Чувствительные данные: в чем риски для бизнеса

Часть данных, которыми располагают компании, являются чувствительными. К этой категории относится конфиденциальная информация, которая привлекательна для третьих лиц, например конкурентов или хакеров. Она потенциально уязвима, в связи с чем требует контроля и надежной защиты. Утечка чувствительных данных может грозить финансовым и репутационным ущербом для компаний, поэтому должны предприниматься меры по минимизации подобных рисков. Рассказываем, какая именно информация в первую очередь нуждается в защите, как обнаружить ее среди информационных массивов.

Что такое чувствительные данные

В глобальном смысле к чувствительным данным можно отнести любую конфиденциальную информацию, обрабатываемую компанией. Примеры:

• Персональная информация сотрудников и клиентов: ФИО, паспортные данные, должность, адреса и телефоны, семейное положение.
• Финансовые данные: платежные реквизиты, номера банковских карт, сведения о транзакциях.
• Коммерческая тайна: бизнес-планы, стратегия развития, базы данных.
• Интеллектуальная собственность: разработки и изобретения, товарные знаки и др.

Все эти критичные данные очень важны для бизнеса. Их несанкционированное использование связано с потенциально высокими рисками ИБ и может обернуться негативными последствиями для организации. В этом их главное отличие от данных, которые не являются строго конфиденциальными. Если утечет неконфиденциальная информация, серьезного ущерба для бизнеса не будет, поскольку зачастую она и так есть в открытом доступе.

Риски для бизнеса при утечке критичных данных

Чем может обернуться утечка конфиденциальной информации:

• Косвенными и прямыми убытками. Это и недополученная из-за простоя отдельных департаментов или всей организации прибыль, финансовые потери вследствие несоблюдения договоренностей и обязательств, затраты на восстановление после инцидента.
• Штрафами за нарушение законодательных норм, например ФЗ № 152 «О защите персональных данных». Величина взыскания будут зависеть от того, какие именно сведения утекли, в первый раз это произошло или повторно.
• Утрата доверия клиентов. Такие последствия часто имеет утечка персональных данных. Люди начинают сомневаться в добросовестности компании, которая не смогла обеспечить конфиденциальность предоставленных ими сведений.
• Потеря конкурентных преимуществ. Если сведения, относящиеся к категории коммерческой тайны или интеллектуальной собственности, попадут к конкурентам и будут ими использованы, компания-жертва окажется в проигрышном положении.

Характер и степень ущерба зависит от того, какие именно чувствительные данные скомпрометированы. Чтобы предположить возможные последствия, целесообразно провести оценку актуальных рисков и определить информационные ресурсы, которые наиболее уязвимы на момент проверки.

Роль DAG-системы в защите критичных данных

Большая часть информационных активов компаний — неструктурированные данные. Они не распределены по степени конфиденциальности, неорганизованно хранятся, слабо контролируются. Возможные форматы таких данных: текстовые документы, аудио- и видеофайлы, изображения и др. Среди массивов есть и чувствительная информация, поэтому отсутствие контроля и надлежащей защиты могут привести к инциденту ИБ.

Проблемы и риски, связанные с чувствительными неструктурированными данными:

• Несанкционированное использование, утечка. Поскольку неструктурированные данные разрозненно хранятся и практически не контролируются, они могут попасть в руки инсайдеров или внешних злоумышленников.
• Нарушение нормативных требований. Защита некоторых категорий чувствительных данных регламентируется на законодательном уровне, поэтому отсутствие контроля за использованием информации может обернуться санкциями в отношении компании.
• Потеря важных сведений. Часть неструктурированных данных остается неподотчетной, поэтому может быть изменена или удалена.
• Неэффективное использование информации. Если надлежащее хранение данных не организовано, необходимые для работы сведения сложно найти.

Объемы неструктурированных данных стремительно растут, из-за чего вручную структурировать информацию трудно, а в крупных компаниях — невозможно. Чтобы взять ситуацию под контроль, целесообразно внедрить систему класса Data Access Governance (далее — DAG). Она позволит обнаружить все неструктурированные чувствительные данные, упорядочить их хранение и в дальнейшем контролировать доступ к ним.

Система Solar DAG и ее ключевые возможности

Solar DAG — система, предназначенная для анализа и категорирования информационных массивов, контроля доступа к чувствительным данным. Можно выбрать вариант с установкой агентов на наблюдаемые серверы либо безагентскую реализацию. Независимо от способа внедрения в системе собираются сведения обо всех изменениях структуры информационных массивов, затем эти данные журналируются, передаются на сервер Solar DAG и используются для мониторинга, проведения аудита прав доступа, создания отчетов и принятия решений.

При первичном запуске происходит сканирование всех систем хранения, используемых компанией. С помощью инструментов контентного анализа и других эффективных методов категорирования Solar DAG определяет характер хранимых сведений и присваивает им служебные метки конфиденциальности. На основании этих меток ответственные лица могут назначать конечные хранилища для критичных данных. После того как основные массивы будут распределены, сканирование проводится при условиях, заданных в настройках системы, например, при создании новых файлов.

Какие еще задачи решает система:

• Контроль хранения чувствительных данных. Solar DAG фиксирует все перемещения информации из назначенных конечных хранилищ.
• Контроль использования конфиденциальной информации. Система отмечает, кто и когда работал с данными, какие операции совершал.
• Помощь в проведении аудита прав доступа. Solar DAG формирует двунаправленные отчеты, где содержится вся информация о том, какие учетные записи могут работать с определенными ресурсами, к каким ресурсам имеют доступ определенные учетные записи.
• Помощь в проведении аудита событий. Solar DAG журналирует все события, происходящие с чувствительными данными, представляет сведения в формате подробных отчетов.

Помимо широкого круга решаемых задач, система обладает еще рядом преимуществ. Solar DAG удобна в администрировании благодаря интуитивно понятному интерфейсу, подходит для геораспределенных инфраструктур, характеризуется высокой производительностью, позволяющей оперативно обрабатывать большие объемы данных.