211service.com
Omkostningerne ved dårlig sikkerhed
I sidste måned afslørede Sony prisskiltet forbundet med at rydde op i det massive sikkerhedsbrud, der afslørede personlige oplysninger om mere end 100 millioner brugere af deres PlayStation Network og Qriocity streaming-medietjenester: mindst 171 millioner dollars. Det var ifølge Sonys bestyrelsesformand, Sir Howard Stringer, det største sådant brud, nogen virksomhed nogensinde havde oplevet, og den svimlende sum vil dække sikkerhedsforbedringer, kundekompensation og efterforskningstjenester. Men den fulde vejafgift bliver sværere at måle, fordi den vil inkludere tabet af kundernes tillid til virksomheden.
Følger med: Enterprise Strategy Group, et konsulentfirma, spurgte 308 it-professionelle i store virksomheder, hvilke faktorer der motiverede deres beslutninger om at forbedre datasikkerheden. Overholdelse af lovgivningen toppede listen
Episoden var en påmindelse om de indsatser, der er involveret i datasikkerhed – og en indikator på, at mange organisationer ikke beskytter sig selv godt nok. Når det kommer til alle disse sikkerhedsproblemer, bruger virksomheder ikke på forhånd, men skal bruge en masse penge på bagenden for at rette op på tingene, siger Thomas Ristenpart, en computersikkerhedsforsker ved University of Wisconsin, Madison.
Denne måned, Forretningspåvirkning fokuserer på at sikre data mod tyveri og tab. Vi vil undersøge de sikkerhedstaktik, som virksomheder burde bruge, de investeringer, de burde foretage, og de spørgsmål, de burde stille. Vi vil undersøge smart praksis for mobile enheder, fjernmedarbejdere og cloud computing, og vi vil få indsigt fra toptænkere på området.
Truslerne mod informationssikkerheden formerer sig til dels, fordi verdens lagre af data vokser hurtigt, efterhånden som omkostningerne til lagring styrtdykker, og tilgængeligheden af computere og netværksadgang udvides. Efterhånden som denne modermængde af data vokser, vokser dens tiltrækningskraft for kriminelle og hackere.
For at beskytte sig selv kan virksomheder pålægge adgangskontrol på fortrolige data, kryptere disse data og administrere krypteringsnøgler på passende vis, revidere brugeraktiviteter og ansætte konsulenter for at sikre, at sikkerhedspraksis er opdateret. Og da det svage led i sikkerhedskæden ofte er mennesker, er en af de vigtigste ting, virksomheder kan gøre, simpelthen at træne medarbejderne i grundlæggende datasikkerhedspraksis. Denne måneds pakke med historier vil argumentere for, at informationssikkerhed ikke kun er et spørgsmål for it-afdelingen at bekymre sig om. Det skal registreres i hele en virksomhed, begyndende på de højeste niveauer, hvor beslutninger om kapitalinvesteringer træffes.
Store bekymringer: Den samme undersøgelse fra Enterprise Strategy Group bad den samme gruppe it-medarbejdere identificere svage punkter i deres netværkssikkerhed.
En stor udfordring blev afspejlet i en køreplan for cybersikkerhedsforskning fra 2009 (PDF) produceret af det amerikanske Department of Homeland Security. Den fandt blandt andet, at fordi informationsteknologier og angrebsmetoder udvikler sig så hurtigt, har organisationer svært ved at afgøre, om deres data bliver mere eller mindre sikre, om de er mere eller mindre sikre end andre organisationers, og om en given investeringsniveau er umagen værd. Det hjælper ikke, at mange organisationer vurderer grundlæggende spørgsmål om sikkerhed ud fra et kortsigtet økonomisk perspektiv – selvom cost-benefit-analyser er svære at lave, fordi omkostningerne ved at undlade at træffe passende sikkerhedsforanstaltninger måske ikke er synlige i årevis. Beslutninger som følge af sådanne analyser vil ofte være skadelige for at foretage væsentlige sikkerhedsforbedringer på lang sigt, siger rapporten.
Det komplicerer sagerne endnu mere, at når databrud opstår, er virksomhederne ikke altid helt imødekommende. (Sony tog seks dage om at advare brugerne om, at deres oplysninger var blevet afsløret). Hurtigere svar ville hjælpe ofre eller potentielle ofre, enkeltpersoner eller virksomheder, hvis data blev afsløret, med at tage skridt til at afbøde skaden.
Eventuelle ændringer i statslige regler kan stramme reglerne for, hvordan sådanne brud rapporteres, og hvad der skal afsløres. I USA regulerer 47 delstatslove i øjeblikket offentliggørelsen af databrud, der afslører personlige oplysninger, men præsident Obama foreslog for nylig, at en enkelt føderal lov skulle styre processen.
Det ville være nyttigt, siger kryptolog Bruce Schneier, chefteknolog for det globale telekommunikationsselskab BT - selvom hvor nyttigt afhænger af, hvor grundig loven viser sig at være. Det, der står klart nu, er, at eftervirkningerne af databrud til tider er grumsete. Vi ved ikke, hvem der havde adgang til dataene - om de er kriminelle, børn eller spioner, siger Schneier. Vi kender ikke sårbarheden, der forårsagede bruddet. Nogle gange er alt, hvad vi med sikkerhed ved, hvor meget skaden koster.