Kas ir datu drošības pārkāpums?

Lai saprastu, kā notiek datu noplūdes, ir jāskatās plašāk par vienu notikumu. Lielākā daļa noplūžu ir ievainojamību, kļūdu vai nepamanītu risku ķēdes rezultāts, ko apdraudējuma veidotāji var izmantot.

Kiberuzbrucēji parasti iegūst piekļuvi, identificējot visvieglāko ieejas punktu, bieži izmantojot cilvēku vai procesu nepilnības, nevis tikai tehniskas vājības. Biežākie piemēri:

• Pikšķerēšana un sociālā inženierija. Pikšķerēšana joprojām ir viens no izplatītākajiem ieejas punktiem. Ļaunprāši uzdodas par uzticamām organizācijām — piemēram, IT komandām vai piegādātājiem —, lai panāktu, ka lietotāji atklāj akreditācijas datus vai apstiprina piekļuves pieprasījumus. Līdzīgas taktikas, piemēram, balss pikšķerēšana, izmanto tālruņa zvanus, lai sasniegtu to pašu mērķi.
• Kompromitēti akreditācijas dati. Vājas vai atkārtoti izmantotas paroles joprojām ir būtisks risks. Bez stingriem autentifikācijas kontroles mehānismiem, piemēram, daudzfaktoru autentifikācijas (MFA), kiberuzbrucēji var iegūt piekļuvi, neizraisot tūlītēju trauksmi.
• Neielāpotas ievainojamības. Novecojušas sistēmas un programmatūra var atklāt zināmas ievainojamības. Apdraudējuma veidotāji aktīvi skenē šīs vājās vietas un tās izmanto, lai iekļūtu sistēmās.
• Nepareizi konfigurēti pakalpojumi. Mākoņa vidēs risks palielinās, ja krātuves vai pakalpojumi ir nepareizi konfigurēti. Publiski pieejamas datu krātuves ir biežs noplūžu avots.
• Trešās puses iedarbība. Piegādātājiem un partneriem bieži ir piekļuve iekšējām sistēmām un koplietotām platformām, piemēram, klientu attiecību pārvaldības (CRM) rīkiem. Ja viņu drošības līmenis ir vājāks, viņi var kļūt par netiešu ieejas punktu.
• Iekšējās darbības. Ne visas noplūdes ir ārējas. Darbinieki vai līgumdarbinieki var nejauši atklāt datus vai dažos gadījumos rīkoties ar ļaunprātīgu nolūku.

Lielākā daļa kiberuzbrucēju mērķtiecīgi virzās cauri vairākiem posmiem, lai maksimāli palielinātu ietekmi un izvairītos no atklāšanas. Daži no tiem norādīti tālāk:

• Izpēte un izlūkošana—apdraudējuma veidotāji apkopo informāciju par sistēmām, lietotājiem un iespējamām ievainojamībām, lai noteiktu vērtīgus mērķus.

• Sākotnējā piekļuve—kiberuzbrucēji iegūst piekļuvi, izmantojot kompromitētus akreditācijas datus, pikšķerēšanu vai citas ievainojamības.

• Noturība—viņi izveido veidus, kā laika gaitā saglabāt piekļuvi, pat ja paredzētais mērķis atklāj sākotnējos ieejas punktus.

• Sānu kustība—no viena kompromitēta konta ļaunprāši mēģina paplašināt piekļuvi visās sistēmās, pēc iespējas biežāk mērķējot uz privileģētiem kontiem.

• Datu izvilkšana—sensitīvi dati tiek savākti un pārsūtīti ārpus vides, dažkārt nelielās daļās, lai izvairītos no atklāšanas.

• Monetizācija vai izspiešana—nozagtos datus var pārdot, publiski nopludināt vai izmantot izspiedējprogrammatūras vai izspiešanas shēmās.

Datu noplūdes dzīves cikls parāda, kāpēc stingra identitātes kontrole un agrīna noteikšana ir kritiski svarīgas, lai ierobežotu kaitējumu.

Organizācijas saskaras ar vairākiem atšķirīgiem datu noplūžu veidiem, un katram ir savi riski un mazināšanas stratēģijas. Lai gan šīs kategorijas bieži pārklājas, to izpratne kā atsevišķiem notikumiem palīdz komandām noteikt kiberaizsardzības prioritātes.

Ārējie kiberuzbrucēji izmanto tādas metodes kā ļaunprogrammatūra,izspiedējprogrammatūra vai akreditācijas datu pārpilde, lai iegūtu piekļuvi. Akreditācijas datu pārpildes gadījumā ļaunprāši izmanto nozagtas lietotājvārdu un paroļu kombinācijas, lai mēģinātu piekļūt vairākiem kontiem. Šie kiberuzbrukumi bieži ir automatizēti un ir vērsti uz bieži sastopamām ievainojamībām.

Iekšējie drošības pārkāpumi var būt gan ļaunprātīgi, gan nejauši. Piemēram, darbinieks var apzināti iegūt datus personīga labuma gūšanai vai nejauši atklāt sensitīvu informāciju nepareizi konfigurētu koplietošanas iestatījumu dēļ vai kļūstot par sociālās inženierijas upuri.

Tādas ierīces kā klēpjdatori, ārējie datu nesēji vai pat drukāti dokumenti var tikt pazaudēti vai nozagti. Ja tās nav pienācīgi aizsargātas, tās var atklāt sensitīvus datus ārpus organizācijas kontroles.

Organizācijām ieviešot mākoņpakalpojumus, nepareizi konfigurēta krātuve vai atļaujas var padarīt datus publiski pieejamus. Šīs problēmas bieži ir grūti konstatēt bez nepārtrauktas uzraudzības.

Organizācijas arvien vairāk paļaujas uz partneriem un piegādātājiem. Drošības pārkāpums, kas skar trešo pusi, var atklāt koplietotus datus, pat ja pašas organizācijas sistēmas paliek drošas.

Akreditācijas datu kompromitācija — izmantojot pikšķerēšanu, paroļu atkārtotu izmantošanu vai brutāla spēka uzbrukumus — ir viens no biežākajiem identitātes pamatā esošu drošības pārkāpumu iemesliem, kas ļauj kiberuzbrucējiem piekļūt sistēmām un datiem, izmantojot derīgus akreditācijas datus.

Datu drošības pārkāpumam var būt tālejošas sekas, kas sniedzas tālāk par tūlītēju tehnisko novēršanu. Daudzām organizācijām būtiskākā ietekme nav pats drošības pārkāpums, bet gan tam sekojošās ķēdes reakcijas sekas.

Datu drošības pārkāpuma izmaksas ietver vairākus reaģēšanas un atjaunošanas slāņus. Ja drošības pārkāpuma rezultātā notiek datu noplūde, organizācijām ir jāizmeklē incidents, jāierobežo draudi, jāinformē skartās personas un bieži jānodrošina novēršanas pakalpojumi, piemēram, kredītuzraudzība.

No darbības viedokļa drošības pārkāpumi var traucēt biznesa procesus, aizkavēt projektus un novirzīt resursus no stratēģiskajām prioritātēm.

Organizācijām ir jāizpilda arī prasības, kas saistītas ar regulatīvo atbilstību, un tās atšķiras atkarībā no reģiona un nozares, tostarp stingri ziņošanas termiņi par drošības pārkāpumiem un datu apstrādes darbību un datu karšu reģistru uzturēšana.

Bieži sastopamās regulatīvās sistēmas ietver:

• The Vispārīgā datu aizsardzības regula (VDAR) paredz savlaicīgu paziņošanu par drošības pārkāpumiem un stingru datu apstrādes praksi.
• Kalifornijas Patērētāju privātuma likums (CCPA)/Kalifornijas Privātuma tiesību akts (CPRA) ir vērsts uz patērētāju privātuma tiesībām un pārredzamību.
• Veselības apdrošināšanas pārnesamības un atbildības akts (HIPAA) regulē veselības informācijas aizsardzību.
• Maksājumu karšu nozares datu drošības standarts (PCI DSS) attiecas uz maksājumu karšu datu drošību.

Neatbilstība prasībām var izraisīt naudas sodus, tiesvedību un pastiprinātu uzraudzību no regulatoru puses.

Papildus finansiālām un juridiskām sekām drošības pārkāpumi var mazināt uzticēšanos. Klienti, partneri un ieinteresētās puses var zaudēt uzticību organizācijas spējai aizsargāt sensitīvu informāciju, jo īpaši tad, ja tādi riski kā ēnu dati, identitātes uzbrukumi vai iekšējie draudi paplašina datu noplūdes tvērumu un ietekmi. Šo ietekmi bieži ir grūti kvantificēt, taču laika gaitā tā var būt nozīmīga.

Pat ar spēcīgiem preventīviem pasākumiem organizācijām ir jāpieņem, ka drošības pārkāpumi var notikt. Spēja ātri konstatēt un reaģēt ir izšķiroša, lai mazinātu ietekmi.

Mūsdienīga noteikšana balstās uz signālu korelāciju starp sistēmām, lietotājiem un datiem, tostarp:

• Darbības uzraudzība, izmantojot drošības informācijas un notikumu pārvaldības (SIEM) un drošības orķestrēšanas, automatizācijas un reaģēšanas (SOAR) platformas.
• Izmantojot galapunktu un identitātes telemetriju, lai noteiktu anomālijas.
• Piemērojot datu zuduma novēršanas (DLP) politikas, lai identificētu neparastu datu pārvietošanu.

Šīs iespējas bieži ir daļa no plašākas IT drošības stratēģijas, kas apvieno vairākus rīkus un datu avotus.

Efektīvs incidentu reaģēšanas plāns palīdz nodrošināt, ka drošības komandas var rīkoties ātri un konsekventi.

Galvenie elementi ietver:

• Skaidri noteiktas lomas un eskalācijas ceļi
• Iepriekš sagatavotas darbību rokasgrāmatas bieži sastopamiem scenārijiem
• Juridiskie un atbilstības procesi
• Komunikācijas plāni iekšējām komandām, klientiem un ārējiem ieinteresētajiem lietotājiem

Kad drošības pārkāpums ir identificēts, nekavējoties jāveic darbības, lai ierobežotu tā izplatīšanos.

Organizācijas parasti veic šādas darbības, lai:

• Izolēt skartās sistēmas vai identitātes.
• Atsaukt piekļuvi un nomainīt akreditācijas datus.
• Saglabāt pierādījumus izmeklēšanai.

Pēc ierobežošanas komandas koncentrējas uz sistēmu atjaunošanu un atkārtošanās riska samazināšanu. Atjaunošana bieži ietver:

• Darbību atjaunošana no tīrām dublējumkopijām.
• Sistēmas integritātes un piekļuves kontroles pārbaudi.
• Trūkumu identificēšanu un aizsardzības stiprināšanu.
• Reaģēšanas pasākumu uzlabošana, veicot regulāru testēšanu.

Lai novērstu datu drošības pārkāpumus, organizācijām ir vajadzīga proaktīva, daudzslāņaina pieeja, kas attiecas uz identitāti, datiem, infrastruktūru un cilvēku uzvedību. Apsveriet šādu drošības ieteikumu ieviešanu:

• Pieņemiet nulles uzticamības modeli: nulles uzticamība balstās uz principu “nekad neuzticēties, vienmēr pārbaudīt”. Tas nozīmē nepārtraukti validēt piekļuves pieprasījumus, īstenot vismazāko privilēģiju principu un pieņemt, ka drošības pārkāpums var notikt jebkurā laikā.
• Stipriniet identitātes drošību: Identitāte bieži ir galvenais uzbrukuma vektors. Organizācijām ir jāievieš MFA, jāuzrauga identitātes risks, jāierobežo priviliģēta piekļuve un regulāri jāmaina noslēpumi, lai mazinātu iedarbību.
• Aizsargājiet datus, izmantojot pārvaldību: Dati ir jāklasificē, pamatojoties uz sensitivitāti, un jāievieš kontroles, lai novērstu nesankcionētu piekļuvi vai koplietošanu. Risinājumi, kas atbilst datu drošības stāvokļa pārvaldībai (DSPM) , palīdz organizācijām saprast, kur atrodas sensitīvie dati un kā tie tiek izmantoti.
• Nodrošiniet mākoņvides drošību: Mākoņpakalpojumu ieviešana rada jaunus riskus. Tādi risinājumi kā mākoņa drošības konfigurācijas pārvaldība (CSPM), mākoņa darba slodžu aizsardzības platformas (CWPP) un mākonī izvietotu lietojumprogrammu aizsardzības platformas (CNAPP) palīdz identificēt nepareizas konfigurācijas un ievainojamības, pirms tās var izmantot.
• Pārvaldiet ievainojamības un samaziniet uzbrukuma virsmu: Pastāvīga ielāpu uzlikšana un ievainojamību pārvaldība palīdz novērst zināmas vājās vietas, pirms tās var tikt izmantotas.
• Samaziniet cilvēkfaktora risku: Darbinieki joprojām ir galvenā aizsardzības līnija. Regulāras apmācības palīdz lietotājiem atpazīt sociālās inženierijas taktikas — piemēram, pikšķerēšanu vai balss pikšķerēšanu — un izvairīties no biežākajām kļūdām, kas noved pie drošības pārkāpumiem.
• Maziniet trešo pušu risku: Piegādātāji un partneri regulāri jāizvērtē, lai nodrošinātu, ka tie atbilst drošības prasībām un nerada papildu riskus.
• Sagatavojieties incidentiem: Pat spēcīga aizsardzība var neizturēt. Organizācijām regulāri jātestē incidentu reaģēšanas plāni, izmantojot simulācijas un darbvirsmas vingrinājumus, lai nodrošinātu gatavību.

Lai mazinātu datu noplūdes risku, nepietiek tikai aizsargāt datus. Nepieciešama koordinēta redzamība un kontrole identitāšu, datu, galapunktu, mākoņa vidēs un drošības risinājumos. Microsoft drošība risinājumi ir izstrādāti tā, lai tie darbotos kopā un atbalstītu šo pieeju.

Galvenās risinājuma jomas ietver:

• Identitātes aizsardzība—Microsoft Entra palīdz aizsargāties pret uz akreditācijas datiem balstītiem uzbrukumiem, izmantojot MFA, nosacīto piekļuvi un identitātes riska noteikšanu.
• Datu drošība un pārvaldība— Microsoft Purview{3}ir izstrādāts, lai palīdzētu organizācijām klasificēt, aizsargāt un pārvaldīt sensitīvus datus visā to dzīves ciklā.
• Draudu aizsardzība— Microsoft Defender{3}nodrošina paplašinātu noteikšanu un reaģēšanu galapunktos, e-pastā un mākoņa lietojumprogrammās.
• Mākoņa drošības stāvoklis—Microsoft Defender for Cloud palīdz aizsargāt mākoņa darba slodzes un identificēt nepareizas konfigurācijas, izmantojot CSPM un CNAPP iespējas.
• Drošības operācijas— Microsoft Sentinel{3}atbalsta uzlabotu draudu noteikšanu, izmeklēšanu un automatizētu reaģēšanu.