Прозорец от 40 часа, който не трябваше да съществува

Британската държавна агенция за инвестиции потвърди пробив в сигурността на данните, при който чувствителна информация и данни за контакт на 51 правителствени служители са били изложени в продължение на около 40 часа, според репортаж на The Guardian. Инцидентът, описан по-скоро като пропуск в сигурността, отколкото като сложна кибератака, повдига нови въпроси за това доколко добре обезпечените публични органи защитават личните данни на служителите, които работят в тях и около тях.

Въпреки че пълните технически подробности за начина на излагане на данните не са оповестени публично, основните факти са показателни сами по себе си: данни, свързани с 51 лица на правителствени позиции, са били достъпни почти два пълни дни, преди проблемът да бъде отстранен. За агенция, чийто цялостен мандат включва работа с чувствителна финансова и стратегическа информация, дори толкова кратък пропуск носи непропорционални последици за репутацията и сигурността.

Защо пробивът в държавната инвестиционна агенция има по-голямо значение, отколкото изглежда

Лесно е да възприемем история за 51 изложени записа като относително малък инцидент, особено в сравнение с пробиви, засягащи стотици хиляди хора. Но мащабът не е единствената мярка за риск. Когато изложените данни принадлежат на правителствени служители, а не на обикновени потребители, потенциалните последици се изместват от кражба на самоличност и спам към нещо, близко до националната сигурност и институционалното доверие.

Данни за контакт и чувствителна информация, свързани с официални лица, могат да бъдат използвани за целенасочен фишинг, социално инженерство или опити за имитиране на доверени контакти в правителствените мрежи. Сравнително малък, ограничен пробив все пак може да отвори врати, ако грешният човек получи достъп до грешния запис по време на този прозорец на излагане. Именно затова продължителността на излагането – в този случай 40 часа – има също толкова голямо значение, колкото и броят на засегнатите записи.

Този инцидент се вписва и в по-широка картина на излагане на данни в публичния сектор на Обединеното кралство. По-рано тази година кибератаката срещу DfE изложи данни на 607 000 училищни служители – случай, който макар и далеч по-мащабен, по подобен начин произтече от пропуски в начина, по който свързан с правителството орган защитава личните данни. Взети заедно, тези инциденти подсказват, че неуспехите в защитата на данните в британските публични институции не са изолирани еднократни случаи, а повтаряща се уязвимост, която заслужава продължителен контрол, а не само един цикъл от новини.

Въпросът за отчетността

Една подробност, която прави впечатление в тази история, е определянето на инцидента като „пропуск в сигурността“, а не като външна атака. Това разграничение има значение за отчетността. Пробивите, причинени от злонамерени участници, често предизвикват дискусии за заплахи, групи за рансъмуер или действия на национално ниво. Пробивите, причинени от вътрешни пропуски, неправилни конфигурации, неуспехи в контрола на достъпа или обикновена човешка грешка, насочват по-скоро към пропуски в процесите и надзора вътре в самата организация.

За агенция, натоварена с управлението на държавни инвестиции, очакването е управлението на данните да бъде херметично. Прозорец на излагане от 40 часа предполага или забавено откриване, или забавено отстраняване, или и двете. И двата сценария сочат към един и същ основен проблем: протоколи за наблюдение и реагиране, които не са били достатъчно бързи, за да уловят и затворят пропуска, преди да настъпят реални щети.

Какво означава това за вас

Повечето читатели не са сред 51-те служители, засегнати от този конкретен пробив, но инцидентът е полезно напомняне, че никоя организация – публична или частна – не е имунизирана срещу излагане на данни. Ако работите във или заедно с правителството, публичния сектор или която и да е организация, работеща с чувствителна информация за контакти, тази история е повод да зададете на собствения си работодател няколко точни въпроса: Колко бързо би бил открит подобен пропуск? Кой има достъп до вашите лични и професионални данни за контакт и как се одитира този достъп?

За всички останали изводът е по-широк. Пробивите на данни, включващи правителствени органи, обикновено получават по-малко обществено внимание от пробивите, засягащи потребителите, но все пак те могат да имат вълнообразни последици върху общественото доверие в институциите и върху сигурността на системите, управляващи публични средства и услуги.

Практически изводи

  • Ако сте държавен служител или подизпълнител, попитайте ИТ отдела или екипа по сигурност на вашата организация как се откриват подобни прозорци на излагане и колко бързо обикновено биват затваряни.
  • Бъдете предпазливи към неочаквани опити за контакт, които се позовават на вашата роля или работно място, в седмиците след всеки оповестен пробив в публичния сектор, дори и такъв, който изглежда малък по мащаб.
  • Подкрепяйте призивите за по-голяма прозрачност и по-бързи срокове за публично оповестяване, когато възникват инциденти с данни в публичния сектор; често разликата между излагането и публичното му признаване е също толкова показателна, колкото и самият пробив.
  • Следете как британските регулатори и надзорни органи ще реагират на този инцидент, тъй като последователното правоприлагане често е това, което води до реални подобрения в обработката на данни в публичния сектор.

Този пробив може да е малък по брой, но е ясен сигнал, че защитата на данните на институционално ниво все още има поле за подобрение и че бдителността – както от страна на организациите, така и от страна на отделните хора – остава от съществено значение.