Витік даних — це «несанкціоноване розкриття, розголошення або втрата персональних даних». Зловмисники мають різноманітні мотиви, від фінансової вигоди до політичного активізму, політичних репресій та шпигунства. Існує кілька технічних першопричин витоків даних, включаючи випадкове або навмисне розголошення інформації інсайдерами, втрату або крадіжку незашифрованих пристроїв, злом системи шляхом використання вразливостей програмного забезпечення та атаки соціальної інженерії, такі як фішинг, коли інсайдерів обманом змушують розкрити інформацію. Хоча профілактичні зусилля можуть зменшити ризик витоку даних, вони не можуть повністю його усунути.
Велика кількість випадків порушення безпеки даних ніколи не виявляється. Якщо про порушення стає відомо компанії, яка зберігає дані, зусилля після порушення зазвичай включають локалізацію порушення, розслідування його масштабів та причин, а також повідомлення осіб, чиї записи були скомпрометовані, як того вимагає законодавство багатьох юрисдикцій. Правоохоронні органи можуть розслідувати порушення, хоча відповідальних хакерів рідко затримують.
Злочинці часто продають дані, отримані внаслідок порушення безпеки, у даркнеті. Таким чином, люди, чиї персональні дані були скомпрометовані, протягом багатьох років піддаються підвищеному ризику крадіжки особистих даних, і значна кількість з них стає жертвами цього злочину. у багатьох юрисдикціях, включаючи всі штати Сполучених Штатів та держави-члени Європейського Союзу, вимагають повідомлення людей, чиї дані були порушені. Позови проти компанії, дані якої були порушені, є поширеними, хоча мало хто з жертв отримує від них гроші. Існує мало емпіричних доказів економічної шкоди для фірм від порушень, окрім прямих витрат, хоча є деякі докази, що свідчать про тимчасове, короткострокове зниження .
Визначення
Згідно з Національним інститутом стандартів і технологій (NIST), витік даних — це «подія, яка фактично або потенційно ставить під загрозу конфіденційність, цілісність або доступність інформаційної системи, або яка являє собою порушення чи безпосередню загрозу порушення політик безпеки, процедур безпеки або політик прийнятного використання». (NCSC) визначає витік даних як «випадок крадіжки або доступу до інформації, що зберігається організацією, без дозволу». Інші визначають витік даних як порушення «організаційного, регуляторного, законодавчого або договірного» законодавства чи політики, що призводить до «несанкціонованого розкриття, розголошення або втрати персональної інформації». Деякі дослідники включають інші типи інформації, наприклад, інтелектуальну власність або секретну інформацію.
Поширеність До широкого прийняття приблизно у 2005 році поширеність порушень даних було важко визначити. Навіть після цього річна статистика може бути ненадійною, оскільки про порушення іноді повідомляють через роки після їх виникнення або взагалі не повідомляють. Тим не менш, статистика показує постійне зростання кількості та серйозності порушень даних, яке продовжується . У 2016 році дослідник Саша Романоський підрахував, що кількість витоків даних (за винятком фішингу) перевищувала інші порушення безпеки в чотири рази.
Порушники Згідно з оцінкою 2020 року, 55 відсотків витоків даних були спричинені організованою злочинністю, 10 відсотків — системними адміністраторами, 10 відсотків — , такими як клієнти або співробітники, та 10 відсотків — державами або пов'язаними з державою суб'єктами. Злочинці-опортуністи можуть спричиняти витоки даних, часто використовуючи шкідливе програмне забезпечення або атаки соціальної інженерії, але вони зазвичай рухаються далі, якщо рівень безпеки вище середнього. Більш організовані злочинці мають більше ресурсів і більше зосереджені . Обидві групи продають отриману інформацію для отримання фінансової вигоди. Ще одним джерелом витоків даних є політично мотивовані хакери, наприклад, Anonymous, які націлені на певні цілі. Хакери, що спонсоруються державою, націлені або на громадян своєї країни, або на іноземні організації з метою політичних репресій та шпигунства. Часто вони використовують нерозкриті вразливості нульового дня, за які хакерам платять великі суми грошей. Шпигунське програмне забезпечення Pegasus — шкідливе програмне забезпечення без натискання кнопки, розроблене ізраїльською компанією , яке можна встановити на більшість мобільних телефонів і яке шпигує за активністю користувачів, — привернуло увагу як через використання проти злочинців, таких як наркобарон Ель Чапо, так і проти політичних дисидентів, що сприяло .
Причини
Технічні причини Незважаючи на мету розробників створити продукт, який працює повністю належним чином, практично все програмне та містить помилки. Якщо помилка створює ризик для безпеки, це називається вразливістю. Часто випускаються патчі для виправлення виявлених вразливостей, але ті, що залишаються невідомими (нульовий день), а також ті, що не були виправлені, все ще підлягають експлуатації. Як програмне забезпечення, написане жертвою порушення, так і програмне забезпечення третіх сторін, яке вони використовують, є вразливими до атак. за вартість порушень, що створює стимул для створення дешевшого, але менш безпечного програмного забезпечення.
Вразливості різняться за здатністю використовуватись зловмисниками. Найцінніші дозволяють зловмиснику впроваджувати та запускати власний код (так званий шкідливий код) без відома користувача. Деякі шкідливі програми завантажуються користувачами через натискання на шкідливе посилання, але також шкідливі веб-програми можуть завантажувати їх просто під час відвідування веб-сайту (). Кейлогери, тип шкідливого програмного забезпечення, який записує натискання клавіш користувача, часто використовуються для витоків даних. Гешування — це гарне рішення для захисту паролів від атак методом грубої сили, але лише за умови достатньої безпеки алгоритму.
Багато витоків даних трапляються на обладнанні, яким керує партнер організації, що стала жертвою, зокрема та . Аутсорсинг роботи третій стороні призводить до ризику витоку даних, якщо ця компанія має нижчі стандарти безпеки; зокрема, малим компаніям часто бракує ресурсів для вжиття стільки ж запобіжних заходів безпеки. Як наслідок, угоди про аутсорсинг часто включають гарантії безпеки та положення щодо того, що відбувається у разі витоку даних.
Людські причини Людський фактор часто пов'язаний з хибною довірою до зловмисника. Атаки соціальної інженерії покладаються на обман інсайдера, змушуючи його зробити щось, що ставить під загрозу безпеку системи, наприклад, розкрити пароль або натиснути посилання для завантаження шкідливого програмного забезпечення. Витоки даних також можуть бути навмисно спричинені інсайдерами. Один із видів соціальної інженерії, фішинг, передбачає отримання користувача шляхом надсилання йому шкідливого повідомлення, яке видає себе за законну організацію, таку як банк, і змушує користувача ввести свої облікові дані на шкідливому веб-сайті, контрольованому кіберзлочинцем. Двофакторна автентифікація може запобігти використанню зловмисником цих облікових даних. Навчання співробітників розпізнаванню соціальної інженерії є ще однією поширеною стратегією.
Ще одним джерелом порушень є випадкове розголошення інформації, наприклад, публікація інформації, яка повинна залишатися конфіденційною. Зі зростанням політики віддаленої роботи та використання власних пристроїв, великі обсяги корпоративних даних зберігаються на особистих пристроях співробітників. Через недбалість або ігнорування політик безпеки компанії ці пристрої можуть бути втрачені або викрадені. Технічні рішення можуть запобігти багатьом причинам людських помилок, таким як шифрування всіх конфіденційних даних, запобігання використанню співробітниками незахищених паролів, встановлення антивірусного програмного забезпечення для запобігання шкідливим програмам та впровадження надійної системи виправлень, щоб забезпечити оновлення всіх пристроїв.
Життєвий цикл порушення
Профілактика Хоча увага до безпеки може зменшити ризик витоку даних, вона не може звести його до нуля. Безпека не є єдиним пріоритетом організацій, і спроба досягти ідеальної безпеки зробила б технологію непридатною для використання. Багато компаній наймають директора з інформаційної безпеки (CISO) для контролю за стратегією інформаційної безпеки компанії. Щоб отримати інформацію про потенційні загрози, фахівці з безпеки співпрацюють один з одним та обмінюються інформацією з іншими організаціями, які стикаються з подібними загрозами. Заходи захисту можуть включати оновлену стратегію реагування на інциденти, контракти з фірмами цифрової криміналістики, які могли б розслідувати порушення, , та моніторинг даркнету на предмет викрадених облікових даних співробітників. У 2024 році Національний інститут стандартів і технологій США (NIST) опублікував спеціальну публікацію «Конфіденційність даних: виявлення та захист активів від витоків даних». також містить інформацію про захист даних. Інші організації опублікували різні стандарти захисту даних.
Архітектура систем компанії відіграє ключову роль у стримуванні зловмисників. Дасвані та Елбаяді рекомендують мати лише один засіб автентифікації, уникаючи надлишкових систем та встановлюючи найбезпечніший параметр за замовчуванням. та розподілені привілеї, що вимагають кількох автентифікацій для виконання операції, можуть ускладнити компрометацію систем. Надання співробітникам та програмному забезпеченню мінімального обсягу доступу, необхідного для виконання їхніх функцій (принцип найменших привілеїв), обмежує ймовірність та збитки від порушень. Кілька порушень даних були спричинені залежністю від безпеки через невідомість; жертви розмістили облікові дані доступу у загальнодоступних файлах. Тим не менш, пріоритетність простоти використання також важлива, оскільки в іншому випадку користувачі можуть обійти системи безпеки. Ретельне тестування програмного забезпечення, включаючи тестування на проникнення, може зменшити вразливості програмного забезпечення та має проводитися перед кожним випуском, навіть якщо компанія використовує модель безперервної інтеграції/безперервного розгортання, де постійно випускаються нові версії.
Принцип найменшого зберігання — уникнення збору даних, які не є необхідними, та знищення даних, які більше не є необхідними — може зменшити шкоду від порушень. Проблема полягає в тому, що знищення даних може бути складнішим із сучасними системами баз даних.
Відповідь Багато випадків порушення безпеки даних ніколи не виявляються. З тих, що трапляються, більшість порушень виявляються третіми сторонами; інші виявляються співробітниками або автоматизованими системами. Реагування на порушення часто є відповідальністю спеціалізованої команди реагування на інциденти комп'ютерної безпеки, яка часто включає технічних експертів, фахівців зі зв'язків з громадськістю та юрисконсультів. Багато компаній не мають достатнього власного досвіду та передають деякі з цих ролей на субпідряд; часто ці зовнішні ресурси забезпечуються полісом кіберстрахування. Після того, як компанії стає відомо про порушення безпеки даних, наступні кроки зазвичай включають підтвердження його виникнення, повідомлення команди реагування та спробу усунути завдану шкоду.