5 βέλτιστες πρακτικές για τη δημιουργία στρατηγικής πρόληψης απώλειας δεδομένων

Αρκετές πρόσφατες περιπτώσεις απώλειας δεδομένων υψηλού προφίλ χρησιμεύουν ως προειδοποιητικές ιστορίες για τους οργανισμούς που χειρίζονται ευαίσθητα δεδομένα — συμπεριλαμβανομένης μιας πρόσφατης περίπτωσης όπου η προσωπικά δεδομένα σχεδόν μισού εκατομμυρίου Ιάπωνων πολιτών τέθηκε σε συμβιβαστική θέση όταν η μονάδα USB στην οποία ήταν αποθηκευμένη ήταν λάθος.

Ανεξάρτητα από τον κλάδο, όλες οι επιχειρήσεις χειρίζονται ευαίσθητα δεδομένα — είτε πρόκειται για αποθήκευση HR ή αρχεία μισθοδοσίας που περιλαμβάνουν τραπεζικά στοιχεία και αριθμούς κοινωνικής ασφάλισης είτε για ασφαλή καταγραφή στοιχείων πληρωμής. Ως εκ τούτου, οι επιχειρήσεις όλων των μεγεθών θα πρέπει να έχουν α Πρόληψη απώλειας δεδομένων (DLP) στρατηγική που να καλύπτει ολόκληρο τον οργανισμό. Οι οργανισμοί θα πρέπει να ενημερώνουν συχνά τη στρατηγική τους για το DLP, για να λάβουν υπόψη όχι μόνο την εξέλιξη του τρόπου αποθήκευσης, διαχείρισης και μεταφοράς δεδομένων, αλλά και για τις εξελίξεις στο έγκλημα στον κυβερνοχώρο.

Ορισμένες επιχειρήσεις έχουν προσθέσει επαγγελματίες ασφάλειας πληροφοριών για να επικεντρωθούν αποκλειστικά στο DLP, αλλά ολόκληρη η ομάδα ασφάλειας στον κυβερνοχώρο θα πρέπει να έχει την ευθύνη για την προστασία ευαίσθητων δεδομένων. Μια ισχυρή στρατηγική DLP προστατεύει τους πελάτες και διατηρεί την ακεραιότητα των λειτουργιών δεδομένων. Ακολουθούν ορισμένες βέλτιστες πρακτικές για την καθοδήγηση των οργανισμών καθώς εργάζονται για την ανάπτυξη μιας νέας στρατηγικής DLP ή τη βελτίωση μιας υπάρχουσας:

1. Μάθετε ποια δεδομένα είναι ευαίσθητα

Μπορεί να είναι δελεαστικό για τους οργανισμούς να εφαρμόζουν ένα καθολικό πρότυπο για την ασφάλεια δεδομένων σε όλη την επιχείρησή τους, αλλά η τοποθέτηση προστατευτικών κιγκλιδωμάτων για όλες τις πληροφορίες και κάθε διαδικασία μπορεί να είναι μια δαπανηρή και επαχθής εργασία. Εξετάζοντας τους διαφορετικούς τύπους δεδομένων στα οποία συνεργάζονται και έχουν πρόσβαση οι εργαζόμενοι, οι ηγέτες μπορούν να καθορίσουν ποια δεδομένα χαρακτηρίζονται ως ευαίσθητα και να προσαρμόσουν τις στρατηγικές του οργανισμού τους για να προστατεύσουν τα δεδομένα που έχουν μεγαλύτερη σημασία. Όταν οι ηγέτες εξοικειώνονται με τη ροή των δεδομένων του οργανισμού τους, τους επιτρέπει να εντοπίσουν τα άτομα και τα τμήματα που πρέπει να δώσουν περισσότερο έμφαση στα μέτρα κυβερνοασφάλειας.

2. Backup, Backup, Backup

Μια ουγγιά πρόληψης αξίζει μια λίβρα θεραπείας — και όταν ασχολούμαστε με ευαίσθητα δεδομένα, μπορεί να αξίζει ακόμη και εκατομμύρια εάν τα δεδομένα ενός οργανισμού είναι κρατείται για λύτρα ή να οδηγήσει σε δαπανηρή απώλεια IP. Μόλις οι επιχειρήσεις εντοπίσουν τους συγκεκριμένους τύπους δεδομένων που θεωρούνται ευαίσθητα, οι εργαζόμενοι θα πρέπει να δημιουργούν αντίγραφα ασφαλείας σε πολλά σημεία, όλα με ασφαλή πρωτόκολλα. Τα αντίγραφα ασφαλείας προστατεύουν από ζημιές από κατεστραμμένα αρχεία και τυχαία διαγραφή και καθιστούν την εταιρεία λιγότερο ευάλωτη σε εκβιαστές που μπορεί να προσπαθήσουν να κρατήσουν δεδομένα για λύτρα. Τα αντίγραφα ασφαλείας σε συσκευές αποθήκευσης ή διακομιστές με διάκενο αέρα είναι τα πιο ασφαλή, καθώς είναι φυσικά διαχωρισμένα από το Διαδίκτυο και μπορούν να ασφαλιστούν σωστά. 

3. Ενδυναμώστε τους ανθρώπους σας

Ακόμη και η πιο ασφαλής στρατηγική πρόληψης απώλειας δεδομένων μπορεί να αποτραπεί από μια επιτυχημένη απόπειρα phishing ή έναν κωδικό πρόσβασης γραμμένο σε απλό κείμενο. Οι μη ενημερωμένοι υπάλληλοι μπορούν να πέσουν θύματα της τελευταίας απάτης ή κοινωνικής μηχανικής, εκθέτοντας άθελά τους τα δεδομένα του οργανισμού τους σε κακούς παράγοντες. Όταν οι ηγέτες εξουσιοδοτούν όλα τα επίπεδα και τα άτομα στον οργανισμό τους να συμμετέχουν ενεργά στις προσπάθειες ασφάλειας, προστατεύεται από απώλεια δεδομένων και κλοπή. Είναι σημαντικό να παρέχεται συνεπής εκπαίδευση σχετικά με τους κινδύνους της κυβερνοασφάλειας, έτσι ώστε οι εργαζόμενοι — από τον CIO έως τον νεότερο ασκούμενο — να γνωρίζουν τις νεότερες απειλές για τα δεδομένα.

4. Εξετάστε το Ολόκληρο Ταξίδι Δεδομένων

Ακόμη και όταν ένας οργανισμός επενδύει για να δημιουργήσει μια εξαιρετικά ασφαλή υποδομή δεδομένων, κάθε φορά που ευαίσθητα δεδομένα φεύγουν από αυτό το περιβάλλον, αυτές οι προστασίες μπορούν να αποκαλυφθούν. Για επιχειρήσεις που χρησιμοποιούν α σύννεφο λύση αποθήκευσης, τα ευαίσθητα δεδομένα μπορεί να είναι ευάλωτα μόλις οι εργαζόμενοι χρησιμοποιούν μη ασφαλές δημόσιο Wi-Fi. Μια ισχυρή προσέγγιση ασφάλειας δεδομένων θα πρέπει να λαμβάνει υπόψη όλους τους τρόπους με τους οποίους οι εργαζόμενοι μοιράζονται ευαίσθητα δεδομένα, εντός και εκτός καθιερωμένων πλατφορμών.

5. Έχετε ένα σχέδιο ταχείας απόκρισης

Η τήρηση των βέλτιστων πρακτικών προστασίας δεδομένων μπορεί να καταστήσει λιγότερο πιθανές τις παραβιάσεις, τις εισβολές και την απώλεια δεδομένων. Ωστόσο, υπάρχει πάντα η πιθανότητα να συμβούν, επομένως πρέπει να έχετε ένα σχέδιο σε εφαρμογή εάν κάτι πάει στραβά. Έχοντας ένα σχέδιο σε εφαρμογή, οι ηγέτες μπορούν να ενεργήσουν γρήγορα για να μετριάσουν τη ζημιά. Οι ιδιαιτερότητες κάθε σχεδίου ταχείας απόκρισης εξαρτώνται από τη φύση των δεδομένων που έχουν παραβιαστεί, αλλά ένα σχέδιο μπορεί να περιλαμβάνει την έναρξη μιας διαδικασίας ανάκτησης δεδομένων, την εξ αποστάσεως ανάκληση της πρόσβασης σε λύσεις κοινόχρηστης αποθήκευσης, την έγκαιρη ειδοποίηση των εργαζομένων ή των πελατών για μια ευπάθεια ή την ειδοποίηση του αρμόδιες αρχές ή πελάτες ότι έχει σημειωθεί παραβίαση δεδομένων. Είναι σημαντικό να υπάρχει ήδη μια ομάδα ταχείας απόκρισης για να διεξάγει γρήγορα εγκληματολογικές εξετάσεις, να προσδιορίζει ποια δεδομένα ενδέχεται να έχουν παραβιαστεί, να ακολουθεί νόμους και κανονισμούς σχετικά με τις ειδοποιήσεις και επίσης να κατευθύνει τους κατάλληλους πόρους για να διασφαλίσει τη διόρθωση τυχόν εντοπισμένης ευπάθειας στον κυβερνοχώρο.

Αυτές οι βέλτιστες πρακτικές παρέχουν μια ισχυρή βάση για τον τρόπο εφαρμογής ενός νέου σχεδίου DLP και μπορούν να κάνουν τις υπάρχουσες στρατηγικές πιο ανθεκτικές και αποτελεσματικές. Ενώ τα συγκεκριμένα πρωτόκολλα σε ένα σχέδιο DLP θα πρέπει να σχεδιάζονται για να ταιριάζουν στις ατομικές ανάγκες των οργανισμών, θα πρέπει πάντα να οδηγούν προς τον ίδιο στόχο: την πρόληψη παραβιάσεων δεδομένων και τη διατήρηση του προσωπικού και επαγγελματικού απορρήτου.