Страчаны скрадзены ноўтбук з незашыфраванымі карпаратыўнымі данымі¶

Выяўленне страты або крадзяжу ноўтбука вашай кампаніі выклікае раптоўную паніку, але надзвычайная сітуацыя становіцца катастрафічнай, калі на цвёрдым дыску адсутнічае шыфраванне поўнага дыска. Калі канчатковая кропка абаронена BitLocker, FileVault або LUKS, сучасныя крыптаграфічныя стандарты робяць фізічны дыск нечытэльным без ключа шыфравання. Калі поўнадыскавае шыфраванне адсутнічае, адключана або няправільна настроена, пароль для ўваходу ў аперацыйную сістэму забяспечвае нулявую абарону. Любы, хто скрадзе машыну, можа выдаліць фізічны цвёрдацельны назапашвальнік або загрузіцца са знешняй флэшкі Linux, каб прачытаць, скапіяваць і распаўсюдзіць кожны файл у сістэме на працягу некалькіх хвілін.

Калі незашыфраваныя карпаратыўныя машыны захоўваюць запатэнтаваную інтэлектуальную ўласнасць, карпаратыўны зыходны код, запісы кліентаў або інфармацыю, якая дазваляе ідэнтыфікаваць асобу супрацоўніка (PII), інцыдэнт выклікае сур'ёзныя юрыдычныя наступствы. У адпаведнасці з законамі аб канфідэнцыяльнасці даных ва ўсім свеце, страта незашыфраванай прылады юрыдычна мяркуецца як актыўнае парушэнне даных. Супрацоўнікі часта ўскладняюць катастрофу, адкладаючы справаздачу з-за страху звальнення. Неадкладная, празрыстая справаздачнасць аб інцыдэнтах і структураванае аддаленае стрымліванне - гэта адзіны спосаб абмежаваць карпаратыўны ўрон і абараніць вашу кар'еру.

Зрабіце гэта зараз¶

1. Неадкладна паведаміце групе карпаратыўнай ІТ-бяспекі і цэнтру бяспекі.
   • Звярніцеся ў аддзел інфармацыйнай бяспекі вашай кампаніі, у дырэктара па інфармацыйнай бяспецы (CISO) або ў кругласутачны цэнтр бяспекі (SOC) на працягу пятнаццаці хвілін пасля выяўлення страты.
   • Калі вы сталі ахвярай узброенага рабавання, узлому аўтамабіля або рабавання, перайдзіце ў бяспечнае памяшканне і патэлефануйце ў мясцовы нумар экстранай дапамогі (911 у Злучаных Штатах і Канадзе, 112 ва ўсім Еўрапейскім Саюзе, 999 у Вялікабрытаніі) або праглядзіце наш каталог нумары экстраных службаў.
   • Ніколі не хавайце інцыдэнт і не марнуйце гадзіны на пошукі, перш чым паведаміць, таму што гадзіннік для апавяшчэнняў аб парушэннях нарматыўных прававых актаў пачынаецца з моманту, калі супрацоўнік выяўляе страту.
2. Запусціце экстранную каманду выдаленага сцірання праз кіраванне мабільнай прыладай.
   • Працуйце з адміністратарам ІТ-сістэм, каб неадкладна выдаць каманду выдаленага сцірання або крыптаграфічнага сцірання праз Microsoft Intune, Jamf Pro, VMware Workspace ONE або Google Endpoint Management.
   • Каманда стаіць у чарзе на карпаратыўных серверах і выконваецца ў той момант, калі ноўтбук падключаецца да любой сотавай сеткі, кабеля Ethernet або кропкі доступу Wi-Fi.
   • Калі выдаленае сціранне не падтрымліваецца, запытайце неадкладную аддаленую блакіроўку карпаратыўнай прылады.
3. Ануляваць усе актыўныя карпаратыўныя сеансы адзінага ўваходу і токены абнаўлення.
   • Папрасіце адміністратараў ідэнтыфікацыі спыніць усе актыўныя сеансы ў вашым правайдэры ідэнтыфікацыі (напрыклад, Okta, Microsoft Entra ID, Ping Identity або Google Workspace).
   • Адклікайце токены абнаўлення OAuth, сеансавыя файлы cookie і пастаянныя аўтарызацыі браўзера ва ўсіх падключаных праграмах праграмнага забеспячэння як паслугі.
   • Адкліканне актыўных токенаў не дазваляе зламысніку адкрываць вокны браўзера і атрымліваць доступ да карпаратыўнага Slack, Salesforce, GitHub або Microsoft 365 без новай аўтэнтыфікацыі.
4. Памяняйце асноўныя карпаратыўныя паролі і галоўныя ключы дыспетчара пароляў.
   • Увайдзіце ў свой карпаратыўны партал ідэнтыфікацыі з альтэрнатыўнай бяспечнай прылады і змяніце пароль асноўнага дамена.
   • Памяняйце галоўны пароль для вашага карпаратыўнага сховішча пароляў (напрыклад, 1Password, Bitwarden або Keeper) і адклікайце аўтарызаваную рэгістрацыю адсутнага ноўтбука.
   • Анулюйце і паўторна згенеруйце ўсе персанальныя ключы API, закрытыя ключы SSH і токены воблачнай інфраструктуры, якія захоўваюцца на ноўтбуку.
5. Падайце афіцыйную заяву ў паліцыю ў мясцовыя праваахоўныя органы.
   • Паведаміце аб скрадзеным ноўтбуку ў паліцэйскі ўчастак, які знаходзіцца пад юрысдыкцыяй па месцы фізічнага крадзяжу, і атрымайце афіцыйны нумар для адсочвання справы.
   • Укажыце марку, мадэль, серыйны нумар і фізічныя MAC-адрасы абсталявання ноўтбука.
   • Афіцыйная паліцэйская справаздача аб злачынстве дае неабходныя па законе дакументы для карпаратыўных прэтэнзій па кіберстрахаванню, запісы ланцужка захавання і нарматыўна-прававую абарону.
6. Складзіце поўную інвентарызацыю радыусу выбуху дадзеных.
   • Стварыце пісьмовы спіс кожнага лакальнага сховішча, папкі файлаў, экспарту базы дадзеных і электронных табліц, якія захоўваюцца на фізічным дыску.
   • Вызначце, ці ўтрымліваў назапашвальнік канфедэнцыйную ідэнтыфікацыйную інфармацыю кліента, абароненую медыцынскую інфармацыю (PHI), банкаўскія рэквізіты, файлы заработнай платы супрацоўнікаў або карпаратыўны зыходны код.
   • Перадайце гэты пералік непасрэдна вашаму карпаратыўнаму юрысконсульту і групе рэагавання на інцыдэнты, каб усталяваць нарматыўныя абавязацельствы па справаздачнасці.

flowchart TD
    A["Прапаў ноўтбук з незашыфраванымі прапрыетарнымі данымі і ідэнтыфікацыйнай інфармацыяй"] --> B["Крок 1: папярэдзьце IT Security, CISO і SOC на працягу 15 хвілін"]
    B --> C["Крок 2: Пастаўце выдаленае сціранне ў чаргу ў Microsoft Intune, Jamf або MDM"]
    C --> D["Крок 3: Спыніце сеанс SSO і адклікайце маркеры абнаўлення OAuth"]
    D --> E["Крок 4: Памяняйце ключы доступу да сховішча галоўных пароляў і воблачнага API"]
    E --> F["Крок 5: Падайце ў паліцыю справаздачу аб крадзяжы і запішыце нумар выпадку"]
    F --> G["Крок 6: Рэканструюйце радыус выбуху дадзеных і праверце змесціва лакальнага дыска"]
    G --> H{"Ці ўтрымліваюць лакальныя даныя рэгулюемую ідэнтыфікацыйную інфармацыю, PHI або IP?"}
    H -->|"Так: абавязковае парушэнне"| I["Юрыдычны кансультант запускае законныя нарматыўныя апавяшчэнні"]
    H -->|"Не: толькі патэнтаваны"| J["Выкананне ўнутранай судова-медыцынскай экспертызы і змякчэнне камерцыйнай таямніцы"]
    I --> K["Прадастаўленне крыміналістычных доказаў і супрацоўніцтва з рэагаваннем на інцыдэнты"]
    J --> K

Фізічная рэальнасць: чаму паролі ўваходу не атрымліваюцца на незашыфраваных дысках. Сучасныя кантролеры захоўвання дадзеных запісваюць даныя на цвёрдацельныя флэш-чыпы NAND без прымянення крыптаграфічнага пераўтварэння, калі поўнадыскавае шыфраванне відавочна не актыўна на ўзроўні тома кантролера або аперацыйнай сістэмы.¶

Распаўсюджанае і небяспечнае памылковае меркаванне сярод карпаратыўных супрацоўнікаў - гэта меркаванне, што пароль для ўваходу ў аперацыйную сістэму абараняе іх дадзеныя. Калі нетэхнічныя спецыялісты чуюць, што ноўтбук быў скрадзены, яны часта супакойваюць менеджэраў, кажучы: «Не хвалюйцеся, мой пароль Windows быў даўжынёй з шаснаццаці сімвалаў і экран быў заблакаваны».

На незашыфраванай машыне гэта перакананне цалкам ілжывае. Пароль для ўваходу ў аперацыйную сістэму, няхай гэта будзе Windows Hello, уваход карыстальніка macOS або аўтэнтыфікацыя Linux PAM, кантралюе доступ толькі тады, калі ўсталяваная аперацыйная сістэма загружаецца нармальна. Экран ўваходу ў аперацыйную сістэму - гэта проста праграмнае забеспячэнне, якое працуе паверх апаратнага сховішча. Нават калі дазволы файлавай сістэмы пазначаюць каталогі як абмежаваныя для пэўных уліковых запісаў карыстальнікаў, знешняя аперацыйная сістэма, усталяваная як root або адміністратар, цалкам ігнаруе сцягі дазволу лакальных файлаў, падаючы неабмежаваны доступ для чытання да неапрацаваных файлаў.

Прамыя атакі на выманне дыска захоўвання¶

Злодзею або судоваму следчаму, які валодае незашыфраваным ноўтбукам, не трэба адгадваць або ўзломваць ваш пароль для ўваходу. Яны могуць абыйсці ўсю аперацыйную сістэму менш чым за тры хвіліны: * Зламыснік выкарыстоўвае стандартную крыжовую або Torx адвёртку, каб зняць ніжні корпус ноўтбука. * Зламыснік адключае фізічны цвёрдацельны назапашвальнік M.2 NVMe або 2,5-цалевы дыск SATA ад мацярынскай платы. * Назапашвальнік устаўляецца ў стандартны корпус вонкавага назапашвальніка USB-to-NVMe коштам менш за дваццаць долараў. * Зламыснік падключае корпус да іншага кампутара пад кіраваннем любой аперацыйнай сістэмы. * Паколькі сектары захоўвання не зашыфраваныя, галоўны кампутар падключае дыск як знешні флэш-дыск. Зламыснік праглядае, капіруе, шукае і здабывае кожны файл, дакумент, базу дадзеных і кэшаваныя ўліковыя дадзеныя, не бачачы запыту пароля. Загрузка альтэрнатыўнага жывога ядра цалкам абыходзіць лакальныя правайдэры ўліковых даных Windows і дэманы аўтэнтыфікацыі macOS. Гэты вектар атакі мае поспех, таму што фізічны носьбіт наўпрост рэагуе на стандартныя каманды чытання знешняй аперацыйнай сістэмы.

Атакі знешняй загрузкі USB і жывыя аперацыйныя сістэмы¶

Нават калі ў ноўтбуку выкарыстоўваюцца прыпаяныя мікрасхемы захоўвання дадзеных, якія немагчыма фізічна выдаліць з матчынай платы (як на сучасных крамянёвых MacBook ад Apple або звышкампактных наўтбуках з Windows), незашыфраваны дыск застаецца ўразлівым для нападаў знешняй загрузкі: * Калі налады UEFI або BIOS ноўтбука не абаронены паролем, зламыснік устаўляе загрузачны флэш-назапашвальнік USB, на якім працуе аперацыйная сістэма Linux (напрыклад, Ubuntu або Kali Linux). * Зламыснік уключае ноўтбук і націскае клавішу меню загрузкі (напрыклад, F12 або Option), каб загрузіцца непасрэдна ў знешняе асяроддзе Linux. * Жывое ядро ​​Linux мантуе ўнутраныя незашыфраваныя раздзелы захоўвання дадзеных аўтаматычна. * Зламыснік выкарыстоўвае стандартныя інструменты каманднага радка для чытання каталогаў карыстальнікаў, капіравання баз дадзеных браўзера SQLite і здабывання кэшаваных файлаў дадзеных Outlook непасрэдна на знешні дыск.

Прававы і нарматыўны крызіс: страта бяспечнай гавані шыфравання Статуты бяспечнай гавані шыфравання відавочна патрабуюць, каб крыптаграфічныя ключы не захоўваліся на адсутным фізічным абсталяванні або побач з ім. Калі праз некалькі тыдняў праваахоўныя органы выяўляюць незашыфраваны ноўтбук, судова-медыцынскія эксперты ўсё яшчэ павінны вызначыць, ці адбывалася выманне дадзеных у гэты перыяд.¶

Страта незашыфраванага ноўтбука ператварае простае маёмаснае злачынства ў карпаратыўны юрыдычны крызіс з высокімі стаўкамі. Заканадаўства аб канфідэнцыяльнасці даных практычна ў кожнай буйной эканамічнай юрысдыкцыі ўстанаўлівае прававую дактрыну, вядомую як "Бяспечная гавань шыфравання". Разуменне гэтай дактрыны тлумачыць, чаму кіраўнікі карпарацый і юрыдычныя групы рэагуюць з надзвычайнай тэрміновасцю, калі незашыфраваная прылада знікае.

Што такое шыфраванне Safe Harbor?¶

У адпаведнасці з федэральнымі, дзяржаўнымі і міжнароднымі законамі аб абароне даных, арганізацыя, якая губляе фізічную прыладу захоўвання дадзеных, юрыдычна вызваляецца ад апавяшчэння пацярпелых асоб, выпуску публічных прэс-рэлізаў і выплаты прадугледжаных законам нарматыўных штрафаў, калі арганізацыя можа даказаць, што захаваныя даныя былі абаронены сертыфікаваным галіновым стандартам шыфравання (напрыклад, AES-128 або AES-256). Органы па абароне даных ва ўсім Еўрапейскім Саюзе падтрымліваюць строгія стандарты справаздачнасці і ўважліва вывучаюць палітыку бяспекі канечных кропак падчас расследаванняў пасля інцыдэнтаў. Дэманстрацыя хуткай унутранай эскалацыі і неадкладнага тэхнічнага стрымлівання дапамагае змякчыць прадугледжаныя законам фінансавыя штрафы ў адпаведнасці з правапрымяняльнымі прававымі актамі.

Абгрунтаванне бяспечнай гавані простае: у выпадку крадзяжу зашыфраванага ноўтбука даныя застаюцца крыптаграфічна недаступнымі, што азначае, што несанкцыянаванага раскрыцця не адбылося. Аднак, калі на ноўтбуку адсутнічае поўнадыскавае шыфраванне або калі ключы шыфравання захоўваюцца ў адкрытым тэксце побач з прыладай, бяспечная гавань цалкам губляецца. Арганізацыя павінна разглядаць інцыдэнт як пацверджанае несанкцыянаванае раскрыццё даных.

Рамкі і тэрміны паведамлення аб парушэннях заканадаўства¶

Нарматыўныя наступствы страты незашыфраванай машыны залежаць ад канкрэтных класіфікацый даных, якія захоўваюцца на лакальным дыску: платформы кіравання мабільнымі прыладамі таксама могуць вырабляць мэтанакіраванае сціранне карпаратыўных даных, якое ачышчае карпаратыўныя прыкладанні і зашыфраваныя кантэйнеры, захоўваючы пры гэтым асабістыя файлы, калі машына выкарыстоўвалася ў рамках праграмы "прынясі сваю ўласную прыладу".

72-гадзінны трыгер артыкула 33 GDPR Каардынацыя з архітэктарамі бяспекі прадпрыемства перад выдачай каманд ачысткі пацвярджае, што важныя сістэмныя журналы і судовыя аўдытныя сляды ствараюцца ў воблачных сховішчах бяспекі перад знішчэннем лакальных сектараў захоўвання.¶

Калі незашыфраваны ноўтбук утрымліваў асабістыя імёны, адрасы электроннай пошты, нумары тэлефонаў або карпаратыўныя запісы нават аднаго рэзідэнта Еўрапейскага Саюза, інцыдэнт падпадае пад юрысдыкцыю Агульнага рэгламенту Еўрапейскага Саюза аб абароне даных. Артыкул 33 GDPR юрыдычна прадугледжвае, што кантралёр дадзеных павінен паведаміць кампетэнтны наглядны орган на працягу сямідзесяці дзвюх гадзін пасля таго, як яму стала вядома аб парушэнні.

Калі ваша кампанія не паведаміць аб незашыфраваным узломе на працягу сямідзесяці дзвюх гадзін, арганізацыі пагражае сур'ёзны адміністрацыйны штраф у памеры да 20 мільёнаў еўра (21,7 мільёна долараў ЗША) або 4 працэнты ад агульнага сусветнага гадавога абароту, у залежнасці ад таго, што больш, разам з абавязковымі публічнымі паведамленнямі, якія могуць падарваць давер кліентаў. Адміністратары карпаратыўнай ідэнтыфікацыі таксама могуць адклікаць дазволы ўмоўнага доступу і сертыфікаты адпаведнасці прылад, звязаныя з адсутным абсталяваннем. Адмена стану даверанай прылады блакуе скрадзеную машыну ад аўтэнтыфікацыі да межаў сеткі з нулявым даверам.

Неадкладнае стрымліванне: выдаленае сціранне і спыненне сеансу¶

У той час як карпаратыўны юрысконсульт ацэньвае статутныя абавязацельствы па справаздачнасці, тэхнічныя групы павінны неадкладна ажыццявіць дыстанцыйнае стрымліванне, каб спыніць зламысніку доступ да падключаных воблачных асяроддзяў.

Механіка і абмежаванні выдаленага сцірання MDM. Кэшы аўтаномнай сінхранізацыі часта ўтрымліваюць часовыя працоўныя копіі і аўтаматычна захаваныя версіі дакументаў, якія застаюцца на фізічным дыску нават пасля таго, як карыстальнікі выдаляюць асноўныя файлы з воблачных сховішчаў.¶

Платформы кіравання мабільнымі прыладамі (MDM) забяспечваюць аддалены адміністрацыйны кантроль над канчатковымі кропкамі кампаніі. Калі ваш ноўтбук зарэгістраваны ў Microsoft Intune, Jamf Pro, VMware Workspace ONE або Google Endpoint Management, адміністратар бяспекі можа неадкладна выдаць каманду Remote Wipe: * Пратакол аддаленага сцірання: Адміністратар выдае каманду праз воблачную кансоль кіравання. Каманда застаецца ў чарзе на воблачных серверах, пакуль адсутны ноўтбук не ўключыцца і не ўсталюе інтэрнэт-злучэнне. * Акно выканання: у той момант, калі ноўтбук падключаецца да Wi-Fi, Ethernet або сотавай кропцы доступу, лакальны агент MDM атрымлівае каманду крыптаграфічнага сцірання. Агент выдаляе раздзелы аперацыйнай сістэмы, знішчае табліцы размеркавання файлаў і скідае машыну да заводскіх налад. * Уразлівасць у аўтаномным рэжыме: Вы павінны ведаць крытычнае абмежаванне аддаленага сцірання: для гэтага патрабуецца актыўнае інтэрнэт-злучэнне. Калі дасведчаны злодзей выдаляе назапашвальнік або працуе на машыне ў ізаляваным памяшканні Фарадэя без падлучэння да Wi-Fi, каманда аддаленага сцірання ніколі не будзе выканана. Вось чаму аддаленае сціранне ніколі не можа замяніць шыфраванне поўнага дыска.

Аддаленая блакіроўка супраць аддаленага сцірання Кампрамісы Аўтаматызаваныя інструменты сакрэтнага сканавання могуць дапамагчы групам бяспекі вызначыць, якія канкрэтныя ключы API, уліковыя даныя базы дадзеных і токены разгортвання прысутнічалі ў лакальных сховішчах на адсутнай канчатковай кропцы.¶

У пэўных сцэнарыях расследавання карпаратыўныя судовыя следчыя павінны выбіраць паміж неадкладнай дыстанцыйнай ачысткай і дыстанцыйнай блакіроўкай прадпрыемства: * Аддаленая блакіроўка: пераводзіць машыну ў стан заблакаванай прашыўкі (напрыклад, блакіроўка аднаўлення BitLocker або блакіроўка Apple EFI), для загрузкі якой патрабуецца шасцізначны адміністрацыйны PIN-код. Аддаленая блакіроўка захоўвае дадзеныя лакальнага дыска для патэнцыйнага будучага судова-медыцынскага аднаўлення, калі паліцыя верне абсталяванне. * Аддаленае сціранне: Поўнасцю выдаляе ўсе лакальныя сектары захоўвання. У той час як выдаленне знішчае судовыя доказы, яно забяспечвае адзіны электронны механізм для выдалення незашыфраваных даных, калі машына калі-небудзь падключыцца да Інтэрнэту. * У інцыдэнтах, звязаных з незашыфраванай карпаратыўнай ідэнтыфікацыйнай інфармацыяй або камерцыйнай таямніцай, перадавая практыка прадугледжвае неадкладную выдачу каманды Remote Wipe, каб мінімізаваць рызыку раскрыцця даных.

Адкліканне карпаратыўных уліковых дадзеных і спыненне токена. Сучасныя вэб-браўзеры таксама захоўваюць файлы cookie актыўнага сеанса і токены лакальнага сховішча, якія можна атрымаць, каб захапіць аўтэнтыфікаваныя вэб-сесіі без неабходнасці кодаў шматфактарнай аўтэнтыфікацыі.¶

Незашыфраваны ноўтбук часта змяшчае файлы cookie актыўнага сеансу, захаваныя ўліковыя даныя браўзера і кэшаваныя токены аўтэнтыфікацыі OAuth. Калі зламыснік адкрывае Google Chrome, Microsoft Edge або Mozilla Firefox, ён можа атрымаць доступ да карпаратыўных парталаў без паўторнага ўводу ўліковых дадзеных.

Адміністратары пасведчання асобы павінны выканаць неадкладную поўную ачыстку ўліковых дадзеных на трох узроўнях: 1. Ануляваць сеансы правайдэра ідэнтыфікацыі: У Okta, Microsoft Entra ID або Google Workspace адміністратары павінны націснуць «Ануляваць усе сеансы» або «Выйсці ўсюды». Гэта робіць несапраўднымі актыўныя маркеры абнаўлення, прымушаючы кожны браўзер і прыкладанне запытваць новую аўтэнтыфікацыю. 2. Анулюйце кліенцкія сертыфікаты прылады: Калі ноўтбук выкарыстоўваў карпаратыўны сертыфікат адкрытага ключа або сертыфікат машыны для аўтэнтыфікацыі ў карпаратыўнай віртуальнай прыватнай сетцы (VPN) або сетцы Wi-Fi, неадкладна адклікайце гэты спецыфічны сертыфікат у карпаратыўным цэнтры сертыфікацыі. 3. Скід пароляў воблака і SaaS: змяніце паролі для ўсіх карпаратыўных воблачных сэрвісаў, уключаючы GitHub, GitLab, AWS, Azure, Google Cloud, Salesforce, Slack, Jira і Workday. Уключыце строгую шматфактарную аўтэнтыфікацыю (MFA) пры ўсіх наступных уваходах.

Аўдыт радыусу выбуху: што захоўвалася на лакальным дыску? Спецыялізаваны кансультант па парушэннях каардынуе незалежныя староннія фірмы лічбавай судова-медыцынскай экспертызы для правядзення судова-медыцынскага аналізу і падрыхтоўкі афіцыйных справаздач, якія вытрымліваюць судовы кантроль у грамадзянскіх калектыўных судовых працэсах.¶

Вызначэнне дакладнага прававога ўздзеяння, створанага страчаным ноўтбукам, патрабуе правядзення неадкладнага аўдыту радыусу выбуху дадзеных. Юрыдычны кансультант кампаніі не можа вызначыць, ці трэба паведамляць генеральным пракурорам штата, федэральным рэгулятарам або закранутым спажыўцам, пакуль у іх не будзе падрабязны пералік даных, якія захоўваюцца на фізічным дыску.

Лакальная сінхранізацыя файлаў і кэшаваныя воблачныя даныя. Прыцягненне прадстаўнікоў па кіберстрахаванні на ранніх стадыях працэсу рэагавання на інцыдэнт гарантуе, што судовыя следчыя і спецыялізаваныя юрыдычныя фірмы будуць выбраны з папярэдне зацверджанай страхоўшчыкам групы пастаўшчыкоў.¶

Многія карпаратыўныя супрацоўнікі мяркуюць, што іх файлы цалкам знаходзяцца ў воблаку. Аднак сучасныя кліенты сінхранізацыі працоўнага стала захоўваюць поўныя незашыфраваныя лакальныя копіі воблачных папак на ўнутраным назапашвальніку: * OneDrive, SharePoint і Google Drive: утыліты сінхранізацыі звычайна кэшуюць гігабайты карпаратыўных табліц, кантрактаў і стратэгічных калод у лакальных папках (напрыклад, C:\Users\<username>\OneDrive або /Users/<username>/Google Drive). * Кэшаваныя базы дадзеных Outlook і электроннай пошты: Паштовыя кліенты для настольных ПК захоўваюць лакальныя архівы электроннай пошты на цвёрдым дыску. У Windows Outlook захоўвае паведамленні, запісы календара і ўкладанні ў аўтаномным файле даных Outlook (.OST). Зламыснік, які здабывае гэты файл, можа адкрыць яго ў стандартных інструментах прагляду, каб прачытаць кожны ліст, які вы адправілі або атрымалі за апошнія дванаццаць месяцаў. * **Лакальныя папкі для загрузак і працоўнага стала: ** Супрацоўнікі звычайна загружаюць экспарт кліентаў, маніфесты рахункаў і фінансавыя справаздачы з карпаратыўных вэб-прыкладанняў непасрэдна ў лакальную папку для загрузак. Гэтыя файлы застаюцца незашыфраванымі на дыску на нявызначаны час, калі іх не ачысціць уручную.

Рэпазіторыі зыходнага кода і сакрэты канфігурацыі¶

Для інжынераў-праграмістаў, персаналу DevOps і тэхнічнага персаналу незашыфраваны ноўтбук уяўляе сабой разбуральную пагрозу інтэлектуальнай уласнасці: * Лакальныя сховішчы Git: Кланаваныя сховішчы Git змяшчаюць поўны гістарычны зыходны код карпаратыўных праграмных прыкладанняў, алгарытмаў і прапрыетарных гандлёвых сістэм. * Жорстка закодаваныя ўліковыя дадзеныя і сакрэтныя ключы: Распрацоўшчыкі часта пакідаюць жорстка закодаваныя токены API, радкі злучэння з базай дадзеных, ключы доступу AWS і прыватныя ключы разгортвання SSH у незафіксаваных лакальных файлах, файлах канфігурацыі асяроддзя (.env), або лакальныя файлы гісторыі абалонкі (.bash_history, .zsh_history). * Схемы ўнутранай архітэктуры сеткі: Інжынерныя наўтбукі часта ўтрымліваюць архітэктурныя схемы, IP-маніфесты сервера і чарцяжы інфраструктуры, якія даюць зламыснікам падрабязную дарожную карту для пранікнення ва ўнутраныя карпаратыўныя сеткі. Дакументаванне дакладных серыйных нумароў і ідэнтыфікатараў апаратнага забеспячэння ў афіцыйным паліцэйскім справаздачы ўстанаўлівае правераныя доказы крадзяжу, якія падтрымліваюць страхавую кампенсацыю і спісанне карпаратыўных падаткаў.

Захаваныя паролі браўзера і даныя аўтазапаўнення¶

Вэб-браўзеры з'яўляюцца асноўнымі мішэнямі для вымання крыміналістычных дадзеных: * Калі карыстальнік дазволіў Google Chrome, Microsoft Edge або Firefox захоўваць карпаратыўныя паролі, гэтыя ўліковыя даныя захоўваюцца ў лакальных базах дадзеных SQLite (напрыклад, Chrome Login Data файл). * На незашыфраваным кампутары спецыялізаваныя інструменты з адкрытым зыходным кодам могуць расшыфраваць і здабыць гэтыя захаваныя паролі за лічаныя секунды, перадаючы зламыснікам адкрытыя імёны карыстальнікаў і паролі для дзясяткаў карпаратыўных парталаў. * У базах дадзеных аўтазапаўнення браўзера захоўваюцца асабістыя адрасы, нумары крэдытных карт і адказы на ахоўныя пытанні, якія палягчаюць другасны крадзеж асабістых дадзеных. Калі праваахоўныя органы пазней вернуць скрадзеную прыладу, захаванне задакументаванай ланцужкі захоўвання дазволіць экспертам-крыміналістам праверыць апаратнае забеспячэнне на наяўнасць фізічнага ўмяшання або выкрадання даных.

Праца з карпаратыўным юрысконсультам і кіберстрахаваннем¶

Рэагаванне на страту незашыфраванага ноўтбука патрабуе цеснай каардынацыі паміж супрацоўнікам, ІТ-аддзелам, карпаратыўным юрысконсультам і знешнімі пастаўшчыкамі кіберстрахавання.

Роля знешняга кансультанта па парушэннях. Празрыстая справаздачнасць аб інцыдэнтах дазваляе групам бяспекі ініцыяваць абарончы маніторынг па перыметрах карпаратыўнай сеткі, выяўляючы патэнцыйныя несанкцыянаваныя спробы ўваходу з парушанай канчатковай кропкі.¶

Калі незашыфраваны карпаратыўны ноўтбук знікае, кампаніі рэгулярна прыцягваюць знешніх спецыялізаваных юрыдычных кансультантаў, вядомых у індустрыі кібербяспекі як Breach Counsel: * Прывілеі адваката і кліента: Зносіны паміж кіраўнікамі карпарацый, судовымі следчымі і кансультантамі па парушэннях абаронены прывілеямі адвакат і кліент. Гэта дазваляе кампаніі правесці сумленнае, строгае расследаванне раскрыцця незашыфраваных даных, не баючыся, што папярэднія нататкі будуць выкліканыя ў суд у будучым грамадзянскім судовым працэсе. * Заканадаўчая ацэнка: Савет па парушэннях разглядае інвентарызацыю радыусу выбуху даных на адпаведнасць законам аб канфідэнцыяльнасці даных ва ўсіх пяцідзесяці штатах ЗША і міжнародных юрысдыкцыях. Адвакат вызначае, якія канкрэтныя асобы і кантралюючыя органы павінны атрымаць афіцыйнае юрыдычнае паведамленне. * Нарматыўная абарона: Калі генеральныя пракуроры штата або федэральныя агенцтвы пачынаюць афіцыйнае расследаванне, кансультант па парушэннях прадстаўляе арганізацыю ў нарматыўных перамовах, каб мінімізаваць грамадзянскія пакаранні і пазбегнуць афіцыйных указаў аб прымусовым выкананні.

Прыцягненне карпаратыўных аператараў кіберстрахавання Аператыўнае запаўненне формы прыёму ўнутраных інцыдэнтаў з бяспекай дае аператыўнаму цэнтру бяспекі тэхнічныя параметры, неабходныя для маніторынгу журналаў прадпрыемства на наяўнасць анамальнай актыўнасці.¶

Большасць арганізацый сярэдняга памеру і прадпрыемстваў маюць спецыялізаванае страхаванне кібер-памылак і пропускаў або страхаванне кібер-адказнасці: * Абавязковае апавяшчэнне страхоўшчыка: Палісы кіберстрахавання прадугледжваюць строгія патрабаванні да апавяшчэння, часта абавязваючы страхавальніка паведаміць аператару на працягу дваццаці чатырох-сарака васьмі гадзін пасля выяўлення патэнцыйнага парушэння. Адсутнасць своечасовага паведамлення страхоўшчыка можа прывесці да адмовы ў пакрыцці. * Пакрытыя выдаткі: Комплексная кіберпалітыка пакрывае велізарныя фінансавыя выдаткі, звязаныя са стратай незашыфраванай прылады, у тым ліку плату за знешнюю судовую экспертызу, аплату кансультацый па прававых парушэннях, кіраванне крызіснымі сітуацыямі па сувязях з грамадскасцю, абавязковую друк і рассыланне лістоў з паведамленнямі, а таксама паслугі крэдытнага маніторынгу для пацярпелых асоб.

Узаемадзеянне з праваахоўнымі органамі і забеспячэнне афіцыйнай дакументацыі¶

Падача афіцыйнай заявы ў паліцыю аб крадзяжы - гэта не проста фармальнасць. Гэта незаменны юрыдычны дакумент, неабходны кіберстрахоўшчыкам, рэгулюючым органам і ўнутраным карпаратыўным супрацоўнікам па захаванні заканадаўства. Сучасныя канфігурацыі кіравання прыладамі таксама павінны кантраляваць бягучы стан шыфравання і аўтаматычна адклікаць доступ да карпаратыўнай сеткі, калі канчатковая кропка адключае поўнадыскавае шыфраванне або сутыкаецца з памылкай TPM.

Складанне пратаколу ў муніцыпальную паліцыю¶

Неадкладна паведаміце аб крадзяжы ў мясцовы муніцыпальны аддзел паліцыі або ўчастковы ўчастак, які знаходзіцца пад юрысдыкцыяй па месцы, дзе машына была ўзятая: * Калі крадзеж адбыўся з аўтамабіля, укажыце марку аўтамабіля, мадэль, нумарны знак і месца фізічнай паркоўкі. * Калі ноўтбук быў скрадзены з гасцінічнага нумара, тэрмінала аэрапорта або кавярні, звярніце ўвагу, ці ёсць у установе камеры відэаназірання, якія ахопліваюць тэрыторыю. Запытайце, каб супрацоўнік, які паведамляе справаздачу, звязаўся з кіраўніцтвам аб'екта, каб захаваць запісы з камер бяспекі, перш чым сістэмы назірання перапішуць дадзеныя. * Паведаміце афіцэру дакладныя характарыстыкі апаратнага забеспячэння: вытворца (напрыклад, Dell, Lenovo, Apple або HP), нумар мадэлі, серыйны нумар, нумар штрых-кода карпаратыўнай біркі актываў і ацэначны камерцыйны кошт. Усталяванне строгай палітыкі ўмоўнага доступу гарантуе, што толькі сумяшчальныя, цалкам зашыфраваныя канчатковыя кропкі, абсталяваныя праверанымі атэстацыямі здароўя, могуць падключацца да канфідэнцыйных карпаратыўных сховішчаў.

Ланцужок захавання і вышук злачынцаў¶

Запытайце ў следчага дакумента, што прылада з'яўляецца карпаратыўнай уласнасцю вашага працадаўцы. Атрымайце афіцыйны нумар інцыдэнту паліцыі, кантактны нумар тэлефона ўчастковага, а таксама поўнае імя і нумар бэйджа дакладчыка.

Калі ноўтбук быў абсталяваны функцыяй апаратнага адсочвання месцазнаходжання (напрыклад, Apple Find My або адсочвання абсалютнай пастаяннасці), прадастаўляйце абнаўленні месцазнаходжання ў рэжыме рэальнага часу следчаму. Ніколі не спрабуйце самастойна адсочваць або супрацьстаяць падазраваным. Прадстаўленне афіцыйнай міліцэйскай справаздачы даказвае следчым органам, што машына была міжвольна скрадзеная ў выніку крымінальнай справы, а не наўмысна перададзена або прададзена інсайдэрам.

Адказнасць супрацоўнікаў, празрыстасць працоўнага месца і абарона кар'еры¶

Эмацыйны шок ад страты незашыфраванага карпаратыўнага ноўтбука часта ўводзіць супрацоўнікаў у паніку. Многія работнікі асцерагаюцца, што паведамленне аб страце прывядзе да неадкладнага звальнення, дысцыплінарных вымоў або асабістай фінансавай адказнасці за страчанае абсталяванне.

Чаму ўтойванне страты - гэта канец кар'еры¶

Кожная карпаратыўная палітыка ў галіне кадраў і кодэкс паводзін у галіне кібербяспекі ставяцца да ўтойвання інцыдэнту бяспекі значна больш жорстка, чым да самога інцыдэнту: * Затрымка паведамлення разбурае прававую абарону: Калі вы страціце ноўтбук у пятніцу ўвечары і пачакаеце да раніцы аўторка, каб паведаміць пра гэта, вы пазбаўляецеся магчымасці кампаніі паведаміць еўрапейскім рэгулятарам на працягу абавязковых 72 гадзін. Гэтая затрымка непасрэдна падвяргае кампанію штрафам у мільёны долараў. * Скасаванне гарантыі прыкрыцця: Карпаратыўныя расследаванні адпаведнасці амаль заўсёды выяўляюць, калі прылада прапала праз аўтаматызаваныя журналы рэгістрацыі MDM і пазнакі часу адключэння ад сеткі. Супрацоўнік, які страціў ноўтбук і паведаміў пра гэта на працягу трыццаці хвілін, звычайна разглядаецца як ахвяра маёмаснага злачынства. Супрацоўнік, які хавае страту, выдумляе апраўданні або хлусіць аб інцыдэнце, амаль паўсюдна звальняецца па прычыне або грубай неправамернасці. * Асабістая фінансавая адказнасць: у большасці юрысдыкцый супрацоўнікі не могуць несці асабістую адказнасць за кошт замены скрадзенага карпаратыўнага абсталявання або нарматыўныя штрафы пры ўмове, што страта адбылася падчас звычайнай працы і не звязана з наўмыснай грубай нядбайнасцю, ап'яненнем або злачыннымі дзеяннямі.

Як паведаміць аб страце свайму кіраўніку¶

Паведамляючы аб страце свайму кіраўніку і групе ІТ-бяспекі, захоўвайце поўную празрыстасць і прафесійную аб'ектыўнасць: * Ясна выкладзіце факты: «Я паведамляю, што мой службовы ноўтбук быў скрадзены сёння прыкладна ў 14:00 з замкнёнага багажніка аўтамабіля на 4-й вуліцы. Я напісаў заяву ў паліцыю і неадкладна звязваюся з ІТ, каб пачаць выдаленае ачышчэнне і адкліканне пароля». * Шчыра прызнайце змесціва дадзеных: «Лакальны дыск утрымліваў электронную табліцу майго актыўнага кліента, якая ўключае імёны кліентаў і адрасы электроннай пошты. Я гатовы дапамагчы ІТ-аддзелу і юрысту ў складанні дакладнага вопісу лакальных файлаў». * У поўнай меры супрацоўнічайце з унутранымі расследаваннямі: прадастаўляйце пазнакі часу, копіі паліцэйскага пратакола і падрабязную інфармацыю аб воблачных уліковых запісах, каб дапамагчы судова-следчым у стрымліванні інцыдэнту.

Умацаванне будучых канчатковых кропак ад незашыфраванага ўздзеяння¶

Аднаўленне пасля страчанага незашыфраванага ноўтбука патрабуе ўкаранення комплексных аўтаматызаваных тэхнічных мер абароны, якія гарантуюць, што ні адна карпаратыўная канчатковая кропка ніколі не будзе працаваць без поўнага шыфравання дыска.

Прымусовае шыфраванне поўнага дыска з дапамогай палітыкі MDM¶

Арганізацыі павінны выключыць ручныя канфігурацыі шыфравання і забяспечыць выкананне крыптаграфічных стандартаў праз аўтаматызаванае кіраванне прыладамі: * Аўтаматызаванае прымяненне BitLocker: Для канчатковых кропак Windows наладзьце профілі канфігурацыі Microsoft Intune для аўтаматычнага прымянення 256-бітнага шыфравання BitLocker XTS-AES падчас першапачатковай наладкі прылады (пастаноўка / аўтапілот Windows). Блакуйце доступ карыстальнікаў да асяроддзя працоўнага стала, пакуль сістэма не пацвердзіць, што дыск цалкам зашыфраваны. * Аўтаматызаванае выкананне FileVault: Для апаратнага забеспячэння macOS выкарыстоўвайце Jamf Pro або кіраванне мабільнымі прыладамі, каб забяспечыць шыфраванне FileVault 2 падчас рэгістрацыі. Устанавіце абавязак, каб інстытуцыйныя ключы аднаўлення або дэпазітныя індывідуальныя ключы аднаўлення загружаліся непасрэдна ў абароненую базу дадзеных MDM, не даючы супрацоўнікам страціць доступ да аднаўлення. * Уніфікаваная ўстаноўка ключа Linux (LUKS): для каманд інжынераў, якія працуюць на працоўных станцыях Linux, увядзіце шыфраванне поўнага дыска LUKS2 падчас аўтаматызаванага разгортвання аперацыйнай сістэмы, інтэгруючы апаратныя чыпы Trusted Platform Module (TPM 2.0) для аўтаматычнага раскрыцця крыптаграфічнага ключа.

Укараненне нулявога даверу і прадухілення страты даных (DLP)¶

Сучасныя карпаратыўныя архітэктуры зводзяць да мінімуму небяспеку страты канчатковых кропак, прадухіляючы захаванне канфідэнцыйных даных на лакальным абсталяванні: * Endpoint Data Loss Prevention (DLP): Разгарніце карпаратыўныя агенты DLP (напрыклад, Microsoft Purview або Symantec DLP), якія кантралююць лакальныя файлавыя сістэмы. Наладзьце палітыкі, якія аўтаматычна блакуюць загрузку карыстальнікамі незашыфраванай ідэнтыфікацыйнай інфармацыі кліента, нумароў крэдытных карт або нумароў сацыяльнага страхавання з карпаратыўных баз даных на лакальныя назапашвальнікі. * Інфраструктура віртуальнага працоўнага стала (VDI): Для супрацоўнікаў, якія працуюць з асабліва канфідэнцыяльнымі фінансавымі або медыцынскімі запісамі, пераход аперацый на віртуальныя працоўныя сталы ў воблаку (напрыклад, Azure Virtual Desktop або Amazon WorkSpaces). У архітэктуры VDI дадзеныя ніколі не закранаюць лакальны фізічны ноўтбук; канчатковая кропка дзейнічае проста як зашыфраваны відэатэрмінал. * Апаратная блакіроўка USB: Адключыце магчымасці чытання і запісу знешняга USB-назапашвальніка праз палітыку MDM, не дазваляючы зламыснікам або супрацоўнікам перадаваць карпаратыўныя файлы на незашыфраваныя знешнія флэшкі.

Часта задаюць пытанні¶

Ці абароніць мой пароль для ўваходу ў Windows мае файлы ў выпадку крадзяжу ноўтбука?¶

Пароль для ўваходу ў аперацыйную сістэму забяспечвае нулявую абарону на незашыфраваным ноўтбуку, таму што зламыснік можа лёгка выдаліць фізічны цвёрдацельны назапашвальнік або загрузіць машыну з дапамогай вонкавага флэш-назапашвальніка Linux для чытання і капіравання кожнага файла без уводу вашага пароля.

Што такое бяспечная гавань шыфравання і чаму гэта важна?¶

Бяспечная гавань шыфравання - гэта прадугледжанае законам прававое выключэнне ў адпаведнасці з такімі законамі аб канфідэнцыяльнасці даных, як GDPR і HIPAA, якое вызваляе кампаніі ад абавязковых паведамленняў аб парушэннях і нарматыўных штрафаў, калі страчаная прылада была абаронена сертыфікаваным шыфраваннем поўнага дыска. Выключэнне, якое цалкам губляецца, калі дыск быў незашыфраваным.

Ці можа ІТ ачысціць мой скрадзены ноўтбук, калі ён не падключаны да Інтэрнэту?¶

Для выканання каманд дыстанцыйнага сцірання па кіраванні мабільнымі прыладамі патрабуецца актыўнае падключэнне да Інтэрнэту, гэта значыць, што калі злодзей здабывае назапашвальнік або трымае ноўтбук у аўтаномным рэжыме, каманда дыстанцыйнага сцірання не можа дасягнуць прылады, таму аддаленае сціранне не можа замяніць шыфраванне поўнага дыска.

Ці могуць мяне звольніць за страту незашыфраванага службовага ноўтбука?¶

У той час як страта ноўтбука падчас сапраўднага злачыннага крадзяжу рэдка прыводзіць да неадкладнага спынення працы сама па сабе, утойванне страты, затрымка вашай справаздачы ў ІТ-бяспеку або парушэнне ўстаноўленай карпаратыўнай палітыкі апрацоўкі даных часта прыводзіць да дысцыплінарнага звальнення за грубыя парушэнні.

Як хутка кампанія павінна паведаміць аб згубленым незашыфраваным ноўтбуку з персанальнымі дадзенымі?¶

У адпаведнасці з міжнароднымі рамкамі, такімі як Агульны рэгламент Еўрапейскага саюза аб абароне даных, арганізацыі павінны паведаміць кантралюючым органам на працягу сямідзесяці дзвюх гадзін пасля таго, як даведаліся аб незашыфраваным узломе, у той час як тэрміны паведамлення штата ЗША звычайна складаюць ад пятнаццаці да сарака пяці каляндарных дзён.

Звязаныя даведнікі¶

• Рэагаванне на ўцечку карпаратыўных даных і ліквідацыя ўцечкі пароляў
• Выкраданне файлаў cookie сеанса і працэдуры адклікання ўліковых даных
• Аднаўленне блакіроўкі MFA і скід Enterprise Authenticator
• Кампраметацыя карпаратыўнай электроннай пошты і рэагаванне на махлярства
• Міжнародныя экстранныя службы і глабальныя нумары тэлефонаў