2013. december 5. Egyre növekvő anyagi károk és stagnálás jellemzi a hazai adatbiztonság helyzetét A CDSYS 2013-as adatszivárgási felmérésének eredményei A Compliance Data Systems Kft. megismételte tavalyi IT biztonsági felmérését, amely a hazai viszonyokat hivatott feltérképezni az adatszivárgás területén. A felmérés eredményei szerint jelentősen növekedett a nagy értékű anyagi veszteséggel járó adatszivárgási esetek száma, amelynek egyik lényeges oka a hordozható eszközök elveszéséből adódó esetek számának jelentős növekedése. A vállalatok életében idén már komoly szerepet kaptak a felhő alapú megoldások és a dolgozói tulajdonú eszközök használata (BYOD Bring Your Own Device), amelyek újabb kockázati tényezőket jelentenek. A CDSYS az idei ITBN konferencián tartott kerekasztal beszélgetésén jelentette be a tavalyi IT biztonsági kutatás folytatását. A nem reprezentatív felmérés eredményei az új trendek (felhő, BYOD) és az ezekkel járó biztonsági kockázatok növekedése mellett, az adatszivárgásból eredő károk emelkedését, illetve a bekövetkezett esetek utáni konkrét biztonsági intézkedések elmaradását mutatják. A válaszadók jelentős része továbbra sem ismeri a megfelelő védelmi eszközöket, és nem is kívánják bevezetni ezeket, ugyanakkor a vállalati és dolgozói mobileszközök egyre elterjedtebb használata láthatóan komoly kihívások elé állítja az IT biztonsági szakembereket. Kulcs megállapítások: A 2013-as DLP felmérés eredményeinek ismeretében elmondható, hogy nem történt jelentős előrelépés az adatvédelemben idén, sőt az olyan új trendek rohamos terjedésével, mint a felhő vagy a BYOD a biztonsági kockázatok is jelentősen növekedtek. Ennek fényében nem meglepő, hogy az adatszivárgások anyagi veszteségei jelentősen emelkedtek 2013-ban, de sok vállalatnál még így sem történik érdemi utólagos intézkedés az IT biztonság területén, illetve egyre többen a munkavállalók büntetésében látják az adatszivárgás megelőzésének lehetséges megoldását. A mobileszközök használatának jelentős növekedése, a szabályozás hiánya, a hanyag munkatársak és a rosszindulatú programok egyre veszélyesebbé válása mindenképpen az adatvédelmi megoldások fokozottabb használatát, a megfelelő vállalati szabályozás kialakítását és a preventív megközelítést sürgeti. A Big Data korában az vállalati adatok váltak az egyik legértékesebb tulajdonná, így a megfelelő és folyamatosan fejlődő védelem kialakításának hiánya komoly anyagi- és presztízsveszteségeket okozhat a vállalatok számára. COMPLIANCE DATA SYSTEMS KFT. 1 / 5
Részletes eredmények A CDSYS 2013-as DLP felmérése résztvevőinek többsége idén is a kkv szektorból érkezett, amelyet hasonlóan a tavalyi részvételi arányokhoz a nagyvállalatok és a 100-300 fős vállalkozások képviselői követnek. Az online felmérésben idén már többen vettek részt, mint tavaly, a számos területről érkező közel százötven válaszadó véleménye jól tükrözi a hazai IT biztonsági viszonyokat. A válaszok számos területről érkeztek, a kutatás során több mint 30 iparág képviselői válaszoltak a feltett kérdésekre. A legnagyobb válaszadói csoport az informatikai szektorból érkezett, amelyet a pénzügyi és az állami, közigazgatási területek követnek, de a kérdőív kitöltésében részt vettek a telekommunikáció, oktatás, logisztika és a média területén tevékenykedő vállalatok képviselői is. COMPLIANCE DATA SYSTEMS KFT. 2 / 5
Az adatszivárgási megoldások ismerete viszonylag magas, ugyanakkor a válaszadók közel ötöde (19%) nem használ semmiféle adatszivárgás elleni megoldást, viszont pozitív tendencia, hogy a cégek egy része már többféle megoldást is használ. A védelemmel rendelkező vállalatoknál idén már magasan a portvédelem a legelterjedtebb megoldás (55,6%), amelyet a merevlemez titkosítás (48,4%) és az email titkosítás követ. Az adatok vállalati osztályozásánál nincsenek jelentős eltérések a tavalyi adatokhoz képest. A válaszadók cégeinek 60%-ánál osztályozzák az adatokat, de az esetek felében (29,4%) ezt maguk a dolgozók végzik, ami adatbiztonsági szempontból aggályos. Az adatok használatának szabályozása, illetve az ezekhez kapcsolódó oktatás csak a cégek felénél jellemző, 34%-nál csak szabályozás van oktatás nélkül, illetve a cégek közel ötödénél sem szabályozás, sem oktatás nincs. A vállalatok 45 százalékánál használnak dolgozói tulajdonú hordozható, vagy asztali számítógépet, amelyeknek csupán 30 százalékán van ugyanolyan szintű védelem, mint a vállalatnál, és a gépek 15%- án semmiféle védelmi megoldás nincs. A manapság kulcsfontosságú téma, a mobileszközök védelmével kapcsolatban a tapasztalat, hogy a vállalatok felénél használnak okostelefont és táblagépet és ezek negyede a munkavállalók tulajdonában van. A dolgozók tulajdonában lévő okostelefonok aránya nagyobb, de a magántulajdonú táblagépek is kezdenek elterjedni vállalati környezetben, ami kritikus tényező lehet az adatszivárgás elleni védelemben. A vállalatoknál idén kis mértékben csökkent a dolgozói tulajdonú számítógépek használata, ugyanakkor a terjedőben lévő BYOD trend következményeként növekedett a munkavállalók tulajdonában lévő okostelefonok és táblagépek használata a vállalati környezetben. A megkérdezettek szerint a vállalatok több mint felénél van a mobileszközök használatához kapcsolódó szabályozás, ennek ellenére az elvesztett laptopok és mobiltelefonok által bekövetkezett adatszivárgási esetek jelentősen emelkedtek az idei évben. A vállalatok közel felében használnak valamilyen felhőalapú megoldást, amelyek közül a legelterjedtebb a szoftverszolgáltatás (SaaS Software as a Service) és az infrastruktúra szolgáltatás (IaaS Infrastructure as a Service). Felhő alapú biztonsági megoldást mindössze a válaszadók 17,5%-a használ. Az adatszivárgási esetekről szóló kérdésekre adott válaszokból kiderül, hogy a vállalatok dolgozóinak közel 60%-a nem tud adatszivárgási incidensekről. A CDSYS tapasztalatai szerint ezt a viszonylag COMPLIANCE DATA SYSTEMS KFT. 3 / 5
magas számot az indokolja, hogy a legtöbb esetben a vállalat maga sem észleli ezeket az incidenseket, illetve az adatszivárgási esetek nagy részét a vállalat vezetése igyekszik titokban tartani. Ezzel összhangban a válaszadók közel háromnegyede nem tudja megbecsülni az adatvesztés pontos mértékét és az elszenvedett anyagi kárt. A válaszadók tudomására jutott anyagi károk mértéke a tavalyi adatokhoz képest jelentősen emelkedett. A százezres összegben mérhető károk száma csökkent ugyan (7,9%-ról, 3,3%-ra), ugyanakkor a milliós és tízmilliós összegű károk száma jelentősen növekedett (milliós: 4,4%-ról, 13,3%-ra, tízmilliós: 6,1%-ról, 9,2%-ra). Az adatvesztési eseteket követő intézkedéseket kutatva, figyelemre méltó adat, hogy a munkavállalókkal szembeni fegyelmi eljárások száma több mint a duplájára emelkedett, és a jogi eljárások száma is növekedett, ugyanakkor a szabályozások létrehozásának száma csökkent. Örvendetes adat, hogy az utólagos oktatások és a bevezetett adatvédelmi megoldások száma is növekedett, de sajnos a vállalatok közel 40%-a semmilyen utólagos intézkedést nem tett az bekövetkezett adatszivárgási esetek után. COMPLIANCE DATA SYSTEMS KFT. 4 / 5
Olvasson rendszeresen frissített híreket, tanulmányokat az adatszivárgás témaköréről a Facebookon is: http://www.facebook.com/adatszivargas Az adatszivárgásról Szükséges-e az adatszivárgás elleni védelem? Nem is lehet kérdés, hisz ma az információ a legnagyobb érték. Hogyan védekezzünk? Ahhoz, hogy erre a kérdésre válaszolni tudjunk, további kérdéseket kell feltennünk magunknak. - Tudjuk, hogy hol tároljuk a bizalmas adatainkat? Azt is, hogy hol vannak róluk másolatok? Laptopok, fájlmegosztások, közös mappák, adatbázisok kockázatelemzések során kiderült, hogy minden tíz fájlból egyet rossz helyen tárolunk. - Tudjuk, hogy hogyan és kik használják az adatokat? Mit másoltak USB-re vagy küldtek el e-mailben, csevegőprogramon, webmail-en vagy FTP-n? kockázatelemzések kimutatták, hogy minden négyszázadik e-mail tartalmaz titkos adatot. - Hogyan akadályozzuk meg titkos adataink elvesztését? Felmérések alapján kiderült, hogy a dolgozók 59% vitt el adatot a munkahelyéről. Hogyan tudjuk ezt megakadályozni és kikényszeríteni az adatvédelmet? Az adatszivárgás elleni védelmet biztosító technológiák (Data Loss Prevention - DLP) megfelelő használata és a biztonsági tudatosság növelése jelentik a megoldást. További áttekintést a DLP-ről a Wikipedián: http://hu.wikipedia.org/wiki/data_loss_prevention A Compliance Data Systems Kft.-ről A Compliance Data Systems Kft. 2008 elején alakult, nagy tapasztalattal rendelkező szakemberekből. A vállalat célja, hogy értéket teremtsen üzleti partnerei számára, és vezető piaci szereplővé váljon az IT biztonság, Identity Management, IT Compliance és Data Loss Prevention területein. A CDSYS az Oracle, Sun és CA IDM specialista partnere, az első Symantec Data Loss Prevention specializált és kiemelt Compliance partner Magyarországon, emellett a legmagasabb szintű, Platinum minősítésű Symantec partner. A dinamikusan fejlődő vállalat jelenleg 12 fős szakértői csapattal rendelkezik. Bővebb információ: http://cdsys.hu/ COMPLIANCE DATA SYSTEMS KFT. 5 / 5