Какво е нарушение на сигурността на данните?

Разбирането на това как възникват пробивите в данните изисква да се погледне отвъд един-единствен инцидент. Повечето пробиви са резултат от верига от уязвимости, грешки или пренебрегнати рискове, които заплахите могат да използват.

Кибератакуващите обикновено получават достъп, като намират най-лесната точка за влизане, често чрез пропуски, свързани с хора или процеси, а не само чрез чисто технически слабости. Често срещаните примери включват:

• Фишинг и социално инженерство. Фишингът остава една от най-честите точки за достъп. Злонамерени лица се представят за доверени организации – като ИТ екипи или доставчици – за да подведат потребителите да споделят идентификационни данни или да одобрят заявки за достъп. Подобни техники, като вишинг (гласов фишинг), използват телефонни обаждания, за да постигнат същата цел.
• Компрометирани идентификационни данни. Слабите или повторно използвани пароли продължават да бъдат сериозен риск. Без силни контроли за удостоверяване, като многофакторно удостоверяване (MFA), кибератакуващите могат да получат достъп, без да задействат незабавни сигнали.
• Неприложени уязвимости. Остарелите системи и софтуер могат да изложат известни уязвимости. Заплахите активно сканират за тези слабости и ги използват, за да получат достъп.
• Неправилно конфигурирани услуги. Облачните среди въвеждат риск, когато хранилищата или услугите са неправилно конфигурирани. Публично достъпните хранилища на данни са честа причина за пробиви.
• Излагане чрез трети страни. Доставчиците и партньорите често имат достъп до вътрешни системи и споделени платформи, като инструменти за управление на взаимоотношенията с клиенти (CRM). Ако тяхното ниво на сигурност е по-слабо, те могат да се превърнат в косвена точка за достъп.
• Действия на вътрешни лица. Не всички пробиви са външни. Служителите или подизпълнителите могат неволно да разкрият данни или, в някои случаи, да действат със злонамерени намерения.

Повечето кибератакуващи се придвижват целенасочено през поредица от етапи, предназначени да увеличат въздействието, като същевременно избегнат откриване. Те включват:

• Проучване и разузнаване – Заплахите събират информация за системи, потребители и потенциални уязвимости, за да идентифицират ценни цели.

• Първоначален достъп – Кибератакуващите получават достъп чрез компрометирани идентификационни данни, фишинг или други уязвимости.

• Устойчивост – Те създават начини да запазят достъпа си във времето, дори ако първоначалните точки за влизане бъдат открити от целта.

• Странично придвижване – От един компрометиран акаунт злонамерените лица се опитват да разширят достъпа си в различни системи, като по възможност често се насочват към привилегировани акаунти.

• Извличане на данни – Чувствителните данни се събират и прехвърлят извън средата, понякога на малки порции, за да се избегне откриване.

• Монетизация или изнудване – Откраднатите данни могат да бъдат продадени, публикувани или използвани в схеми за рансъмуер или изнудване.

Жизненият цикъл на пробива в данните подчертава защо силните контроли за идентичност и ранното откриване са от решаващо значение за ограничаване на щетите.

Организациите са изправени пред няколко различни типа пробиви в данните, всеки със свои рискове и стратегии за ограничаване. Въпреки че тези категории често се припокриват, разглеждането им като отделни инциденти помага на екипите да приоритизират мерките за киберзащита.

Външни кибератакуващи използват техники като зловреден софтуер, рансъмуер или използване на налични данни за достъп, за да получат достъп. При използване на налични данни за достъп злонамерени лица използват откраднати комбинации от потребителски имена и пароли, за да опитат да получат достъп до множество акаунти. Тези кибератаки често са автоматизирани и са насочени към често срещани уязвимости.

Пробивите от вътрешни лица могат да бъдат както злонамерени, така и случайни. Например служител може умишлено да извлече данни за лична облага или неволно да разкрие чувствителна информация чрез неправилно конфигурирани настройки за споделяне или като стане жертва на социално инженерство.

Устройства като лаптопи, външни дискове или дори отпечатани документи могат да бъдат изгубени или откраднати. Ако не са защитени правилно, те могат да разкрият чувствителни данни извън контрола на организацията.

С навлизането на облачни услуги от организациите неправилно конфигурирано хранилище или разрешения могат да оставят данните публично достъпни. Тези проблеми често е трудно да бъдат открити без непрекъснато наблюдение.

Организациите все повече разчитат на партньори и доставчици. Нарушение, което засяга трета страна, може да разкрие споделени данни, дори ако собствените системи на организацията останат защитени.

Компрометирането на идентификационни данни – чрез фишинг, повторно използване на пароли или атаки с груба сила – е един от най-честите фактори за нарушения, базирани на самоличност, като позволява на кибератакуващите да получат достъп до системи и данни с валидни идентификационни данни.

Нарушението на данните може да има широкообхватни последици, които се простират отвъд непосредственото техническо възстановяване. За много организации най-същественото въздействие не е самото нарушение, а последващите ефекти.

Цената на нарушение на данните включва няколко слоя на реакция и възстановяване. Когато нарушение води до изтичане на данни, организациите трябва да разследват инцидента, да ограничат заплахата, да уведомят засегнатите лица и често да предоставят услуги за отстраняване, като например наблюдение на кредитната история.

От гледна точка на операциите нарушенията могат да нарушат бизнес процесите, да забавят проекти и да отклонят ресурси от стратегическите приоритети.

Организациите трябва също да отговарят на изисквания, свързани с регулаторното съответствие, които варират според региона и индустрията, включително строги срокове за докладване на нарушения и водене на записи за дейностите по обработване на данни и картографиране на данните.

Често срещаните регулаторни рамки включват:

• Общият регламент относно защитата на данните (GDPR) изисква своевременно уведомяване при нарушение и строги практики за обработване на данни.
• Законът за поверителност на потребителите в Калифорния (CCPA)/California Privacy Rights Act (CPRA) се фокусира върху правата на потребителите за поверителност и прозрачност.
• Законът за преносимост и отчетност на здравното осигуряване (HIPAA) урежда защитата на здравна информация.
• Стандартите за сигурност на данните в индустрията за разплащателни карти (PCI DSS) се прилагат за сигурността на данните на разплащателните карти.

Неспазването може да доведе до глоби, съдебни действия и засилен контрол от регулаторните органи.

Освен финансовите и правните последици, нарушенията могат да подкопаят доверието. Клиентите, партньорите и заинтересованите страни може да загубят доверие в способността на организацията да защитава чувствителна информация – особено когато рискове като сенчести данни, атаки, базирани на самоличността, или вътрешни заплахи разширяват обхвата и въздействието на пробива. Този ефект често е труден за количествено измерване, но може да бъде значителен с течение на времето.

Дори при силни превантивни мерки организациите трябва да приемат, че нарушения могат да възникнат. Способността за бързо откриване и реагиране е от решаващо значение за минимизиране на въздействието.

Съвременното откриване разчита на корелиране на сигнали в различни системи, потребители и данни, включително:

• Наблюдение на активността чрез платформи за управление на информацията и събитията за сигурността (SIEM) и оркестрация на сигурността, автоматизация и реакция (SOAR).
• Използване на телеметрия от крайните точки и идентичности за откриване на аномалии.
• Прилагане на политики за предотвратяване на загуба на данни (DLP) за идентифициране на необичайно движение на данни.

Тези възможности често са част от по-широка стратегия за ИТ сигурност, която съчетава множество инструменти и източници на данни.

Ефективен план за реакция при инциденти помага на екипите по сигурността да действат бързо и последователно.

Ключовите компоненти включват:

• Ясно определени роли и пътища за ескалация
• Предварително подготвени ръководства за често срещани сценарии
• Правни и съответстващи работни потоци
• Планове за комуникация за вътрешни екипи, клиенти и външни заинтересовани страни

След като нарушение бъде установено, е необходимо незабавно действие за ограничаване на разпространението му.

Организациите обикновено предприемат стъпки, за да:

• Изолират засегнатите системи или идентичности.
• Отнемат достъпа и сменят идентификационните данни.
• Запазят доказателства за разследване.

След ограничаването екипите се фокусират върху възстановяването на системите и намаляването на риска от повторна поява. Възстановяването често включва:

• Възстановяване на операциите от чисти резервни копия.
• Проверка на целостта на системата и контрола на достъпа.
• Идентифициране на пропуски и укрепване на защитите.
• Подобряване на усилията за реакция чрез редовно тестване.

За да предотвратят нарушение на данните, организациите се нуждаят от проактивен, многопластов подход, който обхваща идентичността, данните, инфраструктурата и човешкото поведение. Помислете за прилагане на следните най-добри практики за сигурност:

• Приемете модел на Zero Trust: Zero Trust се основава на принципа „никога не се доверявай, винаги проверявай“. Това означава непрекъснато да се потвърждават заявките за достъп, да се прилага принципът на минималните привилегии и да се приема, че нарушение може да възникне по всяко време.
• Укрепете сигурността на идентичността: Идентичността често е основният вектор на атака. Организациите трябва да прилагат многофакторно удостоверяване (MFA), да наблюдават риска, свързан с идентичността, да ограничават привилегирования достъп и редовно да сменят тайните, за да намалят излагането на риск.
• Защитете данните чрез управление: Данните трябва да бъдат класифицирани според чувствителността, като са въведени контроли за предотвратяване на неоторизиран достъп или споделяне. Решения, съобразени с управлението на защитната състояние на данните (DSPM), помагат на организациите да разберат къде се намират чувствителните данни и как се използват.
• Защитете облачните среди: Внедряването на облачни решения въвежда нови рискове. Решения като управление на състоянието на облачната сигурност (CSPM), платформи за защита на облачни работни натоварвания (CWPP) и платформи за защита на облачни приложения (CNAPP) помагат да се откриват неправилни конфигурации и уязвимости, преди да бъдат използвани.
• Управлявайте уязвимостите и намалете атакуващата повърхност: Постоянното прилагане на корекции и управлението на уязвимостите помагат да се отстранят известните слабости, преди да бъдат използвани.
• Намалете човешкия риск: Служителите остават ключова линия на защита. Редовното обучение помага на потребителите да разпознават техники за социално инженерство – като фишинг или вишинг – и да избягват често срещани грешки, които водят до нарушения.
• Намалете риска от трети страни: Доставчиците и партньорите трябва да се оценяват редовно, за да се гарантира, че отговарят на изискванията за сигурност и не създават допълнително излагане на риск.
• Подгответе се за инциденти: Дори силните защити могат да се провалят. Организациите трябва редовно да тестват плановете си за реагиране при инциденти чрез симулации и теоретични учения, за да гарантират готовността си.

Ограничаването на риска от пробив в данните изисква повече от това просто да защитите данните си. То изисква координирана видимост и контрол върху идентичността, данните, крайните точки, облачните среди и решенията за сигурност. Решенията Microsoft Security са създадени да работят заедно в подкрепа на този подход.

Основните области на решение включват:

• Защита на идентичността—Microsoft Entra помага за защита срещу атаки, базирани на идентификационни данни, с MFA, Conditional Access и откриване на риск за идентичността.
• Сигурност и управление на данните–Microsoft Purview е създадено да помага на организациите да класифицират, защитават и управляват чувствителни данни през целия им жизнен цикъл.
• Защита от заплахи – Microsoft Defender предоставя разширено откриване и реакция за крайни точки, имейли и облачни приложения.
• Състояние на облачната сигурност–Microsoft Defender for Cloud помага за защитата на облачните работни натоварвания и за откриването на неправилни конфигурации чрез възможностите на CSPM и CNAPP.
• Операции по сигурността—Microsoft Sentinel{3}поддържа разширено откриване на заплахи, разследване и автоматизирана реакция.