Staré dokumenty, nepoužívané SharePoint lokality či cloudové priečinky po skončených projektoch. Firmy uchovávajú množstvo dát len preto, že by sa možno raz mohli zísť, alebo z dôvodu, že na ne zabudli. Kým však zostávajú uložené, treba ich chrániť. Digitálny odpad preto nie je iba otázkou poriadku alebo ceny úložiska. Môže zväčšiť následky kybernetického útoku a skomplikovať reakciu na incident.
Dáta pribúdajú, ale málokedy miznú
Vytvoriť nový dokument, priečinok alebo tímový priestor trvá niekoľko sekúnd. Rozhodnúť, kedy ho možno bezpečne odstrániť, je podstatne náročnejšie. Výsledkom sú firemné úložiská plné pracovných verzií, duplicitných súborov, dokumentov po ukončených projektoch a dát, ktorých pôvodný účel už nikto nepozná.
Takýto obsah môžeme označiť ako digitálny odpad. Nejde o presne definovanú odbornú kategóriu, ale o praktické pomenovanie dát, ktoré už nemajú pre firmu reálnu prevádzkovú, právnu, historickú ani analytickú hodnotu – napriek tomu ich organizácia stále uchováva.
Môžu to byť staré prílohy, exporty databáz, viaceré verzie tej istej prezentácie, dokumenty po bývalých zamestnancoch alebo celé pracovné priestory bez aktívneho vlastníka. Problém pritom nespočíva iba v tom, že zaberajú miesto. Každý zachovaný súbor rozširuje množstvo informácií, ktoré musí firma spravovať, vyhľadávať, zálohovať a chrániť.
Zabudnutý priestor, nezabudnuté riziko
Predstavme si marketingový tím, ktorý pred piatimi rokmi organizoval spotrebiteľskú súťaž. Pre projekt si vytvoril samostatný tím a SharePoint lokalitu. Zostali v nej zoznamy účastníkov, kontaktné údaje, zmluvy s dodávateľmi, cenové ponuky, pracovné verzie pravidiel aj odkazy zdieľané s externou agentúrou.
Súťaž sa dávno skončila. Niektorí členovia tímu zmenili pozíciu, ďalší už vo firme nepracujú a pôvodná agentúra dnes spolupracuje s inými klientmi. Samotný priestor však zostal aktívny, pretože nikto neurčil, čo sa s ním má po skončení projektu stať.
Pre bežného zamestnanca ide o zabudnutý priečinok. Z pohľadu firmy je to však stále úložisko s dátami, ku ktorým môžu existovať historické oprávnenia alebo zdieľané odkazy. Ak sa k priestoru dostane neoprávnená osoba, nezáleží na tom, že sa dokumenty niekoľko rokov nepoužívali. Ich obsah môže mať naďalej hodnotu.
Čo firma nepozná, nedokáže spoľahlivo chrániť
Firma by mala vedieť, aké citlivé dáta má, kde sa nachádzajú, kto k nim môže pristupovať a prečo ich potrebuje. Identifikácia informačných aktív je dôležitým predpokladom ich účinnej ochrany. Bez dostatočného prehľadu sa ťažko nastavujú primerané oprávnenia, klasifikácia údajov aj reakcia na prípadný únik.
Starý dokument môže stále obsahovať osobné údaje zákazníkov, interné kontakty, obchodné podmienky, cenovú ponuku alebo technický popis systému. Hoci už nie je potrebný na každodennú prácu, pre útočníka môže byť užitočný.
Digitálny odpad je nebezpečný aj preto, že sa mu venuje menej pozornosti. Aktívne databázy a kľúčové systémy zvyčajne mávajú jasných vlastníkov a pravidelne kontrolované oprávnenia. Pri starom projektovom priečinku nemusí nikto vedieť, komu patrí a kto by mal rozhodnúť o jeho ďalšom osude.
Zostaňte v obraze
a o krok pred útočníkmi.
Prihláste sa na odber nášho newslettra a každý mesiac získajte prehľad o aktuálnych hrozbách aj praktické rady, ako chrániť firmu.
Digitálny odpad môže znamenať väčšie škody
Dnešné ransomvérové útoky sa nemusia skončiť iba zašifrovaním firemných systémov. Útočníci môžu dáta najskôr skopírovať a následne pohroziť ich zverejnením. Tento postup sa označuje ako dvojité vydieranie. V niektorých prípadoch môžu ukradnuté informácie použiť na nátlak aj bez samotného šifrovania súborov.
V takomto scenári záleží aj na tom, čo všetko firma vo svojich úložiskách nechala. Ak bez jasného dôvodu uchováva desať rokov staré dokumenty, incident môže zasiahnuť podstatne väčší súbor informácií, než aký organizácia reálne potrebuje na svoju činnosť.
Neprehľadné úložiská komplikujú aj vyšetrovanie. Bezpečnostný tím musí zisťovať, ku ktorým priečinkom sa útočník dostal, čo obsahovali a ktorých zákazníkov, zamestnancov či obchodných partnerov sa mohli týkať. Ak dokumenty nemajú vlastníkov ani určenú citlivosť, posúdenie rozsahu incidentu môže byť zdĺhavejšie.
Odstránenie nepotrebných dát síce útoku nezabráni, ale môže obmedziť jeho následky. Jednoducho povedané: útočník nemôže ukradnúť informáciu, ktorú firma už bezpečne a v súlade s pravidlami vymazala.
Keď sa zo SharePointu stane digitálny sklad
Typickým zdrojom digitálneho odpadu sú SharePoint lokality a priestory vytvorené pri zakladaní tímov v Microsoft Teams. Firma spustí nový projekt, vytvorí pracovné prostredie, pridelí oprávnenia a začne ukladať dokumenty. Po skončení projektu sa pozornosť tímu presunie inam, no jeho digitálny priestor zostane online.
To ešte automaticky neznamená, že všetky jeho dáta treba vymazať. Niektoré dokumenty môžu mať právnu, obchodnú alebo historickú hodnotu. Problém nastáva vtedy, keď priestor nemá aktívneho vlastníka, nikto nekontroluje jeho oprávnenia a firma nevie, či jeho obsah ešte potrebuje.
Microsoft pri správe SharePointu pracuje s politikami životného cyklu lokalít. Tie môžu pomôcť identifikovať neaktívne alebo opustené priestory, upozorniť zodpovedné osoby a vyžiadať si potvrdenie, či je lokalita naďalej potrebná. Dostupnosť a konkrétne možnosti týchto funkcií však závisia od licencie a nastavenia prostredia organizácie.
Rovnaký princíp platí pre ďalšie cloudové úložiská. Priečinok môže zostať naviazaný na bývalého zamestnanca, zaniknuté oddelenie alebo externého dodávateľa. Aj keď sa s jeho obsahom aktívne nepracuje, firma ho stále musí zahrnúť do správy prístupov a ochrany dát.
Vymazať všetko staré nie je riešenie
Digitálne upratovanie neznamená hromadné mazanie súborov podľa dátumu ich vytvorenia. Niektoré dokumenty musí firma uchovávať pre zákonné, zmluvné alebo regulačné povinnosti. Iné môže potrebovať na ochranu svojich práv, zabezpečenie kontinuity činnosti alebo preukázanie dôležitých rozhodnutí.
Digitálne upratovanie znižuje množstvo dát, ktoré musí firma chrániť. O obsah, ktorý v cloudových službách zostáva, sa však treba starať priebežne. ESET Cloud Office Security rozširuje ochranu na aplikácie Microsoft 365 aj Google Workspace.
Ani GDPR nestanovuje jednu univerzálnu dobu uchovávania všetkých osobných údajov. Pracuje však s princípmi minimalizácie údajov a obmedzenia uchovávania. Osobné údaje majú byť primerané účelu spracúvania a v identifikovateľnej podobe sa nemajú uchovávať dlhšie, než je na tento účel potrebné. Konkrétna doba preto závisí od účelu spracúvania a od povinností, ktoré sa na organizáciu vzťahujú.
Firma by mala rozlišovať medzi aktívnymi dátami, riadne spravovaným archívom, zálohami a nepotrebným obsahom. Archív nie je sklad bez pravidiel a záloha by nemala slúžiť ako trvalá odkladacia plocha pre všetko, čo firma kedy vytvorila.
Upratovanie sa začína otázkou: Kto za tieto dáta zodpovedá?
Prvým krokom je získať prehľad o miestach, kde firemné dáta vznikajú a zostávajú uložené. Okrem hlavných informačných systémov treba myslieť na tímové lokality, osobné cloudové úložiská, e-mailové schránky, exporty, lokálne disky, zálohy aj aplikácie používané jednotlivými oddeleniami.
Každý významný pracovný priestor alebo súbor dát by mal mať vlastníka. Nemusí ísť o človeka z IT oddelenia. IT dokáže spravovať technickú platformu, ale nemusí vedieť, či je päťročná zákaznícka dokumentácia ešte potrebná.
O obchodnom význame dát by malo rozhodovať oddelenie, ktoré s nimi pracuje. Pri osobných, citlivých alebo zmluvných informáciách treba podľa situácie zapojiť aj právnikov, bezpečnostný tím či pracovníkov zodpovedných za ochranu osobných údajov.
Pre jednotlivé kategórie informácií by mala firma stanoviť, prečo ich uchováva, ako dlho ich potrebuje, kto k nim môže pristupovať a čo sa s nimi stane na konci ich životného cyklu. Už pri vytvorení nového tímového priestoru môže byť jasné, kto je jeho vlastníkom a kedy sa prehodnotí jeho ďalšia existencia.
Užitočná je aj pravidelná kontrola. Ak priestor nemá vlastníka, dlhší čas v ňom neprebieha žiadna aktivita alebo obsahuje prístupy bývalých členov projektu, mal by prejsť revíziou. Výsledkom nemusí byť vždy vymazanie. Firma môže obmedziť oprávnenia, presunúť dôležité dokumenty do spravovaného archívu alebo odstrániť iba nepotrebné a duplicitné dáta.
Presun do koša ešte nemusí znamenať koniec
Vymazanie súboru z používateľského priečinka nemusí znamenať jeho okamžité a definitívne odstránenie. Jeho kópia môže zostať v koši, histórii verzií, zálohe, synchronizovanom zariadení alebo inom systéme.
Firma by preto mala vedieť, ako mazanie funguje v konkrétnych platformách, ktoré používa. Pri vyradení počítačov, diskov a iných dátových nosičov treba zabezpečiť, aby sa z nich citlivé informácie nedali bežne obnoviť. NIST odporúča zvoliť spôsob bezpečného odstránenia dát podľa citlivosti informácií, typu média a toho, či sa má zariadenie ďalej používať.
Aj vymazanie by preto malo mať stanovený postup. Firma tak dokáže preukázať, že dokumenty neodstraňuje náhodne, no zároveň ich neuchováva bez časového obmedzenia iba „pre istotu“.
Menej dát, lepší prehľad
Dobre nastavený životný cyklus informácií neprináša iba bezpečnostné výhody. Zamestnanci rýchlejšie nájdu aktuálne dokumenty, pracujú s menším počtom duplicitných verzií a jednoduchšie rozoznajú dôveryhodný zdroj informácií. Bezpečnostné tímy zase získajú lepší prehľad o citlivých dátach a pri incidente dokážu presnejšie posúdiť, čo mohlo byť ohrozené.
Cieľom nie je uchovávať čo najmenej dát za každú cenu. Firma by však mala vedieť, aké dáta má, prečo ich potrebuje, kto za ne zodpovedá a kedy sa skončí ich životný cyklus.
Nemusí pritom začínať veľkým technologickým projektom. Užitočným prvým krokom môže byť zoznam pracovných priestorov, ktoré nemajú aktívneho vlastníka alebo v nich dlhší čas nikto nepracoval. Práve tam sa často nachádzajú zabudnuté dokumenty, staré oprávnenia a dáta, o ktorých firma ani nevie.
Digitálny poriadok nie je jednorazové upratovanie. Je to priebežný proces, ktorý sa začína už pri vytvorení dokumentu alebo pracovného priestoru. Čím lepšie firma riadi vznik, používanie, archiváciu a odstránenie dát, tým menej informácií ostáva k dispozícii niekomu, kto by ich mohol zneužiť.
