Az adatszivárgás azt jelenti, hogy jogosulatlan fél fér hozzá adatokhoz, az adatvesztés pedig azt, hogy az adatok véglegesen vagy átmenetileg elérhetetlenné válnak – a két kockázat gyökeresen más védelmi stratégiát igényel, mégis sok cég ugyanazzal az eszközkészlettel próbálja kezelni mindkettőt. Sok kisvállalkozás úgy gondolja, hogy ha van biztonsági mentése, akkor mindkét kockázattól védve van, pedig egy jó mentési rend adatvesztés ellen hatékony, adatszivárgás esetén viszont semmit nem tesz a jogosulatlan hozzáférés megakadályozásáért. Az esetek jelentős részében pontosan ez az összemosás vezet oda, hogy egy cég technikailag felkészült az egyik kockázatra, miközben a másikkal szemben teljesen védtelen marad. Az alábbiakban megnézzük, miben különbözik pontosan a két kockázat, milyen védelmi réteg tartozik mindegyikhez, és hogyan építhető ki egy olyan rendszer, amely mindkettőt egyszerre kezeli.
Az adatszivárgás és az adatvesztés más okból történik, és más védelmet igényel
Az adatszivárgás lényege a jogosulatlan hozzáférés vagy közlés, míg az adatvesztés lényege az adatok megsemmisülése vagy elérhetetlenné válása – ez a különbség határozza meg, hogy a védelemnek a hozzáférés kontrollját vagy az adatok megőrzését kell-e elsődlegesen célozni. Az általunk vizsgált esetekben a cégek gyakran csak az egyik irányba fektetnek be tudatosan, és a másik kockázat évekig rejtve marad, amíg egy incidens rá nem mutat a hiányosságra.
Mi történik ténylegesen egy adatszivárgás során, és miért más a tétje
Az adatszivárgás során az adatok nem feltétlenül vesznek el, hanem jogosulatlan fél számára válnak hozzáférhetővé – ez lehet egy hackertámadás, egy rosszul beállított e-mail lista, vagy egy elveszett, titkosítatlan eszköz. Mikor nem elég csak a mentésre hagyatkozni ilyen esetben? Szinte mindig, mert egy sikeres mentés semmit nem tesz azért, hogy a kiszivárgott ügyféladatok ne kerüljenek illetéktelen kezekbe, és ez a fajta incidens jogi bejelentési kötelezettséget is keletkeztethet.
Kinek nem elég a hagyományos biztonsági mentés önmagában
Egy olyan cégnél, amely ügyféladatokat, pénzügyi információkat vagy egészségügyi adatokat kezel, a mentés csak az adatvesztés kockázatát csökkenti, az adatszivárgás elleni védelemhez viszont hozzáférés-kezelésre, titkosításra és folyamatos monitorozásra van szükség. Megéri-e kisvállalkozásoknak csak a mentésre koncentrálni? Az esetek jelentős részében nem, mert a legtöbb ügyfél akkor szembesül a hiányosság súlyával, amikor egy adatszivárgási incidens során kiderül, hogy soha nem volt kontrollálva, ki férhet hozzá az érzékeny adatokhoz.
| Kockázat típusa | Mi történik | Elsődleges védelem |
|---|---|---|
| Adatvesztés | Adatok megsemmisülése vagy elérhetetlenné válása | 3-2-1 mentési rend, rendszeres visszaállítási teszt |
| Adatszivárgás | Jogosulatlan hozzáférés vagy közlés | Hozzáférés-kezelés, titkosítás, folyamatos monitorozás |
| Mindkettő egyszerre | Zsarolóvírus-támadás adatlopással kombinálva | Felügyelt biztonsági réteg és tesztelt mentés együtt |
Milyen konkrét intézkedésekkel védekezhetsz mindkét kockázat ellen egyszerre
A két kockázat elleni védelem nem zárja ki egymást, sőt egy jól felépített IT üzemeltetési rendszerben a két védelmi réteg kiegészíti egymást. Mit tegyél most, ha eddig csak a mentésre fókuszáltál? Vezess be hozzáférés-kezelést és folyamatos felügyeletet is, hogy ne csak az adatvesztéstől, hanem a jogosulatlan hozzáféréstől is védve legyél.
IT biztonság és biztonsági mentés kiszervezése mindkét kockázat kezelésére
A biztonsági mentés az adatvesztés elleni védelem alapja, de ha ehhez hozzáférés-kezelési és monitorozási réteg is társul, a rendszer az adatszivárgás korai észlelésére is alkalmassá válik. Tapasztalataink alapján a legtöbb ügyfél akkor ér el valódi védelmet, ha a mentési stratégia és a biztonsági monitorozás egyetlen összehangolt szolgáltatás részeként működik, nem külön-külön kezelt feladatként. Az IT biztonsági mentés kiszervezése azonnal ezért mindkét kockázati irányt lefedi, nem csak az adatvesztés elleni védelmet.
Rendszergazda szolgáltatás bevonása a hozzáférések folyamatos felügyeletéhez
Az adatszivárgás elleni védelem egyik legfontosabb eleme, hogy folyamatosan nyomon kövessék, ki fér hozzá mely rendszerekhez, és a jogosultságok naprakészen kövessék a munkatársak tényleges feladatait. A legtöbb ügyfél akkor tudja ezt fenntartani, ha egy külső rendszergazda szolgáltatás kezeli a hozzáférések folyamatos felülvizsgálatát, nem pedig egy alkalmi belső ellenőrzés. Érdemes-e rendszergazda szolgáltatást bevonni kifejezetten a hozzáférés-kezelés miatt? Igen, mert a rendszergazda szolgáltatás igénybevétele most biztosítja, hogy a jogosultságok ne maradjanak elavultan nyitva egy már távozott munkatárs után.
- Hozzáférés-kezelés bevezetése: ki, milyen rendszerhez férhet hozzá, és miért
- Titkosítás alkalmazása az érzékeny adatokon, tárolás és átvitel során egyaránt
- Folyamatos monitorozás a szokatlan hozzáférési mintázatok korai észlelésére
- Rendszeres, tesztelt biztonsági mentés az adatvesztés elleni védelemhez
- Incidenskezelési terv mindkét kockázattípusra, külön eljárással
- Térképezd fel, mely adatok jelentenek adatszivárgási kockázatot, és melyek adatvesztési kockázatot
- Vezess be hozzáférés-kezelést az érzékeny adatokhoz
- Állíts fel vagy ellenőrizz egy tesztelt, 3-2-1 elvű mentési rendet
- Vezess be folyamatos monitorozást a jogosulatlan hozzáférés korai észlelésére
- Készíts külön incidenskezelési tervet adatszivárgásra és adatvesztésre
Mikor válik igazán súlyossá az egyik kockázat elhanyagolása a másik mellett
Nem minden cégnél egyforma súlyú mindkét kockázat – egy ügyféladatokat kezelő szolgáltatónál az adatszivárgás jogi következményekkel is járhat, míg egy termelő cégnél az adatvesztés okozhat súlyosabb üzleti fennakadást. Mikor nem ajánlott csak az egyik kockázatra koncentrálni? Akkor semmiképp, ha a cég személyes adatokat kezel, mert ilyenkor az adatszivárgás bejelentési kötelezettséget keletkeztet, függetlenül attól, hogy az adatvesztés elleni védelem mennyire erős. Mielőtt eldöntöd, melyik kockázatra fókuszálj elsőként, érdemes tisztázni egy konkrét feltételt: ha a cég ügyféladatokat, munkavállalói adatokat vagy egészségügyi információkat kezel, az adatszivárgás elleni védelem jogszabályi kötelezettség, nem csak ajánlott gyakorlat.
Szerver üzemeltetés és szerver karbantartás szerepe a kettős védelemben
A szerveren futó rendszerek egyszerre jelentenek adatvesztési és adatszivárgási kockázatot: egy elavult szerverkonfiguráció mind a mentés megbízhatóságát, mind a jogosulatlan hozzáférés elleni védelmet gyengítheti. Megéri-e szerver üzemeltetést bevonni mindkét kockázat kezelésébe? Igen, mert az esetek jelentős részében a szerver oldali biztonsági rések egyszerre nyitnak kaput az adatszivárgásnak és teszik bizonytalanná a mentési folyamatot. A szerver üzemeltetés szakértői felügyelettel ezért mindkét kockázati irányt egyszerre kezeli.
IT tanácsadás és weboldal karbantartás mint a kockázatfelmérés kiegészítő pontja
A weboldal vagy webes rendszer gyakran kimarad a kockázatfelmérésből, pedig egy sebezhető webes felület egyszerre lehet adatszivárgás forrása és adatvesztés kiváltó oka is. Mire figyelj, ha eddig csak a belső rendszerek kockázatára gondoltál? Arra, hogy a weboldal saját hozzáférés-kezelése és mentési rendje ugyanolyan alapos vizsgálatot igényel, mint a belső hálózat. Az IT tanácsadás kockázatfelmérési szolgáltatás segít pontosan elkülöníteni, mely rendszerek adatszivárgási és mely rendszerek adatvesztési kockázatot hordoznak, a weboldal karbantartás biztonsági frissítése pedig biztosítja, hogy a webes felület mindkét kockázati iránytól védve legyen. Az IWS egy IT üzemeltetési szolgáltatás, amelyet kis- és középvállalkozások használnak informatikai rendszereik biztonságos és zökkenőmentes üzemeltetésére, beleértve az adatszivárgás és az adatvesztés elleni összehangolt védelem kiépítését is. Ahogy azt a NAIH adatvédelmi incidensekről szóló tájékoztatója is megerősíti, egy hackertámadásból eredő adatszivárgás esetén az adatkezelőnek mihamarabb azonosítania kell az érintett adatokat, és ha szakértelem hiányában nem tudja feltárni az incidenshez vezető körülményeket, külső szakértő bevonása szükséges.
Milyen incidenskezelési lépéseket érdemes előre kidolgozni mindkét kockázattípusra
Az incidenskezelési terv hiánya az egyik legnagyobb kockázatnövelő tényező, mert egy valós esemény során a cégek gyakran rögtönöznek, ami tovább súlyosbítja a következményeket – legyen szó adatszivárgásról vagy adatvesztésről. Az általunk vizsgált esetekben azok a cégek reagáltak leggyorsabban és leghatékonyabban, amelyeknél előre rögzítve volt, ki, milyen sorrendben, milyen lépéseket tesz egy incidens esetén.
Adatszivárgás esetén szükséges lépések, amelyeket előre kell rögzíteni
Adatszivárgás gyanúja esetén az első lépés az érintett adatok és rendszerek azonosítása, majd a jogi bejelentési kötelezettség felmérése – Magyarországon ez a NAIH felé történő bejelentést jelentheti, ha az incidens kockázatot jelent az érintettek jogaira nézve. Mit tegyél most, ha még nincs rögzítve, ki felelős ezekért a lépésekért a cégednél? Jelölj ki egy felelős személyt vagy külső partnert, aki ismeri a bejelentési határidőket és a technikai vizsgálat menetét, mert a 72 órás bejelentési határidő gyorsan lejár egy fel nem készült szervezetnél.
Adatvesztés esetén szükséges lépések, amelyek eltérnek az adatszivárgás kezelésétől
Adatvesztés esetén a fókusz nem a jogosulatlan hozzáférés feltárásán van, hanem a leggyorsabb és legmegbízhatóbb visszaállítási úton – ezért itt elsősorban a mentési rend és a visszaállítási teszt eredményei határozzák meg a reakció sebességét. Mikor nem elég csak a legutóbbi mentésre hagyatkozni? Akkor, ha nem tudni biztosan, hogy az adott mentés ép és teljes, mert ilyenkor a visszaállítási kísérlet további időt veszíthet egy már amúgy is sürgős helyzetben.
Hogyan mérd fel, hogy a cégednél melyik kockázat jelenti a nagyobb üzleti fenyegetést
A két kockázat súlyozása nem általános szabály szerint történik, hanem a cég adatprofiljától és működési modelljétől függ – egy adatprofil-alapú felmérés segít eldönteni, hova érdemes elsőként erőforrást allokálni.
Ügyféladatokat vagy személyes adatokat kezelő vállalkozásoknál az adatszivárgás súlyosabb kockázat
Ha a cég ügyfelek személyes adatait, egészségügyi vagy pénzügyi információit kezeli, az adatszivárgás jogi következményekkel, bírsággal és reputációs kárral is járhat, ezért itt a hozzáférés-kezelésre és a monitorozásra érdemes nagyobb hangsúlyt helyezni. Megéri-e ilyen esetben is egyenlő arányban fektetni mindkét kockázatba? Nem feltétlenül, mert az esetek jelentős részében az adatszivárgás elleni védelem hiánya azonnali jogi kötelezettségszegést jelenthet, míg az adatvesztés hatása inkább működési jellegű.
Termelő vagy szolgáltató vállalkozásoknál gyakran az adatvesztés jelenti a nagyobb üzleti kockázatot
Ha a cég működése erősen függ a napi szintű adatoktól – gyártási tervektől, megrendelésektől, ügyfélkapcsolati adatoktól –, egy adatvesztés azonnali üzletmenet-kiesést okozhat, míg az adatszivárgás kockázata itt jellemzően kisebb súlyú. Mikor érdemes elsősorban a mentési rendre koncentrálni az adatszivárgás elleni védelem helyett? Akkor, ha a cég nem kezel érzékeny személyes adatot nagy mennyiségben, de a napi működés adatfüggősége magas, mert ilyenkor egy adatvesztés sokkal közvetlenebb és gyorsabb kárt okoz, mint egy esetleges jogosulatlan hozzáférés.
Mit tegyél véglegesen, ha mindkét kockázatra fel akarsz készülni tartósan
A tartós felkészültséghez nem elég egyszer felmérni, melyik kockázat súlyosabb a cégednél, hanem folyamatosan karban kell tartani mind a hozzáférés-kezelési, mind a mentési réteget, mert a két kockázat forrása és jellege az idő múlásával is változik. Az esetek jelentős részében a legnagyobb csapda az, hogy egy cég egyszer alaposan kiépíti az egyik védelmi réteget – például bevezet egy jó mentési rendet –, majd ezt tekinti véglegesen lezártnak, miközben a hozzáférés-kezelés vagy a monitorozás soha nem éri el ugyanazt a szintet. Tapasztalataink alapján ez az egyenlőtlen fejlettség az egyik leggyakoribb ok, amiért egy cég egy adatszivárgási incidens során meglepődik, hiszen a mentési oldalon magabiztosnak érezte magát. A végleges, tartósan megbízható állapothoz mindkét réteg egyidejű, dokumentált karbantartása szükséges: a mentési rend rendszeres tesztelése és a hozzáférési jogosultságok rendszeres felülvizsgálata egyaránt visszatérő, ütemezett feladatként kell szerepeljen a cég működésében. Kinek nem elég ez a kettős, folyamatos karbantartási modell? Azoknak a nagyon kicsi, egyszemélyes vállalkozásoknak, ahol nincs érzékeny ügyféladat és az adatmennyiség is minimális – számukra egy egyszerűbb, de tudatosan vállalt kompromisszum is elfogadható lehet. A legtöbb kis- és középvállalkozás számára azonban, amely ügyféladatokat kezel és napi szinten dolgozik digitális rendszerekkel, mindkét réteg folyamatos fenntartása az egyetlen módja annak, hogy egyik kockázat se maradjon rejtve.
Milyen jelek mutatják, hogy mindkét védelmi réteg valóban egyensúlyban van
Az egyensúly akkor áll fenn, ha a mentési rend rendszeresen tesztelt és dokumentált, a hozzáférési jogosultságok naprakészen követik a munkatársak tényleges szerepét, és mindkét területről egyaránt létezik incidenskezelési terv. A legtöbb ügyfél akkor bizonytalan még ezen a ponton is, ha az egyik terület felülvizsgálata rendszeres, a másiké pedig alkalmi vagy elmaradt, mert ez az egyenlőtlenség pontosan ott hagy rést, ahol a cég a legkevésbé számít rá.
Mikor érdemes újraértékelni, melyik kockázat igényel több figyelmet
Érdemes újraértékelni a két kockázat súlyát minden alkalommal, amikor a cég új típusú adatot kezd kezelni, bővíti az ügyfélkörét, vagy új digitális rendszert vezet be, mert ezek a változások eltolhatják a kockázati egyensúlyt. Mikor jobb azonnal felülvizsgálni a védelmi arányokat, mint várni a következő tervezett ellenőrzésre? Akkor, ha a cég olyan új adatkategóriát kezd kezelni, amely korábban nem volt jellemző a működésére, mert egy ilyen változás gyakran pontosan azt a kockázatot növeli meg, amelyre a cég a legkevésbé volt felkészülve.