Nuo prevencijos – iki reakcijos:  kaip įmonėms valdyti duomenų saugumo rizikas

Pastaruoju metu viešojoje erdvėje aptariami duomenų saugumo incidentai primena: net ir pažangias apsaugos sistemas turinčios organizacijos gali tapti tikslingų sukčių atakų taikiniu. Vis dažniau nusikaltėliai nesistengia įsilaužti į sistemas technologinėmis priemonėmis – jie naudojasi socialine inžinerija, apsimeta institucijų, partnerių ar kolegų atstovais ir siekia įtikinti darbuotojus atskleisti informaciją arba atlikti veiksmus, kurių įprastai jie nedarytų.

SEB banko Prevencijos departamento vadovė Daiva Uosytė pabrėžia, kad patikimai atrodantis laiškas, dokumentas ar siuntėjo adresas savaime nėra pakankamas pagrindas teikti klientų, darbuotojų ar kitus konfidencialius duomenis.

„DI pagalba Sukčiai geba kruopščiai atkartoti institucijų komunikacijos stilių, naudoti tikrus pavadinimus, logotipus, pareigybes. Todėl darbuotojas neturėtų pasikliauti vien tuo, kad prašymas atrodo oficialus. Jei prašoma jautrių duomenų, ypač kai raginama veikti skubiai ar nesilaikyti įprastos tvarkos, prašymo autentiškumą būtina patikrinti papildomai, šiai rizikai valdyti turi būti ir atitinkami procesai bei instrukcijos“, – sako D. Uosytė.

Kuo jautresni duomenys – tuo daugiau kontrolės

Pasak jos, vienas svarbiausių principų – susisiekti su prašymą pateikusia institucija ar partneriu žinomu oficialiu kontaktu, o ne atsakyti į gautą laišką, perskambinti nurodytu numeriu ar spausti jame pateiktas nuorodas. Taip pat svarbu, kad sprendimas perduoti jautrius duomenis nebūtų paliktas vienam darbuotojui.

„Organizacijos turi būti iš anksto nusistačiusios aiškią tvarką: kas gali priimti ir vertinti tokius prašymus, kokiais atvejais būtinas papildomas vadovo, teisininko ar duomenų apsaugos specialisto įvertinimas ir kaip patikrinama prašymą pateikusio asmens tapatybė. Kuo jautresni duomenys, tuo daugiau turi būti kontrolės etapų“, – teigia SEB banko atstovė.

D. Uosytės teigimu, įmonėms svarbu taikyti mažiausios būtinos prieigos principą – darbuotojai turėtų matyti ir tvarkyti tik tuos duomenis, kurių iš tiesų reikia jų tiesioginėms funkcijoms atlikti. Prieigų teises reikėtų reguliariai peržiūrėti, o su jautria informacija atliekami veiksmai, pavyzdžiui, duomenų perdavimas kitiems asmenims ar organizacijoms turėtų būti registruojami ir, kai reikia, tvirtinami papildomai.

Daug lemia organizacijos kultūra

Technologinės priemonės taip pat išlieka esmine apsaugos dalimi. Daugiaveiksnė autentifikacija, stiprūs ir nesikartojantys slaptažodžiai, reguliariai atnaujinamos sistemos bei veiksmingas prieigų valdymas gali reikšmingai sumažinti neteisėtos prieigos riziką. Vis dėlto vien technologijų nepakanka.

„Saugumo spragą dažnai sukuria ne viena klaida, o aplinkybių visuma: skubėjimas, neaiškios procedūros, pernelyg plačios prieigos teisės ar darbuotojo baimė suabejoti tariamai autoritetingu prašymu. Todėl būtina ugdyti organizacijos kultūrą, kurioje sustoti, pasitikslinti ir pranešti apie įtarimą yra ne kliūtis darbui, o profesinio atsakingumo ženklas“, – pažymi D. Uosytė.

Ekspertė rekomenduoja organizacijoms reguliariai mokyti darbuotojus atpažinti socialinės inžinerijos požymius ir testuoti jų pasirengimą praktiniais scenarijais. Ypatingą dėmesį reikėtų atkreipti į prašymus veikti skubiai, perduoti daugiau informacijos nei įprasta, apeiti nustatytą tvirtinimo tvarką ar naudoti neįprastą ryšio kanalą.

Veiksmų būtina imtis nedelsiant

Jeigu kyla įtarimas, kad duomenys jau galėjo būti nutekinti, svarbiausia kuo greičiau minimalizuoti galimą žalą – apriboti prieigas, pakeisti prisijungimo duomenis, sustabdyti visus rizikingus procesus. Taip pat svarbu išsaugoti su incidentu susijusią informaciją – elektroninius laiškus, dokumentus, prisijungimų ir sistemų veiksmų žurnalus.

„Nereikėtų laukti, kol bus surinkti visi atsakymai. Incidentą būtina nedelsiant eskaluoti atsakingiems organizacijos specialistams – informacijos saugumo, teisės, duomenų apsaugos, rizikų valdymo ir komunikacijos komandoms. Tada galima įvertinti incidento mastą, nustatyti, kokie asmenys ir duomenys galėjo būti paveikti, bei priimti sprendimus dėl tolesnių veiksmų ir būtinos komunikacijos“, – sako D. Uosytė.

Jos teigimu, aiški ir savalaikė komunikacija incidento atveju yra svarbi tiek siekiant apsaugoti galimai nukentėjusius žmones nuo antrinių sukčiavimo bandymų, tiek išlaikant pasitikėjimą organizacija.

„Jei kyla rizika, kad asmenų duomenimis gali būti pasinaudota sukčiavimui, žmonėms reikia pateikti ne abstraktų pranešimą, o konkrečias rekomendacijas: į kokius laiškus, skambučius ar prašymus neatsakyti, kokią informaciją tikrinti ir kur kreiptis kilus įtarimams. Greita reakcija mažina pasekmes, tačiau ilgalaikį organizacijos atsparumą kuria nuosekli prevencija“, – apibendrina SEB banko Prevencijos departamento vadovė Daiva Uosytė.