211service.com
Náklady na špatné zabezpečení
Minulý měsíc společnost Sony odhalila cenu spojenou s odstraněním masivního narušení bezpečnosti, které odhalilo osobní údaje více než 100 milionů uživatelů jejích streamovacích mediálních služeb PlayStation Network a Qriocity: nejméně 171 milionů dolarů. Podle předsedy představenstva společnosti Sony Sira Howarda Stringera to bylo největší takové porušení, jaké kdy společnost zažila, a ohromující částka pokryje vylepšení zabezpečení, odškodnění zákazníků a vyšetřovací služby. Úplné mýtné se ale bude měřit hůře, protože bude zahrnovat ztrátu důvěry zákazníků ve společnost.
Držet krok: Poradenská společnost Enterprise Strategy Group se zeptala 308 IT profesionálů ve velkých společnostech, jaké faktory motivovaly jejich rozhodnutí zlepšit zabezpečení dat. Na prvním místě seznamu bylo dodržování předpisů
Tato epizoda byla připomínkou sázek souvisejících s bezpečností dat – a indikátorem toho, že mnoho organizací se nechrání dostatečně dobře. Pokud jde o všechny tyto bezpečnostní problémy, společnosti neutrácejí předem, ale musí utrácet spoustu peněz na zadní straně, aby věci opravily, říká Thomas Ristenpart, výzkumník počítačové bezpečnosti na University of Wisconsin, Madison.
Tento měsíc, Obchodní dopad se zaměřuje na zabezpečení dat proti krádeži a ztrátě. Prozkoumáme bezpečnostní taktiky, které by společnosti měly používat, investice, které by měly provádět, a otázky, které by si měly klást. Prozkoumáme chytré postupy pro mobilní zařízení, vzdálené pracovníky a cloud computing a získáme poznatky od předních myslitelů v oboru.
Hrozby pro bezpečnost informací se částečně množí, protože světová úložiště dat rychle rostou, protože náklady na úložiště prudce klesají a dostupnost počítačů a přístupu k síti se rozšiřuje. Jak tato mateřská zásoba dat roste, roste i její přitažlivost pro zločince a hackery.
Aby se podniky chránily, mohou zavést kontroly přístupu k důvěrným datům, šifrovat tato data a vhodně spravovat šifrovací klíče, auditovat aktivity uživatelů a přizvat konzultanty, aby zajistili, že bezpečnostní postupy jsou aktuální. A protože slabým článkem bezpečnostního řetězce jsou často lidé, jednou z nejdůležitějších věcí, které mohou podniky udělat, je jednoduše vyškolit zaměstnance na základní postupy zabezpečení dat. Balíček příběhů z tohoto měsíce bude tvrdit, že bezpečnost informací není jen záležitostí, o kterou se musí starat IT oddělení. Musí se registrovat v celé společnosti, počínaje nejvyššími úrovněmi, kde se rozhoduje o kapitálových investicích.
Velké starosti: Stejný průzkum od Enterprise Strategy Group požádal stejnou skupinu zaměstnanců IT, aby identifikovali slabá místa v zabezpečení své sítě.
Jedna velká výzva se promítla do plánu výzkumu kybernetické bezpečnosti z roku 2009 (PDF) vyrobeno Ministerstvem vnitřní bezpečnosti USA. Mimo jiné zjistil, že vzhledem k tomu, že se informační technologie a metody útoků tak rychle vyvíjejí, je pro organizace těžké určit, zda se jejich data stávají více či méně bezpečnými, zda jsou více či méně bezpečná než data jiných organizací a zda je úroveň investice se vyplatí. Nepomáhá, že mnoho organizací posuzuje základní otázky zabezpečení z krátkodobého finančního hlediska – i když je obtížné provést analýzy nákladů a přínosů, protože náklady na nepřijetí vhodných bezpečnostních opatření nemusí být patrné po mnoho let. Rozhodnutí vyplývající z takových analýz budou často z dlouhodobého hlediska škodlivá pro dosažení významných zlepšení zabezpečení, uvádí zpráva.
Záležitosti ještě více komplikuje, že když dojde k narušení dat, společnosti nejsou vždy zcela vstřícné. (Sony trvalo šest dní, než varovala uživatele, že jejich informace byly prozrazeny.) Rychlejší reakce by pomohla obětem nebo potenciálním obětem jednotlivcům nebo společnostem, jejichž data byla vystavena, podniknout kroky ke zmírnění škod.
Případné změny vládních nařízení by mohly zpřísnit pravidla, jak se taková porušení oznamují a co je třeba odhalovat. Ve Spojených státech v současné době upravuje odhalování narušení dat, která odhalují osobní údaje, 47 státních zákonů, ale prezident Obama nedávno navrhl, aby se tento proces řídil jediným federálním zákonem.
To by bylo užitečné, říká kryptolog Bruce Schneier, hlavní technolog globální telekomunikační společnosti BT – i když to, jak užitečné, závisí na tom, jak důkladný zákon se ukáže být. Nyní je jasné, že následky narušení dat jsou někdy nejasné. Nevíme, kdo měl přístup k datům – zda jsou to zločinci, děti nebo špióni, říká Schneier. Neznáme zranitelnost, která porušení způsobila. Někdy s jistotou víme jen to, kolik škody stály.