Skip to main content

8.12 Zapobieganie wyciekom danych

Rodzaj kontroli: Informacja
Właściwości bezpieczeństwa: Prewencyjne, Detekcyjne, Poufność
Koncepcje cyberbezpieczeństwa: Ochrona, Wykrywanie, Ochrona informacji
Obszary operacyjne: Ochrona, Obrona

Kontrola​

Środki zapobiegania wyciekom danych powinny być stosowane w systemach, sieciach oraz na innych urządzeniach przetwarzających, przechowujących lub przesyłających informacje wrażliwe.

Cel​

Wykrywanie i zapobieganie nieautoryzowanemu ujawnianiu i ekstrakcji informacji przez osoby lub systemy.

Wytyczne​

Ogólne zasady​

Organizacja powinna podjąć następujące kroki w celu ograniczenia ryzyka wycieku danych:

  • a) identyfikacja i klasyfikacja informacji wymagających ochrony przed wyciekiem (np. dane osobowe, modele cenowe, projekty produktów);
  • b) monitorowanie kanałów potencjalnego wycieku danych (np. poczta e-mail, transfery plików, urządzenia mobilne, przenośne nośniki danych);
  • c) podejmowanie działań zapobiegających wyciekom informacji (np. kwarantanna e-maili zawierających wrażliwe informacje).

Narzędzia zapobiegania wyciekom danych​

Narzędzia do zapobiegania wyciekom danych (Data Leakage Prevention – DLP) powinny być stosowane w celu:

  • a) identyfikowania i monitorowania informacji wrażliwych zagrożonych nieautoryzowanym ujawnieniem (np. w nieustrukturyzowanych danych na systemie użytkownika);
  • b) wykrywania prób ujawnienia wrażliwych informacji (np. gdy dane są przesyłane do niezaufanych usług w chmurze lub za pośrednictwem e-maila);
  • c) blokowania działań użytkowników lub transmisji sieciowych, które mogą prowadzić do wycieku danych (np. zapobieganie kopiowaniu wpisów z bazy danych do arkusza kalkulacyjnego).

Organizacja powinna ocenić konieczność ograniczenia użytkownikom możliwości kopiowania i wklejania danych lub przesyłania ich na usługi, urządzenia i nośniki poza kontrolą organizacji. W takim przypadku należy wdrożyć technologie takie jak narzędzia DLP lub skonfigurować istniejące systemy w taki sposób, aby umożliwiały przeglądanie i edycję danych przechowywanych zdalnie, ale uniemożliwiały ich kopiowanie i przenoszenie poza organizację.

Jeśli eksport danych jest konieczny, właściciel danych powinien zatwierdzić taki eksport oraz być w stanie rozliczyć użytkowników z ich działań.

Robienie zrzutów ekranu lub fotografowanie ekranu powinno być regulowane poprzez warunki użytkowania, szkolenia oraz audyty.

Ochrona danych w kopiach zapasowych​

W przypadku tworzenia kopii zapasowych organizacja powinna zadbać o odpowiednie zabezpieczenia informacji wrażliwych, stosując środki takie jak:

  • szyfrowanie,
  • kontrola dostępu,
  • fizyczna ochrona nośników przechowujących kopie zapasowe.

Ochrona przed wyciekiem danych w kontekście działań wywiadowczych​

Organizacja powinna także uwzględnić ochronę przed próbami pozyskiwania poufnych informacji przez osoby lub podmioty prowadzące działania wywiadowcze (np. wywiad gospodarczy, polityczny, finansowy, naukowy). W ramach środków zapobiegania wyciekom danych można stosować techniki dezinformacji, np.:

  • a) zastępowanie prawdziwych informacji fałszywymi (np. jako niezależne działanie lub odpowiedź na działania wywiadowcze przeciwnika);
  • b) stosowanie technik inżynierii odwrotnej wobec atakujących (np. tzw. reverse social engineering);
  • c) używanie pułapek informacyjnych, takich jak honeypoty, które przyciągają atakujących i umożliwiają ich monitorowanie.

Inne informacje​

  • Narzędzia DLP są przeznaczone do identyfikowania danych, monitorowania ich użycia i ruchu oraz podejmowania działań zapobiegających ich wyciekom (np. ostrzeganie użytkowników o ryzykownych działaniach, blokowanie transferu danych na nośniki przenośne).
  • Monitorowanie pracowników i ich komunikacji w ramach zapobiegania wyciekom danych może rodzić obawy prawne. Przed wdrożeniem narzędzi DLP należy uwzględnić obowiązujące przepisy dotyczące ochrony prywatności, danych osobowych, zatrudnienia oraz przechwytywania i przetwarzania danych.
  • Zapobieganie wyciekom danych może być wspierane przez standardowe mechanizmy bezpieczeństwa, takie jak polityki kontroli dostępu oraz bezpieczne zarządzanie dokumentami (zob. 5.12 i 5.15).