211service.com
Koszty złego bezpieczeństwa
W zeszłym miesiącu Sony ujawniło cenę związaną z usunięciem masowego naruszenia bezpieczeństwa, które ujawniło dane osobowe ponad 100 milionów użytkowników jej usług strumieniowych PlayStation Network i Qriocity: co najmniej 171 milionów dolarów. Według prezesa Sony, Sir Howarda Stringera, było to największe takie naruszenie, jakiego kiedykolwiek doświadczyła firma, a oszałamiająca kwota pokryje ulepszenia bezpieczeństwa, odszkodowania dla klientów i usługi dochodzeniowe. Jednak pełna opłata będzie trudniejsza do zmierzenia, ponieważ obejmie utratę zaufania klientów do firmy.
Nadążać: Firma doradcza Enterprise Strategy Group zapytała 308 specjalistów IT w dużych firmach, jakie czynniki motywowały ich decyzje o poprawie bezpieczeństwa danych. Zgodność z przepisami znalazła się na szczycie listy
Epizod był przypomnieniem o stawce związanej z bezpieczeństwem danych – i wskaźnikiem, że wiele organizacji nie chroni się wystarczająco dobrze. Jeśli chodzi o wszystkie te problemy z bezpieczeństwem, firmy nie wydają z góry, ale muszą wydać dużo pieniędzy na zaplecze, aby naprawić różne rzeczy, mówi Thomas Ristenpart, badacz bezpieczeństwa komputerowego z University of Wisconsin w Madison.
Ten miesiąc, Wpływ na biznes koncentruje się na zabezpieczeniu danych przed kradzieżą i utratą. Zbadamy taktyki bezpieczeństwa, które firmy powinny stosować, inwestycje, które powinny dokonywać, oraz pytania, które powinny zadawać. Zbadamy inteligentne praktyki dotyczące urządzeń mobilnych, pracowników zdalnych i przetwarzania w chmurze, a także uzyskamy spostrzeżenia od najlepszych myślicieli w tej dziedzinie.
Zagrożenia dla bezpieczeństwa informacji mnożą się po części dlatego, że światowe magazyny danych szybko rosną, ponieważ koszty przechowywania danych gwałtownie spadają oraz rośnie dostępność komputerów i dostępu do sieci. Wraz ze wzrostem tego macierzystego zbioru danych rośnie jego atrakcyjność dla przestępców i hakerów.
Aby się chronić, firmy mogą narzucać kontrolę dostępu do poufnych danych, szyfrować te dane i odpowiednio zarządzać kluczami szyfrowania, kontrolować działania użytkowników i zatrudniać konsultantów, aby upewnić się, że praktyki bezpieczeństwa są aktualne. A ponieważ słabym ogniwem w łańcuchu bezpieczeństwa są często ludzie, jedną z najważniejszych rzeczy, jakie mogą zrobić firmy, jest po prostu przeszkolenie pracowników w zakresie podstawowych praktyk bezpieczeństwa danych. Pakiet artykułów z tego miesiąca będzie argumentował, że bezpieczeństwo informacji to nie tylko kwestia, o którą musi się martwić dział IT. Musi zarejestrować się w całej firmie, zaczynając od najwyższych szczebli, gdzie podejmowane są decyzje o inwestycjach kapitałowych.
Wielkie zmartwienia: W tej samej ankiecie przeprowadzonej przez Enterprise Strategy Group poproszono tę samą grupę pracowników IT o zidentyfikowanie słabych punktów w ich bezpieczeństwie sieciowym.
Jedno duże wyzwanie znalazło odzwierciedlenie w planie badań nad cyberbezpieczeństwem z 2009 r. (PDF) wyprodukowany przez Departament Bezpieczeństwa Wewnętrznego USA. Odkryto między innymi, że ponieważ technologie informacyjne i metody ataków ewoluują tak szybko, organizacjom trudno jest określić, czy ich dane stają się bardziej lub mniej bezpieczne, czy są mniej lub bardziej bezpieczne niż w innych organizacjach i czy dany poziom inwestycji jest opłacalny. Nie pomaga to, że wiele organizacji ocenia podstawowe pytania dotyczące bezpieczeństwa z krótkoterminowej perspektywy finansowej — mimo że analizy kosztów i korzyści są trudne do wykonania, ponieważ koszt niepodjęcia odpowiednich środków bezpieczeństwa może nie być widoczny przez lata. Raport stwierdza, że decyzje wynikające z takich analiz będą często szkodliwe dla wprowadzenia znaczących ulepszeń bezpieczeństwa w dłuższej perspektywie.
Sprawę komplikuje jeszcze bardziej, że gdy dochodzi do naruszenia bezpieczeństwa danych, firmy nie zawsze są gotowe. (Sony zajęło sześć dni, aby ostrzec użytkowników, że ich informacje zostały ujawnione). Szybsze odpowiedzi pomogłyby ofiarom lub potencjalnym ofiarom, osobom lub firmom, których dane zostały ujawnione, podjąć kroki w celu złagodzenia szkód.
Ewentualne zmiany w przepisach rządowych mogą zaostrzyć przepisy dotyczące sposobu zgłaszania takich naruszeń i tego, co należy ujawniać. W Stanach Zjednoczonych 47 przepisów stanowych reguluje obecnie ujawnianie naruszeń danych, które ujawniają dane osobowe, ale prezydent Obama niedawno zaproponował, aby ten proces regulować jedno prawo federalne.
To byłoby pomocne, mówi kryptolog Bruce Schneier, główny technolog globalnej firmy telekomunikacyjnej BT – chociaż to, jak pomocne, zależy od tego, jak dokładne okaże się prawo. Teraz jasne jest, że następstwa naruszeń danych są czasami niejasne. Nie wiemy, kto miał dostęp do danych – czy są to przestępcy, dzieci czy szpiedzy – mówi Schneier. Nie znamy luki, która spowodowała naruszenie. Czasami wszystko, co wiemy na pewno, to ile kosztowało uszkodzenie.