Pracownicy celowo powodują wycieki danych? Paranoja czy fakty?

Przeczytaj także: Ataki hakerskie w II 2019

Ostatnio przekonał się o tym na własnej skórze chiński oddział Amazona, którego skorumpowani pracownicy współdziałali z przestępcami. Ponemon Institute oszacował, że koszty tego incydentu wyniosą co najmniej 8 milionów dolarów.

Wewnętrzne zagrożenia bezpieczeństwa IT - czy to pod postacią złośliwych insiderów czy też niedbałych pracowników - pozostają prawdziwą zmorą działów IT. Najświeższe badania wyraźnie potwierdzają, że to właśnie personel coraz częściej staje się celem ataków phishingowych i cybeprzestępców rozprzestrzeniających oprogramowanie ransomware. Równocześnie okazuje się, że lwia część pracowników ciągle nie dostrzega zewnętrznych zagrożeń, nie zdając sobie nawet sprawy, że mimowolnie angażuje się w dość ryzykowne praktyki podczas obsługi danych korporacyjnych. Taki układ sprawia, że dzisiaj to właśnie wewnętrzne zagrożenia stanowią szczególny problem dla liderów IT.

Nowe badania, przeprowadzone przez Egress, ujawniają znaczny rozdźwięk między liderami IT, a pracownikami w zakresie rozumienia pojęcia prywatności danych i właściwych praktyk stosowanych przy udostępnianiu informacji. Eksperci uważają, że jest to powodem wzrostu liczby przypadków naruszenia i wycieku danych.

Według raportu 79% liderów IT uważa, że w ciągu ostatnich 12 miesięcy pracownicy narażali wrażliwe dane firmowe, a 61% sądzi, że zostało to zrobione celowe, w złej intencji. Mniej więcej taki sam procent szefów działów bezpieczeństwa uznało, że zachowanie takie doprowadzi nieuchronnie do naruszenia danych w ciągu najbliższych 12 miesięcy.

Zapytani o postępowanie z danymi korporacyjnymi, pracownicy nie chcieli przyznać, że robią coś złego. Nieco ponad 90% z nich twierdzi, że nie złamało zasad firmy udostępniając informacje przypadkowo bądź celowo. Spośród osób, które przyznały się do łamania zasad, 55% broniło swojego postępowania twierdząc, że brakuje im narządzi niezbędnych do bezpiecznej wymiany poufnych danych. Inne wymówki to: „Używałem urządzenia mobilnego” (19%), „Nie przeszedłem odpowiedniego przeszkolenia” (21%), „Byłem zmęczony” (29%), „Byłem zestresowany” (30%) itp.

Raport ujawnia także, że znaczna część pracowników uznaje dane, które są gromadzone, zarządzane i dystrybuowane, za swoją własność, ewentualnie własność ich działu, w związku z czym pracują w błędnym przekonaniu, że to do nich należy decyzja jak i z kim są one dzielone. W porównaniu ze starszymi, młodsi pracownicy byli mniej skłonni zgodzić się, że to organizacja jest wyłącznym właścicielem danych pozostających w obszarze działania firmy.

Wyniki badania mogą rzucić światło na to, dlaczego według liderów IT pracownicy narażają dane na ryzyko bardziej niż sami sądzą. Pracownicy firm po prostu nie postrzegają własności danych firmowych w tej samej perspektywie, co liderzy IT. Najzwyczajniej nie widzą tutaj ryzyka, a nawet – co pokazują wyniki raportu - mogą nie wierzyć w to, że wymieniając dane bez zachowania środków bezpieczeństwa postępują niewłaściwie – mówi Mariusz Politowicz, inżynier techniczny Bitdefender z firmy Marken Systemy Antywirusowe.

Badacze są przekonani, że uzyskane przez nich wyniki dobitnie świadczą o konieczności wyraźnego uwzględnienia, w polityce firmy, edukacyjnych starań dotyczących poufności danych, angażujących działy HR i podnoszących świadomość pracowników w zakresie ochrony własności intelektualnej.