Trend Micro: WannaCry ujawnił istotne luki w zabezpieczeniach - wnioski dla firm na rok przed GDPR
Dlaczego atak okazał się tak skuteczny? Co należy zrobić, by podobna sytuacja nie wystąpiła w przyszłości?
Musimy zdać sobie sprawę z faktu, że wiele organizacji, które w maju zostały zaatakowane przez WannaCry, w przypadku wystąpienia takiego zdarzenia za rok będzie musiało liczyć się z nałożeniem kar finansowych. Mowa oczywiście o ogólnym rozporządzeniu o ochronie danych, nazywanym rozporządzeniem GDPR, które w życie wejdzie 25 maja 2018 r. Firmy, które po niedawnym ataku dostrzegły potrzebę całkowitej przebudowy zabezpieczeń informatycznych, muszą w związku z nowymi przepisami uwzględnić cały szereg istotnych zagadnień.
Naruszenie ochrony danych czy atak ransomware?
Na pierwszy rzut oka powiązanie ataku typu ransomware z nowymi europejskimi przepisami dotyczącymi ochrony danych nie wydaje się oczywiste. W końcu na zaatakowanych komputerach doszło jedynie do całkowitego zaszyfrowania danych, a nie ich kradzieży. Jeśli jednak bliżej przyjrzymy się postanowieniom rozporządzenia GDPR możemy dojść do innych wniosków.
W art. 4, pkt. 12 stwierdza się:
(…)„naruszenie ochrony danych osobowych” oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
Bez wątpienia w przypadku ataku WannaCry doszło do niezgodnego z prawem dostępu do danych klientów, a po zaszyfrowaniu przez włamywaczy także do ich utraty, a być może również zniszczenia.
Z kolei art. 5, pkt. 1 zawiera następujące sformułowania:
Dane osobowe muszą być: (…) przetwarzane w sposób zapewniający [ich] odpowiednie bezpieczeństwo (…), w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”).
Co więcej, art. 32 podaje, że administratorzy i podmioty przetwarzające mają obowiązek uwzględnić „stan wiedzy technicznej” w celu wdrożenia „odpowiednich środków technicznych i organizacyjnych, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku”.
W artykule stwierdzono ponadto:
Oceniając, czy stopień bezpieczeństwa jest odpowiedni, uwzględnia się w szczególności ryzyko wiążące się z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
Ataku WannaCry można było uniknąć
Dlaczego firmy i instytucje mogły zostać zaatakowane przez WannaCry? Zapomniano o zainstalowaniu poprawki dotyczącej znanej luki w zabezpieczeniach, związanej z obsługą protokołu SMB w systemie Windows (CVE-2017-0144). Włamywacze mogli dzięki temu umieścić w zaatakowanym systemie plik ransomware, a następnie zaszyfrować należące do firmy pliki o 176 rozszerzeniach, w tym dokumenty Microsoft Office, bazy danych, archiwa plików czy pliki multimedialne. Oczywiście wśród takich plików znalazły się najważniejsze dane klientów, objęte przepisami rozporządzenia GDPR.
Jak ten przypadek potraktowałyby organy regulacyjne? Przede wszystkim podmiot dotknięty atakiem WannaCry mógłby zostać ukarany z powodu dopuszczenia do „niedozwolonego lub niezgodnego z prawem przetwarzania” danych objętych regulacjami. Z technicznego punktu widzenia doszło również do naruszenia ochrony danych osobowych – mimo braku kradzieży danych zostały one w trakcie działania ransomware utracone lub zniszczone.
Jeszcze bardziej obciążający byłby fakt, że oficjalna poprawka firmy Microsoft była dostępna wiele tygodni przed dokonaniem ataku, zatem można by uznać, że dana firma lub instytucja nie podjęła odpowiednich działań mimo ewidentnego ryzyka. Istnieją przecież technologie wprowadzania wirtualnych poprawek nawet do nieaktualizowanych lub nieobsługiwanych systemów.
Właściwe mechanizmy zabezpieczeń
Atak objął znaczną liczbę instytucji, m.in. wiele rejonowych zarządów National Health Service w Wielkiej Brytanii. Za rok skutkiem podobnego zdarzenia może być odpowiedzialność z tytułu nieprzestrzegania przepisów GDPR. Maksymalna przewidziana kara wynosi aż 4% łącznych rocznych obrotów przedsiębiorstwa lub nawet 20 mln EUR. W myśl nowych przepisów administrator danych osobowych będzie również musiał zgłosić przypadek naruszenia ochrony danych osobowych organowi nadzorczemu w ciągu 72 godzin od jego wystąpienia. Może to spowodować dalsze konsekwencje związane z pogorszeniem wizerunku firmy lub organizacji, a także dodatkowe koszty.
Rozporządzenie wchodzi w życie 25 maja 2018 r. – dokładnie za rok. Wnioski z ataku WannaCry są proste: zastosowanie zabezpieczeń opartych na sprawdzonych procedurach pozwoliło uniknąć zagrożenia, a w przyszłości także ograniczy ryzyko naruszenia ochrony danych.
Autor: Anna Falkowska, Marketing Manager Poland and Eastern Europe w Trend Micro
Trend Micro Trend Micro: dziś Dzień Bezpiecznego Komputera. Jak zadbać o bezpieczeństwo swoich danych?
Nasze życie i praca są w coraz większym stopniu uzależnione od technologii. Większość z nas nie jest w stanie funkcjonować bez wykorzystania smartfonów, laptopów, tabletów i innych urządzeń, które stale łączą się z siecią. Jednak dzięki temu stajemy się coraz bardziej podatni na ataki ze strony cyberprzestępców. O jakich kluczowych zasadach powinniśmy pamiętać, aby nasze dane pozostały bezpieczne? Z okazji Dnia Bezpiecznego Komputera, przypadającego na 12 października, zróbmy szybki przegląd dostępnych rozwiązań. czytaj więcejTrend Micro Trend Micro i Europol w walce z cyberatakami na bankomaty RAPORT CASHING IN ON ATM MALWARE
Trend Micro, światowy lider w dziedzinie cyberzabezpieczeń, oraz Europejskie Centrum ds. Walki z Cyberprzestępczością (European Cybercrime Centre – EC3) prowadzone przez Europol, opublikowały obszerny raport na temat aktualnego stanu szkodliwego oprogramowania atakującego bankomaty. W raporcie pt. Cashing in on ATM Malware opisano zarówno fizyczne, jak i sieciowe ataki na bankomaty z użyciem szkodliwego oprogramowania. Ponadto wskazano miejsca, w których takie oprogramowanie jest tworzone. czytaj więcejTrend Micro Raport Trend Micro: 82 miliony ataków ransomware i ponad 3000 wyłudzeń BEC
Trend Micro, lider światowego rynku zabezpieczeń informatycznych, opublikował półroczny raport na temat bezpieczeństwa pt. 2017 Midyear Security Roundup: The Cost of Compromise. W raporcie przedstawiono zagrożenia, które pojawiły się w pierwszej połowie 2017 r. i nadal utrudniają przedsiębiorstwom planowanie rozwoju systemów informatycznych. Firmy mają dziś do czynienia z rosnącą liczbą ataków ransomware, oszustwami polegającymi na podszywaniu się przez wiadomości e-mail pod członków zarządu (ang. Business Email Compromise, BEC) oraz atakami wymierzonymi w Internet rzeczy (IoT). Ostatnio do listy zagrożeń dołączyła również cyberpropaganda. czytaj więcejTrend Micro Trend Micro: Jak nie wybierać dostawcy zabezpieczeń?
Od kilku lat Trend Micro współpracuje z partnerami, którzy oferują usługi zarządzane. Z biegiem czasu zauważyliśmy kilka tendencji dotyczących wyboru dostawców zabezpieczeń informatycznych przez grupę naszych partnerów.Przede wszystkim warto zwrócić uwagę na silną zależność między dojrzałością przedsiębiorstwa a prawdopodobieństwem wyboru opisanych poniżej opcji. Zauważyliśmy, że najmniej doświadczeni partnerzy zwykle wybierają pierwsze z tych opcji, natomiast ci z najdłuższym stażem – ostatnie. Innymi słowy, im dłużej istnieje przedsiębiorstwo, tym dalszą pozycję wybiera z naszej listy. czytaj więcej