Dane produkcyjne, finansowe czy też z obszaru badań i rozwoju są niezbędne dla funkcjonowania przedsiębiorstw. Ich ujawnienie albo kradzież spowodowałaby brak możliwości działania firmy albo utratę przez nią przewagi konkurencyjnej, dlatego są one w centrum zainteresowania cyberprzestępców. Hakerzy potrafią wykorzystać także wiele innych, na pozór mniej istotnych informacji.
– Właściwie nie ma danych, o których można powiedzieć, że są dla firmy nieistotne. Z perspektywy mniejszej spółki nawet brak możliwości dostępu do prostej księgi zamówień może w praktyce oznaczać paraliż. Dlatego na dane wymagające ochrony w większości firm należy patrzeć w bardzo szerokiej perspektywie, mając świadomość, że zainteresowanie nimi cyberprzestępców rośnie – przestrzega Paweł Zielaskiewicz, menedżer produktu w firmie Stormshield.
Radzi, żeby w celu ochrony firmowych danych w pierwszej kolejności dokładnie zdiagnozować swoje zasoby informacji. W praktyce oznacza to inwentaryzację, odnoszącą się zarówno do operacji przetwarzania danych, ich typów oraz nośników, na których się znajdują – nie tylko pod kątem sprzętu i oprogramowania, ale także kanałów komunikacji. Po audycie można zastosować klasyfikację danych i posortować je według poziomu ich poufności i zasad rozpowszechniania.
– Praktycznie w każdej firmie czy organizacji istnieje realna potrzeba zapewnienia różnych warstw ochrony dla wyselekcjonowanych katalogów danych. Od zapór sieciowych, przez punkty końcowe dla stacji roboczych, aż po rozwiązania do szyfrowania lub zapobiegania wyciekom informacji – mówi Piotr Zielaskiewicz.
Przy tym ważnym elementem systemu bezpieczeństwa IT jest tworzenie kopii zapasowych. Odpowiedzialność za ten obszar powinna zostać podzielona między dział IT i jednostki biznesowe.
– Jednostka biznesowa musi w pierwszej kolejności stwierdzić, czy posiada dane, które mają wartość dla firmy. Następny krok to określenie, w jakim stopniu ich zniszczenie, utrata lub kradzież może być problematyczna dla organizacji – mówi Piotr Zielaskiewicz.
Natomiast obowiązkiem działu IT jest zapoznanie się z tymi danymi, dzięki czemu będzie on mógł wdrożyć i utrzymywać odpowiednie narzędzia oraz infrastrukturę, które ochronią zasoby i w razie potrzeby pomogą je przywrócić. Należy unikać kopii w tle albo przechowywania danych w tle. To się zdarza, gdy zespoły biznesowe wdrażają własne rozwiązanie lokalne i przechowują dane na serwerze lub w chmurze bez wiedzy działu IT bądź zespołu ds. bezpieczeństwa.
Zasoby danych można też wydrukować i przechowywać w fizycznie bezpiecznej przestrzeni albo w formacie cyfrowym. W tym ostatnim przypadku trzeba je umieścić na oddzielnym i odizolowanym serwerze, do którego dostęp jest zaszyfrowany.