REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Wycieki danych 2007-2008. Jak było i jak będzie.

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Kaspersky Lab Polska
inforCMS

REKLAMA

REKLAMA

Raport zawiera podsumowanie globalnych incydentów naruszenia bezpieczeństwa IT, jakie miały miejsce w zeszłym roku. Celem projektu było zbadanie wszystkich wycieków poufnych danych (łącznie z wyciekami danych osobistych), o których informowały media. Przeanalizowaliśmy wycieki z całego świata we wszystkich typach korporacji.

Baza wycieków jest prowadzona od 2004 r. przez centrum analityczne InfoWatch (marka należąca do Kaspersky Lab). Do dzisiaj zgromadzono dane o kilku tysiącach wycieków. Baza ta posłużyła za podstawę analizy.

REKLAMA


Źródło wycieków danych

REKLAMA


W 2006 roku specjaliści nie dostrzegli wyraźnych prawidłowości geograficznych związanych z występowaniem wycieków danych. Nie oznacza to jednak, że takie prawidłowości nie istnieją. Jeżeli większość informacji o wyciekach pochodzi z mediów, uwzględnienie państwa pochodzenia znacząco zniekształca rezultaty analizy wycieków.

Każde państwo posiada odrębne ustawy o mediach, własne reguły i praktyki dotyczące poufności danych, nie wspominając o problemach związanych z barierą językową. Z tego powodu analiza ta nie zawiera rozkładu wycieków danych ze względu na kraj.


Poniższy diagram pokazuje rozkład wycieków ze względu na typ organizacji. W zeszłym roku dokonaliśmy podziału na organizacje rządowe i prywatne. W tym roku oprócz instytucji rządowych i prywatnych korporacji uwzględniliśmy również organizacje not-for-profit (głównie instytucje edukacyjne).

Dalszy ciąg materiału pod wideo

 

Rozkład wycieków ze względu na typ organizacji


W podobnym badaniu przeprowadzonym przez InfoWatch w 2006 roku odsetek instytucji rządowych wynosił 34%, natomiast organizacji prywatnych 66%. W 2007 roku udział instytucji rządowych spadł do 22%. Ponieważ nic nie wskazywało na to, że zmieniły się polityki dotyczące upubliczniania wycieków, oznacza to, że instytucje rządowe zwiększyły swoje wewnętrzne środki bezpieczeństwa.

REKLAMA


Ogólnie, w instytucjach rządowych łatwiej jest wprowadzić niezbędne środki bezpieczeństwa, ponieważ łatwiej jest obejść problemy prawne. Obejmują one istniejący w większości krajów ogólny zakaz przeglądania wiadomości przekazywanych za pośrednictwem kanałów komunikacyjnych. Metody obejścia takiego zakazu różnią się w zależności od państwa, jednak znacznie łatwiej zastosować je przez instytucję rządową.


Innym powodem spadku liczby wycieków danych rządowych jest wzrost świadomości kwestii związanych z ochroną poufnych danych. Media, a co za tym idzie opinia publiczna, zainteresowane są upublicznieniem wszystkich wycieków danych, nie tylko tych najgroźniejszych dotyczących rządu, ale również takich, które nie spowodują żadnych szkód.


Liczba organizacji przetwarzających poufne dane wzrosła - w większości są to struktury pozarządowe.


Należy zwrócić uwagę na dość wysoki odsetek instytucji edukacyjnych. Z jednej strony, w instytucjach tych nie istnieje żaden czynnik motywujący do ochrony danych klienta (w tym przypadku dane dotyczące studentów); z drugiej strony, dyscyplina pracowników instytucji edukacyjnych jest znacznie mniejsza niż dyscyplina urzędników państwowych. Oba te czynniki powodują, że spadek liczby wycieków danych dotyczących studentów jest w najbliższej przyszłości wysoce nieprawdopodobny.


Dział analityczny firmy InfoWatch przewiduje wzrost ogólnej liczby wycieków danych w ciągu następnych trzech lat. Udział wycieków z instytucji rządowych nadal będzie powoli spadał, głównie z powodu wzrostu liczby organizacji, które przetwarzają dane osobowe.


Różnica między środkami bezpieczeństwa stosowanymi przez sektor rządowy i prywatny jest pomijalna i taka pozostanie w najbliższej przyszłości.


Charakter wycieków


Poniższy diagram przedstawia rozkład wycieków ze względu na typ danych. Tajemnice handlowe i know-how zostały zaliczone do jednej kategorii, ponieważ w większości państw traktowane są jako to samo (mimo że w Rosji know-how technicznie stanowi własność intelektualną). Co więcej, uchwycenie takich różnic prawnych na podstawie analizy mediów jest często niemożliwe. Kategoria "inne" obejmuje tajemnice rządowe oraz przypadki, gdy typ danych nie jest znany.

Rozkład wycieków ze względu na typ poufnych danych


W podobnym badaniu firmy InfoWatch z 2006 roku odsetek danych osobowych był niewiele niższy (81%) w porównaniu z 93% obecnie. Według nas, wzrost ten przekracza margines błędu statystycznego i odzwierciedla rzeczywisty wzrost liczby wycieków danych osobowych. Wartość takich danych wzrasta z każdym rokiem. Wraz z postępującą "wirtualizacją" gospodarki i rozwojem e-biznesu istnieje coraz więcej sposobów dokonywania kradzieży tożsamości, a co za tym idzie wzrasta zapotrzebowanie na dane osobowe.


Zwiększa się również wartość innych typów poufnych danych, jednak w porównaniu z danymi osobowymi wzrost ten jest znacznie wolniejszy.


Przewidujemy, że wartość danych osobowych nadal będzie rosła. Jednak ze względu na zwiększenie wewnętrznych środków bezpieczeństwa ogólna liczba wycieków nie wzrośnie.


Kanały wycieków


Znając potencjalne kanały wycieku danych, niezwykle ważne jest rozwinięcie organizacyjnych środków bezpieczeństwa oraz środków opartych na oprogramowaniu.

Poniższy diagram pokazuje rozkład wycieków ze względu na nośnik użyty do przeniesienia danych poza system danych.

 

Rozkład wycieków ze względu na nośnik


W porównaniu z 2006 rokiem, znacznie spadł odsetek urządzeń przenośnych (z 50% w 2006 roku do 39% w 2007 roku), wzrósł natomiast odsetek kanałów internetowych (z 12% w 2006 roku do 25% w 2007 r.). Udział procentowy innych nośników mieści się w granicach błędu statystycznego, dlatego uznano, że nie zmienił się. Wraz ze wzrostem liczby wycieków za pośrednictwem Internetu wzrasta zapotrzebowanie na systemy zapobiegania wyciekom danych online.


Warto zauważyć, że w roku 2006 odnotowano tylko jeden przypadek wycieku za pośrednictwem poczty elektronicznej. Wydawałoby się, że kanał ten jest najbardziej dostępny i najłatwiejszy do wykorzystywania. Jednak przepływ poczty elektronicznej można równie łatwo kontrolować, co wykorzystać.


Oprócz poważnych systemów zabezpieczających przed wewnętrznymi złodziejami na rynku dostępny jest szeroki wachlarz prymitywnych zabezpieczeń ruchu pocztowego. Zwykle są one zorientowane tylko na wiadomości, ponieważ łatwo je przeglądać i archiwizować. Zniechęca to przed wykorzystywaniem tego kanału do przekazywania poufnych danych. Przypadkowe wysłanie poufnych danych za pośrednictwem poczty elektronicznej też jest trudne.

Podczas tworzenia i integracji systemów zabezpieczających przed wyciekami istotne jest, aby kanały wycieków były "najbardziej popularne".


Jeżeli podane wyżej statystyki podzielimy na celowe i przypadkowe wycieki, okazuje się, że zarówno Internet, jak i urządzenia przenośne stanowią najpopularniejsze kanały przypadkowych wycieków danych. Często chodzi o przypadkową kradzież laptopa (dane nie są zamierzonym celem) lub przypadkowe współdzielenie plików. W przypadku celowej kradzieży danych, do najpowszechniejszych kanałów należą: "inny" oraz "niewykryty" (np. kradzież komputera stacjonarnego lub dysku twardego).

 

Rozkład wycieków ze względu na nośnik z uwzględnieniem wycieków celowych (pierwszy diagram) i przypadkowych (drugi diagram)

 

W przypadku integracji systemu zapobiegania wyciekom danych w organizacji, istotnym czynnikiem będzie różnica między danymi statycznymi dotyczącymi "celowych" i "przypadkowych" wycieków. Na przykład, po zainstalowaniu systemu kontroli ruchu internetowego (niebieskie sektory: 27% przypadkowych i 18% celowych), w pierwszym przypadku system może zapobiec 27% incydentów, w drugim o wiele mniej niż 18%.


Przestępca działa celowo i często wie o istnieniu systemu zapobiegania włamaniom. Z tego względu próbuje wykorzystać inne, niekontrolowane kanały. Ponieważ dyskretne wykorzystanie takich systemów zapobiegania jest praktycznie niemożliwe, skuteczność zapobiegania celowej kradzieży danych będzie niższa niż dla tych samych obszarów w diagramie dotyczącym wyciekom "przypadkowym".


Różnica między celowymi i przypadkowymi incydentami jest jasna. Jedynym obszarem, który może być problematyczny, jest kradzież komputera. Rozgraniczenie jest następujące. Jeżeli złodziej chciał ukraść dane, mamy do czynienia z kradzieżą celową. Jeżeli chciał ukraść cenny sprzęt, kradzież danych jest sprawą drugorzędną i zaliczymy ją do wycieków przypadkowych. Na szczęście media prawie zawsze informują o prawdziwych intencjach złodzieja.

 

 Rozkład wycieków ze względu na cel


W poprzednim badaniu mieliśmy podobny rozkład (77% i 23%). Różnicę między wynikami z roku 2006 i 2007 można przypisać wahaniom statystycznym. Nie jesteśmy zainteresowani znalezieniem potencjalnych przyczyn tej różnicy.


Nawet jeśli nie będziemy zwalczać wewnętrznych złodziei i skupimy się całkowicie na zapobieganiu przypadkowych wycieków danych, możemy zmniejszyć całkowitą liczbę wycieków o trzy czwarte, co znacznie obniża koszty. Samo zapobieganie przypadkowym wyciekom pozwala zaoszczędzić znaczną sumę pieniędzy, co jest wystarczającym powodem zintegrowania systemu zapobiegania.


Zatajanie

Do wielu wycieków, o których informują media, dochodzi podczas przenoszenia danych. Powszechne są również przypadki, gdy wycieki są widoczne dla osób z zewnątrz. Wyciek może być na przykład widoczny dla klientów firmy lub indeksowany przez wyszukiwarki.


Przypadki zgłaszania takich incydentów są nieliczne, ponieważ większość firm woli przemilczeć fakt, że doszło do takiego wycieku. Łatwiej to zrobić bez zewnętrznych świadków. W niektórych krajach zgłaszanie wycieku jest obowiązkowe, nawet jeśli nie powstała żadna szkoda. Mimo to wyciek można ukryć.


W rezultacie, znaczna liczba wycieków poufnych danych nie jest zgłaszana, szczególnie gdy dotyczy tylko jednej organizacji. Dlatego też statystyki takich incydentów nie są wiarygodne.


Trendy

Na rynku rozwiązań do wykrywania i zapobiegania wyciekom informacji wyróżniono następujące trendy:


Brak standardów i ujednoliconego podejścia

Chociaż wiele firm oferuje oprogramowanie do zapobiegania wyciekom danych, do tej pory nie opracowano jednego standardu takiego oprogramowania, zarówno na poziomie standardów prawnych, jak i praktyk biznesowych. Również klienci mają różne wymagania techniczne odnośnie takich rozwiązań.

Należy jednak pamiętać, że stworzenie standardów na podobnych rynkach (ochrona antywirusowa i antyspamowa) zajęło kilka lat.


Nieskuteczność rozwiązań czysto technicznych

Każdy problem należy rozwiązać przy użyciu odpowiednich metod. Ponieważ problem wycieków danych ma charakter społeczno-ekonomiczny, rozwiązanie musi opierać się na środkach społeczno-ekonomicznych. Metody techniczne mogą stanowić jedynie narzędzia egzekwowania polityki. Rozwiązanie problemu wycieków danych przy pomocy środków czysto technicznych jest niemożliwe. Każde rozwiązanie techniczne będzie posiadało "przeciw-rozwiązanie" itd.


Problem dodatkowo komplikują kwestie prawne. We wszystkich państwach istnieje ochrona prywatności osób. W niektórych z nich prawa te są niezbywalne, co oznacza, że nie można się ich zrzec. Wprowadzenie systemu zapobiegania wyciekom danych, który nie koliduje z prawem lokalnym jest trudne. Oprócz inżynierów wymaga to udziału ekspertów z dziedziny prawa już na początkowym etapie projektu.


Mimo to na rynku dostępne są w większości proste rozwiązania techniczne, które polegają na podstawowym filtrowaniu i monitorowaniu całego ruchu przychodzącego i wychodzącego z chronionej sieci. Naturalnie, zarówno wewnętrzni złodzieje jak i lojalni pracownicy mogą łatwo obejść takie prymitywne rozwiązania. Ponadto, często powodują naruszenie konstytucyjnych praw pracowników. Czysto techniczne rozwiązania mogą również zantagonizować pracowników lub osłabić ich lojalność. Takie rozwiązania mogą spowodować szkody zamiast zapewnić ochronę.


Kwestie organizacyjne, finansowe i prawne mogą zostać rozwiązane, jeżeli ochrona przed wyciekami wyjdzie od tych właśnie obszarów - jeśli projekt będzie rozwijany przez odpowiednich ekspertów, a nie tylko speców technicznych. Aspekt techniczny tego zagadnienia jest drugorzędny.


Brak kompleksowego rozwiązania

Należy zauważyć, że twórcy oprogramowania do zapobiegania wyciekom danych rzadko stosują kompleksowe podejście. Zwykle rozwiązanie chroni tylko jeden lub dwa kanały wycieków danych, głównie ruch WWW oraz pocztowy.

Chociaż kontrolowanie jednego lub dwóch kanałów może w pewnym stopniu zapobiec przypadkowej utracie danych, jest ono całkowicie bezużyteczne przeciwko złodziejom.


Integracja i implementacja

Na pierwszy rzut oka wydaje się, że zintegrowanie rozwiązania do ochrony przed wyciekami danych z kanałami komunikacyjnymi i oprogramowaniem jest korzystne. Obecnie jednak na rynku nie ma żadnego zintegrowanego rozwiązania. Najbliższy takiego rozwiązania jest interfejs programowy do aktywowania oprogramowania prewencyjnego (łącznie z zapobieganiem wycieków danych). Jednak interfejsy te rzadko spotykamy w zaporach sieciowych, routerach, punktach dostępowych itd.


Jednak programiści aktywnie pracują nad tym zagadnieniem. Niektórzy z nich zakupili produkty służące do zapobiegania wyciekom danych w celu zaimplementowania ich do produktów ogólnych.


W pełni zintegrowanego rozwiązanie prawdopodobnie nie będzie jeszcze dostępne przez kilku najbliższych lat. Podobne produkty, na przykład antywirusowe lub antyspamowe, nie zostały jeszcze zintegrowane z serwerami pocztowymi i systemami operacyjnymi.


Kaspersky Lab Polska

 

Zapisz się na newsletter
Zakładasz firmę? A może ją rozwijasz? Chcesz jak najbardziej efektywnie prowadzić swój biznes? Z naszym newsletterem będziesz zawsze na bieżąco.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

REKLAMA

Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Polscy wykonawcy działający na rynku niemieckim powinni znać VOB/B

VOB/B nadal jest w Niemczech często stosowanym narzędziem prawnym. Jak w pełni wykorzystać zalety tego sprawdzonego zbioru przepisów, minimalizując jednocześnie ryzyko?

BCC ostrzega: firmy muszą przyspieszyć wdrażanie KSeF. Ustawa już po pierwszym czytaniu w Sejmie

Prace legislacyjne nad ustawą wdrażającą Krajowy System e-Faktur (KSeF) wchodzą w końcową fazę. Sejm skierował projekt nowelizacji VAT do komisji finansów publicznych, która pozytywnie go zaopiniowała wraz z poprawkami.

Zakupy w sklepie stacjonarnym a reklamacja. Co może konsument?

Od wielu lat obowiązuje ustawa o prawach konsumenta. W wyniku implementowania do polskiego systemu prawa regulacji unijnej, od 1 stycznia 2023 r. wprowadzono do tej ustawy bardzo ważne, korzystne dla konsumentów rozwiązania.

Ponad 650 tys. firm skorzystało z wakacji składkowych w pierwszym półroczu

Zakład Ubezpieczeń Społecznych informuje, że w pierwszym półroczu 2025 r. z wakacji składkowych skorzystało 657,5 tys. przedsiębiorców. Gdzie można znaleźć informacje o uldze?

REKLAMA

Vibe coding - czy AI zredukuje koszty tworzenia oprogramowania, a programiści będą zbędni?

Kiedy pracowałem wczoraj wieczorem nad newsletterem, do szablonu potrzebowałem wołacza imienia – chciałem, żeby mail zaczynał się od “Witaj Marku”, zamiast „Witaj Marek”. W Excelu nie da się tego zrobić w prosty sposób, a na ręczne przerobienie wszystkich rekordów straciłbym długie godziny. Poprosiłem więc ChatGPT o skrypt, który zrobi to za mnie. Po trzech sekundach miałem działający kod, a wołacze przerobiłem w 20 minut. Więcej czasu zapewne zajęłoby spotkanie, na którym zleciłbym komuś to zadanie. Czy coraz więcej takich zadań nie będzie już wymagać udziału człowieka?

Wellbeing, który naprawdę działa. Arłamów Business Challenge 2025 pokazuje, jak budować silne organizacje w czasach kryzysu zaangażowania

Arłamów, 30 czerwca 2025 – „Zaangażowanie pracowników w Polsce wynosi jedynie 8%. Czas przestać mówić o benefitach i zacząć praktykować realny well-doing” – te słowa Jacka Santorskiego, psychologa biznesu i społecznego, wybrzmiały wyjątkowo mocno w trakcie tegorocznej edycji Arłamów Business Challenge.

Nie uczą się i nie pracują. Polscy NEET często są niewidzialni dla systemu

Jak pokazuje najnowszy raport Polskiej Agencji Rozwoju Przedsiębiorczości, około 10% młodych Polaków nie uczy się ani nie pracuje. Kim są polscy NEET i dlaczego jest to realny problem społeczny?

Polska inwestycyjna zapaść – co hamuje rozwój i jak to zmienić?

Od 2015 roku stopa inwestycji w Polsce systematycznie spada. Choć może się to wydawać abstrakcyjnym wskaźnikiem makroekonomicznym, jego skutki odczuwamy wszyscy – wolniejsze tempo wzrostu gospodarczego, mniejszy przyrost zamożności, trudniejsza pogoń za Zachodem. Dlaczego tak się dzieje i czy można to odwrócić? O tym rozmawiali Szymon Glonek oraz dr Anna Szymańska z Polskiego Instytutu Ekonomicznego.

REKLAMA

Firma za granicą jako narzędzie legalnej optymalizacji podatkowej. Fakty i mity

W dzisiejszych czasach, gdy przedsiębiorcy coraz częściej stają przed koniecznością konkurowania na globalnym rynku, pojęcie optymalizacji podatkowej staje się jednym z kluczowych elementów strategii biznesowej. Wiele osób kojarzy jednak przenoszenie firmy za granicę głównie z próbą unikania podatków lub wręcz z działaniami nielegalnymi. Tymczasem, właściwie zaplanowana firma za granicą może być w pełni legalnym i etycznym narzędziem zarządzania obciążeniami fiskalnymi. W tym artykule obalimy popularne mity, przedstawimy fakty, wyjaśnimy, które rozwiązania są legalne, a które mogą być uznane za agresywną optymalizację. Odpowiemy też na kluczowe pytanie: czy polski przedsiębiorca faktycznie zyskuje, przenosząc działalność poza Polskę?

5 sprawdzonych metod pozyskiwania klientów B2B, które działają w 2025 roku

Pozyskiwanie klientów biznesowych w 2025 roku wymaga elastyczności, innowacyjności i umiejętnego łączenia tradycyjnych oraz nowoczesnych metod sprzedaży. Zmieniające się preferencje klientów, rozwój technologii i rosnące znaczenie relacji międzyludzkich sprawiają, że firmy muszą dostosować swoje strategie, aby skutecznie docierać do nowych odbiorców. Dobry prawnik zadba o zgodność strategii z przepisami prawa oraz zapewni ochronę interesów firmy. Oto pięć sprawdzonych metod, które pomogą w pozyskiwaniu klientów w obecnym roku.

REKLAMA