Wycieki danych 2007-2008. Jak było i jak będzie.

Baza wycieków jest prowadzona od 2004 r. przez centrum analityczne InfoWatch (marka należąca do Kaspersky Lab). Do dzisiaj zgromadzono dane o kilku tysiącach wycieków. Baza ta posłużyła za podstawę analizy.

Źródło wycieków danych

W 2006 roku specjaliści nie dostrzegli wyraźnych prawidłowości geograficznych związanych z występowaniem wycieków danych. Nie oznacza to jednak, że takie prawidłowości nie istnieją. Jeżeli większość informacji o wyciekach pochodzi z mediów, uwzględnienie państwa pochodzenia znacząco zniekształca rezultaty analizy wycieków.

Każde państwo posiada odrębne ustawy o mediach, własne reguły i praktyki dotyczące poufności danych, nie wspominając o problemach związanych z barierą językową. Z tego powodu analiza ta nie zawiera rozkładu wycieków danych ze względu na kraj.

Poniższy diagram pokazuje rozkład wycieków ze względu na typ organizacji. W zeszłym roku dokonaliśmy podziału na organizacje rządowe i prywatne. W tym roku oprócz instytucji rządowych i prywatnych korporacji uwzględniliśmy również organizacje not-for-profit (głównie instytucje edukacyjne).

Rozkład wycieków ze względu na typ organizacji

W podobnym badaniu przeprowadzonym przez InfoWatch w 2006 roku odsetek instytucji rządowych wynosił 34%, natomiast organizacji prywatnych 66%. W 2007 roku udział instytucji rządowych spadł do 22%. Ponieważ nic nie wskazywało na to, że zmieniły się polityki dotyczące upubliczniania wycieków, oznacza to, że instytucje rządowe zwiększyły swoje wewnętrzne środki bezpieczeństwa.

Ogólnie, w instytucjach rządowych łatwiej jest wprowadzić niezbędne środki bezpieczeństwa, ponieważ łatwiej jest obejść problemy prawne. Obejmują one istniejący w większości krajów ogólny zakaz przeglądania wiadomości przekazywanych za pośrednictwem kanałów komunikacyjnych. Metody obejścia takiego zakazu różnią się w zależności od państwa, jednak znacznie łatwiej zastosować je przez instytucję rządową.

Innym powodem spadku liczby wycieków danych rządowych jest wzrost świadomości kwestii związanych z ochroną poufnych danych. Media, a co za tym idzie opinia publiczna, zainteresowane są upublicznieniem wszystkich wycieków danych, nie tylko tych najgroźniejszych dotyczących rządu, ale również takich, które nie spowodują żadnych szkód.

Liczba organizacji przetwarzających poufne dane wzrosła - w większości są to struktury pozarządowe.

Należy zwrócić uwagę na dość wysoki odsetek instytucji edukacyjnych. Z jednej strony, w instytucjach tych nie istnieje żaden czynnik motywujący do ochrony danych klienta (w tym przypadku dane dotyczące studentów); z drugiej strony, dyscyplina pracowników instytucji edukacyjnych jest znacznie mniejsza niż dyscyplina urzędników państwowych. Oba te czynniki powodują, że spadek liczby wycieków danych dotyczących studentów jest w najbliższej przyszłości wysoce nieprawdopodobny.

Dział analityczny firmy InfoWatch przewiduje wzrost ogólnej liczby wycieków danych w ciągu następnych trzech lat. Udział wycieków z instytucji rządowych nadal będzie powoli spadał, głównie z powodu wzrostu liczby organizacji, które przetwarzają dane osobowe.

Różnica między środkami bezpieczeństwa stosowanymi przez sektor rządowy i prywatny jest pomijalna i taka pozostanie w najbliższej przyszłości.

Charakter wycieków

Poniższy diagram przedstawia rozkład wycieków ze względu na typ danych. Tajemnice handlowe i know-how zostały zaliczone do jednej kategorii, ponieważ w większości państw traktowane są jako to samo (mimo że w Rosji know-how technicznie stanowi własność intelektualną). Co więcej, uchwycenie takich różnic prawnych na podstawie analizy mediów jest często niemożliwe. Kategoria "inne" obejmuje tajemnice rządowe oraz przypadki, gdy typ danych nie jest znany.

Rozkład wycieków ze względu na typ poufnych danych

W podobnym badaniu firmy InfoWatch z 2006 roku odsetek danych osobowych był niewiele niższy (81%) w porównaniu z 93% obecnie. Według nas, wzrost ten przekracza margines błędu statystycznego i odzwierciedla rzeczywisty wzrost liczby wycieków danych osobowych. Wartość takich danych wzrasta z każdym rokiem. Wraz z postępującą "wirtualizacją" gospodarki i rozwojem e-biznesu istnieje coraz więcej sposobów dokonywania kradzieży tożsamości, a co za tym idzie wzrasta zapotrzebowanie na dane osobowe.

Zwiększa się również wartość innych typów poufnych danych, jednak w porównaniu z danymi osobowymi wzrost ten jest znacznie wolniejszy.

Przewidujemy, że wartość danych osobowych nadal będzie rosła. Jednak ze względu na zwiększenie wewnętrznych środków bezpieczeństwa ogólna liczba wycieków nie wzrośnie.

Kanały wycieków

Znając potencjalne kanały wycieku danych, niezwykle ważne jest rozwinięcie organizacyjnych środków bezpieczeństwa oraz środków opartych na oprogramowaniu.

Poniższy diagram pokazuje rozkład wycieków ze względu na nośnik użyty do przeniesienia danych poza system danych.

Rozkład wycieków ze względu na nośnik

W porównaniu z 2006 rokiem, znacznie spadł odsetek urządzeń przenośnych (z 50% w 2006 roku do 39% w 2007 roku), wzrósł natomiast odsetek kanałów internetowych (z 12% w 2006 roku do 25% w 2007 r.). Udział procentowy innych nośników mieści się w granicach błędu statystycznego, dlatego uznano, że nie zmienił się. Wraz ze wzrostem liczby wycieków za pośrednictwem Internetu wzrasta zapotrzebowanie na systemy zapobiegania wyciekom danych online.

Warto zauważyć, że w roku 2006 odnotowano tylko jeden przypadek wycieku za pośrednictwem poczty elektronicznej. Wydawałoby się, że kanał ten jest najbardziej dostępny i najłatwiejszy do wykorzystywania. Jednak przepływ poczty elektronicznej można równie łatwo kontrolować, co wykorzystać.

Oprócz poważnych systemów zabezpieczających przed wewnętrznymi złodziejami na rynku dostępny jest szeroki wachlarz prymitywnych zabezpieczeń ruchu pocztowego. Zwykle są one zorientowane tylko na wiadomości, ponieważ łatwo je przeglądać i archiwizować. Zniechęca to przed wykorzystywaniem tego kanału do przekazywania poufnych danych. Przypadkowe wysłanie poufnych danych za pośrednictwem poczty elektronicznej też jest trudne.

Podczas tworzenia i integracji systemów zabezpieczających przed wyciekami istotne jest, aby kanały wycieków były "najbardziej popularne".

Jeżeli podane wyżej statystyki podzielimy na celowe i przypadkowe wycieki, okazuje się, że zarówno Internet, jak i urządzenia przenośne stanowią najpopularniejsze kanały przypadkowych wycieków danych. Często chodzi o przypadkową kradzież laptopa (dane nie są zamierzonym celem) lub przypadkowe współdzielenie plików. W przypadku celowej kradzieży danych, do najpowszechniejszych kanałów należą: "inny" oraz "niewykryty" (np. kradzież komputera stacjonarnego lub dysku twardego).

W przypadku integracji systemu zapobiegania wyciekom danych w organizacji, istotnym czynnikiem będzie różnica między danymi statycznymi dotyczącymi "celowych" i "przypadkowych" wycieków. Na przykład, po zainstalowaniu systemu kontroli ruchu internetowego (niebieskie sektory: 27% przypadkowych i 18% celowych), w pierwszym przypadku system może zapobiec 27% incydentów, w drugim o wiele mniej niż 18%.

Przestępca działa celowo i często wie o istnieniu systemu zapobiegania włamaniom. Z tego względu próbuje wykorzystać inne, niekontrolowane kanały. Ponieważ dyskretne wykorzystanie takich systemów zapobiegania jest praktycznie niemożliwe, skuteczność zapobiegania celowej kradzieży danych będzie niższa niż dla tych samych obszarów w diagramie dotyczącym wyciekom "przypadkowym".

Różnica między celowymi i przypadkowymi incydentami jest jasna. Jedynym obszarem, który może być problematyczny, jest kradzież komputera. Rozgraniczenie jest następujące. Jeżeli złodziej chciał ukraść dane, mamy do czynienia z kradzieżą celową. Jeżeli chciał ukraść cenny sprzęt, kradzież danych jest sprawą drugorzędną i zaliczymy ją do wycieków przypadkowych. Na szczęście media prawie zawsze informują o prawdziwych intencjach złodzieja.

 Rozkład wycieków ze względu na cel

W poprzednim badaniu mieliśmy podobny rozkład (77% i 23%). Różnicę między wynikami z roku 2006 i 2007 można przypisać wahaniom statystycznym. Nie jesteśmy zainteresowani znalezieniem potencjalnych przyczyn tej różnicy.

Nawet jeśli nie będziemy zwalczać wewnętrznych złodziei i skupimy się całkowicie na zapobieganiu przypadkowych wycieków danych, możemy zmniejszyć całkowitą liczbę wycieków o trzy czwarte, co znacznie obniża koszty. Samo zapobieganie przypadkowym wyciekom pozwala zaoszczędzić znaczną sumę pieniędzy, co jest wystarczającym powodem zintegrowania systemu zapobiegania.

Zatajanie

Do wielu wycieków, o których informują media, dochodzi podczas przenoszenia danych. Powszechne są również przypadki, gdy wycieki są widoczne dla osób z zewnątrz. Wyciek może być na przykład widoczny dla klientów firmy lub indeksowany przez wyszukiwarki.

Przypadki zgłaszania takich incydentów są nieliczne, ponieważ większość firm woli przemilczeć fakt, że doszło do takiego wycieku. Łatwiej to zrobić bez zewnętrznych świadków. W niektórych krajach zgłaszanie wycieku jest obowiązkowe, nawet jeśli nie powstała żadna szkoda. Mimo to wyciek można ukryć.

W rezultacie, znaczna liczba wycieków poufnych danych nie jest zgłaszana, szczególnie gdy dotyczy tylko jednej organizacji. Dlatego też statystyki takich incydentów nie są wiarygodne.

Trendy

Na rynku rozwiązań do wykrywania i zapobiegania wyciekom informacji wyróżniono następujące trendy:

Brak standardów i ujednoliconego podejścia

Chociaż wiele firm oferuje oprogramowanie do zapobiegania wyciekom danych, do tej pory nie opracowano jednego standardu takiego oprogramowania, zarówno na poziomie standardów prawnych, jak i praktyk biznesowych. Również klienci mają różne wymagania techniczne odnośnie takich rozwiązań.

Należy jednak pamiętać, że stworzenie standardów na podobnych rynkach (ochrona antywirusowa i antyspamowa) zajęło kilka lat.

Nieskuteczność rozwiązań czysto technicznych

Każdy problem należy rozwiązać przy użyciu odpowiednich metod. Ponieważ problem wycieków danych ma charakter społeczno-ekonomiczny, rozwiązanie musi opierać się na środkach społeczno-ekonomicznych. Metody techniczne mogą stanowić jedynie narzędzia egzekwowania polityki. Rozwiązanie problemu wycieków danych przy pomocy środków czysto technicznych jest niemożliwe. Każde rozwiązanie techniczne będzie posiadało "przeciw-rozwiązanie" itd.

Problem dodatkowo komplikują kwestie prawne. We wszystkich państwach istnieje ochrona prywatności osób. W niektórych z nich prawa te są niezbywalne, co oznacza, że nie można się ich zrzec. Wprowadzenie systemu zapobiegania wyciekom danych, który nie koliduje z prawem lokalnym jest trudne. Oprócz inżynierów wymaga to udziału ekspertów z dziedziny prawa już na początkowym etapie projektu.

Mimo to na rynku dostępne są w większości proste rozwiązania techniczne, które polegają na podstawowym filtrowaniu i monitorowaniu całego ruchu przychodzącego i wychodzącego z chronionej sieci. Naturalnie, zarówno wewnętrzni złodzieje jak i lojalni pracownicy mogą łatwo obejść takie prymitywne rozwiązania. Ponadto, często powodują naruszenie konstytucyjnych praw pracowników. Czysto techniczne rozwiązania mogą również zantagonizować pracowników lub osłabić ich lojalność. Takie rozwiązania mogą spowodować szkody zamiast zapewnić ochronę.

Kwestie organizacyjne, finansowe i prawne mogą zostać rozwiązane, jeżeli ochrona przed wyciekami wyjdzie od tych właśnie obszarów - jeśli projekt będzie rozwijany przez odpowiednich ekspertów, a nie tylko speców technicznych. Aspekt techniczny tego zagadnienia jest drugorzędny.

Brak kompleksowego rozwiązania

Należy zauważyć, że twórcy oprogramowania do zapobiegania wyciekom danych rzadko stosują kompleksowe podejście. Zwykle rozwiązanie chroni tylko jeden lub dwa kanały wycieków danych, głównie ruch WWW oraz pocztowy.

Chociaż kontrolowanie jednego lub dwóch kanałów może w pewnym stopniu zapobiec przypadkowej utracie danych, jest ono całkowicie bezużyteczne przeciwko złodziejom.

Integracja i implementacja

Na pierwszy rzut oka wydaje się, że zintegrowanie rozwiązania do ochrony przed wyciekami danych z kanałami komunikacyjnymi i oprogramowaniem jest korzystne. Obecnie jednak na rynku nie ma żadnego zintegrowanego rozwiązania. Najbliższy takiego rozwiązania jest interfejs programowy do aktywowania oprogramowania prewencyjnego (łącznie z zapobieganiem wycieków danych). Jednak interfejsy te rzadko spotykamy w zaporach sieciowych, routerach, punktach dostępowych itd.

Jednak programiści aktywnie pracują nad tym zagadnieniem. Niektórzy z nich zakupili produkty służące do zapobiegania wyciekom danych w celu zaimplementowania ich do produktów ogólnych.

W pełni zintegrowanego rozwiązanie prawdopodobnie nie będzie jeszcze dostępne przez kilku najbliższych lat. Podobne produkty, na przykład antywirusowe lub antyspamowe, nie zostały jeszcze zintegrowane z serwerami pocztowymi i systemami operacyjnymi.

Kaspersky Lab Polska