Najlepsze praktyki w zakresie bezpieczeństwa danych, które powinien znać każdy lider Infosec

4,35 mln dol. – na tyle IBM szacuje średni koszt naruszenia bezpieczeństwa danych. Aby uniknąć kosztów, strat wizerunkowych i procesów sądowych, konieczne jest, by organizacje i firmy stosowały najlepsze praktyki w zakresie cyberbezpieczeństwa.

W poniższym artykule zgłębiamy ten temat. Dla Twojej wygody, podzieliliśmy go na 3 przejrzyste segmenty:

1. Jakie są najlepsze praktyki w zakresie bezpieczeństwa danych?
2. 5 filarów bezpieczeństwa
3. 5 wyzwań cyberbezpieczeństwa

Miłej lektury!

1. Jakie są najlepsze praktyki w zakresie bezpieczeństwa danych?

Możemy wymienić 6 najlepszych praktyk w zakresie bezpieczeństwa danych. Są to:

• wiedza o tym, gdzie znajdują się krytyczne zasoby organizacji
• inwestycja w rozwiązania z zakresu cyberbezpieczeństwa
• promowanie świadomości cybernetycznej
• opracowanie i przetestowanie planów reagowania na incydenty oraz planów odzyskiwania danych po awarii
• tworzenie zasad oceny cyberbezpieczeństwa podmiotów zewnętrznych
• wykupienie ubezpieczenia cybernetycznego

Rozwińmy teraz każdy z tych aspektów.

- Wiedza o tym, gdzie znajdują się krytyczne zasoby organizacji

Żadna firma nie byłaby w stanie skutecznie kontrolować i zarządzać swoimi danymi, gdyby nie wiedziała: jakie informacje posiada, gdzie je przechowuje, w jaki sposób są one udostępnione i kto ma do nich dostęp. Z tych powodów niezbędny jest nie tylko wgląd w same informacje, ale też wskazanie urządzeń, za pośrednictwem których dane są przesyłane i przechowywane. Należy określić, czy te dane są dostępne lokalnie, ulokowane w chmurze, czy może są przechowywane u firm zewnętrznych. Aby to zrobić, pierwszym krokiem jest zawsze audyt tych danych i ich udokumentowanie.

- Inwestycja w rozwiązania z zakresu cyberbezpieczeństwa

Ważnym rozwiązaniem z zakresu cyberbezpieczeństwa, w które warto zainwestować, jest PAM, czyli Privileged Access Management. To rozwiązanie, które umożliwia kontrolowanie dostępu użytkowników do uprzywilejowanych danych, czyli w praktyce na zastosowanie tzw. zasady najmniejszych uprawnień, zapewniając każdemu użytkownikowi tylko niezbędne uprawnienia do wykonywania swoich zadań.

- Promowanie świadomości cybernetycznej

Najbardziej newralgicznym czynnikiem w kwestii cyberbezpieczeństwa są… sami użytkownicy. Dlatego też wysoce wskazane jest inwestowanie w szkolenia w celu promowania świadomości cybernetycznej, edukowania z zakresu zagrożeń i uczenia jak najlepszych praktyk dotyczących bezpieczeństwa.

Warto wiedzieć, że przemyślany program świadomości cybernetycznej obejmuje różne etapy i podejścia, tym samym powinien być dostosowany do profilu i potrzeb organizacji. Ważne jest jednak, aby wszyscy pracownicy go przestrzegali. Szczególną rolę pełni tu kierownictwo wyższego szczebla, które musi świecić dobrym przykładem. Co istotne, nie powinno się ograniczać do oferowania wskazówek, jak unikać typowych cyberzagrożeń. Należy zawsze przedstawiać pracownikom restrykcyjne środki określone przez firmę i jej politykę bezpieczeństwa.

- Opracowanie i przetestowanie planów reagowania na incydenty oraz planów odzyskiwania danych po awarii

Aby zapewnić bezpieczeństwo danych, zaleca się również opracowanie i przetestowanie planu reagowania na incydenty i planu odzyskiwania danych po awarii (Disaster Recovery Plan).

Plan reagowania na incydenty to dokument, który zawiera wszystkie plany dotyczące każdego rodzaju zdarzenia IT, umożliwiającego ataki lub wyciek danych.

Z kolei Disaster Recovery Plan to dokument, którego celem jest poinstruowanie, w jaki sposób należy reagować na nieplanowane incydenty, takie jak przerwy w dostawie prądu, cyberataki czy klęski żywiołowe.

- Tworzenie zasad oceny cyberbezpieczeństwa podmiotów zewnętrznych

Na prywatność i bezpieczeństwo danych firmowych wpływają także punkty styku z dostawcami usług. Dlatego ich również powinny obejmować zasady oceny cyberbezpieczeństwa. Niezbędne w tym aspekcie są działania dotyczące promocji polityki bezpieczeństwa i prywatności, uwzględniającej dostawców usług, wdrożenie tych działań oraz mierzenie ich efektów.

- Wykupienie ubezpieczenia cybernetycznego

Co prawda rolą ubezpieczenia cybernetycznego nie jest ochrona zasobów cyfrowych, jednak istotnie przyczynia się ono do ochrony firmy. To właśnie ubezpieczenie cybernetyczne pokrywa nie tylko koszty strat własnych, ale też roszczenia stron trzecich. Pozwala ono w ten sposób ograniczyć straty finansowe związane z incydentem oraz zapewnić pokrycie kosztów odpowiedzialności w przypadku naruszenia danych, które mogą skutkować pozwem sądowym.

2. 5 filarów bezpieczeństwa

By dbać i utrzymać bezpieczeństwo danych, warto opierać swoje działania na tych 5 filarach:

Filar 1. Integralność

Integralność, czyli to, co umożliwia zachowanie oryginalnych cech danych. W praktyce oznacza to, że informacje nie mogą być zmieniane bez autoryzacji. Jeśli więc dochodzi do niewłaściwej aktualizacji danych, to mamy do czynienia z utratą integralności.

Filar 2. Poufność

Co oczywiste, informacje muszą być chronione przed nieautoryzowanym dostępem, by zapewnić prywatność organizacji. Poufność danych utrzymuje się np. poprzez uwierzytelnianie hasłem, szyfrowanie czy skanowanie biometryczne.

Filar 3. Dostępność

Gdy mówimy o dostępności w kontekście danych, mamy na myśli potrzebę ich udostępniania w dowolnym momencie i umożliwienie użytkownikowi swobodnego dostępu do nich. Aby to osiągnąć, niezbędne jest stałe debugowanie i aktualizowanie systemu oraz jego szybka konserwacja.

Filar 4. Autentyczność

Autentyczność oznacza, że dane nie mogą być modyfikowane przez nieautoryzowanych użytkowników podszywających się pod pracowników. W tym celu konieczne jest dokumentowanie wszystkiego, co użytkownicy robią w sieciach i systemach. Tylko to gwarantuje autentyczność danych.

Filar 5. Legalność

W przypadku legalności mamy na myśli to, że wszystkie działania związane z informacjami w organizacji są przeprowadzane zgodnie z prawem, w tym z przepisami, takimi jak rozporządzenie o ochronie danych osobowych (RODO).

3. 5 wyzwań cyberbezpieczeństwa

Filary bezpieczeństwa są podstawowym kompendium wiedzy w przypadku ochrony danych, jednak warto zdawać sobie sprawę z wyzwań z zakresu cyberbezpieczeństwa, które stoją przed organizacjami. Oto 5 z nich:

- Zdolność do zmiany

Zdolność do zmiany to jedna z podstawowych umiejętności firm, które nieustannie modyfikują i rozwijają swoje działania np. w kwestiach finansowych. Równie istotna jest zdolność do zmiany z zakresu technologii.

- Zgodność z wymogami bezpieczeństwa

W tym przypadku niezbędne jest działanie zgodnie z polityką bezpieczeństwa i przepisami. Brak zachowania zgodności z wymogami bezpieczeństwa wiąże się z ryzykiem naruszenia danych, a co za tym idzie – z przerwaniem działalności, utratą wiarygodności i stratami finansowymi.

- Analizowanie kosztów

Koszty w oczywisty sposób wpływają na przetrwanie firmy. W związku z tym ważne jest, aby zrozumieć nie tylko ich znaczenie, ale też to, co je generuje. W kwestii cyberbezpieczeństwa często zbyt wiele zasobów jest instalowanych na komputerach hostujących i obsługujących aplikacje klienckie.

- Ciągłość działania

Konfiguracja kopii zapasowych danych może nie wystarczyć dla pełnego bezpieczeństwa, którego potrzebuje firma. Dlatego istotne jest korzystanie z rozwiązań typu SaaS (Software as a Service), aby zapobiec ewentualnym problemom. SaaS gwarantuje ciągłość działania w przypadku nieprzewidzianych zdarzeń poprzez wykorzystanie serwerów komputerowych ze zintegrowanymi kopiami zapasowymi.

- Zakres rozwoju

Ekspansja biznesowa jest ryzykowna i wiąże się z wydatkami. Tu znów naprzeciw wyzwaniu wychodzi rozwiązanie SaaS. Daje ono organizacjom dostęp do zasobów technologicznych, które nie ograniczają ich rozwoju poprzez scentralizowane zarządzanie i nadzór.

W tym artykule podzieliliśmy się najlepszymi praktykami w zakresie promowania bezpieczeństwa danych, które powinieneś znać jako lider Infosec. Jeśli ta treść była dla Ciebie pomocna, koniecznie prześlij link do artykułu osobie, której może się przydać.