Pazaudēts nozagts klēpjdators ar nešifrētiem uzņēmuma datiem¶

Atklājot, ka jūsu uzņēmuma klēpjdators ir pazaudēts vai nozagts, rodas pēkšņa panika, taču ārkārtas situācija kļūst katastrofāla, ja cietajam diskam trūkst pilna diska šifrēšanas. Ja galapunktu aizsargā BitLocker, FileVault vai LUKS, mūsdienu kriptogrāfijas standarti padara fizisko krātuves disku nelasāmu bez šifrēšanas atslēgas. Ja pilna diska šifrēšanas nav, tā ir atspējota vai ir nepareizi konfigurēta, operētājsistēmas pieteikšanās parole nodrošina nulles aizsardzību. Ikviens, kurš nozog iekārtu, var noņemt fizisko cietvielu disku vai sāknēt no ārējā Linux zibatmiņas diska, lai dažu minūšu laikā lasītu, kopētu un izplatītu katru sistēmā esošo failu.

Ja nešifrētās korporatīvās iekārtās ir patentēts intelektuālais īpašums, uzņēmuma pirmkods, klientu ieraksti vai darbinieku personiski identificējama informācija (PII), incidents izraisa smagas likumā noteiktas juridiskas sekas. Saskaņā ar datu konfidencialitātes likumiem visā pasaulē nešifrētas ierīces nozaudēšana juridiski tiek uzskatīta par aktīvu datu pārkāpumu. Darbinieki bieži pasliktina katastrofu, aizkavējot ziņošanu, baidoties no darba attiecību pārtraukšanas. Tūlītēja, pārredzama ziņošana par incidentiem un strukturēta attālināta ierobežošana ir vienīgais veids, kā ierobežot korporatīvos zaudējumus un aizsargāt jūsu karjeru.

Dariet to tagad¶

1. Nekavējoties informējiet savu uzņēmuma IT drošības komandu un drošības operāciju centru.
   • Piecpadsmit minūšu laikā pēc zaudējuma atklāšanas sazinieties ar sava uzņēmuma informācijas drošības nodaļu, galveno informācijas drošības speciālistu (CISO) vai diennakts drošības operāciju centru (SOC).
   • Ja esat kļuvis par bruņotas laupīšanas, automašīnas uzlaušanas vai apzagšanas upuri, pārvietojieties uz drošu iekštelpu vietu un zvaniet uz vietējo neatliekamās palīdzības numuru (911 Amerikas Savienotajās Valstīs un Kanādā, 112 visā Eiropas Savienībā, 999 Apvienotajā Karalistē) vai skatiet mūsu katalogu neatliekamās palīdzības numuri.
   • Nekad neslēpiet incidentu un nevelciet stundas meklēšanai pirms ziņošanas, jo normatīvo aktu pārkāpumu paziņošanas pulksteņi sāk darboties brīdī, kad darbinieks atklāj zaudējumus.
2. Izmantojiet mobilās ierīces pārvaldību, lai aktivizētu ārkārtas attālās dzēšanas komandu.
   • Sadarbojieties ar savu IT sistēmu administratoru, lai nekavējoties izdotu attālās dzēšanas vai kriptogrāfijas dzēšanas komandu, izmantojot Microsoft Intune, Jamf Pro, VMware Workspace ONE vai Google Endpoint Management.
   • Komanda atrodas rindā uz uzņēmuma serveriem un izpilda, tiklīdz klēpjdators izveido savienojumu ar jebkuru mobilo tīklu, Ethernet kabeli vai Wi-Fi piekļuves punktu.
   • Ja attālā dzēšana netiek atbalstīta, pieprasiet tūlītēju uzņēmuma attālās ierīces bloķēšanu.
3. Atsauciet visas aktīvās uzņēmuma vienreizējās pierakstīšanās sesijas un atsvaidziniet pilnvaras.
   • Lieciet identitātes administratoriem pārtraukt visas aktīvās sesijas jūsu identitātes nodrošinātājā (piemēram, Okta, Microsoft Entra ID, Ping Identity vai Google Workspace).
   • Atsaukt OAuth atsvaidzināšanas pilnvaras, sesijas sīkfailus un pastāvīgās pārlūkprogrammas autorizācijas visās pievienotajās programmatūras kā pakalpojuma lietojumprogrammās.
   • Aktīvo pilnvaru atsaukšana neļauj uzbrucējam atvērt pārlūkprogrammas logus un piekļūt uzņēmuma Slack, Salesforce, GitHub vai Microsoft 365 bez jaunas autentifikācijas.
4. Pagrieziet galvenās uzņēmuma paroles un paroļu pārvaldnieka galvenās atslēgas.
   • Piesakieties savā uzņēmuma identitātes portālā no alternatīvas drošas ierīces un nomainiet primārā domēna paroli.
   • Pagrieziet sava uzņēmuma paroļu krātuves galveno paroli (piemēram, 1Password, Bitwarden vai Keeper) un atsauciet trūkstošās klēpjdatora autorizētās ierīces reģistrāciju.
   • Invalidējiet un atjaunojiet visas personīgās API atslēgas, SSH privātās atslēgas un mākoņa infrastruktūras marķierus, kas saglabāti klēpjdatorā.
5. Iesniedziet oficiālu policijas ziņojumu vietējām tiesībaizsardzības iestādēm.
   • Ziņojiet par nozagto klēpjdatoru policijas iecirknī, kuras jurisdikcijā ir fiziskā zādzības vieta, un iegūstiet oficiālu lietas izsekošanas numuru.
   • Norādiet klēpjdatora aparatūras marku, modeli, sērijas numuru un fiziskās MAC adreses.
   • Oficiālajā policijas ziņojumā par noziegumiem ir sniegta juridiski pieprasīta dokumentācija korporatīvās kiberapdrošināšanas prasībām, uzraudzības ķēdes ieraksti un normatīvā aizsardzība.
6. Apkopojiet visaptverošu datu sprādziena rādiusa inventarizāciju.
   • Izveidojiet rakstisku sarakstu ar katru lokālo repozitoriju, failu mapi, datu bāzes eksportu un izklājlapu, kas glabājas fiziskajā diskā.
   • Nosakiet, vai diskā ir ietverta sensitīva klienta PII, aizsargāta veselības informācija (PHI), bankas informācija, darbinieku algu saraksta faili vai uzņēmuma pirmkods.
   • Nosūtiet šo sarakstu tieši savam uzņēmuma juridiskajam konsultantam un incidentu reaģēšanas komandai, lai noteiktu normatīvos ziņošanas pienākumus.

flowchart TD
    A["Trūkst klēpjdatora ar nešifrētiem patentētiem datiem un PII"] --> B["1. darbība. Brīdiniet IT drošību, CISO un SOC 15 minūšu laikā"]
    B --> C["2. darbība. Attālinātās dzēšanas rindas ievietošana programmā Microsoft Intune, Jamf vai MDM"]
    C --> D["3. darbība. Pārtrauciet SSO sesijas un atsauciet OAuth atsvaidzināšanas pilnvaras"]
    D --> E["4. darbība. Pagrieziet galvenās paroles glabātuves un mākoņa API piekļuves atslēgas"]
    E --> F["5. darbība. Iesniedziet policijas ziņojumu par zādzību un ierakstiet incidenta lietas numuru"]
    F --> G["6. darbība. Rekonstruējiet datu sprādziena rādiusu un pārbaudiet vietējā diska saturu"]
    G --> H{"Vai vietējie dati satur regulētu PII, PHI vai IP?"}
    H -->|"Jā: obligāts pārkāpums"| I["Juridiskais konsultants aktivizē tiesību aktos noteiktos paziņojumus"]
    H -->|"Nē: tikai patentēts"| J["Veikt iekšējo tiesu ekspertīzi un komercnoslēpuma mazināšanu"]
    I --> K["Sniedziet kriminālistikas pierādījumus un sadarbojieties, reaģējot uz incidentiem"]
    J --> K

Fiziskā realitāte: kāpēc pieteikšanās paroles neizdodas nešifrētos diskos Mūsdienu krātuves kontrolleri ieraksta datus cietvielu NAND zibatmiņas mikroshēmās, neizmantojot kriptogrāfisku transformāciju, ja vien kontroliera vai operētājsistēmas skaļuma līmenī nav skaidri aktivizēta pilna diska šifrēšana.¶

Izplatīts un bīstams nepareizs priekšstats uzņēmumu darbinieku vidū ir uzskats, ka operētājsistēmas pieteikšanās parole aizsargā viņu datus. Kad netehniskie profesionāļi dzird, ka klēpjdators ir nozagts, viņi bieži nomierina vadītājus, sakot: "Neuztraucieties, mana Windows parole bija sešpadsmit rakstzīmes gara, un mans ekrāns bija bloķēts."

Nešifrētā mašīnā šī pārliecība ir pilnīgi nepatiesa. Operētājsistēmas pieteikšanās parole neatkarīgi no tā, vai tā ir Windows Hello, macOS lietotāja pieteikšanās vai Linux PAM autentifikācija, kontrolē piekļuvi tikai tad, kad instalētā operētājsistēma tiek sāknēta normāli. Operētājsistēmas pieteikšanās ekrāns ir tikai programmatūra, kas darbojas uz krātuves aparatūras. Pat ja failu sistēmas atļaujas atzīmē direktorijus kā ierobežotus ar noteiktiem lietotāju kontiem, ārējā operētājsistēma, kas uzstādīta kā root vai administrators, pilnībā ignorē vietējo failu atļauju karogus, piešķirot neierobežotu lasīšanas piekļuvi neapstrādātiem failiem.

Tiešie krātuves diska ekstrakcijas uzbrukumi¶

Zaglim vai tiesu medicīnas izmeklētājam, kuram ir nešifrēts klēpjdators, nav jāuzmin vai jāuzlauž jūsu pieteikšanās parole. Viņi var apiet visu operētājsistēmu mazāk nekā trīs minūtēs: * Uzbrucējs izmanto standarta Phillips vai Torx skrūvgriezi, lai noņemtu klēpjdatora apakšējo korpusu. * Uzbrucējs no mātesplates atvieno fizisko M.2 NVMe cietvielu disku vai 2,5 collu SATA disku. * Disks tiek ievietots standarta USB-NVMe ārējā diskdziņa korpusā, kas maksā mazāk nekā divdesmit dolārus. * Uzbrucējs pievieno korpusu citam datoram, kurā darbojas jebkura operētājsistēma. * Tā kā krātuves sektori nav šifrēti, resursdators pievieno disku kā ārējo zibatmiņas disku. Uzbrucējs pārlūko, kopē, meklē un izvelk katru failu, dokumentu, datubāzi un kešatmiņā saglabātos akreditācijas datus, neredzot paroles uzvedni. Sāknēšana ar alternatīvu reāllaika kodolu pilnībā apiet vietējos Windows akreditācijas datu nodrošinātājus un macOS autentifikācijas dēmonus. Šis uzbrukuma vektors ir veiksmīgs, jo fiziskais datu nesējs tieši reaģē uz standarta lasīšanas komandām no ārējās operētājsistēmas.

Ārējie USB sāknēšanas uzbrukumi un dzīvās operētājsistēmas¶

Pat ja klēpjdatorā tiek izmantotas pielodētas atmiņas mikroshēmas, kuras nevar fiziski noņemt no mātesplates (kā mūsdienu Apple silikona MacBooks vai īpaši kompaktos Windows klēpjdatoros), nešifrēts diskdzinis joprojām ir neaizsargāts pret ārējiem sāknēšanas uzbrukumiem: * Ja klēpjdatora UEFI vai BIOS iestatījumi nav aizsargāti ar paroli, uzbrucējs ievieto sāknējamu USB zibatmiņas disku, kurā darbojas dzīvā Linux operētājsistēma (piemēram, Ubuntu vai Kali Linux). * Uzbrucējs ieslēdz klēpjdatoru un nospiež sāknēšanas izvēlnes taustiņu (piemēram, F12 vai Option), lai palaistu tieši ārējā Linux vidē. * Tiešsaistes Linux kodols automātiski pievieno iekšējās nešifrētās krātuves nodalījumus. * Uzbrucējs izmanto standarta komandrindas rīkus, lai lasītu lietotāju direktorijus, kopētu SQLite pārlūkprogrammas datu bāzes un izvilktu kešatmiņā saglabātos Outlook datu failus tieši ārējā diskdzinī.

Juridiskā un regulatīvā krīze: šifrēšanas drošā zonas zaudēšana Šifrēšanas drošā zonas statūtos ir skaidri noteikts, ka kriptogrāfiskās atslēgas netiek glabātas uz trūkstošās fiziskās aparatūras vai līdzās tai. Ja pēc dažām nedēļām tiesībaizsardzības iestādes atgūst nešifrētu klēpjdatoru, tiesu medicīnas ekspertiem joprojām ir jānosaka, vai starplaikā ir notikusi datu ieguve.¶

Nešifrēta klēpjdatora nozaudēšana pārvērš vienkāršu noziegumu ar īpašumu par lielu korporatīvo juridisko krīzi. Datu privātuma tiesību akti gandrīz visās lielākajās ekonomikas jurisdikcijās nosaka juridisku doktrīnu, kas pazīstama kā šifrēšanas drošā zona. Šīs doktrīnas izpratne izskaidro, kāpēc uzņēmumu vadītāji un juridiskās komandas reaģē ārkārtīgi steidzami, kad pazūd nešifrēta ierīce.

Kas ir šifrēšanas drošā zona?¶

Saskaņā ar federālajiem, štatu un starptautiskajiem datu aizsardzības likumiem organizācija, kas pazaudē fizisko datu glabāšanas ierīci, ir juridiski atbrīvota no skarto personu informēšanas, publisku preses relīžu izdošanas un likumā noteikto naudas sodu maksāšanas, ja organizācija var pierādīt, ka nekustīgie dati tika aizsargāti ar sertificētu nozares standarta šifrēšanu (piemēram, AES-128 vai AES-256). Datu aizsardzības iestādes visā Eiropas Savienībā ievēro stingrus ziņošanas standartus un rūpīgi pārbauda galapunktu drošības politikas pēc incidenta izmeklēšanas. Ātras iekšējās eskalācijas un tūlītējas tehniskās ierobežošanas demonstrēšana palīdz mazināt likumā noteiktās finansiālās sankcijas saskaņā ar normatīvo aktu izpildes sistēmu.

Drošā ostas pamatojums ir vienkāršs: ja tiek nozagts šifrēts klēpjdators, dati paliek kriptogrāfiski nepieejami, kas nozīmē, ka nav notikusi nesankcionēta izpaušana. Tomēr, ja klēpjdatoram nav pilna diska šifrēšanas vai ja šifrēšanas atslēgas tika saglabātas vienkāršā tekstā kopā ar ierīci, drošā zona tiek pilnībā zaudēta. Organizācijai incidents jāuzskata par apstiprinātu, neatļautu datu izpaušanu.

Likumā noteiktie pārkāpumu paziņošanas noteikumi un termiņi¶

Nešifrētas iekārtas pazaudēšanas reglamentējošās sekas ir atkarīgas no konkrētajām datu klasifikācijām, kas tiek glabātas lokālajā diskdzinī. Mobilo ierīču pārvaldības platformas var arī izdot mērķtiecīgu uzņēmuma datu dzēšanu, kas iztīra korporatīvās lietojumprogrammas un šifrētos konteinerus, vienlaikus saglabājot personiskos failus, ja iekārta tika darbināta, izmantojot programmu “Atnest savu ierīci”.

72 stundu GDPR 33. panta izraisītājs Saskaņošana ar uzņēmuma drošības arhitektiem pirms dzēšanas komandu izdošanas apstiprina, ka kritiskie sistēmas žurnāli un kriminālistikas audita pēdas tiek dublēti mākoņdrošības krātuvēs, pirms tiek iznīcināti vietējie krātuves sektori.¶

Ja nešifrētajā klēpjdatorā bija pat viena Eiropas Savienības iedzīvotāja personas vārdi, e-pasta adreses, tālruņu numuri vai uzņēmuma ieraksti, incidents ietilpst Eiropas Savienības Vispārīgās datu aizsardzības regulas jurisdikcijā. VDAR 33. pants juridiski nosaka, ka datu pārzinim septiņdesmit divu stundu laikā pēc tam, kad viņš uzzina par pārkāpumu, ir jāziņo kompetentajai uzraudzības iestādei.

Ja jūsu uzņēmums septiņdesmit divu stundu laikā neziņo par nešifrētu pārkāpumu, organizācijai draud smags administratīvs naudas sods līdz 20 miljoniem eiro (21,7 miljoniem ASV dolāru) vai 4 procentiem no kopējā pasaules gada apgrozījuma atkarībā no tā, kurš ir lielāks, kā arī obligāti publiski paziņojumi, kas var sagraut klientu uzticību. Uzņēmuma identitātes administratori var arī atsaukt nosacītās piekļuves atļaujas un ierīces atbilstības sertifikātus, kas saistīti ar trūkstošo aparatūru. Uzticamas ierīces statusa pārtraukšana bloķē nozagto iekārtu no autentifikācijas līdz nulles uzticamības tīkla robežām.

Tūlītēja ierobežošana: attālā dzēšana un sesijas pārtraukšana¶

Kamēr korporatīvais jurists novērtē likumā noteiktos ziņošanas pienākumus, tehniskajām komandām nekavējoties jāveic attālināta ierobežošana, lai neļautu uzbrucējam piekļūt savienotajām mākoņa vidēm.

MDM attālās dzēšanas mehānika un ierobežojumi Bezsaistes sinhronizācijas kešatmiņās bieži vien satur pagaidu darba kopijas un automātiski saglabātas dokumentu versijas, kas paliek fiziskajā diskā pat pēc tam, kad lietotāji ir izdzēš primāros failus no mākoņa krātuvēm.¶

Mobilo ierīču pārvaldības (MDM) platformas nodrošina korporatīvo galapunktu attālo administratīvo kontroli. Ja jūsu klēpjdators ir reģistrēts programmā Microsoft Intune, Jamf Pro, VMware Workspace ONE vai Google Endpoint Management, drošības administrators var nekavējoties izdot komandu Remote Wipe: * Attālās dzēšanas protokols: administrators izdod komandu, izmantojot mākoņa pārvaldības konsoli. Komanda paliek rindā mākoņserveros, līdz tiek ieslēgts trūkstošais klēpjdators un izveidots interneta savienojums. * Izpildes logs: brīdī, kad klēpjdators izveido savienojumu ar Wi-Fi, Ethernet vai mobilo tīklāju, vietējais MDM aģents saņem kriptogrāfijas dzēšanas komandu. Aģents notīra operētājsistēmas nodalījumus, iznīcina failu piešķiršanas tabulas un atiestata iekārtas rūpnīcas noklusējuma iestatījumus. * Bezsaistes ievainojamība: jums ir jāatzīst attālās dzēšanas kritiskais ierobežojums: nepieciešams aktīvs interneta savienojums. Ja sarežģīts zaglis noņem atmiņas disku vai strādā ar iekārtu izolētā Faradeja telpā, neveidojot savienojumu ar Wi-Fi, attālās dzēšanas komanda nekad netiks izpildīta. Tāpēc attālā dzēšana nekad nevar aizstāt pilna diska šifrēšanu.

Attālās bloķēšanas un attālās dzēšanas kompromisi Automātiskie slepenās skenēšanas rīki var palīdzēt drošības komandām noteikt, kuras konkrētās API atslēgas, datu bāzes akreditācijas dati un izvietošanas pilnvaras bija lokālajos krātuvēs trūkstošajā galapunktā.¶

Noteiktos izmeklēšanas scenārijos korporatīvajiem kriminālistikas izmeklētājiem ir jāizvēlas starp tūlītēju attālo dzēšanu vai uzņēmuma attālo bloķēšanu. * Attālā bloķēšana: novieto ierīci bloķētas programmaparatūras stāvoklī (piemēram, BitLocker atkopšanas bloķēšana vai Apple EFI bloķēšana), kuras sāknēšanai ir nepieciešams sešciparu administratīvais PIN kods. Attālā bloķēšana saglabā lokālā diska datus iespējamai turpmākai kriminālistikas atkopšanai, ja policija izgūs aparatūru. * Attālā dzēšana: pilnībā dzēš visus lokālos krātuves sektorus. Lai gan tīrīšana iznīcina kriminālistikas pierādījumus, tā nodrošina vienīgo elektronisko mehānismu nešifrētu datu likvidēšanai, ja iekārta kādreiz izveido savienojumu ar internetu. * Gadījumos, kas saistīti ar nešifrētu korporatīvo PII vai komercnoslēpumiem, labākā prakse nosaka tūlītēju attālās dzēšanas komandas izdošanu, lai samazinātu datu iedarbības risku.

Uzņēmuma akreditācijas datu atsaukšana un pilnvaru pārtraukšana Mūsdienu tīmekļa pārlūkprogrammās tiek glabāti arī aktīvās sesijas sīkfaili un lokālās krātuves pilnvaras, kuras var iegūt, lai nolaupītu autentificētas tīmekļa sesijas, neprasot vairāku faktoru autentifikācijas kodus.¶

Nešifrētā klēpjdatorā bieži ir aktīvi sesijas sīkfaili, saglabāti pārlūkprogrammas akreditācijas dati un kešatmiņā saglabāti OAuth autentifikācijas pilnvari. Ja uzbrucējs atver Google Chrome, Microsoft Edge vai Mozilla Firefox, viņš, iespējams, varēs piekļūt korporatīvajiem portāliem, atkārtoti neievadot akreditācijas datus.

Identitātes administratoriem ir jāveic tūlītēja, visaptveroša akreditācijas datu tīrīšana trīs līmeņos: 1. Atsaukt identitātes nodrošinātāja sesijas: programmā Okta, Microsoft Entra ID vai Google Workspace administratoriem ir jānoklikšķina uz "Atsaukt visas sesijas" vai "Izrakstīties visur". Tas padara nederīgus aktīvās atsvaidzināšanas pilnvaras, liekot katrai pārlūkprogrammai un lietojumprogrammai pieprasīt jaunu autentifikāciju. 2. Atsaukt ierīcei specifiskos klientu sertifikātus: ja klēpjdators izmantoja uzņēmuma publiskās atslēgas sertifikātu vai mašīnas sertifikātu, lai autentificētos korporatīvajā virtuālajā privātajā tīklā (VPN) vai Wi-Fi tīklā, nekavējoties atsauciet šo konkrēto sertifikātu uzņēmuma sertifikācijas iestādē. 3. Atiestatīt mākoņa un SaaS paroles: mainiet paroles visiem korporatīvajiem mākoņpakalpojumiem, tostarp GitHub, GitLab, AWS, Azure, Google Cloud, Salesforce, Slack, Jira un Workday. Iespējojiet stingras daudzfaktoru autentifikācijas (MFA) problēmas visos turpmākajos pieteikšanās reizēs.

Sprādziena rādiusa pārbaude: kas tika saglabāts vietējā diskdzinī? Specializēts pārkāpumu konsultants koordinē neatkarīgus trešo pušu digitālās kriminālistikas uzņēmumus, lai veiktu kriminālistikas analīzi un sagatavotu oficiālus ziņojumus, kas iztur tiesas pārbaudi civilās kolektīvās prāvās.¶

Lai noteiktu precīzu pazaudētā klēpjdatora radīto juridisko ekspozīciju, ir jāveic tūlītēja datu sprādziena rādiusa audits. Korporatīvie juristi nevar noteikt, vai štata ģenerālprokuroriem, federālajiem regulatoriem vai ietekmētajiem patērētājiem ir jāinformē, kamēr viņi nav saņēmuši detalizētu fiziskajā diskā saglabāto datu uzskaiti.

Vietējo failu sinhronizācija un kešatmiņā saglabātie dati Kiberapdrošināšanas atlīdzību pieteikšanas pārstāvju iesaistīšana incidentu reaģēšanas procesa sākumā nodrošina, ka kriminālistikas izmeklētāji un specializētās juridiskās firmas tiek atlasītas no apdrošinātāja iepriekš apstiprinātas pārdevēju grupas.¶

Daudzi korporatīvie darbinieki pieņem, ka viņu faili pilnībā atrodas mākonī. Tomēr mūsdienu darbvirsmas sinhronizācijas klienti iekšējā atmiņas diskā uztur pilnīgas, nešifrētas mākoņa mapju lokālās kopijas: * OneDrive, SharePoint un Google disks: sinhronizācijas utilītas regulāri kešatmiņā gigabaitus korporatīvās izklājlapas, līgumus un stratēģiskos komplektus lokālās mapēs (piemēram, C:\Users\<username>\OneDrive vai /Users/<username>/Google Drive). * Kešatmiņā saglabātās Outlook un e-pasta datu bāzes: datora e-pasta klienti lokālos e-pasta arhīvus glabā cietajā diskā. Operētājsistēmā Windows programma Outlook saglabā ziņojumus, kalendāra ierakstus un pielikumus bezsaistes Outlook datu failā (.OST). Uzbrucējs, kas izvelk šo failu, var to atvērt standarta skatītāja rīkos, lai izlasītu katru e-pasta ziņojumu, ko esat nosūtījis vai saņēmis pēdējo divpadsmit mēnešu laikā. * Vietējās lejupielādes un darbvirsmas mapes: darbinieki regulāri lejupielādē klientu eksportētos datus, norēķinu manifestus un finanšu pārskatus no korporatīvās tīmekļa lietojumprogrammām tieši savā vietējā lejupielāžu mapē. Šie faili diskā paliek nešifrēti uz nenoteiktu laiku, ja vien tie netiek izdzēsti manuāli.

Avota koda krātuves un konfigurācijas noslēpumi¶

Programmatūras inženieriem, DevOps personālam un tehniskajam personālam nešifrēts klēpjdators ir postoša intelektuālā īpašuma iedarbība: * Vietējie Git krātuves: Klonētie Git repozitoriji satur pilnu korporatīvās programmatūras lietojumprogrammu, algoritmu un patentētu tirdzniecības sistēmu vēsturisko pirmkodu. * Cietie akreditācijas dati un slepenās atslēgas: izstrādātāji bieži atstāj cietkodētus API pilnvaras, datu bāzes savienojuma virknes, AWS piekļuves atslēgas un privātās SSH izvietošanas atslēgas nesaistītos lokālos failos, vides konfigurācijas failos (.env), vai lokālos čaulas vēstures failus (.bash_history, .zsh_history). * Iekšējā tīkla arhitektūras diagrammas: Inženiertehniskajos klēpjdatoros bieži ir arhitektūras diagrammas, servera IP manifesti un infrastruktūras projekti, kas nodrošina uzbrucējiem detalizētu ceļvedi, lai iekļūtu iekšējos korporatīvajos tīklos. Dokumentējot precīzus sērijas numurus un aparatūras identifikatorus oficiālajā policijas ziņojumā, tiek izveidots pārbaudīts zādzības pierādījums, kas atbalsta apdrošināšanas atlīdzību un uzņēmumu ienākuma nodokļa aktīvu norakstīšanu.

Saglabātās pārlūkprogrammas paroles un automātiskās aizpildes dati¶

Tīmekļa pārlūkprogrammas ir galvenie kriminālistikas datu ieguves mērķi: * Ja lietotājs atļāva Google Chrome, Microsoft Edge vai Firefox saglabāt uzņēmuma paroles, šie akreditācijas dati tiek saglabāti vietējās SQLite datu bāzēs (piemēram, Chrome Login Data fails). * Nešifrētā iekārtā specializēti atvērtā pirmkoda rīki var atšifrēt un iegūt šīs saglabātās paroles dažu sekunžu laikā, nododot uzbrucējiem vienkārša teksta lietotājvārdus un paroles desmitiem korporatīvo portālu. * Pārlūkprogrammu automātiskās aizpildes datubāzēs tiek glabātas personīgās adreses, kredītkaršu numuri un drošības jautājumu atbildes, kas atvieglo sekundāro identitātes zādzību. Ja tiesībaizsardzības iestādes vēlāk atgūst nozagto ierīci, dokumentētas uzraudzības ķēdes uzturēšana ļauj tiesu medicīnas speciālistiem pārbaudīt aparatūras fizisku iejaukšanos vai datu eksfiltrāciju.

Darbs ar korporatīvo juridisko konsultantu un kiberapdrošināšanu¶

Lai reaģētu uz nešifrēta klēpjdatora nozaudēšanu, ir nepieciešama cieša koordinācija starp darbinieku, IT nodaļu, uzņēmuma juridisko konsultantu un ārējiem kiberapdrošināšanas pakalpojumu sniedzējiem.

Ārējo pārkāpumu padomdevēja loma Caurspīdīga ziņošana par incidentiem ļauj drošības komandām uzsākt aizsardzības uzraudzību korporatīvā tīkla perimetros, atklājot iespējamos nesankcionētus pieteikšanās mēģinājumus, kas rodas no apdraudētā galapunkta.¶

Ja nešifrēts korporatīvais klēpjdators pazūd, uzņēmumi regulāri izmanto ārēju specializētu juridisko konsultantu, kas kiberdrošības nozarē pazīstams kā pārkāpumu padomdevējs. * Advokāta un klienta privilēģijas: saziņa starp uzņēmumu vadītājiem, tiesu izmeklētājiem un pārkāpumu advokātiem tiek aizsargāta saskaņā ar advokāta-klienta privilēģiju. Tas ļauj uzņēmumam veikt godīgu, stingru izmeklēšanu par nešifrētu datu atklāšanu, nebaidoties, ka turpmākajā civilprocesā tiks izsauktas iepriekšējas piezīmes. * Statūtā noteiktais novērtējums: Pārkāpumu advokāts izskata datu izplatības rādiusa inventarizāciju attiecībā uz datu konfidencialitātes likumiem visos piecdesmit ASV štatos un starptautiskajās jurisdikcijās. Advokāts nosaka, kurām konkrētām personām un regulatīvajām iestādēm jāsaņem oficiāls juridisks paziņojums. * Regulējošā aizsardzība: ja štata ģenerālprokurors vai federālās aģentūras sāk formālu izmeklēšanu, pārkāpumu advokāts pārstāv organizāciju sarunās par regulējumu, lai samazinātu civiltiesiskos sodus un izvairītos no formāliem izpildes dekrētiem.

Korporatīvo kiberapdrošināšanas pakalpojumu sniedzēju iesaistīšana Ātri aizpildot iekšējās drošības incidentu pieņemšanas veidlapu, drošības operāciju centrs nodrošina tehniskos parametrus, kas nepieciešami, lai uzraudzītu uzņēmuma žurnālus, lai noteiktu anomālu darbību.¶

Lielākajai daļai vidēja lieluma un uzņēmumu organizāciju ir specializēta kiberkļūdu un izlaidumu vai kiberatbildības apdrošināšana: * Obligāts paziņojums apdrošinātājam: kiberapdrošināšanas polisēs ir noteiktas stingras paziņošanas prasības, kas bieži vien nosaka, ka apdrošinājuma ņēmējam ir jāpaziņo pārvadātājam divdesmit četru līdz četrdesmit astoņu stundu laikā pēc iespējamā pārkāpuma atklāšanas. Ja apdrošinātājam netiek nekavējoties paziņots, segums var tikt atteikts. * Segtie izdevumi. Visaptveroša kiberpolitika sedz milzīgās finansiālās izmaksas, kas saistītas ar nešifrētas ierīces nozaudēšanu, tostarp ārējās kriminālistikas izmeklēšanas nodevas, juridisko pārkāpumu konsultantu aizturēšanu, sabiedrisko attiecību krīžu pārvaldību, obligātu paziņojumu vēstuļu drukāšanu un nosūtīšanu, kā arī kredītu uzraudzības pakalpojumus skartajām personām.

Mijiedarbība ar tiesībaizsardzības iestādēm un oficiālās dokumentācijas nodrošināšana¶

Oficiāla policijas ziņojuma par zādzību iesniegšana nav tikai formalitāte. Tas ir neaizstājams juridisks dokuments, ko pieprasa kiberapdrošinātāji, regulatīvās iestādes un iekšējās korporatīvās atbilstības amatpersonas. Mūsdienu ierīču pārvaldības konfigurācijām arī jāuzrauga notiekošā šifrēšanas darbība un automātiski jāatceļ uzņēmuma piekļuve tīklam, ja galapunkts atspējo pilna diska šifrēšanu vai saskaras ar TPM kļūmi.

Pašvaldības policijas protokola iesniegšana¶

Nekavējoties ziņojiet par zādzību vietējai pašvaldības policijas nodaļai vai iecirknim, kura ģeogrāfiskajā jurisdikcijā ir vieta, kur iekārta tika paņemta: * Ja zādzība notikusi no automašīnas, norādiet transportlīdzekļa marku, modeli, numura zīmi un fizisko stāvvietu. * Ja klēpjdators tika nozagts no viesnīcas istabas, lidostas termināļa vai kafejnīcas, ievērojiet, vai objektā darbojas novērošanas videokameras, kas aptver šo teritoriju. Pieprasiet, lai ziņotājs sazinās ar objekta vadību, lai saglabātu drošības kameru ierakstus, pirms novērošanas cilpas pārraksta datus. * Sniedziet darbiniekam precīzas aparatūras specifikācijas: ražotājs (piemēram, Dell, Lenovo, Apple vai HP), modeļa numurs, sērijas numurs, uzņēmuma īpašuma atzīmes svītrkoda numurs un paredzamā komerciālā vērtība. Stingras nosacījuma piekļuves politikas izveidošana nodrošina, ka tikai saderīgi, pilnībā šifrēti galapunkti, kas aprīkoti ar pārbaudītiem veselības apliecinājumiem, var izveidot savienojumu ar sensitīviem korporatīvajiem repozitorijiem.

Uzraudzības ķēde un noziedznieku izsekošana¶

Pieprasiet, lai izmeklēšanas darbinieks dokumentē, ka ierīce ir uzņēmuma īpašums, kas pieder jūsu darba devējam. Iegūstiet oficiālo policijas incidenta atsauces numuru, iecirkņa kontakttālruņa numuru un ziņotāja pilnu vārdu un žetonu.

Ja klēpjdators bija aprīkots ar aparatūras atrašanās vietas izsekošanu (piemēram, Apple Find My vai absolūtās noturības izsekošanu), sniedziet izmeklēšanas detektīvam reāllaika atrašanās vietas atjauninājumus. Nekad nemēģiniet pats izsekot vai stāties pretī aizdomās turamajiem. Iesniedzot oficiālu policijas ziņojumu, izmeklētājiem pierāda, ka mašīna tika netīši nozagta noziedzīgas darbības rezultātā, nevis tīši nodeva vai pārdeva kāda iekšējā persona.

Darbinieku atbildība, darba vietas pārredzamība un karjeras aizsardzība¶

Emocionālais šoks, ko rada nešifrēta korporatīvā klēpjdatora pazaudēšana, darbiniekus bieži vien iedzina panikā. Daudzi strādnieki baidās, ka ziņošana par zaudējumiem izraisīs tūlītēju darba pārtraukšanu, disciplinārus aizrādījumus vai personisku finansiālu atbildību par pazaudēto aparatūru.

Kāpēc zaudējumu slēpšana ir karjeras beigas¶

Katra korporatīvā cilvēkresursu politika un kiberdrošības rīcības kodekss drošības incidenta slēpšanu traktē daudz stingrāk nekā pats incidents: * Aizkavēta ziņošana iznīcina juridisko aizsardzību: ja piektdienas vakarā pazaudējat klēpjdatoru un gaidāt līdz otrdienas rītam, lai par to ziņotu, jūs zaudējat uzņēmuma iespēju informēt Eiropas regulatorus obligātajā 72 stundu periodā. Šī kavēšanās tieši pakļauj uzņēmumu miljoniem dolāru likumā noteiktajiem naudas sodiem. * Segšanas garantijas pārtraukšana: korporatīvās atbilstības izmeklēšanas laikā gandrīz vienmēr tiek atklāts, kad ierīce pazuda, izmantojot automātiskos MDM reģistrēšanās žurnālus un tīkla atvienošanas laikspiedolus. Darbinieks, kurš pazaudē klēpjdatoru un par to ziņo trīsdesmit minūšu laikā, parasti tiek uzskatīts par īpašuma nozieguma upuri. Darbinieks, kurš slēpj zaudējumus, safabricē attaisnojumus vai melo par incidentu, gandrīz vispār tiek atlaists iemesla un rupja pārkāpuma dēļ. * Personiskā finansiālā atbildība: vairumā jurisdikciju darbiniekus nevar saukt pie personiski atbildīgiem par nozagtā uzņēmuma aprīkojuma aizstāšanas izmaksām vai normatīvajiem naudas sodiem, ja zaudējumi radušies parastā darba laikā un nav saistīti ar tīšu rupju nolaidību, reibumu vai noziedzīgām darbībām.

Kā ziņot par zaudējumiem savam vadītājam¶

Ziņojot par zaudējumiem savam vadītājam un IT drošības komandai, ievērojiet pilnīgu pārredzamību un profesionālo objektivitāti: * Skaidri norādiet faktus: "Ziņoju, ka šodien aptuveni pulksten 14:00 no mana aizslēgtā transportlīdzekļa bagāžnieka 4. ielā tika nozagts mans uzņēmuma klēpjdators. Esmu iesniedzis iesniegumu policijā un nekavējoties sazinājos ar IT, lai uzsāktu attālo dzēšanu un paroles atsaukšanu." * Godīgi atzīstiet datu saturu: "Vietējā diskā bija mana aktīvā klientu portfeļa izklājlapa, kurā ir iekļauti klientu vārdi un e-pasta adreses. Esmu gatavs palīdzēt IT un juridiskajām iestādēm, lai izveidotu precīzu vietējo failu sarakstu." * Pilnībā sadarbojieties ar iekšējo izmeklēšanu: sniedziet laika zīmogus, policijas ziņojuma kopijas un informāciju par mākoņa kontiem, lai palīdzētu tiesu medicīnas izmeklētājiem ierobežot incidentu.

Nākotnes galapunktu nostiprināšana pret nešifrētu iedarbību¶

Lai atgūtu no pazaudēta nešifrēta klēpjdatora, ir jāievieš visaptveroši, automatizēti tehniskie drošības pasākumi, lai garantētu, ka neviens uzņēmuma galapunkts vairs nedarbosies bez pilna diska šifrēšanas.

Obligātās pilna diska šifrēšanas ieviešana, izmantojot MDM politiku¶

Organizācijām ir jānovērš manuālās šifrēšanas konfigurācijas un jāievieš kriptogrāfijas standarti, izmantojot automatizētu ierīču pārvaldību: * Automatizēta BitLocker izpilde: Windows galapunktiem konfigurējiet Microsoft Intune konfigurācijas profilus, lai ierīces sākotnējās iestatīšanas laikā automātiski ieviestu XTS-AES 256 bitu BitLocker šifrēšanu (Out-of-Box Experience / Windows Autopilot). Bloķējiet lietotāja piekļuvi darbvirsmas vidēm, līdz sistēma apstiprina, ka disks ir pilnībā šifrēts. * Automatizēta FileVault izpilde: MacOS aparatūrai izmantojiet Jamf Pro vai mobilo ierīču pārvaldību, lai reģistrācijas laikā ieviestu FileVault 2 šifrēšanu. Nodrošiniet, lai iestāžu atkopšanas atslēgas vai deponētās individuālās atkopšanas atslēgas tiktu augšupielādētas tieši drošajā MDM datu bāzē, neļaujot darbiniekiem zaudēt piekļuvi atkopšanai. * Linux vienotās atslēgas iestatīšana (LUKS): inženieru komandām, kurās darbojas Linux darbstacijas, automatizētās operētājsistēmas izvietošanas laikā ievieš LUKS2 pilna diska šifrēšanu, integrējot aparatūras uzticamās platformas moduļa (TPM 2.0) mikroshēmas automātiskai kriptogrāfiskās atslēgas atslēgšanai.

Nulles uzticamības un datu zaudēšanas novēršanas (DLP) ieviešana¶

Mūsdienu uzņēmuma arhitektūras samazina galapunktu zaudēšanas risku, novēršot sensitīvu datu glabāšanu vietējā aparatūrā: * Galapunkta datu zuduma novēršana (DLP): izvietojiet uzņēmuma DLP aģentus (piemēram, Microsoft Purview vai Symantec DLP), kas pārrauga vietējās failu sistēmas. Konfigurējiet politikas, kas automātiski neļauj lietotājiem lejupielādēt nešifrētu klientu PII, kredītkaršu numurus vai sociālās apdrošināšanas numurus no korporatīvajām datu bāzēm vietējos atmiņas diskos. * Virtual Desktop Infrastructure (VDI): darbiniekiem, kuri apstrādā ļoti sensitīvus finanšu vai medicīniskos ierakstus, pārejas darbības uz mākoņa mitinātiem virtuālajiem galddatoriem (piemēram, Azure Virtual Desktop vai Amazon WorkSpaces). VDI arhitektūrā dati nekad nepieskaras lokālajam fiziskajam klēpjdatoram; galapunkts darbojas tikai kā šifrēts video displeja terminālis. * Ar aparatūru nodrošināta USB bloķēšana: atspējojiet ārējās USB lielapjoma atmiņas lasīšanas un rakstīšanas iespējas, izmantojot MDM politikas, neļaujot uzbrucējiem vai darbiniekiem pārsūtīt uzņēmuma failus uz nešifrētiem ārējiem diskdziņiem.

Bieži uzdotie jautājumi¶

Vai mana Windows pieteikšanās parole aizsargās manus failus, ja mans klēpjdators tiek nozagts?¶

Operētājsistēmas pieteikšanās parole nodrošina nulles aizsardzību nešifrētā klēpjdatorā, jo uzbrucējs var viegli noņemt fizisko cietvielu disku vai palaist iekārtu, izmantojot ārējo Linux zibatmiņas disku, lai lasītu un kopētu katru failu, neievadot paroli.

Kas ir šifrēšanas drošā zona un kāpēc tas ir svarīgi?¶

Šifrēšanas drošais patvērums ir ar likumu noteikts juridisks atbrīvojums saskaņā ar tādiem datu privātuma likumiem kā GDPR un HIPAA, kas atbrīvo uzņēmumus no obligātajiem paziņojumiem par pārkāpumiem un normatīvajiem naudas sodiem, ja pazaudēta ierīce tika aizsargāta ar sertificētu pilna diska šifrēšanu. Šis izņēmums tiek pilnībā zaudēts, ja disks nav šifrēts.

Vai IT var notīrīt manu nozagto klēpjdatoru, ja tas nav savienots ar internetu?¶

Mobilo ierīču pārvaldības attālās dzēšanas komandu izpildei nepieciešams aktīvs interneta savienojums. Tas nozīmē, ka, ja zaglis izņem atmiņas disku vai klēpjdatoru uztur bezsaistē, attālās dzēšanas komanda nevar sasniegt ierīci, tāpēc attālā dzēšana nevar aizstāt pilna diska šifrēšanu.

Vai mani var atlaist par nešifrēta uzņēmuma klēpjdatora pazaudēšanu?¶

Lai gan klēpjdatora pazaudēšana īstas noziedzīgas zādzības laikā reti izraisa tūlītēju darbības pārtraukšanu pati par sevi, zaudējumu slēpšana, ziņošanas novilcināšana IT drošībai vai noteikto korporatīvo datu apstrādes politiku pārkāpšana bieži vien izraisa disciplināru pārtraukšanu par rupju pārkāpumu.

Cik ātri uzņēmumam jāziņo par pazaudētu nešifrētu klēpjdatoru, kurā ir personas dati?¶

Saskaņā ar starptautiskiem noteikumiem, piemēram, Eiropas Savienības Vispārīgo datu aizsardzības regulu, organizācijām septiņdesmit divu stundu laikā pēc tam, kad viņi uzzina par nešifrētu pārkāpumu, ir jāinformē uzraudzības iestādes, savukārt Amerikas Savienoto Valstu štatu paziņošanas termiņi parasti ir no piecpadsmit līdz četrdesmit piecām kalendārajām dienām.

Saistītie ceļveži¶

• Uzņēmuma datu pārkāpumu novēršana un paroles noplūdes mazināšana
• Sesijas sīkfailu nolaupīšanas un akreditācijas datu atsaukšanas procedūras
• MFA Lockout Recovery un Enterprise Authenticator atiestatīšana
• Korporatīvā biznesa e-pasta kompromitēšana un atbildes reakcija uz krāpšanu
• Starptautiskie neatliekamās palīdzības dienesti un globālie tālruņu numuri