Jak wykryć źródło wycieku poufnych informacji w firmie?

O godzinie 8:10 klient przesyła wiadomość:

W internecie znajduje się dokument zawierający dane naszego projektu.

O godzinie 8:16 zarząd przekazuje polecenie:

Proszę sprawdzić, kto to zrobił.

To polecenie jest zbyt wąskie.

W pierwszej godzinie nie wiadomo jeszcze:

· czy dokument został ujawniony przez pracownika;

· czy pochodzi z poczty klienta;

· czy wyciekł od podwykonawcy;

· czy ktoś przejął konto;

· czy link był publiczny;

· czy materiał jest autentyczny;

· czy opublikowano aktualną wersję;

· czy zawiera dane osobowe;

· czy wyciek nadal trwa.

Pierwszym celem nie jest wskazanie winnego.

Pierwszym celem jest:

1. zatrzymanie dalszego ujawniania;

2. zabezpieczenie śladów;

3. określenie skali;

4. ustalenie obowiązków prawnych;

5. dopiero później identyfikacja źródła.

Pierwsze 60 minut

Minuta 0–10: potwierdź zdarzenie

Należy zabezpieczyć:

· adres publikacji;

· zrzuty ekranu;

· datę i godzinę;

· pełny plik;

· nagłówki wiadomości, jeżeli dokument przesłano e-mailem;

· dane osoby zgłaszającej;

· sposób odkrycia materiału.

Nie należy od razu:

· kontaktować się z podejrzanym;

· publicznie komentować;

· usuwać wszystkich kont;

· resetować wszystkich urządzeń;

· rozsyłać dokumentu kolejnym osobom „do sprawdzenia”.

Chaotyczne działania mogą zniszczyć ślady albo zwiększyć skalę ujawnienia.

Minuta 10–20: oceń autentyczność

Trzeba ustalić:

· czy dokument pochodzi z firmy;

· czy został zmieniony;

· którą jest wersją;

· kiedy powstał;

· kto go stworzył;

· jakie charakterystyczne elementy zawiera.

Dokument może być:

· autentyczny;

· częściowo zmieniony;

· połączony z innymi materiałami;

· stary;

· fałszywy;

· publicznie dostępny już wcześniej.

Minuta 20–30: określ wrażliwość

Informacje należy podzielić na:

· dane osobowe;

· tajemnice przedsiębiorstwa;

· informacje klienta;

· dane techniczne;

· dane finansowe;

· dane objęte umową poufności;

· informacje publiczne.

Od klasyfikacji zależy:

· skład zespołu reagowania;

· obowiązek zgłoszeń;

· sposób kontaktu z klientami;

· priorytet działań.

Minuta 30–45: zabezpiecz system

Zespół IT powinien ustalić, czy konieczne jest:

· zablokowanie publicznego linku;

· odebranie określonego dostępu;

· unieważnienie aktywnej sesji;

· zabezpieczenie konta;

· zablokowanie utraconego urządzenia;

· wstrzymanie dalszej synchronizacji.

Działania powinny być proporcjonalne.

Masowe usuwanie kont może zniszczyć dane potrzebne do odtworzenia zdarzenia.

Minuta 45–60: uruchom zespół

W zależności od charakteru incydentu potrzebni mogą być:

· osoba zarządzająca;

· bezpieczeństwo IT;

· prawnik;

· inspektor ochrony danych;

· HR;

· komunikacja;

· prywatny detektyw;

· zewnętrzny specjalista informatyki śledczej.

Jedna osoba nie powinna samodzielnie:

· prowadzić śledztwa;

· decydować o konsekwencjach pracowniczych;

· komunikować incydentu;

· zabezpieczać dowodów.

Pierwsze 24 godziny

Utwórz kopię sytuacji, zanim ją zmienisz

Przed wykonaniem zmian należy — o ile bezpieczeństwo na to pozwala — zabezpieczyć:

· logi;

· historię dostępu;

· listę aktywnych sesji;

· konfigurację folderu;

· uprawnienia;

· dane urządzeń;

· historię pobrań;

· wersje dokumentów;

· kopie wiadomości;

· alerty bezpieczeństwa.

Nie każdy pracownik administracji IT powinien samodzielnie przeszukiwać wszystkie dane.

Zakres powinien zostać określony przez osoby posiadające właściwe umocowanie i kompetencje.

Zbuduj kartę wycieku

Dokument: prognoza finansowa projektu

Wersja: 7.2

Data utworzenia: 14 lipca

Ostatnia zmiana: 17 lipca

Miejsce publikacji: zewnętrzny serwis

Pierwsze wykrycie: 21 lipca, 8:10

Zakres: ceny, marże, dane klientów

Potencjalne podmioty dotknięte: firma, klient, trzech podwykonawców

Liczba osób z dostępem: 18

Możliwe kanały: poczta, chmura, wydruk, urządzenie, podwykonawca

Karta jest aktualizowana w miarę ustaleń.

Zegar prawny nie czeka na zakończenie śledztwa

Jeżeli wyciek obejmuje dane osobowe, administrator powinien ocenić ryzyko dla praw i wolności osób fizycznych. Zgłoszenie do Prezesa UODO powinno nastąpić bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po stwierdzeniu naruszenia, chyba że ryzyko jest mało prawdopodobne. Brak pełnych ustaleń nie zawsze uzasadnia oczekiwanie na zakończenie całego postępowania — brakujące informacje mogą być uzupełniane później.

Dlatego zespół powinien równolegle odpowiedzieć:

· czy doszło do naruszenia danych osobowych;

· jakie osoby mogą być dotknięte;

· jakie konsekwencje są możliwe;

· czy wymagane jest zgłoszenie;

· czy trzeba poinformować zainteresowane osoby.

Decyzję powinien koordynować administrator danych wraz z inspektorem ochrony danych i prawnikiem.

Drugi dzień: znajdź najwęższy wspólny punkt

Nie zaczynamy od pytania:

Kto jest nielojalny

Zaczynamy od pytania:

Jaki jest najmniejszy krąg osób i systemów, które mogły posiadać dokładnie tę wersję informacji

Wersja dokumentu

W różnych kopiach mogą występować:

· inne daty;

· komentarze;

· błędy;

· kolejność tabel;

· znaki;

· nazwy plików;

· metadane;

· numery ofert.

Jeżeli ujawniona wersja została wysłana wyłącznie klientowi i dwóm menedżerom, nie ma podstaw do podejrzewania całej organizacji.

Zakres treści

Osoba, która posiadała dostęp tylko do cennika, nie mogła sama ujawnić dokumentu zawierającego również:

· dane techniczne;

· komentarze prawne;

· harmonogram;

· marżę.

Trzeba ustalić, gdzie wszystkie elementy występowały razem.

Czas

Jeżeli plik zawiera zmianę wprowadzoną w piątek, źródło musiało uzyskać dostęp później.

Osoby, które straciły uprawnienia w czwartek, mogą zostać wyłączone z konkretnej hipotezy — chyba że posiadały kopię albo uzyskały dostęp innym kanałem.

Mapa kanałów

Poczta elektroniczna

Sprawdzamy:

· odbiorców;

· przekazania;

· automatyczne reguły;

· nietypowe logowania;

· załączniki;

· domeny zewnętrzne.

Chmura i foldery

· kto posiadał dostęp;

· czy link był publiczny;

· czy plik pobrano;

· czy udostępniono dalej;

· czy dostęp miały konta byłych pracowników;

· czy uprawnienia odziedziczono po innym folderze.

Urządzenia

· komputery służbowe;

· telefony;

· nośniki;

· drukarki;

· urządzenia zdalne.

Papier

· wydruki;

· sale konferencyjne;

· szafy;

· kosze;

· dokumenty zabierane na spotkania.

Ludzie zewnętrzni

· klient;

· audytor;

· kancelaria;

· agencja;

· tłumacz;

· producent;

· podwykonawca.

Źródło techniczne, organizacyjne i osobowe

Wyciek może mieć więcej niż jedną przyczynę.

Źródło techniczne

Publiczny link, przejęte konto albo zła konfiguracja.

Źródło organizacyjne

Zbyt szerokie uprawnienia, brak oznaczeń albo brak procedur.

Źródło osobowe

Świadome albo nieświadome działanie człowieka.

Przykład:

Pracownik przesłał dokument na prywatną skrzynkę, ponieważ firmowy system nie pozwalał mu pracować z domu.

Źródłem osobowym było przesłanie pliku.

Źródłem organizacyjnym był brak bezpiecznego sposobu pracy zdalnej.

Źródłem technicznym mogło być przejęcie prywatnego konta.

Skupienie całej odpowiedzialności na jednym pracowniku nie usunie dwóch pozostałych przyczyn.

Monitoring nie może być improwizowany po incydencie

Pracodawca może stosować określone formy monitoringu służbowej poczty i narzędzi, ale ich cele, zakres oraz sposób powinny być uregulowane, a kontrola nie może naruszać tajemnicy korespondencji i dóbr osobistych pracownika.

Nie należy po odkryciu wycieku:

· instalować ukrytych programów przechwytujących prywatne treści;

· kontrolować prywatnych skrzynek;

· przejmować haseł;

· kopiować prywatnych urządzeń;

· nagrywać rozmów bez właściwej podstawy;

· pozyskiwać danych od operatorów pod fałszywym pretekstem.

Można natomiast, po ustaleniu podstaw i zakresu:

· zabezpieczać służbowe logi;

· analizować służbowe urządzenia;

· kontrolować dostęp do informacji firmowych;

· dokumentować zdarzenia w systemach pracodawcy;

· prowadzić rozmowy wyjaśniające.

Fałszywe tropy

Najbardziej skonfliktowany pracownik

Konflikt tworzy motyw, ale nie kanał.

Ostatnia osoba, która otworzyła plik

Mogła otworzyć go już po ujawnieniu.

Pracownik odchodzący do konkurencji

Może być podejrzany, ale dostęp mógł posiadać również klient albo podwykonawca.

Osoba, która usunęła wiadomości

Mogła działać zgodnie z procedurą retencji.

Komputer z zagranicznym adresem IP

Pracownik mógł korzystać z firmowej sieci VPN albo podróżować.

Każdy sygnał wymaga interpretacji technicznej i kontekstowej.

Dokument kontrolny jako metoda prewencji

Firma może ograniczać przyszłe ryzyko poprzez:

· kontrolę wersji;

· indywidualne oznaczenia kopii;

· przypisanie odbiorców;

· rejestrowanie dostępu;

· ograniczenie możliwości pobierania;

· czytelne oznaczanie poufności;

· okresowe przeglądy uprawnień.

Nie chodzi o zastawianie pułapek na pracowników.

Chodzi o rozliczalny obieg dokumentu.

Jeżeli każda kopia posiada przypisany identyfikator, ujawniona wersja może pomóc wskazać obszar, z którego pochodzi.

Nie dowodzi automatycznie, że przypisana osoba świadomie ją przekazała.

Jej konto albo urządzenie mogło zostać wykorzystane przez kogoś innego.

Modelowy przypadek: wyciek bez zdrajcy

Projekt technologiczny obejmował dokumentację klienta, ceny i dane pracowników.

Fragment pliku pojawił się na publicznie dostępnej stronie.

Pierwsze podejrzenie

Firma podejrzewała byłego pracownika, który odszedł w konflikcie i posiadał wcześniej dostęp do projektu.

Analiza wersji

Ujawniona kopia zawierała zmianę wprowadzoną trzy tygodnie po odejściu pracownika.

Nie mógł więc pozyskać jej podczas zatrudnienia.

Analiza dostępu

Plik znajdował się w folderze podwykonawcy.

Link został skonfigurowany jako dostępny dla każdego, kto go posiadał.

Droga ujawnienia

Pracownik podwykonawcy przesłał link kandydatowi uczestniczącemu w rekrutacji do projektu.

Kandydat umieścił go w publicznym portfolio, nie rozumiejąc, że folder zawiera dodatkowe materiały.

Uczciwy wniosek

Nie potwierdzono celowego przekazania dokumentacji przez pracownika badanej firmy. Źródłem ujawnienia był zewnętrzny folder skonfigurowany bez ograniczenia odbiorców oraz dalsze przekazanie publicznego linku przez pracownika podwykonawcy. Do zdarzenia przyczynił się brak kontroli uprawnień, niewłaściwy zakres folderu i brak jasnego oznaczenia materiału.

Przykład ma charakter modelowy.

Raport po incydencie

Powinien zawierać:

Zakres

· jakie informacje ujawniono;

· czy są autentyczne;

· jakie osoby i firmy dotyczą;

· gdzie się pojawiły.

Chronologię

· utworzenie;

· udostępnienie;

· pobranie;

· wykrycie;

· reakcję.

Źródło

· potwierdzone;

· najbardziej prawdopodobne;

· nieustalone.

Przyczyny

· techniczne;

· organizacyjne;

· osobowe.

Działania

· ograniczenie skutków;

· zabezpieczenie śladów;

· zgłoszenia;

· komunikacja;

· poprawa zabezpieczeń.

Ograniczenia

· brak określonych logów;

· brak dostępu do systemu podwykonawcy;

· niemożność ustalenia, kto fizycznie korzystał z konta;

· usunięcie części danych.

Komentarz Dawida Kuciela

W pierwszej godzinie po wycieku nie szukam jeszcze winnego. Szukam dokumentu, wersji, dostępu i drogi, którą informacja mogła opuścić firmę.

Źródłem może być pracownik, ale równie często jest nim publiczny link, podwykonawca, błędne uprawnienie albo konto, które dawno powinno zostać zamknięte.

Dobre postępowanie nie kończy się nazwiskiem. Pokazuje również, dlaczego jeden błąd albo jedno działanie wystarczyły, aby informacja wydostała się na zewnątrz.

Źródła prawne i urzędowe: materiały UODO dotyczące zgłaszania naruszeń i monitoringu pracowników.

Powiązane materiały

Jeżeli ten temat dotyczy Twojej sytuacji, zobacz również:

• Bezpieczeństwo biznesu
• Jak zabezpieczyć firmę, gdy konflikt wspólników zaczyna się zaostrzać
• Abonament bezpieczeństwa informacji dla firm – co obejmuje