W dobie powszechnej informatyzacji i przetwarzania danych na komputerach, w telefonach i wielu systemach informatycznych, coraz łatwiej o to, aby dane w Twojej firmie wyciekły lub zostały wykradzione.
Ryzyko wycieku danych rośnie wraz z ilością danych, ilością systemów i połączeń między nimi. Wiele zależy od zastosowanych rozwiązań i technologii, procedur związanych z przetwarzaniem danych (lub ich braku) stosowanych w organizacji, oraz przede wszystkim od czynnika ludzkiego. Bo zazwyczaj to właśnie czynnik ludzki jest najsłabszym ogniwem zabezpieczeń danych w firmach. Różna jest bowiem świadomość użytkowników systemów o niebezpieczeństwach, różne umiejętności cyfrowe, różne urządzenia i różne podejście do ustalonych w organizacji metod pracy i zasad bezpieczeństwa.
Oto przykładowe przyczyny i sytuacje, które mogą się wydarzyć w firmie:
- włamanie do sieci firmowej i kradzież danych w wyniku nieodpowiedzialności pracownika działu IT, który nie aktualizuje oprogramowania i zabezpieczeń zasobów firmy lub w wyniku braku takiej osoby w firmie (w szczególności dotyczy to tych najmniejszych firmy, których na to nie stać, lub nie widzą one takiej potrzeby)
- włamanie się do bazy sklepu internetowego lub strony firmowej, w której przechowywane są dane osobowe klientów firmy w wyniku braku odpowiednich zabezpieczeń serwera, braku aktualizacji oprogramowania czy zbyt słabych haseł stosowanych w systemach
- kradzież przenośnych urządzeń lub nośników danych lub ich zgubienie przez pracownika firmy, w wyniku czego dane mogą trafić w niepowołane ręce,
- skasowanie danych firmowych w wyniku działania wirusa, trojana lub inne szkodliwe oprogramowanie, zainstalowane na urządzeniu przez nieświadomego użytkownika lub w wyniku braku oprogramowania zabezpieczającego takiego jak firewall czy program antywirusowy.
Aby móc zabezpieczyć się przed takimi sytuacjami, warto wykonać testy bezpieczeństwa firmy. W zależności od ustalonego zakresu, może on zawierać jeden lub wiele z poniższych elementów:
- zbadanie wewnętrznych zasobów IT firmy – weryfikacja zastosowanych technologii sprzętowych i programowych, zbadania bezpieczeństwa sieci wewnętrznej firmy
- inwentaryzacja wszystkich miejsc przechowywania danych ważnych z punktu widzenia firmy, zbadanie procedur związanych z ich przetwarzaniem, znalezienie dziur i luk w tych procedurach, które mogą zwiększać ryzyko wycieku tych danych
- zbadanie bezpieczeństwa stron, serwerów, serwisów www i wskazanie luk w systemach umożliwiających nieautoryzowany dostęp do danych.
Po takim audycie powinny nastąpić działania naprawcze, które wyeliminują znalezione błędy i dziury. Dzięki temu bezpieczeństwo danych i zasobów firmy powinno znacząco wzrosnąć.
Należy jednak pamiętać, że taki audyt powinien być wykonywany regularnie co zadany czas, aby móc nadążać ze zmianami w technologiach, procedurach, zmianach w firmie, wymaganiach prawnych i dobrych praktykach, by móc w sposób ciągły zapewniać wysoki poziom bezpieczeństwa. Pamiętajmy bowiem, że znajdujemy się na ciągłym polu bitwy pomiędzy specjalistami ds. bezpieczeństwa a hakerami czyhającymi na nasze dane.
