jan 24, 2020 | Blog
Még az elején tisztázzuk: maradék adatok alatt azokat az információkat értjük, melyek bármilyen rendszerezés nélkül ott lappanganak régi számítógépjeinket, adathordozóinkon. Ezek az adatok lehetnek redundáns, elavult és triviális vagyis RET adatok, melyek több helyen egyszerre is fellelhetők.
Ezeknek az adatoknak nagyon pici vagy egyáltalán nincs üzleti értékük. A RET adatok mennyiségét proaktívan csökkenteni kell, vagyis vizsgáljuk őket felül rendszeresen, minősített megoldások vagy szolgáltatások segítségével töröljük.
Ugyancsak maradék adatnak számítanak a sötét, vagyis strukturáltalan adatok, melyek értékét nem tudjuk megállapítani. Nem tudjuk pontosan mit tartalmazna, nem tudjuk pontosan hol lehetnek – GDPR tekintetében időzített bombát jelentenek ezek az adatok. Bővebben az adatok típusairól ebben a korábbi bejegyzésben olvashat.
1. Attól, hogy nem látjuk, az adat még ott van
Már többször foglalkozunk blogunkban azzal, hogy az attól, hogy mi nem találjuk az adott adatot vagy nem látjuk a merevlemezen, nem azt jelenti, hogy az az adat nincs rajta. A törölt állományok nem szűnnek meg létezni, csupán a rájuk mutató bejegyzéseket semmisíti a rendszer. Épp úgy, mint amikor a könyvtárban attól, hogy ez adott könyv referencia számát elveszítjük, a könyv még ott marad a könyvek között, csak nem tudjuk pontosan hol található, ám egy takarítás során rábukkanhatnak.
Az adatokat véglegesen és biztonságosan adatfertőtlenítéssel távolíthatjuk el.
2. A formázás nem töröli véglegesen a maradék adatokat sem
Noha több formázási lehetőség és metódus létezik, ezek a módszerek sem törlik le mindig az adatokat a merevlemezről. A népszerű gyors formázás például a törléshez hasonlóan egy új metaadat térséget alakít ki a számítógép adathordozóján anélkül, hogy a régi személyes adatokat törölné – valahol kell időt nyernie, nemde?
3. A szabályzatok és eljárások épp annyira fontosak, mint az adatfertőtlenítési eljárás
A vállalat méretétől függetlenül az adatszivárgás kockázata egyformán magas. Egy ilyen biztonsági eseményre csak felkészülni lehet. Annak érdekében, hogy mindenki pontosan tudja mi a teendője egy adatvédelmi incidens esetén, érdemes szabályzatban pontosan rögzíteni, hogy kinek mi a felelőssége. Az adatvédelmi szabályzatban érdemes leírni:
- Milyen célból és milyen adatokat gyűjtünk
- Ehhez az adathoz ki fér hozzá, mint adattulajdonos és adatkezelő egyaránt
- Ki az adatkezelő, ki az adattulajdonos, pontosan kinek milyen feladata van
- Hogyan osztályozzuk az adatokat
- Az adatokat hogyan védjük életciklusok során
- Hogyan semmisítjük meg az adatokat életciklusok végén
- Adatvédelmi incidens esetén kinek mi a feladata, kit hogyan kell riasztani, melyek az elsődleges teendők
4. Ha a hardver elhasználódott, nem megy egyedül. Kérjük a szakértő vállalatok segítségét!
Nagyon sok vállalat külső céget bíz meg régi hardver eszközei kezelésével. Ez egy szuper szokás, mely a DATA D-hez hasonló környezetvédelmi vállalatok meglétét biztosítják. Azonban mielőtt kiválasztanánk az IT eszközök újrahasznosításával foglalkozó céget, vizsgáljuk meg, hogy az adott vállalat:
- Milyen folyamatokkal dolgozza fel az IT eszközöket?
- Képes garantálni, hogy minden adathordozó adatát szakszerűen és tanúsítottan töröli?
- Tanúsítványt bocsát ki az adathordozók fertőtlenítéséről?
- Hogyan ellenőrizhetjük, hogy ténylegesen elvégezte az adathordozók végleges törlését?
- Mennyi idő alatt végez a teljes hardverkezelési folyamattal?
Ezeket a kérdéseket érdemes már szerződéskötés előtt tisztázni, írásba foglalni a garanciákat.
5. Csak azért, mert az eszköz cégen belül marad, nem csökkennek a kockázatok
A konzervatív megközelítésű vállalatok választhatják azt is, hogy a régebbi eszközöket egy erre dedikált raktárban őrzik és a biztonság kedvéért nem adják ki külső vállalkozásoknak. Ha szükség van egy tartalék laptopra vagy számítógépre, akkor nem kel újat vásárolni, hiszen arra a rövid időre van egy a régi raktárban. Azonban a kérdés nem ilyen egyszerű, hiszen a gyakorlat azt mutatja, a régi számítógépek adataival senki sem törődik cégen belül. Az eszközök úgy cserélnek gazdát, hogy a korábbi tulajdonos adatai rajta maradnak.
Azonban egy adatvédelmi kérdéseket vet fel, hiszen például a HR-es kolléga rengeteg személyes adatokkal dolgozik, és ezeket a marketinges kollégának nem szabad látnia, hozzáférnie. A GDPR elvei szerint a személyes adatokkal csak azok dolgozhatnak, akiknek erre feltétlenül szükségük van vagy az adattulajdonosa erre beleegyezését adta – teljesen biztos, hogy a HR-es adatok marketing célú felhasználása nem szabályszerű.
6. A mi felelősségünk védeni az adatokat. Még a maradék adatokat is.
Tudjuk, a biztonsági hibáknak se szeri se száma, az operációs rendszereket és a különböző szoftvereket nem hiába frissíti a gyártó rendszeresen. Nem az operációs rendszer gyártójának, hanem a vállalkozás tulajdonosának a felelőssége a vállalat adatvagyonának megvédése. Ahol meg nem tudjuk teljesen megvédeni az adatokat, ott a kockázatok csökkentése a feladatunk. Mert az adat védelme végső soron a mi feladatunk.
nov 3, 2019 | Blog
Reméljük, hogy mérettől függetlenül minden vállalatnak van már adatkezelési szabályzata, ha másért nem, az igen szigorú GDPR-nak való megfelelés miatt. Ez az adatkezelési szabályzat tartalmazza azokat a tennivalókat is, melyeket az adat életciklusának végén szokás életbe léptetni (ha esetleg mégsem, akkor most érdemes pótolni ezt a hiányosságot.)
Szánjunk egy kis időt adatmegsemmisítési gyakorlataink felülvizsgálatára, hiszen hamar kiderülhet, hogy már nem az aktuális folyamatokra, technológiákra bízzuk adataink megfelelő kezelését. Cikkünkben összeszedtünk pár érvet, hogy miért érdemes átvizsgálnunk adatkezelési szabályzatunkat, második cikkünkben pedig arról is írunk, mit érdemes átvizsgálni.
Technológiai változások
Adatgyűjtési szokásaink, adatfelhasználásunk folyamatosan változik: ha nem a vállalati folyamatok lesznek mások, akkor cserélődnek az adatgyűjtéshez használt hardver és szoftver. A változás szükségszerű, hiszen, ha régi módszereket használunk új eszközökhöz, akkor elhúzódó, időigényes, sérülékeny működés alakul ki.
Szabályozói akarat
Az Európai Unió adatvédelmi szabályzata (GDPR) 2018 májusától kezdte el büntetni azokat a vállalatokat, akik nem megfelelően védték az európai magánszemélyek személyes adatait. A GDPR számos európai adatokkal dolgozó vállalat életét átalakította, de ugyanakkor előkészítette az utat a rendelkezések világszerte történő elfogadásához. Noha az Amerikai Egyesült Államokban még nem fogadták el szövetségi szinten a GDPR-t, Kalifornia államban életbe lépett egy GDPR-ihlette adatvédelmi rendelkezés. a CCPA. Mindez azt mutatja, hogy a hatóságok világszerte azon vannak, hogy az adatok kezelését jogi korlátok közé szorítsák.
Az adat értéke változik
Az adatnak is van szavatossági ideje, egy idő után az elavult, régi, redundáns adat semmit sem ér, csak foglalja a helyet az adathordozón. Érdemes átgondolni, hogy a valaha komoly üzleti értékkel bíró adataink nem képviselnek értéket másoknak? Ha adatgyűjtési szabályzatunk megengedi (és ezt az adatok gazdáival is szabályszerűen tudattuk), akkor ezeket az adatokat másoknak eladhatjuk, miután számunkra már nem képvisel semmilyen értéket. Ha nem ezzel a céllal gyűjtöttük őket, érdemes az elavult, régi, lejárt szavatosságú adatokat úgy kezelni, ahogy megérdemlik: dokumentáltan, szakemberek segítségével töröljük őket. Azért is érdemes a régi adatoktól megszabadulni, mert a hackerek számára ezek is értéket képviselnek. Az IBM és Ponemon Intézet közös kutatása szerint az adatszivárgásokban elveszített adatok átlagos értéke 150 dollár (45 ezer forint) volt rekordonként.
Az adatgyűjtés sebessége és volumene növekszik
Az adatmenedzsment fontossága azután növekedett meg, hogy az adat egyre gyorsabban és egyre nagyobb mennyiségben növekszik. A vállalat szolgáltatásának bővülésével keletkezhet egyre több adat, ahogy az IoT eszközök szenzorjai is csak úgy ontják magukból az információkat, de egyre több a viselhető eszköz is, melyek az emberek egészségügyi jellemzőit rögzíti. Minél több adatunk van, melyet menedzselni és védeni kell, annál nagyobb a kockázata egy biztonsági incidensnek és annál nagyobb kár keletkezik egy esetleges adatszivárgás esetén. És arról nem is beszélve, hogy annál több információt kell valahol tárolnunk, ami azt jelenti, hogy újabb és újabb drága adattároló rendszereket kell beszereznünk. Az adatkezelési szabályzatunk szabhat gátat ennek, mely előírhatja, hogy pontosan meddig milyen adatokat, hogyan tároljunk, illetve életciklusuk végén hogyan semmisítsük meg azokat.
A hackerek egyre kíváncsibbak
A Risk Based Security adatai szerint 2019 első kilenc hónapjában 5183 adatszivárgásos incidenst regisztráltak, ami 7,9 milliárd adatrekordot jelent. Az előző év hasonló időszakához viszonyítva az adatincidensek száma 33,8 százalékkal bővült, míg a napvilágra került adatok mennyisége 112 százalékkal nőtt. A legelterjedtebb adatszerzési metódus a hackelés volt, a legtöbb adat webes forrásokból szivárgott ki. Iparág szerint az orvosi intézmények, kereskedők és közintézmények a legérintetettebbek.
Pongyola fogalmazás
Az jó, ha létezik vállalati adatszabályzat, de nem sokat érünk vele, ha széles körűen fogalmazunk, nem zárunk le minden kiskaput és nem jelöltjük ki pontosan a felelősöket. Főleg az adatmegsemmisítés témaköre az, melyet ezek a szabályzatok nem megfelelően tárgyalnak – holott a teljes adat életciklust le kellene fedni. Végső soron ki az adat tulajdonosa? Ki a hardver tulajdonosa és hol tároljuk az adathordozók teljes, szakszerű és tanúsított adattörlési jegyzőkönyveit? Ki a felelős, ha egy adatszivárgás következtében a régi adat nyilvánosságra kerül? A kérdésekre a válasz derüljön ki a szabályzatból.
okt 23, 2019 | Blog
Közel másfél évvel a GDPR hatályba lépése óta a vállalatok még mindig az adatvédelem elején tartanak. A gigabírságok elmaradtak, a hatóságok elnézők – a védett adatokból pedig egyre több és több születik.
A General Data Protection Regulation nevű EU-s rendelet hatályba lépésének időpontja 2018 május 25.. Sokan féltek ettől a határidőtől, sokan rettegtek tőle, de a legtöbb vállalkozás minden tőle telhetőt megtett azért, hogy a szabályozásnak megfelelő módon működjön.
A vállalat és adatvagyon kapcsolata bonyolult
Az elmúlt másfél évben a zaj elült, a vállalatok meg csendben alkalmazkodnak az új játékszabályokhoz. A cégek és a GDPR most már boldog párként, kéz a kézbe sétálnak a boldog jövő felé? Még nem. A vállalatok és adatvagyonuk közötti kapcsolat túlzottan is bonyolult ahhoz, hogy tartós következtetéseket levonhassunk. Egy hajózási hasonlattal élve, csak most hagytuk el a kikötőt, és egy hosszú utazás előtt állunk. Egy olyan hajón vagyunk, mely sohasem áll le, kikötőből kikötőbe tart, és folyamatosan, a hatóságokkal együtt tanulunk a legjobb gyakorlatokról és megoldásokról.
Fredrik Forslund, a biztonságos és dokumentált adattörléssel foglalkozó Blancco alelnöke szerint a GDPR abban segítette a vállalatokat, hogy átgondolt adatszabályzatot fogadtak el. Korábban az adattokkal kapcsolatos információk a cégen belül léteztek, de struktúra nélkül, szerte szórtan a vállalati rendszerben. A szabályzat hatására a cégekben megjelent az adatvédelmi biztos, (szerepéről korábban már írtunk) de ugyanakkor a munkaköri leírásokban megjelentek az adatokkal kapcsolatos tudnivalók és tennivalók. Rengeteg képzés indult ezen a területen, számtalan jó gyakorlatot osztanak meg egymással a hatóságok és a vállalatok egyaránt. A vállalatok adattudatossá váltak.
Elemzéssel kezdenek
A Blancco szakembere szerint egy vállalati GDPR projekt mindig a gap elemzéssel kezdődik, vagyis megvizsgálják, hogy a vállalat meglévő működése mennyire felel meg a friss szabályzatnak. Az elemzés során az adat vállalaton belüli életciklusát is megvizsgálják, ellenőrzik, hogy az adatot hogyan menedzselik, hol található, merre tárolják, hogyan készítenek biztonsági mentést és kinek van hozzáférése az adatokhoz.
Az ehhez hasonló elemzések mindig feltárják a visszásságokat: olyan helyen bukkannak adatokra, ahol nem kellene lennie (például kiszuperált gépeken vagy polcon tartott USB memórián), több helyen tárolják az érzékeny adatokat, holott csak egy helyen lenne szabad. Miután a problémákat azonosították, a vállalatoknak bizonyítékra van szükségük, hogy az adatokat megfelelően törölték, az adathordozókat megfelelően fertőtlenítették – ebben tud segíteni a Data Destroy szolgáltatása is.
