Wyciek informacji

[Katarzyna Kaczmarek]

W normie PN-ISO/IEC 17799 na stronie 95 jest mała wzmianka na ten temat. Moim zdaniem jest to bardzo istotna sprawa w szczególności w firmach. Wyciek informacji może być przyczyną wielu
niebezpieczeństw a zarazem niewyobrażalnych szkód. Co wy o tym sądzicie? Jak
możemy się zabezpieczać przed wyciekiem informacji, jak jemu przeciwdziałać?  W jaki sposób może dojść do tego incydentu?
Czym nam to grozi? Wypowiedzcie się, czekam na wasze opinie.

[Tadeusz Lemańczyk]

Dziękuję za zainicjowanie dyskusji na tym jakże ważnym dla nas obszarze. Przyznam jednak, że ze względu na wagę problemu nie byłbym aż tak oszczędny w środkach wyrazu i dołożyłbym przynajmniej te dwadzieścia kilka KB w przystępny sposób propagujące ten ważki problem bezpieczeństwa informacji.

[Tadeusz Lemańczyk]

Okazuje się, że w niektórych przypadkach z obszaru inżynierii bezpieczeństwa takie przeciwdziałające wyciekowi informacji, daleko idące oddzielenie życia prywatnego od zawodowego jest nie tylko możliwe, ale wręcz życiowo niezbędne, nieprawdaż ( http://fedcba.ning.com/xn/detail/2516803:Comment:11094 )

 

Find more videos like this on Multilingual Studies at a Distance

? Ale w jakich przypadkach jeszcze, poza tam [The Unit_S01_E01 ( http://fedcba.ning.com/xn/detail/2516803:Comment:10471 )] wskazanym, i dlaczego?

[Przemysław Maliński]

Po przeczytaniu artykułu http://www.zabezpieczenia.com.pl/20090724988/artykuly/ochrona_infor... utwierdził mnie w tym, że ogromną rolę w firmie odgrywa pracodawca, który dba o dobrą atmosferę w pracy. Oczywiście nie jest to gwarantem sukcesu ani też metodą na zapobieganie wycieku informacji ale wydaje mi się, że trudniej będzie „złamać” pracownika. Jednakże tak jak zauważyła Ania ” …w biznesie nie ma co liczyć na ciepłe stosunki i bezpodstawne zawierzanie komuś. Zawsze będzie istniało ryzyko wycieku tajnych danych…” trzeba zdecydowanie przyjąć że każdy nawet najbardziej zaufany pracownik może okazać się „kretem”. Nieuniknione zatem jest wdrożenie polityki bezpieczeństwa informacji w każdej firmie. Taka polityka powinna jasno określić co podlega ochronie oraz jak chronić najbardziej poufne informacje. (http://pl.wikipedia.org/wiki/Polityka_bezpiecze%C5%84stwa_informacji)

Wymienione zasady zabezpieczenia informacji w artykule http://www.zabezpieczenia.com.pl/20090724988/artykuly/ochrona_infor... odnoszą się do zabezpieczeń sprzętowych. Nie można również zapomnieć o tym że wyciek informacji to nie tylko dane wyniesione na nośnikach, przesłane drogą e-mailową ale także informacje, które dany pracownik usłyszał bądź widział. Istotnym problemem w dzisiejszych czasach jest też to co autor tego artykułu zauważył już na samym początku a mianowicie „W czasach kryzysu coraz łatwiej o utratę pracy, a trudniej o znalezienie nowej. By ją zdobyć, może już nie wystarczyć samo posiadanie umiejętności specjalistycznych i organizacyjnych. Aby podnieść swoją wartość na trudnym rynku pracy, niektóre osoby ubiegające się o pracę w nowym miejscu posuwają się do kradzieży wartości intelektualnej dotychczasowemu pracodawcy.”
Myślę więc , że niestety nie ma 100% zabezpieczenia przed wyciekiem informacji z firmy. Mogę tylko dołączyć się do tego co zostało już w tym temacie stwierdzone że tylko i wyłącznie od każdego pracownika z osobna zależy bezpieczeństwo informacji, do których on sam ma dostęp.

[Damian Wałęsa]

Wyciek informacji to nic nowego we współczesnym świecie. Jak wiadomo jesteśmy chcąc nie chcąc świadkami/uczestnikami „wyścigu szczurów” i na sentymenty nie mamy co liczyć. Przede wszystkim wyciek informacji ma posłużyć albo jako dobro, które da nam korzyść (np. nowe technologie), albo zaszkodzeniu komuś/byłej firmie (np. niewygodne dane nt. finansów, czy dokumenty polityczne). Dość często jesteśmy świadkami jak do mediów „coś” przecieka, a nie powinno. Najczęściej od osób, które chcą pozostać anonimowe. Jest wręcz niemożliwe zabezpieczyć się przed wyciekami informacji, zawsze znajdą się pojedyncze jednostki, które dopuszczą się takim czynom.
Dość często słyszymy o wyciekach politycznych (http://prawo.money.pl/aktualnosci/wiadomosci/artykul/prokuratura;ba... )

[Krzysztof Rybaczewski]

Rzeczywiście, tak jak wspomnieli moi poprzednicy, wyciek informacji w dzisiejszych czasach nie jest czymś rzadkim. Zdarzenia tego typu niosą dla przedsiębiorców wielce niekorzystne konsekwencje. Wyciec z firmy może przecież informacja każdego typu, łącznie z takimi jak plany działań, receptury, dokumentacje technologiczne i wiele innych. Jeżeli informacje tego typu trafią do konkurencji może ona wykorzystać je, wprowadzając zmiany do własnych produktów, bądź usług odpowiadając tym samym na poczynania rywala.

Bezdyskusyjnie zdarzenia tego typu są bardzo nieporządane. Co gorsza, żadne przedsiębiorstwo nie jest w stanie zabezpieczyć się w pełni, przeciwko wyciekowi. Jeżeli nawet uzyskają pewność, że żadne dane nie wyciekną poprzez firmowe komputery, dokumenty, akta itp, nie są w stanie w pełni kontrolować swoich pracowników, mających do takaich informacji dostęp. Mogą oni przecież "współpracować" z konkurencją, dostarczając jej co ciekawszych danych zarówno w trakcie pracy w przedsiębiorstwie jak i po odejściu z niego. Zazwyczaj są oni w prawdzie zobligowani do zachowania tajemnic firmowych pod groźbą płacenia bardzo wysokich kar, jednak nie musi być to przeszkodą. Osoby chcące uzyskać te dane mogą przecież zaoferować znacznie wyższe "wynagrodzenie" za złamanie tajemnicy.

Oczywiście, tak jak wspomniała Agata, wyciek inforamcji nie musi dotyczyć przedsiębiorstw. Wyobraźmy sobie, że ktoś uzyskuje dostęp do naszego komputera i bezkarnie korzysta z naszych materiałów naukowych, pisanych prac, czy też ma po prostu dostęp do naszych prywatnych inforamcji. Czy taka sytuacja nie byłaby przynajmniej równie nieporządana i bolesna w skutkach jak w przypadku wycieku inforamcji z przedsiębiorstw?

Na zakończenie dodam, że we współczesnym świecie istnieją jeszcze uczciwe przedsiębiorstwa, które nie chcą korzystać z wycieku informacji konkurencyjnych firm. Kilka lat temu głośno było w sytuacji, w której doszło do wycieku danych pomiędzy dwoma największymi na świecie producentami coli (coca-cola i pepsi). Nie pamiętam szczegółów tej sytuacji (nie pamiętam niestety także, z której firmy wyciekły inforamcje). Faktem jednak jest, że były pracownik tej firmy zgłosił się do konkurencji chcąc dostarczyć im nową recepturę napoju, oczywiście za stosowną opłatą. Konkurencja jednak zachowała się w zaskakujący, ale jakże pozytywny sposób, ogłaszając publicznie o zaistnieniu tej sytuacji, chcąc prowadzić uczciwą konkurencję. Prawda, że brzmi to podbudowująco?

[Dominik Skrzypczak]

Od wielu wieków praktykowano metody pozyskiwania informacji , głównie w celu jakieś korzyści, czasami nawet dobra narodowego. Chociaż by tajni agenci podczas II wojny światowej działający w konspiracji. Przez to do dzisiaj wyciek informacji kojarzy mi się z osobą która pod osłoną nocy próbuje wykraść informacje z klauzurą „top secret” . Czasy się zmieniły, jak również metody ich pozyskania, lecz informacje zawsze były , są i będą bardzo cenne .

Obecnie temu incydentowi padają przedsiębiorstwa obracające dużym kapitałem, świadczące usługi informatyczne, telekomunikacyjne , technologiczne, jednostki rządowe, a nawet my sami możemy stać się ofiarami, bo przecież atak na nasz komputer ma na celu pozyskanie konkretnych danych (np. haseł). Wyciek informacji stał cichą bronią w walce z konkurencją. Być może przyczyną tego jest rządza pieniądza, możliwość szantażowania. W każdym razie ten kto posiada cenne informacje ma ogromną władzę.

Większą uwagę chciałby zwrócić przedsiębiorstwom , gdyż głównie one są narażone na takie sytuacje. Tym samym miałbym możliwość odpowiedzenia na pytanie : Jak możemy się zabezpieczać przed wyciekiem informacji, jak jemu przeciwdziałać? Dla mnie sprawa jest dosyć jasna i klarowna, ponieważ sposób istnieje i od wielu lat stosowany, lecz nie w tak dużym stopniu jak teraz. Mowa o inwigilacji pracownika. Pracodawca ma możliwość śledzenia pracy pracownika na jego komputerze, sprawdza jego pocztę, telefony służbowe. Inne środki zaliczające się do inwigilacji to też najzwyklejsze kamery. Patrząc z perspektywy pracodawcy, takie metody kontroli wydają się logiczne. Jednak mogą one naruszać dobro osobiste pracownika. Więcej o tym znajdziecie tutaj http://fakty.interia.pl/prasa/gazeta_prawna/news/czy-mozna-inwigilo...

Moim zdaniem inwigilacja pracownika w lekkim stopniu nie narusza żadnej godności, może przynieść więcej plusów niż zwykłe zawierzanie pracodawcy że ma super pracowników. Zwłaszcza że zawsze znajdzie się jeden sprytniejszy od wszystkich i dojdzie do wycieku.

[Michał Wojtkowiak]

Wyciek informacji może być spowodowany wieloma zdarzeniami – nieuwagą pracownika, kradzieżą, jak i zwykłą głupotą. Problem ten trwa już bardzo długo, istniał przed wynalezieniem Internetu, rozpowszechnienie Internetu jedynie zwiększyło jego skalę. Według mnie nie ma na to skutecznej ochrony, zawsze „prześlizgnie” się jakaś tajna lub niepożądana informacja. Gdybyśmy chcieli rozwiązać ten problem, to tak naprawdę nie powinniśmy z nikim dzielić się „tajnymi” informacjami, jak i nie powinniśmy ich nigdzie przekazywać.

Szkody wycieku zależy oczywiście od okoliczności – jakie informacje, skąd wyciekły, czy są dalej rozpowszechniane. W przypadku dużych firm,organizacji skutki mogą być katastrofalne. Przeczytajcie sobie ( http://www.outsourcing.com.pl/899,wycieki_danych_w_firmach_w_2006r.... ) jak bardzo wyciek informacji może być niebezpieczny.

[Anita Krotofil]

Wyciek informacji...Bardzo istotna sprawa! Jeśli ktoś ma własną firmę wie, że wyciek informacji niesie za sobą wiele skutków (oczywiście tych złych). Lista zagrożonych informacji jest bardzo długa (chociażby dane kontaktowe do kontrahentów, numery kont bankowych firmy oraz hasła dostępowe, historie zamówień, dane finansowe, wiadomości e-mail zawierające ustalenia między partnerami, informacje o nowych i wdrażanych projektach czy plany kampanii marketingowych...)

Co Wy- drodzy forumowicze- robicie wyrzucając stare płyty z ważnymi informacjami czy dokumenty do śmieci? Bardzo dużo jest przypadków, w których takie płyty czy dokumenty są znajdowane na wysypiskach śmieci czy w śmietnikach. Na przykład w Katowicach, na śmietniku jednego z osiedli, znaleziono segregatory z trzystoma kartami z danymi osobowymi członków Wodnego Ochotniczego Pogotowia Ratunkowego. Co było przyczyną? Zwykła głupota, albo inaczej...niewiedza. Bardzo często ludzie są nieświadomi, co może się stać, kiedy po prostu wyrzucą takie dokumenty. Nie wiem czy kojarzycie sprawę Banku Pekao S.A., który ujawnił w Internecie szczegółowe dane osobowe (listy motywacyjne i CV gromadzone w związku z ofertami stażu w Banku) i zdjęcia około tysiąca osób. Czy chociażby sprawa PGNiG (http://www.goldenline.pl/forum/1059944/afera-z-wyciekiem-informacji...). Przyczyną jest tutaj zwykły błąd ludzki. Zwykły...ale jakże poważny i niosący za sobą konsekwencje!

Jak przeciwdziałać niewiedzy pracownikom? Jak przeciwdziałać wyciekom informacji?
Na pewno pracownicy powinni przechodzić odpowiednie kursy i szkolenia (np. http://idcon.com.pl/). Na takich kursach powinny się znaleźć takie praktyczne rady, jak np.ta, że nie należy zostawiać na drukarce wydruków, o których pracownicy później zapominają czy chciażby o tym, że na noc nie powinno się zostawiać na biurku dokumentów z tajnymi damymi. Lepiej w szkolenia zainwestować, niż później mieć problemy. Przed tym należy przede wszystkim ustalić kto do poufnych danych powiniem mieć dostęp. Nie jest konieczne, żeby wszyscy pracownicy mieli dostęp do wszystkich informacji, nawet do tych, ktorymi się wogóle nie zajmują. Należy również jasno określić, które dane są jawne czy niejawne,a które poufne. Należy uświadamiać pracowników w tym zakresie. To bardzo istotne. Oczywiście wdrożenie do firmy naszych norm czy uzyskanie certyfikatów jest również bardzo ważne. Powoduje ono utrzymanie odpowiedniego poziomu bezpieczeństwa informacji, a groźba utraty certyfikatu motywuje pracowników do uważania na poufne informacje. Oczywiście, dodatkowo (jeśli chodzi o te większe firmy), można powołać pracownika odpowiedzialnego za bezpieczeństwo informacji. Możemy w firmie również zastosować różne urządzenia lub programy służące do szyfrowania informacji firmowych. A jeśli chodzi o dokumenty papierowe, myślę, że warto zaiwestować po prostu w niszczarkę do papieru. Pracownicy nie będą wtedy wyrzucać dokumentów w całości do kosza.

[Szymon Kubiak]

Zgadzam się z Anitą. Wielu z nas nie zwraca nawet uwagi na to co ląduje w koszu. Jesteśmy przyzwyczajeni że to co zostanie wyrzucone już nie wraca. Nie oznacza to jednak że przestaje istnieć. Nawet nie zdajemy sobie sprawy ile danych o nas samych można się dowiedzieć po prostu przeglądając dokumenty które wyrzucamy. Przykłady które podała Anita najlepiej działają na wyobraźnię.

Uważam też że uczulenie pracowników za sprawą szkoleń i kursów jest bardzo dobrym przedsięwzięciem. Sam pracownik będacy osobą posiadającą ważne dla firmy informacje powinien zdawać sobie sprawę że jest kimś na kogo firma liczy i w kim pokłada zaufanie. Tuataj wiele zależy od pracodawcy. Jeśli pracownik czuje się potrzebny i doceniony to szansa na to że poufne dane przejdą w posiadanie osób trzecich maleje.

Pracodawca powinien też zwrócić uwagę na kontrolę nie tylko pracowników ale też samego siebie. Mimo zaufania którym darzy swoich pracowników powinien brać pod uwagę działania konkurencji i analizować możliwe skutki takich wycieków. Jego zadaniem jest dokładnie wiedzieć czym może się podzielić z podwładnymi a czym nie. Musi wiedzieć jak bardzo ograniczyć dostęp do informacji aby nie wpłynęło to na jakośc pracy kadry.

Sądze że najlepszym sposobem zapobiegania wyciekom jest kontrola najistotniejszych danych a także dbanie o to aby pracownik czuł że jest ważną częścią całości która dzięki niemu istnieje i przynosi mu zyski odpowiednie do wkładu pracy jaki on sam wniósł.

[Michał Bednarek]

Wyciek informacji (danych)- to celowe lub przypadkowe działanie, polegające na przekazaniu danych w niepowołane ręce. Jest to zamierzone lub incydentalne ujawnianie informacji - chronionej prawnie, będącej własnością intelektualną, tajemnicą handlową czy danymi osobowymi. To zjawisko związane jest z brakiem w szkoleniu pracowników, nieodpowiednią polityka bezpieczeństwa i mało precyzyjną strategią zarządzania uprawnieniami.

 

To pojęcie było, jest i będzie na czasie, tak długo dopóki pracodawcy nie zaczną go zwalczać. Każda metoda ograniczenia informacji jest dobra (PN-ISO/IEC 17799:2007 p. 12.5.4 Wyciek informacji), tylko czy skuteczna?

Dobrą metodą zwalczania tego typu zjawiska jest system DLP (Data Leak Prevention). Polega on na stosowaniu środków bezpieczeństwa, w celu zidentyfikowania i zapobiegania wyciekom poufnych danych poza granice przedsiębiorstwa. Cenne informacje mogą wyjść poza firmę lub jej krytyczne systemy zarówno w efekcie ataku, jak i z powodu nieświadomości lub zaniedbań użytkowników. http://www.networld.pl/artykuly/druk/349862/DLP.zapobieganie.wyciek...

Drogi wycieku danych to najczęściej: poczta elektroniczna, komunikatory internetowe i nośniki pamięci wymiennej.

Lepiej odżałować i poświęcić trochę czasu oraz pieniędzy na szkolenie pracowników niż potem żałować, że się tego nie zrobiło.

 

 

[Przemysław Jarmużek]

Mówiąc o wycieku informacji, chyba nie sposób nie wspomnieć o już ubiegłorocznym wycieku z serwisu Wikileaks .

Pisała o tym Rzeczpospolita chociażby tutaj - http://www.rp.pl/artykul/2,573622.html

Portal określający się mianem "niepodlegającą cenzurze wersją Wikipedii służącą do niewykrywalnych przecieków dokumentów na masową skalę oraz ich analizy" opublikował bardzo wiele dokumentów m.in. o wojnie USA w Afganistanie ,Iraku ,czy też dyplomatyczne depesze ambasadorów USA .

 

Co o tym myślicie ? Strona została zaatakowana atakami DDoS, ale nadal działa .

Jak z takim czymś walczyć, czy walczyć ? Sądzę że to jest dobre pytanie .

[Mateusz Kowalski]

Odnosząc się do wiadomości Przemysława Jarmużka

Co do strony Wikileaks (http://mirror.wikileaks.info/), trzeba się zastanowić nad tym czy jej twórcy/właściciele namawiają osoby do kradzieży poufnych bądź rządowych informacji, czy też osoby te z własnej woli publikują takie informacje na tej stronie. Wtedy będziemy wiedzieć czy to na pewno portal Wikileaks jest winnym całości informacji znajdujących się na jego stronie.

Faktem jest że pozwalanie na umieszczenie takich danych na swojej stronie graniczy z przestępstwem, ale to osoby dopuszczające się wykradania tych plików bądź danych są tak na prawdę sprawcami tego całego zamieszania.

Uważam, że jeśli twórcy/właściciele tej strony będą myśleli nad tym czy dane umieszczane na ich stronie mogą zagrozić USA bądź innym Państwom, oraz będą dbali o odpowiednie interpretowanie tych danych i zapisków oraz co ważniejsze, nie będą namawiać do kradzieży tych informacji, to nie sadzę że powinniśmy z tym walczyć.