Nedávno prebehla médiami správa o veľkom útoku, ktorý zasiahol rôzne inštitúcie po celom svete, najmä v Británii. Aké sú kroky, ktoré je vhodné implementovať k tomu, aby sa mohla spoločnosť brániť pre takýmito útokmi?

Britský úrad Information Commissioner‘s Office (ICO) zverejnil na svojom blogu sadu odporúčaní.

Prečo sa oplatí sledovať odporúčania národných orgánov?

Legislatíva ohľadne ochrany osobných údajov obsahuje niekoľko nejasností, ktoré komplikujú jej praktické dodržiavanie. Niektoré povinnosti sú v nej totiž definované na veľmi všeobecnej úrovni. Napríklad, obľúbeným pojmom sú tzv. „vhodné technické a organizačné opatrenia“, napríklad v článku 24 Všeobecného Nariadenia o Ochrane Osobných Údajov (GDPR). Tie musia prevádzkovatelia implementovať, aby zabezpečili ochranu a bezpečnosť dát, ktoré spracúvajú.

Z tohto dôvodu je zaujímavé sledovať to, keď národné úrady zverejňujú rôzne návrhy a odporúčania.

Základné tipy sú rozdelené do dvoch kategórií – slúžiace pre prevenciu a na obnovu.

Preventívne opatrenia:

Podľa ICO medzi ne patria:

• implementácia základných technických opatrení proti malware a ich aktualizácia
• zabezpečiť, aby všetky Vaše zariadenia mali implementované najnovšie bezpečnostné patch-e
• odstránenie všetkých nepotrebných užívateľských účtov a obmedzenie prístupov pre užívateľov
• odstrániť nepotrebný software pre zníženie potenciálnych prístupových ciest
• snažiť sa oddeľovať časti Vašej siete, aby v prípade útoku dochádzalo k stratám a škodám len v čo najnižšom rozsahu
• ochrana a šifrovanie záloh – mať backup offline aj mimo Vaše pracovisko
• tréning zamestnancov pre rozpoznávanie ransomware útoku

Opatrenia slúžiace na obnovu:

Podľa ICO medzi ne patria:

• zabezpečte, že máte efektívnu stratégiu pre zálohovanie a vytvorený proces pre obnovenie Vašej služby. Zamerajte sa hlavne na to, aby ostali zálohy šifrované aj po útoku
• zabezpečte, že ste pripravení a schopní obnoviť Vašu službu po ransomware útoku prostredníctvom pravidelného testovania Vašich záloh
• po odstránení ransomware, uskutočnite celkový bezpečnostný audit a penetračný test Vašich systémov a siete

Záver

Ani toto odporúčanie neodpovie na otázku, ktoré konkrétne opatrenia je nutné implementovať. Nariadenie GDPR obsahuje niektoré pravidlá pre posúdenie, ktoré opatrenia máte prijať v konkrétnom prípade. Zároveň zavádza aj možnosť implementovať odvetvové kódexy správania alebo certifikačné mechanizmy. Pre naplnenie regulačných požiadaviek tak bude nutná hlbšia analýza požiadaviek z rôznych zdrojov a analýza toho, ako sa pracuje s dátami a osobnými údajmi v konkrétnom prípade.

Na druhej strane, v prípade ransomware útokov nejde len o to naplniť regulačné požiadavky na bezpečnosť dát, ale o to, aby boli dáta v čo najväčšej miere zabezpečené. Aj z tohto uhla pohľadu je preto vhodné čítať odporúčania národných orgánov.