Οι παραβιάσεις δεδομένων βρίσκονται σε άνοδο – είναι γεγονός. Και σε εποχές σαν αυτές, είναι σημαντικό να αναρωτηθείτε – επαγρυπνείτε; Και το κυριότερο, είστε ενήμεροι και πληροφορημένοι;

Τα ακόλουθα στοιχεία προκύπτουν από την πρόσφατη έκθεση της Verizon για το 2019. Στην έκθεση με τον τίτλο «2019 Verizon Data Breach Investigations Report» προσδιορίζονται τόσο εκείνοι που βρίσκονται πίσω από τις παραβιάσεις, όσο και τα θύματα. Στην έκθεση εξετάστηκαν 41686 περιστατικά ασφαλείας, εκ των οποίων τα 2013 επιβεβαιώθηκαν ότι ήταν παραβιάσεις δεδομένων,

Τα θύματα

Αναφορικά με τα δημογραφικά στοιχεία των θυμάτων και την βιομηχανική ανάλυση ειδικότερα, από τις 20 βιομηχανίες που καλύπτει η έκθεση, μόνο ο Δημόσιος τομέας βρέθηκε σε υψηλότερη θέση από την Υγειονομική Περίθαλψη και τον Χρηματοπιστωτικό τομέα, για τον αριθμό των καταγεγραμμένων παραβιάσεων.

• Το 16% ήταν παραβιάσεις οντοτήτων του Δημοσίου τομέα
• Το 15% ήταν παραβιάσεις που σχετίζονταν με οργανισμούς Υγειονομικής περίθαλψης
• Το 10% αφορούσαν παραβιάσεις δεδομένων στην χρηματοπιστωτική βιομηχανία

Οι συγκεκριμένες βιομηχανίες παραμένουν στις τρεις πρώτες θέσεις όσον αφορά στα επηρεαζόμενα θύματα, και δεν αποτελεί έκπληξη, που ταυτόχρονα είναι και οι τρεις βιομηχανίες που κατέχουν τα περισσότερα προσωπικά αναγνωρίσιμα στοιχεία (Personally Identifiable Information, PII) και ευαίσθητα δεδομένα των καταναλωτών. Πράγματι, σύμφωνα με την έρευνα, εσωτερικά δεδομένα, διαπιστευτήρια και προσωπικές πληροφορίες κατέχουν την υψηλότερη θέση στα είδη δεδομένων που  διακυβεύονται κατά τις παραβιάσεις.

Ειδικά οι οργανισμοί υγειονομικής περίθαλψης διαθέτουν τεράστιες ποσότητες προστατευμένων πληροφοριών υγειονομικής περίθαλψης (PHI), που αν βρεθούν σε λάθος χέρια, θα μπορούσαν να είναι επιζήμιες για όλους τους εμπλεκόμενους. Σύμφωνα με την τελευταία έκθεση της HIPAA Journal, «April 2019 Healthcare Data Breach Report» (HIPPA, Health Insurance Portability and Accountability Act), ο περασμένος Απρίλης ήταν ο χειρότερος μήνας από την άποψη του αριθμού των παραβιάσεων δεδομένων υγειονομικής περίθαλψης από τον Οκτώβριο του 2009, δηλαδή από τότε που ξεκίνησαν οι εκθέσεις του είδους. Για παράδειγμα, οι Gulf Coast Pain Consultants, LLC d/b/a Clearway Pain Solutions Institute ανακοίνωσαν πρόσφατα ότι κάποιοι απέκτησαν μη εξουσιοδοτημένη πρόσβαση στο ηλεκτρονικό σύστημα ιατρικών αρχείων τους (Electronic Medical Record System), με αποτέλεσμα την έκθεση σχεδόν 35 χιλιάδων αρχείων με δεδομένα και πληροφορίες ασθενών, στα οποία συμπεριλαμβάνονταν οι αριθμοί κοινωνικής ασφάλισης και πληροφορίες που σχετίζονται με ασφάλειες ζωής ή ιατροφαρμακευτικής περίθαλψης κ.ά.

Οι ένοχοι

Οπότε ποιος είναι ο υπεύθυνος; Στην έκθεση προσδιορίζεται ότι η κύρια απειλή είναι επιτιθέμενοι εκτός των οργανισμών που χρησιμοποιούν διάφορες τεχνικές hacking ή malware μεταξύ άλλων. Παρόλα αυτά, μία κρίσιμης σημασίας διαπίστωση, είναι ότι εκτός από τους εξωτερικούς παράγοντες, υπάρχει και η απειλή της κατάχρησης προνομίων και της κακομεταχείριση δεδομένων από υπαλλήλους και γενικότερα από το εσωτερικό των οργανισμών που οδηγούν σε παραβιάσεις δεδομένων.

• Το 69% των παραβιάσεων προκλήθηκαν από εξωτερικούς παράγοντες
• Το 34% των παραβιάσεων αφορούσε εσωτερικούς παράγοντες
• Το 15% οφειλόταν σε κακοδιαχείριση ή κακή χρήση (προνομίων) από εξουσιοδοτημένους χρήστες

Από τα προαναφερθέντα στοιχεία, είναι σαφές ότι η απειλή από τους «insiders» (που προέρχεται από το εσωτερικό ενός οργανισμού για παράδειγμα) είναι ανάλογη με εκείνη των εξωτερικών παραγόντων και δεν πρέπει να αγνοείται.

Πρόσφατες αναφορές υποδεικνύουν ότι αρκετό καιρό πριν τα Facebook, Twitter και Instagram, υπάλληλοι του MySpace καταχράζονταν τα δικαιώματα πρόσβασης τους χρησιμοποιώντας ένα ειδικό εργαλείο για να κατασκοπεύουν τους χρήστες. Και τον ερχόμενο μήνα μαθεύτηκε ότι υπάλληλοι του Snapchat έκαναν ακριβώς το ίδιο πράγμα για να έχουν πρόσβαση στην τοποθεσία των χρηστών, για να αποθηκεύουν Snaps, τηλεφωνικούς αριθμούς και διευθύνσεις ηλεκτρονικού ταχυδρομείου.

Η σημασία της επαγρύπνησης

Είναι πολύ σημαντικό να αναγνωρίσετε, ότι όταν συμβαίνουν παραβιάσεις, μερικές φορές μπορούν να περάσουν απαρατήρητες για μεγάλο χρονικό διάστημα. Στην πρόσφατη έκθεση της Verizon, «2019 Verizon Data Breach Investigations Report», επισημαίνεται ότι στο 56% των παραβιάσεων χρειάστηκε μήνας ή και μεγαλύτερο χρονικό διάστημα για να γίνουν αντιληπτές. Και αυτό είναι κάτι που πρέπει να σας βάλει σε σκέψεις λαμβάνοντας υπόψη τις πρόσφατες αλλαγές στην νομοθεσία και στους κανονισμούς προστασίας των δεδομένων σε παγκόσμιο επίπεδο. Το αποτέλεσμα τέτοιων αποκλίσεων –χρονικά- μπορεί να οδηγήσει σε καταστροφικά, δυσβάσταχτα πρόστιμα και σε ανεπανόρθωτη βλάβη της φήμης του οργανισμού σας, μεταξύ άλλων επιζήμιων συνεπειών.

Είναι λοιπόν κρίσιμης σημασίας να κάνετε τους υπαλλήλους σας να αναλάβουν κάποιον ρόλο στην ομάδας ασφαλείας του οργανισμού σας, καθώς πρόκειται για ένα από τα μεγαλύτερα περιουσιακά σας στοιχεία στο οικοσύστημα ασφαλείας σας. Αν εμφυσήσετε τη νοοτροπία «πρώτα έρχεται η ασφάλεια» στους χρήστες σας, θα σας βοηθήσει στον τομέα της «επαγρύπνησης»: στην αναγνώριση κάποιας δυνητικά ύποπτης συμπεριφοράς καθώς και στην διαχείριση των ευαίσθητων δεδομένων με την απαραίτητη υπευθυνότητα.

Παράλληλα με το άγρυπνο προσωπικό σας, το λογισμικό ταξινόμησης δεδομένων μπορεί επίσης να παίξει καθοριστικό ρόλο στην πρόληψη των παραβιάσεων δεδομένων, βοηθώντας στην ευαισθητοποίηση των χρηστών και στον έλεγχο των δεδομένων, με στόχο την προστασία των κρίσιμης σημασίας δεδομένων της επιχείρησης, και προσφέροντας ενσωματωμένα εργαλεία αναφοράς, όπως το Boldon James Classifier Reporting, για να σας βοηθήσουν με την παρακολούθηση και το reporting περιστατικών ταξινόμησης, καθώς και με την διαχείριση των ταξινομημένων δεδομένων εντός του οργανισμού.

Μπορείτε να διαβάσετε το πρωτότυπο άρθρο, εδώ.