Cele te można zrealizować za pomocą kilku rodzajów narzędzi. Rozwiązania typu single sign-on umożliwiają jednorazowe, centralne logowanie do wszystkich zasobów, systemów i usług sieciowych. Grupują w jednym miejscu informacje o przydzielonych użytkownikom prawach dostępu, najczęściej w łatwym do obsługi, a jednocześnie silnie chronionym portalu. Stworzony w ten sposób pojedynczy punkt dostępu ułatwia pracownikowi korzystanie z przydzielonych zasobów, zaś działowi IT czy administratorom bezpieczeństwa pozwala na skuteczniejszą, sprawniejszą kontrolę i ochronę firmowego środowiska.

Systemy klasy Identity Management lub Identity and Access Management zapewniają z kolei tworzenie grup użytkowników o określonych uprawnieniach oraz nadawanie im ról, do których przypisane są możliwości korzystania z precyzyjnie określonych zasobów danych, koniecznych do wykonania konkretnej operacji. W dużych firmach można zastosować rozwiązanie klasy Privileged Access Management do monitorowania dostępu do zasobów przez użytkowników uprzywilejowanych. Jeszcze inne funkcje zapewniają narzędzia typu Network Access Control, służące do kontroli dostępu do sieci lokalnej. W każdym z tych przypadków warto zastosować mechanizmy wieloskładnikowej weryfikacji tożsamości.

Stale prowadzone są prace nad nowymi rozwiązaniami o innowacyjnym charakterze. Obecnie nakierowane są w dużej mierze na wykorzystanie algorytmów sztucznej inteligencji i uczenia maszynowego. Jedną z propozycji w tym zakresie jest biometria behawioralna. Daje ona możliwość zabezpieczenia dostępu do danych dzięki analizie tego jak użytkownik posługuje się komputerem – w jaki sposób z niego korzysta, a nie tego, co robi. Pod uwagę brana jest chociażby szybkość pisania na klawiaturze, siła nacisku na ekran dotykowy czy na touchpada, bądź trajektoria ruchów myszki komputerowej. Wszystkie te cechy są unikalne dla każdego użytkownika, sztuka jedynie w ich rozpoznaniu i matematycznym opisaniu.

Dane do analizy zbierane są z różnego rodzaju sensorów zintegrowanych ze sprzętem komputerowym lub możliwych do wbudowania w niego. Im więcej danych z różnych źródeł, tym uzyskany model będzie dokładniejszy. Co ważne, metoda ta daje możliwość ciągłej weryfikacji uprawnień użytkowników do korzystania z konkretnych zasobów czy usług, a nie tylko jednorazowo, w momencie logowania się.

Wymiar prawny i ekonomiczny

Wszystkie, nawet najbardziej zaawansowane technicznie rozwiązania do zarządzania dostępem będą bezużyteczne, gdy nie zostaną wyraźnie wskazane dane do zabezpieczenia. Dlatego też najważniejszą rzeczą w budowaniu systemu ochrony poufnych informacji jest ich identyfikacja oraz przypisanie do procesów, w których są lub mogą być wykorzystywane. To zadanie stanowi dla integratorów okazję do świadczenia klientom dodatkowych usług w postaci optymalnego zorganizowania zbiorów danych pod kątem możliwości ich ochrony.

W ramach działań porządkujących w pierwszej kolejności należy oszacować wartość zbiorów danych. Chodzi o to, żeby wiedzieć, czym klient dysponuje, co ma dla niego kluczowe znaczenie i gdzie poszczególne rodzaje danych są przetwarzane. Dopiero na tej podstawie można określić reguły dostępu do danych poufnych i wówczas jest moment na wybór konkretnych rozwiązań zabezpieczających.

Precyzyjne wskazanie informacji podlegających ochronie jest ważne również z tego powodu, że wykorzystanie wielu z nich, w tym danych osobowych, finansowo-księgowych czy tajemnic przedsiębiorstwa, podlega regulacjom prawnym. Żeby firma mogła wykazać, że postępuje zgodnie z wymogami prawa, musi przede wszystkim wiedzieć, których zasobów dotyczą określone przepisy. Wydaje się to niby oczywiste, ale doświadczenia z implementacji RODO pokazują, że w praktyce nie jest to wcale takie proste. Realnym ryzykiem w procesie tworzenia systemu ochrony pozostaje pominięcie danych, które nie zostały odpowiednio sklasyfikowane.

Dokładna identyfikacja danych poufnych i wrażliwych ma też wymiar ekonomiczny. Pozwala na zastosowanie wobec nich precyzyjnie dobranych narzędzi i zabezpieczeń. Dzięki temu nie trzeba ponosić kosztów jednakowej ochrony wszystkich danych. Tym bardziej, że często cenniejsze okazują się być informacje inne niż te, które powszechnie za takie uważano.

To firma musi określić, które dane, poza wskazanymi konkretnie w przepisach prawa, są dla niej poufne i powinny być objęte ochroną. Zgodnie z ustawą o zwalczaniu nieuczciwej konkurencji do tajemnicy przedsiębiorstwa zaliczają się informacje: techniczne, technologiczne, organizacyjne lub inne, posiadające wartość gospodarczą, ale które nie są powszechnie znane albo nie są łatwo dostępne dla osób nimi zainteresowanych. Chodzi tu głównie o dane związane z prowadzoną działalnością gospodarczą, o konkretnej wartości biznesowej, jak receptury, informacje o kontrahentach, plany produkcji, informacje o rynkach zbytu.

Dokładniej, a więc skuteczniej

Do wprowadzenia i utrzymania porządku w zbiorach informacji pomocne mogą być narzędzia do ich klasyfikacji. Wchodzą one w skład systemów klasy Data Lost Prevention (DLP) lub są dostępne jako osobne oprogramowanie. Pozwalają indeksować przetwarzane dane pod kątem ich znaczenia dla bezpieczeństwa firmy oraz automatycznie blokować dostęp do pliku z danymi osobowymi nieuprawnionemu pracownikowi. To samo dotyczy dokumentów z innymi rodzajami informacji poufnych czy newralgicznych dla przedsiębiorstwa.

Skuteczność działania systemów DLP jest tym większa, im bardziej jednoznaczne i precyzyjne zasady klasyfikacji danych przeznaczonych do ochrony zostały wypracowane w firmie. Im dokładniej jest ona przeprowadzona, tym większa jest trafność podejmowanych przez system decyzji w zakresie udostępniania danych poszczególnych kategorii właściwym grupom użytkowników. Z pomocą może tu przyjść automatyzacja procesów klasyfikowania czy etykietowania danych, bazująca np. na sztucznej inteligencji.

Zacząć od danych osobowych

Punktem wyjścia do zbudowania systemu skutecznej ochrony poufnych danych w różnych obszarach przedsiębiorstwa mogą być doświadczenia wyniesione z wdrażania rozwiązań zapewniających zgodność z RODO. Od wejścia rozporządzenia w życie minęło sporo czasu, ale wyzwania z tym związane pozostają wciąż aktualne.

Art. 5. RODO mówi, że dane muszą być przetwarzane „w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych”.

Przepisy nie precyzują jednak, w jaki sposób i za pomocą jakich narzędzi ma to być realizowane. Wybór zostaje w gestii administratora danych i ma być adekwatny do oszacowanego ryzyka, zdefiniowanych zagrożeń i istniejących uwarunkowań, w tym technicznych. I tu znowu widać, że do podjęcia optymalnej decyzji potrzebna jest przede wszystkim wiedza na temat tego, jakimi zbiorami danych firma dysponuje, które z nich podlegają szczególnej ochronie, w jaki sposób i przez kogo są wykorzystywane oraz w jakich procesach są przetwarzane. Na tej podstawie można określić skalę podatności na zagrożenia i zaprojektować mechanizmy zabezpieczające. Identyfikacja chronionych danych i wskazanie procesów, w których są wykorzystywane, stanowią podstawę do zapewnienia zgodności z prawem.

Spełnienie zapisów RODO wymaga stałego aktualizowania przyjętych rozwiązań i dostosowywania ich do aktualnych uwarunkowań. To podejście sprawdza się również w odniesieniu do innych obszarów danych podlegających szczególnej ochronie. Integratorom, którzy będą „trzymać rękę na pulsie”, daje szansę na stały kontakt z klientem i oferowanie mu rozwiązań adekwatnych do aktualnej sytuacji – wewnątrz firmy, jak i w jej otoczeniu biznesowo-technologicznym. Na przykład w momencie pojawienia się pandemii COVID-19 firmy dysponujące opracowanymi regułami polityki bezpieczeństwa z określonymi zasadami ochrony danych poufnych i dostępu do nich, łatwiej przeszły na model pracy zdalnej niż te, które musiały wszystko tworzyć od początku.

Trzy pytania do…  

Pawła Ellerika, Head of Sales w Lex Digital

 

 

 

1. Jak sytuacja związana z pandemią wpłynęła na ochronę danych w firmach?  W związku z koniecznością przejścia z dnia na dzień na pracę zdalną wiele firm musiało nagle zdigitalizować swoje procesy. Rozwiązania, które miały temu służyć, były często dobierane w pośpiechu. To jednak, jak się ostatecznie okazało, nie stanowiło największego problemu. Najważniejsze było zbudowanie scenariuszy określających, co ma być dalej – co wolno osobie pracującej z domu, a czego nie. Z tym wiele firm jeszcze sobie nie poradziło. Nie jest bowiem problemem np. zainstalowanie programu do telekonferencji, ale ustalenie i przekazanie pracownikom zasad bezpiecznego korzystania z niego. Bo często przecież podczas takich zdalnych spotkań są omawiane kwestie poufne, kluczowe dla funkcjonowania przedsiębiorstwa.
2. Co firmy powinny zrobić, żeby poprawić sytuację w tym zakresie? Najważniejszym wyzwaniem jest budowanie świadomości i kompetencji cyfrowych, a nie wdrożenie narzędzi informatycznych. Chodzi o to, żeby procesy te były poprzedzone określeniem zasad korzystania z poszczególnych rozwiązań, a także aby były chociażby zidentyfikowane i wskazane zasoby danych, które mogą być w określonym procesie przetwarzane. Zgłaszają się do nas firmy z wdrożonymi już systemami, co do których nie określono wciąż zasad dostępu, warunków korzystania poprzez nie ze zbiorów danych czy realizacji procesów. To często dotyczy również obszaru ochrony informacji osobowych.
3. Skąd się biorą te problemy? Dla wielu firm wciąż wyzwaniem jest inwentaryzacja kluczowych danych, w tym osobowych oraz procesów, w których one funkcjonują. Często brakuje świadomości jakie dane i do czego są wykorzystywane. Zarządy niektórych firm nie są na przykład pewne, czy w ich procesach marketingowych jest dokonywane profilowanie klientów. W takiej sytuacji nie można sprawić, by było ono robione zgodnie z wymogami prawa. Uzyskanie tej wiedzy nie jest łatwe, szczególnie w dużych podmiotach, gdzie dane są przetwarzane w wielu miejscach, w wielu procesach i wielu systemach, ale z pewnością jest niezbędne. Identyfikacja danych i procesów przetwarzania to podstawa wszelkich działań związanych z ochroną – bez względu na to, czy są prowadzone w okresie pandemii, czy w każdym innym czasie.

  

Artykuł Bez klasyfikacji nie ma ochrony pochodzi z serwisu CRN.

Paweł Ellerik Jesteśmy firmą konsultingową, która zajmuje się ochroną danych, głównie osobowych. Korzystamy z gotowych, powszechnie dostępnych narzędzi dużych dostawców. Są to przede wszystkim systemy do współpracy, komunikacji, wymiany dokumentów, dzielenia przestrzeni dyskowych. Wykorzystujemy rozwiązania typu Google Drive, JIRA, Confluence, Google Meet, iCloud, Slack itp. Korzystamy z dostępów klasy enterprise, oferujących wyższy poziom funkcjonalności niż wersje darmowe czy dla użytkowników domowych. Wykorzystujemy też system CRM do zarządzania relacjami z klientami. Tylko jedną aplikację stworzyliśmy sami – dopasowaną do bardzo specyficznych potrzeb naszej branży. Służy do zarządzania dokumentacją.

Jak te gotowe rozwiązania sprawdzają się w Państwa pracy?

Odpowiadają w pełni na nasze potrzeby. Jedyna rzecz, z którą się nieustannie zmagamy, to integrowanie naszych narzędzi z narzędziami używanymi przez klienta, któremu świadczymy usługę konsultacyjną. Konsulting wymaga stałych kanałów komunikacyjnych, wspólnej pracy na tych samych danych i dokumentach, współdzielenia przestrzeni dyskowych i rejestrów. Tymczasem firmy mają swoje polityki bezpieczeństwa, swoje zasady dostępu do danych osobowych, które są często przedmiotem naszego doradztwa. Mają do tego szyte na miarę własnych potrzeb rozwiązania informatyczne. To sprawia, że jako firma konsultingowa musimy indywidualnie podchodzić do wyboru narzędzia do współpracy z klientem. Staramy się zawsze dostosowywać do warunków i potrzeb klienta. W efekcie jako zespół pracujemy w ramach różnych systemów informatycznych, w zależności od projektów, co wymaga szczególnej troski o bezpieczeństwo.

Czy klienci obawiają się o bezpieczeństwo swoich zasobów w zetknięciu z wykorzystywanymi przez was rozwiązaniami chmurowymi?

Nie, to nie jest tak, że nasze narzędzia oferują niższy poziom zabezpieczeń niż narzędzia używane przez klientów. Problem polega na tym, że nasze rozwiązania nie są często uwzględnione w procedurach funkcjonujących u klientów. Jeżeli firma używa SharePointa od Microsoftu, to wydzielenie wspólnego obszaru dostępu i komunikacji, gdy my korzystamy z rozwiązań Google’a, wymaga ustępstw, pójścia na kompromis, dostosowania się do warunków konkretnego, pojedynczego projektu. Często wiąże się to z koniecznością dostosowania się przez nas do infrastruktury ICT funkcjonującej u klienta. Tego typu wyzwania są typowe dla wielu firm konsultingowych.

A jak w praktyce radzicie sobie z ich rozwiązywaniem?

Zazwyczaj wchodzimy do środowiska klienta we współpracy z jego działem IT, który nam przydziela odpowiednie dostępy do swoich zasobów. Często wymaga to tworzenia polityk dostępu, które zawierają zasady korzystania przez naszych konsultantów z rozwiązań stosowanych w firmie, której świadczymy usługi. To wymaga wspólnych ustaleń, uzgodnień, zapisów. Czasami okazuje się, że nie jest wcale tak łatwo te dostępy uzyskać, bo klienci mają bardzo rygorystyczne, precyzyjnie sformułowane zasady. Idealna sytuacja jest wtedy, gdy wspólnie z klientem używamy tych samych narzędzi. To się też zdarza. Zdarza się też, że polityki dostępu u klientów są bardziej elastyczne, co pozwala łatwiej ustalić zasady współpracy. W pojedynczych przypadkach to my wpuszczamy klienta do swojego środowiska, na przykład gdy firma, dla której pracujemy, ma mniej dojrzałą infrastrukturę.

Czy posiadacie własny dział IT?

Rolę działu IT pełni dla nas jedna ze spółek w naszej grupie. Zajmuje się ona też tworzeniem oprogramowania na zamówienie zewnętrznych podmiotów z wolnego rynku. Infrastruktura informatyczna, z której korzystamy, jest wspólna dla wszystkich trzech spółek naszej grupy. Wszyscy korzystają z tych samych rozwiązań, dostosowanych do konkretnych potrzeb biznesowych czy skonfigurowanych pod wymagania realizowanych projektów. Centralizacja IT w swego rodzaju shared services jest dobrym rozwiązaniem, zarówno pod względem organizacyjnym, biznesowym jak i bezpieczeństwa. Rozdzielenie przyniosłoby więcej problemów niż korzyści.

Czy ta sama spółka stworzyła również dla was aplikację, o której wspomniał Pan na początku? Do czego ona służy?

Tak, autorem aplikacji LexDigital App jest spółka AppVerk, powiązana z LexDigital. Aplikacja ta pozwala zarządzać danymi osobowymi w organizacji. Wykorzystywana jest jako element naszej usługi konsultingowej – klienci dostają w pakiecie dostęp do tego oprogramowania.

Skąd pomysł na jego stworzenie?

Z obserwacji rynku. Zauważyliśmy, że jest zapotrzebowanie na tego typu rozwiązanie. Wcześniej mało kto zwracał uwagę na to, jak jest prowadzona dokumentacja zarządzania danymi osobowymi. Gdy pojawiło się RODO, okazało się, że na rynku brakuje narzędzi do obsługi tego typu zadań. Jeśli były, to zazwyczaj bardzo rozbudowane systemy dedykowane dla działów cyberbezpieczeństwa albo działów compliance. A RODO wymaga zaangażowania osób, które mają tylko wiedzę ze swojej dziedziny, na przykład marketingu, ale są w stanie dostarczyć informacji komuś, kto sprawuje nadzór nad systemem ochrony danych osobowych. Dla takich osób powstała nasza aplikacja. To oprogramowanie zapewnia prosty interfejs do komunikacji między inspektorem ochrony danych a pracownikami innych działów. W formie odpowiedzi na pytania użytkownicy wprowadzają do systemu dane, których analiza pozwala na przypisanie odpowiednich wag ryzyka.

Na co głównie stawiacie planując rozwój środowiska informatycznego?

Automatyzujemy procesy w zakresie analizy ryzyka. Stosujemy obecnie algorytmy, dzięki którym możemy oceniać ryzyko w różnych firmach z różnych branż według jednej, tej samej metodyki. To element naszej aplikacji LexDigital App. Chcemy ją w przyszłości rozbudowywać o kolejne funkcje, by jak najwięcej rzeczy związanych z ochroną danych osobowych można było wykonać przy pomocy tego jednego oprogramowania. Będziemy dalej doskonalić mechanizmy automatycznego wykrywania ryzyka w procesach, w których przetwarzane są dane osobowe. Konsulting ma to do siebie, że wymaga indywidualnego podejścia do każdego przypadku. To utrudnia automatyzację, ale jeśli uda się ją zastosować, efekty są znaczące. Warunkiem jest, by całość obsługiwanych procesów była dostępna w środowisku cyfrowym.

Czy są obszary działalności, w których współpracujecie z zewnętrznymi firmami informatycznymi, zamawiacie produkty lub usługi na rynku?

Zarówno nasze wewnętrzne potrzeby, jak i większość prac wykonywanych dla naszych klientów, są obsługiwane przez wspomnianą już spółkę pełniącą rolę naszego wewnętrznego działu IT. Natomiast zdarza nam się współpracować z firmami zewnętrznymi z branży IT przy projektach klienckich, w których musimy uzupełnić kompetencje naszego zespołu. Bywa tak, że część zadań jest realizowana przez nasze spółki, a część przez rynkowych partnerów technologicznych. Pomagamy klientom wybierać odpowiednie rozwiązania i dostawców, którzy je zrealizują. Szukamy wtedy odpowiednich partnerów do współpracy. Tak było na przykład niedawno w projekcie, w którym jeden z komponentów dotyczył rzeczywistości rozszerzonej.

Na co w pierwszym rzędzie zwracacie uwagę przy ocenie oferty?

Kluczowa jest kwestia rekomendacji oraz doświadczenia, jakim wykazuje się brany przez nas pod uwagę podmiot. Rzadko podejmujemy współpracę z kimś, kto dopiero zaczyna budować swoje portfolio. Wiem, że to może być krzywdzące dla firm, które dopiero startują, ale kryterium doświadczenia jest dla nas decydujące. Dlatego dokładnie weryfikujemy opinie o potencjalnym partnerze. Tym bardziej, że rzadko się zdarza, aby nie można było tego zrobić. Prawie zawsze możemy znaleźć wspólnych znajomych, którzy już mieli kontakt z oferentem lub wiedzą, kogo można o niego wypytać.

Czy są szczególne kryteria oceny bezpośrednio w kontaktach z oferentami?

Ważny jest dla nas sposób, w jaki firma podchodzi do konstruowania oferty. I nie chodzi tu wcale o cenę. Liczy się dla nas to, w jaki sposób zadaje pytania i zbiera informacje. Na tej podstawie możemy ocenić, czy zna się na rzeczy i czy wie, o co nam faktycznie chodzi, czy rozumie problem, dla którego potrzebujemy rozwiązania. Nierzadko jest tak, że oferent nas jeszcze dobrze nie poznał, a już składa propozycję swojego produktu czy usługi. Dla nas jest to propozycja bezwartościowa. Z drugiej strony jest też wiele ciekawych ofert, które trafiają do nas z rynku, ale nie jesteśmy w stanie z nich skorzystać, bo pojawiają się w nieodpowiednim czasie, kiedy akurat nie mamy potrzeb w tym zakresie.

Jak w takim razie można do was skutecznie trafić z ofertą?

Ważne jest pozycjonowanie firmy, budowanie jej wizerunku i odbioru wśród klientów. Gdy będziemy potrzebowali konkretnego rozwiązania, to wtedy będziemy wiedzieli do kogo się udać, kto jest godny zaufania. To lepsza droga niż zasypywanie nas ofertami.

Rozmawiał Andrzej Gontarz

Artykuł Na styku różnych środowisk pochodzi z serwisu CRN.