Firmowe dane na prywatnych telefonach i laptopach. Do kupienia w komisie

Przeczytaj także: Jak pracownicy narażają cyberbezpieczeństwo pracodawcy?

Co więcej, w obecnych czasach wiele osób pracuje w domu i wykorzystuje prywatne komputery do celów zawodowych. Sprawia to, że kontrolowanie danych i zarządzanie nimi w organizacji staje się prawie niemożliwe. W związku z tym, że dane są dziś obecne zarówno na urządzeniach firmowych, jak i osobistych, nie mamy nad nimi żadnej kontroli - zwłaszcza gdy urządzenie trafia do komisu, jest sprzedawane lub wyrzucane.

Co więcej, trendy panujące w miejscach pracy, takie jak BYOD (Bring Your Own Device), zyskują na popularności i utrudniają organizacjom śledzenie danych. Zespoły ds. IT mają mniejszą kontrolę nad urządzeniami osobistymi pracowników, dlatego ochrona przechowywanych na nich danych staje się wyzwaniem. Problemy takie jak brak szyfrowania lub przestarzałe systemy operacyjne mogą prowadzić do naruszenia zabezpieczeń i utraty danych.

Organizacje muszą brać to zagadnienie pod uwagę podczas wdrażania strategii cyberbezpieczeństwa. Oznacza to konieczność kształcenia pracowników w dziedzinie zagrożeń związanych z pozbywaniem się starych urządzeń oraz ustanawiania odpowiednich zabezpieczeń w obrębie organizacji.

Kształcenie pracowników

Pierwszym krokiem na drodze do skutecznego zarządzania jest przeszkolenie pracowników przez zespoły ds. IT w zakresie ryzyka związanego z używaniem urządzeń osobistych do celów służbowych, a następnie ich wyrzuceniem. Pracownicy powinni przejść szkolenie na temat procedur bezpieczeństwa stosowanych w danej organizacji, a także zrozumieć, jak przekładają się one na urządzenia osobiste.

Częścią tego procesu powinno być kształcenie w zakresie prawidłowego usuwania zawartości telefonu w przypadku jego oddania np. do komisu. Zagadnienie to nie jest brane pod uwagę przez większość organizacji, jednak należy zwrócić na nie uwagę.

Pracownikom należy też przekazać wiedzę na temat tego, jak rozpoznawać potencjalne próby phishingu oraz ataki szkodliwego oprogramowania i ransomware na ich urządzenia osobiste. Zdolność do identyfikowania takich ataków pozwoli zmniejszyć ryzyko utraty danych.

Środki ochrony danych

Jeżeli jednak szkolenie pracowników zawiedzie, istnieją pewne środki ochrony danych, które zespoły ds. IT mogą wdrożyć ręcznie, aby jeszcze bardziej ograniczyć ryzyko.

• Ciągłe aktualizacje oprogramowania - jeżeli pracownicy zdecydują się korzystać ze swoich urządzeń do celów służbowych, ich regularne aktualizowanie musi stanowić konieczny warunek. Należy przy tym udzielać pracownikom odpowiedniego wsparcia, które pozwoli zapewnić, by oprogramowanie ich urządzeń było zawsze aktualne.
• Bezpieczeństwo haseł - aby zminimalizować zagrożenia dla bezpieczeństwa, należy wprowadzić obowiązek comiesięcznej zmiany hasła. Ważne jest również wprowadzenie ograniczeń dotyczących rodzaju haseł, których używają pracownicy - tak aby były one mniej oczywiste dla hakerów.
• Szyfrowanie danych w celu ich ochrony - smartfony i tablety udostępniają funkcję szyfrowania, która pozwala chronić ich pamięć masową. Jej użycie zmniejsza ryzyko włamania.
• Czyszczenie wszystkich danych z telefonu - jeśli pracownicy zdecydują się zmienić urządzenie na nowe lub zwyczajnie przestać korzystać z obecnego urządzenia, należy zadbać o to, aby wszystkie dane z takiego urządzenia zostały usunięte z zachowaniem ścisłych zasad dotyczących utylizacji.

W tym roku praca z domu stała się dla wielu osób nową codziennością, dlatego zarządzanie rozprzestrzenianiem się danych firmy staje się coraz bardziej skomplikowane. Mimo iż samo wdrożenie trendów pozwalających na elastyczne wykonywanie pracy było planowane na następne 5–10 lat, organizacje nie były przygotowane na to, że zjawisko to stanie się tak powszechne w 2020 r. Co więcej, wszystko wskazuje na to, że w przyszłości będzie się ono jeszcze bardziej nasilać.

Ważne jest, aby zespoły ds. IT rozumiały wszystkie zagrożenia związane z wdrożeniem coraz bardziej elastycznych form wykonywania pracy w nadchodzących latach. Dużą część tego procesu stanowi rzecz jasna zrozumienie ryzyka związanego z korzystaniem z urządzeń osobistych — szczególnie na etapie ich sprzedaży lub utylizacji.

Rick Vanover, dyrektor ds. strategii produktowej w firmie