ápr 10, 2020 | Blog
A G DATA munkatársai egy eBay-en vásárolt katonai laptopon találtak bizalmas adatokat egy rakétahordozó járműről. Az egész eszköz 30 ezer forintba került. Ez az eset is rávilágít arra, hogy az adatok szakszerű törlését nem lehet megúszni.
Az informatikai biztonsággal foglalkozó szakemberek pontosan tudják, hogy selejtezéskor minden adathordozóról teljes felülírással kellene törölni az adatokat, de ez az egyik legtöbbször megszegett szabály. Ennek egyszerű az oka: a leselejtezendő gépekkel már senkinek sincs kedve foglalkozni, a büdzsébe pedig általában nincs betervezve az adattörlés költsége. Így születhetnek olyan sztorik, mint a mostani, amelynek során a német vírusvédelmi cég két szakértője az eBay-en 30 ezer forintért megvásárolt egy használt Roda Rocky II típusú katonai notebookot, hogy aztán azon egy sor bizalmas adatot találjon.
Katonai gép online piactérről
A történet röviden annyi, hogy a G DATA két munkatársa egy régi notebook-ot vásároltak az eBay-en. A 600 MHz-es Pentium III-mas processzoros, 128 MB-nyi RAM-mal ellátott számítógép a 2000-es évek elején még csúcstechnológiának számított, és biztosan nem volt olcsó, ma is egy retró számítógépnek megállná a helyét. Ami a származási helyéről árulkodik az egy külső címke, melyen ez áll: Roda Rocky II+ Data Viewing Unit LeFlaSys. Egy katonai gépről van szó, amit a német hadseregnél használtak.
Bekapcsoláskor a gép elindult, a Windows 2000-es operációs rendszer nem kér jelszót, simán bejutnak a gépbe. Egy speciális programot érdeklődéssel néznek: a MODIS nevű szoftvert egy müncheni székhelyű vállalat fejlesztette. Amikor megnyitják, jelszót kér. Segít, hogy a kitöltött felhasználónév „GUEST”, így az első próbálkozás a GUEST (magyarul vendég) jelszó, és már nyílik is a program.
Rövid kutakodás után a szakértők máris egy érdekes dokumentumra bukkannak, egy föld-levegő rakétarendszer, az Ozelot felhasználói kézikönyvére. A leírás teljes karbantartási instrukciókat tartalmaz, de rajzokat és működtetési utasításokat is találnak. A rendszer elektronikájának ismertetőjére is találnak utalást, de arról kiderül, hogy egy szerveren tárolhatták, nincs a gépen. A leírás szerint ez a fegyverplatform a Mistral irányított rakétákkal is felszerelhető. Ezt a dokumentumot sohasem szánták a nagyközönség szemei elé, erről árulkodik az is, hogy minden lap jobb felső sarkában az áll: Bizalmas – csak hatósági használatra. A német okiratok titkosítási rendszerén belül ez csupán az első fokozat, ezt azt jelenti, hogy ha ilyen adatok napvilágot látnak, akkor azok csak kisebb problémát okoznak.
Minősített adattörlés
A Nemzeti Adatvédelmi és Információszabadság Hatóság tavaly közzétett egy iránymutatást az adattörlésekkel kapcsolatban.
Ebben a hatóság felhívta a figyelmet többek között arra, hogy a leselejtezendő adathordozókról megbízható módszerrel kell az adatokat eltávolítani. Ez pedig a gyakorlatban sztenderd adattörlési algoritmusok alkalmazását jelenti egy olyan szoftver segítségével, amelyet lehetőleg külső szervezet is minősített. Emellett fontos, hogy az adattörléseket dokumentálni is szükséges, így a törlési jegyzőkönyvekből ki kell derülnie, hogy az adott eszköz törlését kicsoda, mikor, milyen módszerrel és eredménnyel végezte el.
Az adattörlési megoldásokat gyártó Blancco cég magyarországi képviseletét ellátó V-Detect Antivírus Kft. ügyvezetője, Petrányi-Széll András szerint azonban megbízható adattörlési eljárásokat csupán a magyarországi vállalatok 5-10 százaléka használ, a nagy többség vagy egyáltalán nem foglalkozik jelenleg a kérdéssel, vagy megbízhatatlan szoftvereket alkalmaz, és nem teljesíti a jegyzőkönyvezési kötelezettséget sem.
Nem egyszeri eset
Egy évvel korábban, 2019-ben is előfordult egy hasonló fiaskó, amikor egy felső-bajorországi erdészet vásárolt négy laptopot egy állami aukción, rajtuk egy másik tüzérségi rakétarendszer kezelésével kapcsolatos, szintén minősített anyagokkal.
Mostanában egyébként nem csak a németek hagytak el érzékeny adatokat: néhány nappal korábban a holland kormány volt kénytelen bejelenteni, hogy elveszített két külső meghajtót összesen 6,9 millió szervdonor személyes adataival. Itt az 1998 februárja és 2010 júniusa közötti összes vonatkozó űrlap elektronikus másolatairól van szó, az ottani egészségügyi minisztérium tájékoztatása szerint magukat a meghajtókat 2016 óta nem is használták. Az eszközöket elvileg egy széfben őrizték, eltűnésükre pedig akkor derült fény, amikor éppen az adatok törlésének céljából elővették volna azokat.
Az elveszített profilok között nevek, születési adatok, lakcímek, okmányszámok, aláírás-másolatok és a szervátültetésekről szóló rendelkezések voltak. A holland hatóságok a szokásos módon közölték, hogy az adatok illetéktelen felhasználására egyelőre nem találtaksemmiféle bizonyítékot, és az adatvesztésnek a nyilvántartás aktuális működésére nézve sincs semmilyen következménye. Hollandia nagyjából 17,5 millió lakosának körülbelül a fele regisztrált szervdonor.
jan 8, 2020 | Blog
Előző két cikkünkben (első cikk, második cikk) részletesen foglalkoztunk hat adatfertőtlenítési mítosszal: terítékre került az egyszerű adattörlés, a formázás és a fizikai megsemmisítés körüli téveszmékről. Második cikkünkben a demágnesezés, a kriptográfiai törlés és a DATA D által is kedvelt adatfertőtlenítésről volt szó. Harmadik és egyben a témát lezáró cikkünkben a T2-es chipekkel ellátott Apple Mac gépek adattörléséről, az adattörlés felhasználási területéről, a szerverek adattörlési idejéről és az adatfertőtlenítés költségéről kapcsolatos mítoszokat porlasztjuk szét.
Mítosz 7 – a T2-es Mac gépek törlésbiztosak
Az Apple kiemelten ügyelt a biztonságra, a 2017 második felében bevezetett T2-es chippel ellátott iMacPro (és a későbbi modellek, mint a MacBook Pro, MacBook Air és Mac Mini) gépeknél lapkaszinten is figyel a biztonságra. A T2-es chipre több olyan kontrollert építettek be, mely emeli a gép biztonsági szintjét.
A secure boot funkció például korlátozza, hogy milyen operációs eszköz tölthető be a macOS eszközökre, vagyis csak egy legitim, megbízható operációs rendszer indulhat el a gép bekapcsolásakor. Azt sem engedélyezi, hogy esetleg USB memóriáról bootolják a gépet, vagyis gyakorlatilag megakadályozzák, hogy például hackerek más operációs rendszer indításával férjenek hozzá adatainkhoz. Ez a lapka a hagyományos adattörlési megoldásokkal sem működik együtt: a Blancco Drive Eraser megoldása is operációs rendszerként működik telepítéskor. Azonban a T2-es gépek törlésére a Blancco kidolgozta a LUN Eraser megoldását, mely ezt a kérdést nyugtatóan kezeli.
Mítosz 8 – az adatfertőtlenítés csak a fizikai meghajtókra alkalmazható
Mindenképp szakszerűen törölnünk kell a régi és már nem használt merevlemezeket és SSD meghajtókat, még mielőtt azok elhagyják vállalatunk falait – vagy megbízható cégre taksáljuk ezt az érzékeny feladatot. Azonban az aktív, élő IT környezetnél is szükség van a biztonságos adatfertőtlenítésre, így tudjuk az adatokat teljes életciklusuk alatt az előírásoknak megfelelően kezelni.
Ha mindezt a feladatot automatizáljuk, akkor biztosak lehetünk abban, hogy egyetlen végfelhasználói ponton sem marad helyi másolata az ügyfélinformációnak vagy a bizalmas adatnak. A rendszeres adattörlés megelőzi az adatfelhalmozást, olyan helyeken, melyek célpontjai lehetnek egy külső támadásnak – ezzel a magas kockázattal járó adatszivárgást előzhetjük meg. Minél több lejárt, redundáns, régi adattól szabadulunk meg rendszerezetten, annál kisebb a kockázata, hogy a sikeres támadás nem várt adatveszteséget okoz.
Mítosz 9 – a szerverek adatfertőtlenítése hosszas kimaradást eredményez
Sokkal gyorsabb a több tíz, száz vagy akár ezer szerver adatfertőtlenítése, mint hinnénk. Még akkor is, ha élő IT környezetben végezzük az adatfertőtlenítést vagy életciklusuk végén lévő hardverekről van szó. A biztonságos adatfertőtlenítési megoldások nemcsak minimalizálják a kiesési időt, hanem a szabályzat által működtetett automatizáció és a helyi megoldások csökkentik a törléshez szükséges élő emberi erőforrást is. Főleg azoknál a szervezeteknél, ahol nagyon sok a manuális munkafolyamat, a biztonságos és automatikus adatfertőtlenítés meggyorsítja az egész vállalatot. Bizonyítékra van szüksége? Akkor olvassa el a Blancco esettanulmányát, melyből megtudja, hogyan fertőtlenítettek egyszerre 4000 szervert.
Mítosz 10 – az adattörlés költséges
Ez a legkönnyebben szétszedhető mítosz, ugyanis az adattörlés nem költséges. Ha a DATA D-re bízza számítógépes flottájának, esetleges merevlemezeinek biztonságos adatfertőtlenítését a legtöbb esetben maga az eszköz értéke fedezi a menedzselt adattörlés költségeit. A vállalatok így két gondjuktól szabadulnak meg egyszerre: a régi adathordozókon lévő adatoktól biztonságosan és auditált módon semmisülnek meg, miközben egy újrahasznosítható eszközhöz jutnak.
Ezt a működőképes eszközt maguk az alkalmazottak vásárolhatják meg jelképes áron vagy jótékonysági akció keretében egy rászoruló szervezetnek adományozhatjuk. De ha nem is szeretnénk hardverjeinktől megszabadulni, akkor az adatfertőtlenítés árát az esetleges hatósági bírságokkal vagy az adatveszteség miatt bekövetkező reputáció csökkenésének költségeivel érdemes összehasonlítani – biztosan tudjuk, hogy az adatfertőtlenítés kevesebbe kerül.
dec 7, 2019 | Blog
Ha az adatvédelem ennyire kritikus, mi állítja meg a vállalatokat abban az igyekezetükben, hogy teljesen és biztonságosan megszabaduljanak a nem szükséges adatoktól? Cikkünkben felsoroljuk azokat a leggyakoribb mítoszokat, melyek a szakszerű adatfertőtlenítést gátolják. Ezek a félreértések kis- és nagyvállalatoknál egyaránt megnehezítik a végleges adattörlési erőfeszítéseket. Ahhoz, hogy az előírásoknak megfelelő adatkezelési gyakorlatokat honosítsunk meg vállalatunknál, végleg le kel számolnunk ezekkel a megtévesztő mítoszokkal.
Előző cikkünkben három adattörlési módszer körüli mítoszt jártunk körbe: szó volt a sima adattörlés, a formázás és a fizikai megsemmisítés körüli téveszmékről. Ebben a bejegyzésben másik három adatmegsemmisítési módszer előnyeit és hátrányait tárgyaljuk: a demágnesezésről, a kriptográfiai törlésről és a DATA D által kedvelt adatfertőtlenítésről lesz szó.
Mítosz 4 – a demágnesezés minden adattárolási technológiánál működik
A demagnetizálásnak vagy demágnesezésnek megvan a maga jól bejáratott helye. Nagyon hatásos a sérült, életciklusuk végén lévő elektronikas eszközök esetében, ahol az adatokat mágneses alapon tárolják. Partnerünk, a Blancco-nak az Ontrack Eraser Degausser terméke a demágnesezés elvén működik. A demágnesezés gyenge pontja, hogy CSAK a mágnesesen tárolt adatok esetén hatékony. A népszerű SSD tárolók esetében teljesen hatástalan ez a technológia, hiszen az SSD félvezetőkön tárolja az információkat. Ugyanígy az optikai tároló eszközök esetében sem használható ez a módszer.
A mágneses elven adatokat tároló merevlemezek és mágnesszalagok esetében is van mire figyelni. A demágnesező erőnek eléggé erősnek kell lennie ahhoz, hogy fertőtlenítse a törlésre szánt eszközöket. Nem mindig talál össze a kettő, főleg, amikor az idősebb demágnesező találkozik az újabb merevlemezekkel.
Mítosz 5 – a kriptográfiai törlés megvédi az adatokat
A kriptográfiai törlés vagy kriptotörlés is egy kedvelt adatfertőtlenítési módszer. A kriptográfiai törlés lényege röviden, hogy beépített vagy külső szoftver segítségével titkosítjuk az adatokat, majd az adatok megfejtéséhez használt titkosító kulcsot kitöröljük. A titkosító algoritmusnak minimum 128 bites erősségűnek kell lennie. Az adat gyakorlatilag az eszközön marad, de a titkosítás miatt, illetve a titkosító kulcs törlése következtében az adatokhoz lehetetlen hozzáférni.
De, mint minden adatfertőtlenítési módszernek, ennek is megvan a hátulütője. A kriptotörlés ideális megoldás, amikor az adathordozó eszközök átutazóban vannak. Azonban a felhasználók befolyásolhatják a kriptográfiai törlés sikerét (vagyis sikertelenségét) emberi tévedéssel és rossz kulcsok használatával. Az is gond, hogy az adat mindvégig az eszközön marad, csak olvashatatlan.
Mítosz 6 – adatfertőtlenítés
Ebben az esetben csak a stilisztika kedvéért beszélünk mítoszról, mert a tanúsított adatfertőtlenítés az egyik legmegbízhatóbb és legalaposabb adattörlési módszer. A módszer alapja, hogy egy adott szabvány szerint egy szoftverrel 0-val és 1-essel többszörösen felülírjuk az adathordozón lévő adatokat. A felülírással az eredeti adat elvesz és semmilyen módszerrel nem állítható vissza. Ha egy merevlemezt teljes biztonsággal fertőtleníteni szeretnénk szoftveresen, akkor a következő lépéseket tartsuk be:
- Válasszuk ki az iparágunknak és vállalati igényeinknek megfelelő adatfertőtlenítési szabványt.
- Használjunk egy adatfertőtlenítő szoftvert adataink biztonságos törlésére, kövessük a szoftver utasításait.
- Az adatok törlése után a szoftver ellenőrzi, hogy az adatok felülírási módszertana sikeres volt-e vagy sem, és hogy valóban eltávolította az összes adatot a céleszközről
- A szoftver elkészít egy módosíthatatlan tanúsítványt, mely bizonyítja, hogy az adatok törlése sikeres volt a lemez minden szektorában, mellékelve az eszköz adatait és a használt szabvány információit.
Az adatfertőtlenítés az adatok szakszerű és tanúsított megsemmisítésének legmagasabb formája, a tanúsító folyamat biztosítja és garantálja azt, hogy az adatot sikeresen felülírták. Az adatfertőtlenítés környezetbarát, a fertőtlenített eszközöket újból fel lehet használni. Ennek a módszernek is van azonban hátránya: időigényesebb, mint a többi módszer. Ugyanakkor az adatfertőtlenítés arra kényszeríti a szervezeteket, hogy folyamatokat és szabályzatokat dolgozzanak ki az adattárolók menedzselésére.
dec 3, 2019 | Blog
Mi állítja meg a vállalatokat abban, hogy teljesen és tanúsítható módon megszabaduljanak a már nem használt adatokról? Gyakran az idejétmúlt és nem teljes adatvédelmi szabályzatok. Sokszor azért nem tesznek eleget ennek a kötelezettségüknek, mert teljesen félreértik, mit is jelent az adatfertőtlenítés (a fájlok lomtárba helyezése távolról sem tartozik ide). Esetenként viszont széleskörben elfogadott módszereket használnak – csak a rossz eszközökön. Bármi legyen is az oka, ezek a félreértések oda vezetnek, hogy vállalaton megnövekszik az adatszivárgással és általánosságban az adatokkal kapcsolatos biztonsági incidens kockázata.
Ha az adatvédelem ennyire kritikus, mi állítja meg a vállalatokat abban az igyekezetükben, hogy teljesen és biztonságosan megszabaduljanak a nem szükséges adatoktól? Cikkünkben felsoroljuk azokat a leggyakoribb mítoszokat, melyek a szakszerű adatfertőtlenítést gátolják. Ezek a félreértések kis- és nagyvállalatoknál egyaránt megnehezítik a végleges adattörlési erőfeszítéseket. Ahhoz, hogy az előírásoknak megfelelő adatkezelési gyakorlatokat honosítsunk meg vállalatunknál, végleg le kel számolnunk ezekkel a megtévesztő mítoszokkal.
Mítosz 1 – egy sima törlés minden problémát megold
Tényleg megtévesztő a törlés kifejezés, hiszen még a szakavatott IT technológiával foglalkozók is gyakran azt hiszik egy sima törléssel gond nélkül megszabadultunk az adatoktól. Miután a számítógép asztalán lévő virtuális szemetesben helyeztük a fájlokat, onnan még mindig egy kattintással visszaállíthatók. Sőt, akkor sem töröljük a fájlokat véglegesen, mikor kiürítjük virtuális szemetesünket. Megtévesztő a dolog ó, mert a Windows azt kérdi a kuka kiürítésekor, hogy „Biztos benne, hogy végleg törli ezt a fájlt? Azonban az operációs rendszer nem törli az az adatokat, csak a rájuk mutató bejegyzéseket, az érintett területet felhasználhatónak jelöli, és kész. Az adat ott marad és megfelelő szoftveres eszközök segítségével visszaállítható.
Mítosz 2 – a formázás mindent adatot eltűntet
Egy saját, Blancco felmérés szerint a válaszadók 51 százaléka azt gondolja, hogy az adathordozó gyorsformázása vagy teljes formázása elegendő ahhoz, hogy végleg töröljük az adatokat. A formázás valóban elég sok adatot eltüntet a lemezről. De adatfertőtlenítési módszerhez ez azonban nem elegendő, főleg nem a tanúsítást igénylő vállalati folyamatok esetében. Az adat helyreállítható online is elérhető eszközök segítségével.
Ami tovább zavarja a probléma megértését, hogy több OEM gyártó törlésként nevezi meg a formázást. Azonban ezeknek a módszereknek megvan a maguk korlátja, hiszen nem lehet kiválasztani egy adattörlési szabványt, nem lehet ellenőrizni, hogy a törlés sikeres volt és a törlésről tanúsítvány sem készülhet – mindez az adatfertőtlenítési irányelvek között kötelezően szerepel.
Mítosz 3 – a fizikai megsemmisítés minden adatot tönkretesz
Ez egy valóban trükkös megoldás, az ördög a részletekben rejlik. Az adathordozó fizikai megsemmisítése valóban hatásos és a DATA D által használt, tanúsított, az előírásoknak tökéletesen megfelelő adatfertőtlenítő megoldás. Sok esetben a nemzetbiztonsági szervek előírt adatmegsemmisítő módszere, kiforrott és bejáratott megoldások léteznek ezen a területen. Az adat fizikai megsemmisítési folyamatának minden lépését naplózzuk, részletes tanúsítványt bocsájtunk ki.
A meglévő berendezések teljesen alkalmasak a mágneses merevlemezek fizikai megsemmisítésére, de a kisebb, az adatokat sűrűbben tároló SSD-k esetében nagyon apró vágási méretet kell beállítani ahhoz, hogy valóban hatásos legyen a megsemmisítés. Az amerikai nemzetbiztonsági hivatal ajánlata szerint az SSD-k javasolt vágási mérete 2 milliméter. Ha a vágási szelet ennél nagyobb, akkor megnő annak a kockázata, hogy ép darabok jutnak át a szeletelőn, amelyekről az adat gond nélkül visszaállítható.
Ahogy korábban már erről írtunk, nagyon sok vállalat szükségtelenül és foggal-körömmel ragaszkodik az adathordozók fizikai megsemmisítéséhez. Holott az adatok szoftveres és tanúsított fertőtlenítése is elvégzi a feladatot, és ráadásul még környezetbarát módon. A fizikai megsemmisítés esetében olyan elektronikai hulladék keletkezik, melynek szakszerű megsemmisítéséről tovább gondoskodni kell.
Az adathordozók értéke fedezi a szakszerű adatfertőtlenítés költségét, így nagyon sok esetben az adott adatoktól és adathordozóktól megszabadulni kívánó szervezetnek egy fillérbe se kerül az adatfertőtlenítés. És ráadásul a környezetet sem terheljük vele, mert a felújított adathordozó vagy számítógép új életet kezdhet máshol.
okt 3, 2017 | Blog
Legyen hazai kis-, közepes és nagyvállalat, közigazgatási szervezet, az unión belül adatokat kezelő vagy feldolgozó európai szervezet és vállalat, ha uniós állampolgárok adatait kezelik vagy dolgozzák fel, akkor az Európai Unió új adatvédelmi rendelete kiterjed rá és jelenleg is hatályos.
(tovább…)
