Jakie są Pana obserwacje na temat głównych różnic w zabezpieczaniu danych w urządzeniach biznesowych w porównaniu do konsumenckich?
Robert Sepeta: Zasadniczo w większości urządzeń konsumenckich nie ma dużego nacisku na zabezpieczenie sprzętowe, takie jak szyfrowanie. Często użytkownicy domowi nie mają nawet świadomości, że dane powinny być odpowiednio zabezpieczane i backupowane, chociaż nierzadko posiadają bardzo cenne dla siebie pliki, np. zdjęcia.
W przypadku rozwiązań biznesowych producenci sprzętu dbają o odpowiedni poziom zabezpieczeń – np. laptopy czy komputery stacjonarne posiadają wbudowane moduły TPM (Trusted Platform Module), które pozwalają na sprzętowe zaszyfrowanie danych na urządzeniu.
Firmy również mają świadomość istniejących zagrożeń i w miarę swoich możliwości starają się dostosowywać do nich sprzęt i politykę bezpieczeństwa. Niestety, nadal są instytucje i przedsiębiorstwa, które nie przykładają do tej kwestii należytej uwagi i często padają one ofiarami cyberataków lub tracą wrażliwe dane przez niedopatrzenie, np. zgubiony przez pracownika pendrive.
Jakie technologie zabezpieczające są priorytetem dla firm, a które są bardziej typowe dla użytkowników konsumenckich?
R.S.: W obu przypadkach kluczowe jest szyfrowanie. Ze względu na koszty firmy dysponujące większymi budżetami korzystają z szyfrowania sprzętowego, a konsumenci często posiłkują się tańszym lub darmowym szyfrowaniem programowym. Bezpłatne wersje programów szyfrujących są jednak dosyć ryzykowne, gdyż często nie wiemy, kto jest właścicielem oprogramowania i co tak naprawdę dzieje się z naszymi danymi. W czasie pandemii wraz z nagłym przejściem na pracę zdalną firmy musiały posiłkować się sprzętem konsumenckim oraz wdrożyć dodatkowe zabezpieczenia w postaci oprogramowania do szyfrowania czy dysków SSD z szyfrowaniem sprzętowym.
Czy może Pan podać przykłady specyficznych zagrożeń, które są bardziej istotne dla sektora biznesowego niż konsumenckiego?
R.S.: Ze względu na kapitał, jakim dysponują przedsiębiorstwa oraz charakter przechowywanych informacji są one bardzo atrakcyjnym celem cyberataków takich jak phishing czy ataki ransomware.
Przedsiębiorstwa przetwarzają coraz więcej danych, które są wrażliwe lub wręcz kluczowe dla ich działalności. Często przenoszone są przez pracowników w laptopach lub na pendrive’ach – w takich wypadkach odpowiedni poziom szyfrowania jest kluczowy. Bez odpowiednich zabezpieczeń informacje te mogą być narażone na wyciek i dostanie się w niepowołane ręce.
W jaki sposób Kingston dostosowuje swoje produkty, aby sprostać specyficznym wymaganiom bezpieczeństwa w sektorze biznesowym w porównaniu do rynku konsumenckiego?
R.S.: Dla klientów indywidualnych, którzy szukają podstawowych zabezpieczeń sprzętowych w przystępnej cenie, oferujemy urządzenia szyfrujące takie jak Ironkey Locker Plus. W przypadku klientów instytucjonalnych wymagania względem ochrony danych znacznie rosną, a my musimy im sprostać.
Oferujemy urządzenia szyfrowane sprzętowo kluczem AES 256, który ze względu na liczbę możliwych sekwencji kodu (2 do potęgi 256 bitów zaszyfrowane 14 razy) jest praktycznie niemożliwy do złamania.
Bardziej wymagającym klientom, np. wojsko czy policja, oferujemy urządzenia szyfrowane sprzętowo, które posiadają dodatkowe zabezpieczenia przed fizyczną próbą włamania się do nośnika. Posiadamy również dyski USB i SSD z klawiaturą, gdzie hasło wpisuje się bezpośrednio na urządzeniu.
Jakie są największe wyzwania, z którymi spotykają się firmy w kontekście zabezpieczania danych na urządzeniach pracowników, w porównaniu do zabezpieczeń, które są stosowane przez użytkowników indywidualnych?
R.S.: Najsłabszym ogniwem zabezpieczeń jest człowiek. O ile w przypadku użytkowników indywidualnych błąd powoduje „tylko” stratę osobistych informacji, w przypadku przedsiębiorstw niedopatrzenie lub luka w zabezpieczeniach może mieć nawet skutki globalne (różne w zależności od wielkości firmy), takie jak grzywny za naruszenia RODO, wyciek tajemnic handlowych czy utrata reputacji firmy.
Dlatego działy bezpieczeństwa w firmach muszą przeanalizować każdy pojedynczy proces, w którym przetwarzane są dane, dostosować do niego polityki i procedury oraz dobrać odpowiednie zabezpieczenia. Aby zminimalizować ryzyko naruszeń należy dostosować poziomy dostępów tylko do niezbędnych zasobów oraz dostarczyć pracownikom narzędzia, które skłonią ich do stosowania szyfrowania.
Jakie różnice widzi Pan w podejściu do zabezpieczania danych między małymi i średnimi przedsiębiorstwami a dużymi korporacjami?
R.S.: Duże przedsiębiorstwa o międzynarodowej skali działania posiadają zasoby pozwalające na stworzenie odpowiednich systemów bezpieczeństwa i wdrożenie procedur. W małych firmach często zabezpieczenie systemów spada na dział IT (lub jedną osobę), który ma w swoich obowiązkach również zarządzanie sprzętem np. wymianę tonerów czy instalację systemu na komputerze.
W takich sytuacjach bezpieczeństwo realizowane jest na poziomie niezbędnego minimum lub wcale. Nie ma tu mowy o analizie zagrożeń i ich eliminacji.
Jakie technologie i strategie rekomendowałby Pan firmom, aby skutecznie zabezpieczały swoje dane na urządzeniach mobilnych pracowników, w przeciwieństwie do tych stosowanych przez indywidualnych użytkowników?
R.S.: W każdym przypadku podstawą bezpieczeństwa jest szyfrowanie. Zarówno komputery, jak i nośniki zewnętrzne wymagają odpowiedniego zabezpieczenia. Kolejnym kluczowym elementem jest backup danych – tutaj też najlepszą praktyką jest wykorzystanie szyfrowanych sprzętowo dysków zewnętrznych.
Dzięki temu możliwe jest odizolowanie danych od sieci, co może pomóc chronić organizacje przed atakami ransomware, ponieważ pozwala na szybkie ich odzyskanie po ataku, minimalizując przestoje i potencjalne straty finansowe. Należy również pamiętać, że kopia zapasowa powinna być robiona na kilku nośnikach i w różnych odstępach czasowych.
W przypadku klientów indywidualnych poziom zabezpieczeń powinien odpowiadać wrażliwości danych, które chcemy chronić.
Jakie przyszłe technologie i trendy mogą mieć największy wpływ na różnice w zabezpieczaniu danych między sektorem biznesowym a konsumenckim?
R.S.: Można śmiało powiedzieć, że sztuczna inteligencja będzie przyczyniała się do tego, że ataki phishingowe będą sprawiać wrażenie bardziej wiarygodnych. Ponownie, to człowiek jest zazwyczaj najsłabszym ogniwem bezpieczeństwa, dlatego edukacja dotycząca cyberhigieny będzie kluczowym działaniem zarówno dla zwykłych użytkowników, jak i firm.
Poza tym ważną rolę odgrywać będą silne i często zmieniane hasła. Dlatego obserwujemy rosnącą popularność haseł opartych o bezpieczne, długie ciągi tekstu, które są łatwe do zapamiętania.
Dziękujemy za rozmowę.
Rozmawiała: Monika Świetlińska
