A titkosítás önmagában nem elég

nov 23, 2019 | Adatbiztonsági cikkek, hírek

Már korábban írtunk arról, hogy az adatok titkosítása nem helyettesíti az adatok szakszerű fertőtlenítését, a titkosítás csak megnehezíti, de nem teszi lehetetlenné az adatok teljes törlését. Nemrég egy olyan biztonsági hibára derült fény, melynek kihasználásával vissza lehet nyerni a TPM-ben tárolt titkosítási kulcsokat. A hiba milliárdnyi informatikai eszközt érint.

A legütősebb érv, amit az adatok szakszerű fertőtlenítése ellen gyakran felhoznak üzleti partnereink, az az, hogy az adatokat eleve titkosítva tárolja az adott adathordozón, így rajta kívül senki más sem tud hozzájutni az adatokhoz. Az esetek többségében valóban igaz, hogy a titkosítottan tárolt adatokból idegenek semmilyen hasznosítható információt sem tudnak kinyerni. A gyakrabban előforduló sérülékenységek miatt azonban az a biztos, ha az adatokat szakszerűen, jegyzőkönyvezve, tanúsítottan véglegesen töröljük.

Hiba csúszhat bele

A titkosítást emberek készítik, emiatt nagyon könnyen hiba csúszhat belé. Egy biztonsággal foglalkozó kutatócsoport nemrég fedezte fel a Trusted Platform Module harveres és szoftveres titkosítás hibáját. A TPM egy speciális biztonsági megoldás, hardver vagy szoftver alapú, melyet úgy találtak ki, hogy akkor is megvédje az érzékeny adatokat (tanúsítványokat, titkosítási kulcsokat), amikor egyébként az operációs rendszer a bűnözők befolyása alatt van. A TPM technológiát milliárdnyi számítógépben, laptopban, szerverben, okostelefonban, IoT eszközben megtalálható. Egy időzítés alapú támadás segítségével a TPM lapkában lévő adatok mindenki számára elérhetővé válnak. A hiba az STMicroelectronics gyártotta TPM lapkákat és a firmware alapú, Intel TPM titkosítást érinti.

Korábbi cikkünkben két ismert titkosítási sérülékenységről számolhattunk be. A Windows operációs rendszerekbe alapból beépített Bitlocker titkosítási eljárásról kiderült, hogy firmware-beli hiba miatt könnyen feltörhető kulcspárokat generált a rendszer. A problémát tovább fokozza, hogy nem könnyű ezt a hibás firmware-t frissíteni – már ha eszébe jut ez a rendszergazdának.  A 2017-ben feltárt hibához vannak frissítések, ezen a linken lehet megnézni, hogy a különböző hardverekhez honnan, hogyan kell azt telepíteni.

Ide is csúszott egy hiba

A méltán népszerű Western Digital titkosítási eljárásába is hiba csúszott, ezen a linken olvashatják el az összes hibát. Egyet kiemelünk: a titkosításban a sózás technológia arra szolgál, hogy a gyenge jelszavakat lenyomatait megváltoztassák, úgy, hogy a hackerek ne ismerjék fel, ne tudják visszafejteni, Ehhez azonban változó vagy módosítható sóra van szükség, amit az eredeti gyenge jelszóhoz kevernek. A WD merevlemezei a sózáshoz három betűből álló, nem módosítható karaktert használnak: WDC.

Ne generáljunk szükségtelen szemetet!

nov 14, 2019 | Adatbiztonsági cikkek, hírek

Nem győzzük hangsúlyozni, hogy az a legszerencsésebb, ha a GDPR miatt egyébként is kötelező adatkezelési szabályzat foglalkozik azokkal a teendőkkel, melyekre az adat életciklusának végén kell sort kerítenünk. Az év eleje kiváló alkalmat biztosít arra, hogy ezeket az adatkezelési szabályzatokat felülvizsgáljuk, átnézzük – ahogyan azt előző írásunkban már említettük.

Legtöbb vállalatnál az IT biztonsági szabályzat a hálózati és a peremterület biztonsággal agresszíven foglalkozik, és keményen védi a vállalati folyamatok által létrehozott, tárolt, használt és megosztott adatokat. Ezek a szabályzatok azonban azzal nem foglalkoznak azzal, hogy az adatoknak az élete véges, és ebben a szakaszban is kezelni kell őket, archiváljunk vagy töröljünk. A fizikai megsemmisítésre váró adathordozókon maradt adatok könnyedén kerülhetnek illetéktelen kezekbe, biztos, hogy ezt a kockázatot szeretnénk vállalni?

Elavult technológiák hada

A szabályzatot már azért is érdemes felülvizsgálni, hogy lássuk, milyen adatmegsemmisítési gyakorlatot ír elő. A technológiák változásával a régi, jó, kipróbált és költséghatékonynak tűnő módszerekről kiderülhet, hogy elavultak, van helyettük sokkal jobb. Ilyen technológia például az adathordozó szakszerűtlen vagy szükségtelen fizikai megsemmisítése. Az adathordozó fizikai megsemmisítése még mindig egy szóba jöhető lehetőség, mikor a hardver és a rajta lévő adat is elérte életciklusának végét. A hardverek fejlődése miatt a szabályzat előírásai nem képesek minden lehetőséget lefedni.

Lemágnesezés – csak a mágnesen adathordozókon működik, mind a merevlemezeken, de mindig a megfelelő erősségű mágneses mezőt kell használni, ami az újabb merevlemezek esetében változhat. Az SSD-k esetében nem működik ez a megoldás.

Darálás – a fizikai megsemmisítés egészen hatásás adatmegsemmisítési eljárás, szinte az összes adathordozóval működik. Az adattárolásban azonban egyre kisebb és kisebb helyet foglalnak el az adatok, így, ha nem megfelelő apróságúra daráljuk le a merevlemezt, akkor adatrészletek a megmaradt nagy darabokból még minidig visszaállíthatók.

Mindkét módszernek a hátulütője, hogy szemetet generál, illetve elvesztődik az a lehetőség, hogy újrahasznosítsuk az eszközt minősített adattörlés után. Az adatfertőtlenítés nem generál többlet szemetet, az adott adathordozót újból lehet használni vagy el lehet adományozni, és még az adatokat is az előírások szerint kezeli.

A hatástalan adattörlési metódusok is az idejétmúlt gyakorlatok közé tartoznak. Az idejétmúlt adatkezelési szabályzatunk előírhatja például, hogy a z összes adathordozó manuális törlése és formázása a legjobb gyakorlat adatmegsemmisítés szempontjából. Ez messze nem igaz: a formázás és törlés után az adatok ingyenesen elérhető eszközökkel könnyedén visszaálílthatók. Nemcsak, hogy nem biztonságos, független tanúsítványt sem készül az adattörlésről, mellyel a hatóságok előtt igazolni lehet az adatok szakszerű törlését.

Felejtsük el a régi szabványokat

Nagyon sok adatkezelési szabályzat régi szabványokon alapuló adattörlési módszereket tesz kötelezővé a vállalaton belül. Iyen például a DoD szabvány, mely immár 25 éves és valamikor az amerikai védelmi minisztérium legszigorúbb előírásait tartalmazta a teljes és biztonságos adattörlésre. Az idő azonban eljárt felette, legutóbb 2006-ban frissítették, és így nem meglepő, hogy az SSD tárolókkal nem foglalkozik. Ehhez képest a 2014-ben frissített NIST SP 800-88 R1 (PDF) egy sokkal modernebb szabályrendszer, mely technológia semlegesen közelíti meg az adattörlés kérdését.

A döntéshozóknak is fontos az adatfertőtlenítés

okt 18, 2019 | Adatbiztonsági cikkek, hírek

Előző cikkünkben arról írtunk, hogy a Gartner Hype Cycle görbéjén az adatfertőtlenítés technológia szintet lépett a megvilágosodás emelkedőjébe. Cikkünkben azt tárgyaljuk, hogy a döntéshozók milyen okokból fordulnak az adatfertőtlenítéshez és milyen javaslatokat fogalmaz meg a Gartner.

A kormányzati szervezetek és a vállalkozások szeretnének megfelelni a szabályozó elvárásainak az adatok menedzselése terén is. Eszközöket keresnek adatbiztonsági szintjük növeléséhez, az szabályzatok betartásához és szeretnének a redundáns, régi vagy szükségtelen adataiktól dokumentált módon megszabadulni. Ehhez pedig olyan megoldásokra van szükségük, mely helyreállíthatatlanul töröli, fertőtleníti az adatokat, és minderről jegyzőkönyvet is készít.

Megelőzhető az incidens

Az adatfertőtlenítés a döntéshozók számára is fontos kérdés, hiszen segítségével megelőzhető az adatbiztonsági incidens, miközben a szabályozói elvárásnak megfelelően működik a cég és környezetünk védelméért is tehetünk valamit. Megfelelő helyen és megfelelő mennyiségű adatot kell tárolnunk, ezzel a kellemetlen adatszivárgási incidensek egy része megelőzhető. Gondoljunk arra, hogy egy hacker tevékenysége nyomán nemcsak az üzleti kincset jelentő adatok jutnak napvilágra. Az is kiderülhet, hogy olyan adatokat is tároltunk, melyeket a törvény előírásai szerint már meg kellett volna semmisítenünk. A támadás jelentette pénzügyi veszteség mellett néha sokkal nagyobb problémát okoz a hasonló incidensek okozta reputációs veszteség, ebből nehezen lehet felépülni.

A szabályozó érthető módon egyre nagyobb érdeklődést tanúsít az adatok témaköre iránt. A GDPR komolyan szabályozza a személyes adatokkal kapcsolatos tennivalóinkat, ennek mintájára egyre több ország írja elő az adatok védelmét. Az 5G technológia robbanásának küszöbén vagyunk, a hazai mobilszolgáltatók már készen állnak, már csak a frekvencia engedélyek megvásárlása szükséges. A technológia még további adatmennyiség növekedést generál, az IoT eszközök soha nem látott mennyiségben terjednek, ahogy nő az általuk előállított adatok mennyisége is. Ami azt jelenti, hogy a nem kívánt adatszivárgások száma növekedhet – ez pedig további szabályozói feladatokat generál.

A környezetvédelemre is lehet figyelni

Noha az ügyvezetői döntésben nem döntő tényező, a környezetvédelmi kérdésekre is oda kell figyelni. A szervezetek motiváltak, hogy csökkentsék ökológiai lábnyomunkat, vagyis kevesebb elektronikus szemetet termeljenek – ami megnyitja az utat az eszközök újrahasznosítása előtt. Néha a helyi szabályozások követelik meg az eszközök újrahasznosítását, de gyakoribb, hogy a vállalatok társadalmi felelősségvállalás programjaik keretén belül, önként vállalják a környezeti terhelés csökkentését.

Ilyen környezetben a Gartner érett technológiának tartja az adatfertőtlenítési technológiát, mely 2-5 éven belül már a produktivitás platójára kerül – ez a kategória a teljesen érett technológiák csoportja. A piackutató cég azt javasolja, hogy a teljeskörű adatfertőtlenítést az összes, adattárolóval rendelkező eszköz esetében használjuk, vagyis a vállalati szerverek, asztali PC-k mellett, mobil eszközökre, IoT eszközökre is figyeljünk adattörléskor.

Együttműködésre van szükség

Egyes szervezeteknél hiányozhat az adatfertőtlenítési kompetencia, mert a különböző eszközök ételciklusait elszigetelt eseményként kezelik, nincs koordinált együttműködés a vállalat különböző részlegei között. A Gartner tanácsa szerint az adatfertőtlenítésben érdekelt össze szereplő (biztonság, compliance, jogi osztály, IT) együttműködésére van szükség ahhoz, hogy megfelelő adatfertőtlenítési szabványokat dolgozzanak ki,melyek konkrét tennivalókat írnak elő az adat végső megsemmisítésére.

A piackutató vállalat további javaslatai szerint a gondos előkészítés és kiválasztás nemcsak a belső folyamatokra alkalmazandó. A Gartner azt tanácsolja, hogy a vállalatok bizonyosodjanak meg, hogy a külső adatfertőtlenítő partner tanúsítványt állít ki az adatok megsemmisítéséről, melyen szerepel az adathordozó sorozatszáma, a használt felülírási módszerek. Azok a vállalatok, akik külső adatmegsemmisítő partnereket bíznak meg, a szerződésben kössék ki azt a lehetőséget, hogy bármikor auditálhatják a külső partner adatfertőtlenítési folyamatait és szabványait. Így meggyőződhetnek arról, hogy a szolgáltató a biztonsági és iparági előírásoknak megfelelően, a megbízó szabványainak és előírásainak megfelelően jár el adatmegsemmisítéskor.

Érettebbé vált az adatfertőtlenítés technológiája

okt 14, 2019 | Adatbiztonsági cikkek, hírek

A Gartner szerint az adatfertőtlenítés technológiája egy szinttel érettebb kategóriába lépett, és most a hype cycle görbén a megvilágosodás emelkedőjén tartják számon.

Az idei év első felében rengeteg adatvédelmi incidensnek voltunk a tanúi, a Risk Based Security adatai szerint 54 százalékkal több biztonsági eseménnyel szembesültünk. A GDPR 2018 májusa óta foglalkoztatja a vállalatokat, rengeteg cég nézette át adatvédelmi és adatkezelési gyakorlatát. A GDPR hatására több gigabírság is megszületett – ezek hatására a vállalatok komolyabban és gyakrabban foglalkoznak a saját adatkezelési szokásaikkal.

Nemcsak az adatvédelmi incidensek miatt, hanem a technológia fejlődése is oda vezette a Gartnert, hogy az adatfertőtlenítés technológiát egy érettebb kategóriába sorolja. A piackutató és tanácsadó cég évente felülvizsgálja a különböző technológiákat, így az adatfertőtlenítést is, és idén frissítette a technológiára vonatkozó előrejelzéseit. A Hype Cycle for Data Security 2019, Hype Cycle for Privacy 2019 és Hype Cycle for Endpoint Security 2019 című tanulmányokban (melyek előfizetéssel elolvashatók) az adatfertőtlenítés a megvilágosodás emelkedője fázisba lépett, ami azt jelenti, hogy a megoldás a nice to have kategóriából a szükséges technológiák sorába lépett. A Gartner elemzése szerint a technológia 2-5 év alatt a következő kategóriába, vagyis a plateu of productivity-be lép.

Így értelmezhető ez a görbe

A Gartner hype cycle görbe fejlődésük és üzleti elfogadásuk szerint követi az egyes technológiákat. Az első fázis az innovation trigger, amikor egy olyan szakaszról beszélünk itt, amikor egyszerűen egy kutatási eredmény bemutatásáról van szó, mely üzleti potenciált rejt magában. A görbe második fázisa a peak of inflated expectations, amikor még a csapból is ez a technológia folyik, mindenki túlzott elvárással tekint a technológia iránt és akarva akaratlanul nagykövete lesz. Ebben a fázisban teljesen égbekiáltó, a valóságtól elrugaszkodott ötletet is megszületnek, és ilyenkor nehéz eldönteni, hogy valós gazdasági eredménnyel kecsegtet az adott technológia vagy sem.

Ezt követi a kiábrándulás időszaka, vagyis a trough of disillusionment, amikor kiderül, a fogyasztók még nem készek az adott technológia befogadására, a pilot projektek nem hozzák a tervezett számokat, vagy rájönnek, nem életképes az ötlet. Ebben a fázisban sok technológia elvérzik, amelyik nem, a következő fázisba léphet a Gartner görbén, amely a slope of enlightenment vagyis a megvilágosodás emelkedője – ebben a fázisban van az adatfertőtlenítési technológia. Ebben a fázisban a vállalatok megértik és tudják, pontosan mire is használható az adott technológia. A korai felhasználók mindennapjainak már részese ez a technológia, az innovatív vállalatok is kezdik implementálni őket. A technológia elterjedését a dobozos megoldások megjelenése is segíti.

A stratégiai döntéshozók eszköze

A vállalatok nagyobb része akkor kezdhet el gazdasági megtérülésben gondolkodni, amikor a technológia az ötödik fázisba, a plateu of productvity-be érkezett. Ekkor az adott technológia megszokott, a mindennapok részesévé válik, és már senki sem kérdőjelezi meg gazdasági hasznát.

A Gartner jelentésében azt írják, hogy az adatfertőtlenítés a stratégiai döntéshozók eszköze, mellyel az adatvédelmi problémákat, az adatbiztonsági kérdéseket tudják megnyugtatóan rendezni, megfelelnek a szabályozói elvárásnak, és képesek menedzselni az egyre növekvő adatmennyiséget, melyet az IoT eszközök is csak egyre gyarapítanak. A GDPR is előírja az adattörlési kötelezettséget a vállalatoknak, a megsemmisítéssel akkor kell foglalkozniuk, amikor már nincs szükség rá, vagy az adat tulajdonosa azt kifejezetten kérte. A rossz helyen tárolt adat hackerek célpontjává válhat, mely egy szükségtelen és költséges kockázat.