificate se acordă în mod individual numai persoanelor care, pentru îndeplinirea îndatoririlor de serviciu, trebuie să lucreze cu astfel de informaţii sau să aibă acces la acestea);
· instruiţi periodic angajaţii, privind securitate cibernetică;
· revocaţi privilegiile de acces în cazul persoanelor care nu sunt angajaţi;
· utilizaţi instrumente tehnologice pentru a evita potenţialele scurgeri de date – scanare vulnerabilităţi, malware, instrumente DLP (data loss prevention).
