บทเรียนสำคัญที่ได้รับจากการละเมิดข้อมูลที่เกิดจากการใช้สิทธิ์ในทางที่ผิด

ในบล็อกโพสต์ก่อนหน้านี้ “การใช้สิทธิ์ในทางที่ผิด: การแจ้งเตือนภัยคุกคาม” เราได้ให้ภาพรวมว่าการละเมิดสิทธิ์คืออะไร และเหตุใดภัยคุกคามนี้จึงร้ายแรงมาก ในโพสต์ของวันนี้ เราจะดูปัญหาจากมุมที่ต่างออกไป เราจะตรวจสอบการละเมิดข้อมูลอันฉาวโฉ่สี่ครั้งที่เกิดจากการใช้บัญชีสิทธิพิเศษในทางที่ผิด เพื่อค้นหาคำตอบสำหรับคำถามต่อไปนี้: การละเมิดสิทธิ์เกิดขึ้นจริงได้อย่างไร เหตุใดองค์กรจึงเสี่ยงต่อรูปแบบภัยคุกคามนี้ และบทเรียนที่เราเรียนรู้ได้จากการละเมิดเหล่านี้เพื่อเพิ่มความปลอดภัยให้กับบัญชีสิทธิพิเศษของเรา .

การละเมิดบัญชีที่มีสิทธิพิเศษอยู่ในรายชื่อรูปแบบภัยคุกคามที่อันตรายที่สุด เป็นเรื่องง่ายสำหรับคนในที่จะขโมยข้อมูลที่ละเอียดอ่อน แต่องค์กรอาจต้องใช้เวลาหลายเดือนหรือหลายปีในการตรวจจับและตรวจสอบเหตุการณ์ดังกล่าว ความเสียหายดังกล่าวสามารถทำลายล้างได้: จากการศึกษาต้นทุนการละเมิดข้อมูลของ IBM ปี 2017 องค์กรต่างๆ สูญเสียเงินอย่างน้อย 3.62 ล้านดอลลาร์จากกิจกรรมทางนิติวิทยาศาสตร์และการสืบสวน การแก้ไข และค่าใช้จ่ายทางกฎหมายที่เกี่ยวข้องกับเหตุการณ์ด้านความปลอดภัยในปี 2016

สถานการณ์ที่พบบ่อยที่สุด

ไม่ว่าผู้คุกคามจะเป็นอดีตพนักงานที่ไม่พอใจหรือเป็นพนักงานที่กำลังมองหาผลประโยชน์ทางการเงิน การใช้สิทธิ์ในทางที่ผิดซึ่งนำไปสู่การละเมิดความปลอดภัยมีแนวโน้มที่จะสอดคล้องกับรูปแบบเพียงไม่กี่รูปแบบ จากการวิเคราะห์เหตุการณ์ด้านความปลอดภัยที่เป็นหัวข้อข่าวในช่วงไม่กี่ปีที่ผ่านมา เราได้ระบุสถานการณ์ที่พบบ่อยที่สุด 4 ประการว่าบุคคลภายในสามารถเข้าถึงข้อมูลที่ละเอียดอ่อนได้จริงอย่างไร:

1. การยกระดับสิทธิ์ — คนวงในจงใจยกระดับการเข้าถึงของตนเพื่อรับสิทธิ์การเข้าถึงมากขึ้น
2. การเข้าถึงที่ไม่ได้รับอนุญาต — คนวงในสามารถเข้าถึงบัญชีของผู้ใช้รายอื่นได้ ไม่ว่าจะโดยการขโมยหรือโดยไม่ได้ตั้งใจ
3. การละเมิดสิทธิ์ — คนวงในใช้การเข้าถึงระบบและข้อมูลที่ถูกต้องตามกฎหมายเพื่อดำเนินกิจกรรมที่เป็นอันตราย
4. ความผิดพลาดของมนุษย์ — คนวงในใช้สิทธิ์การเข้าถึงที่ได้รับโดยไม่ได้ตั้งใจหรือโดยเจตนาโดยไม่ได้ตั้งใจหรือโดยประมาท

สถานการณ์ #1 - การเพิ่มสิทธิพิเศษ

เอ็ดเวิร์ด สโนว์เดน: ผู้แจ้งเบาะแสกำลังหลบหนีหลังจากเปิดเผยโครงการสอดแนมของ NSA (2013)

แม้ว่าเราจะได้ยินเกี่ยวกับการละเมิดที่โด่งดังมากมาย แต่ก็ไม่มีใครสร้างหัวข้อข่าวมากไปกว่าการรั่วไหลของข้อมูลของ National Security Agency (NSA)ในปี 2013 เอ็ดเวิร์ด สโนว์เดน ผู้รับเหมาซึ่งทำงานเป็นผู้ดูแลระบบของ NSA ได้รั่วไหลรายละเอียดลับสุดยอดของโครงการเฝ้าระวังทางอิเล็กทรอนิกส์ของ NSA ไปยังเดอะวอชิงตันโพสต์และเดอะการ์เดียน เรื่องราวเกี่ยวกับ NSA ที่สอดแนมผู้นำโลก รัฐบาลต่างประเทศ และพลเมืองสหรัฐฯ ตลอดจนความพยายามที่จะบ่อนทำลายความปลอดภัยทางอินเทอร์เน็ต ได้ถูกเผยแพร่สู่สาธารณะ และทำให้หน่วยงานนี้เป็นศูนย์กลางของเรื่องอื้อฉาวที่เลวร้ายที่สุดที่พวกเขาสามารถจินตนาการได้

อย่างไรก็ตาม เรื่องราวทั้งหมดเกี่ยวกับการที่สโนว์เดนสามารถคว้าเอกสารลับระดับสูงถึง 1.7 ล้านฉบับได้อย่างไร อาจไม่มีวันเปิดเผยต่อสาธารณะ สิ่งที่เกิดขึ้นจริงที่เป็นไปได้มากที่สุดคือหน่วยงานมองเห็นกิจกรรมของผู้ใช้ได้ไม่ดี และมีความตระหนักเพียงเล็กน้อยเกี่ยวกับคีย์และใบรับรองในสภาพแวดล้อมด้านไอที ดังนั้น Snowden จึงสามารถสร้างคีย์ดิจิทัลที่ช่วยให้เขาเลี่ยงผ่านกลไกการตรวจสอบสิทธิ์และให้สิทธิ์ในการเข้าถึงแก่เขา ไปยังพื้นที่ที่อยู่เหนือการกวาดล้างของเขา มีรายงานว่าเขายังโน้มน้าวเจ้าหน้าที่ NSA หลายคนให้ชื่อผู้ใช้และรหัสผ่านแก่เขาโดยอ้างว่าเขาจำเป็นต้องใช้ในการทำงาน ซึ่งเป็นแนวทางปฏิบัติที่ไม่เคยนำไปสู่ผลลัพธ์ที่ดี

บทเรียนที่ได้รับ:

องค์กรต่างๆ จำเป็นต้องสามารถควบคุมการเข้าถึงระบบที่จัดเก็บข้อมูลที่เป็นความลับ รวมถึงคีย์และใบรับรองทั้งหมดได้อย่างเข้มงวด

สถานการณ์ #2 - การเข้าถึงโดยไม่ได้รับอนุญาต

อดีตพนักงานที่มีแรงจูงใจทางการเงินเดินจากไปพร้อมกับความลับทางการค้าของนายจ้าง (2013)

Jason Needham ทำงานที่บริษัทวิศวกรรม Allen & Hoshall จนถึงปี 2013 เมื่อเขาตัดสินใจก่อตั้งบริษัทที่มีการแข่งขันสูงของตัวเอง แต่ Allen & Hoshall โดยที่ Allen & Hoshall ไม่รู้ ไม่นานก่อนที่จะลาออกจากงาน Needham ได้เข้าถึงข้อมูลประจำตัวของอดีตเพื่อนร่วมงาน ซึ่งเป็นข้อมูลประจำตัวที่เขาใช้ในช่วงสองปีข้างหน้าเพื่อขโมยข้อมูลที่ละเอียดอ่อน รวมถึงแผนผัง อีเมลของพนักงาน แผนงบประมาณ และเอกสารทางการตลาด

Needham ยอมรับว่าเขาสอดแนม อดีตนายจ้างของเขาและขโมยทรัพย์สินทางปัญญาของนายจ้างเพื่อประโยชน์ในการพัฒนาอาชีพของเขาเอง แต่วิธีที่ Needham เข้าถึงบัญชีของเพื่อนร่วมงานของเขานั้นยังไม่เป็นที่ทราบแน่ชัด มีคำอธิบายที่เป็นไปได้สองประการ: พนักงานของ Allen & Hoshall ทิ้งข้อมูลประจำตัวของเขาไว้ในตำแหน่งที่มองเห็นได้ หรือไม่ก็แบ่งปันให้กับ Needham

กรณีนี้เป็นตัวอย่างที่สมบูรณ์แบบว่าพนักงานที่ลาออกสามารถขโมยข้อมูลของคุณได้อย่างไร แน่นอนว่า Allen & Hoshall ไม่รู้ว่าเกิดอะไรขึ้นกับระบบของพวกเขา เนื่องจากพวกเขาไม่สามารถอธิบายให้หน่วยงานกำกับดูแลทราบได้ว่า Needham เข้าถึงข้อมูลที่ละเอียดอ่อนเป็นเวลาสองปีหลังจากออกจากบริษัทได้อย่างไร

บทเรียนที่ได้รับ:

องค์กรควรรวบรวมรายการตรวจสอบการยุติการใช้งานของผู้ใช้โดยละเอียด และใช้เมื่อใดก็ตามที่พนักงานลาออกหรือถูกเลิกจ้าง ควรมีแนวทางปฏิบัติที่ดีที่สุด เช่น การปิดใช้งานบัญชีของพนักงานทันที การยกเลิกการเข้าถึง VPN และเดสก์ท็อประยะไกล และการเปลี่ยนรหัสผ่านบัญชีที่ใช้ร่วมกันทั้งหมด

สถานการณ์ #3 - การใช้สิทธิ์ในทางที่ผิด

เพลงสรรเสริญพระบารมีเป็นศูนย์กลางของเรื่องอื้อฉาวด้านความปลอดภัยในโลกไซเบอร์อีกเรื่องหนึ่ง (2017)

ในเดือนกรกฎาคม 2017 เพียงหนึ่งเดือนหลังจากที่ Anthem ผู้ให้บริการประกันสุขภาพชั้นนำของสหรัฐอเมริกาตกลงที่จะยุติการดำเนินคดีเกี่ยวกับเหตุการณ์การแฮ็กอันโด่งดังในปี 2015 บริษัทได้แจ้งให้ลูกค้าทราบเกี่ยวกับการละเมิดครั้งใหม่ บริษัทที่ปรึกษาบุคคลที่สามของ Anthem รายงานว่าในเดือนกรกฎาคม 2559 พนักงานคนหนึ่งได้ส่งไฟล์ที่มี PHI ลูกค้า Anthem 18,500 รายไปยังอีเมลส่วนตัวของเขา นอกจากนี้เขายังถูกกล่าวหาว่าพัวพันกับกิจกรรมการขโมยข้อมูลส่วนบุคคล และใช้ข้อมูลที่ไม่ใช่เพลงสรรเสริญพระบารมีในทางที่ผิดเช่นกัน

ผู้รับเหมาใช้เวลาเกือบหนึ่งปีในการตรวจจับและรายงานการละเมิด ดังนั้นจึงมีโอกาสที่ขอบเขตของเหตุการณ์นี้จะใหญ่กว่าที่รายงาน การสืบสวนยังไม่เสร็จสิ้น: เราไม่รู้ว่าการโจมตีเริ่มต้นอย่างไร แรงจูงใจเบื้องหลังคืออะไร และพนักงานทำอะไรกับข้อมูลที่ถูกขโมย แม้ว่าการละเมิดในปี 2560 จะไม่ใช่ความผิดของ Anthem โดยตรง แต่บริษัทก็มีแนวโน้มที่จะเผชิญกับผลที่ตามมาเช่นเดียวกับผู้รับเหมา รวมถึงค่าธรรมเนียมสำหรับการไม่ปฏิบัติตามข้อกำหนด การประชาสัมพันธ์ที่ไม่ดี และการฟ้องร้องเพิ่มเติมจากลูกค้าที่โกรธแค้น

บทเรียนที่ได้รับ:

องค์กรต้องใช้การตรวจสอบผู้ใช้ที่ได้รับสิทธิพิเศษเป็นประจำ สิ่งนี้ไม่เพียงช่วยให้คุณควบคุมสภาพแวดล้อมด้านไอทีของคุณได้ดีขึ้น แต่ยังยับยั้งพฤติกรรมที่ไม่เหมาะสมของผู้ใช้ที่รู้ว่ากำลังถูกจับตามอง และชักนำผู้รับเหมาให้จับตาดูพนักงานของตนอย่างใกล้ชิดยิ่งขึ้น

สถานการณ์ #4 - ความผิดพลาดของมนุษย์

เรื่องราวคลาสสิกของคนทำงานที่เป็นอันตรายและการอนุญาตที่มากเกินไป (2017)

แม้ว่าพนักงานมักจะได้รับสิทธิพิเศษในการเข้าถึงมากกว่าที่พวกเขาต้องการจริงๆ แต่เราไม่ค่อยได้ยินเกี่ยวกับการละเมิดที่เกิดจากการจัดสรรมากเกินไปนี้ กรณีล่าสุดที่เกิดขึ้นที่ศูนย์การแพทย์มหาวิทยาลัยแวนเดอร์บิลต์ (VUMC) ในปี 2560 เมื่อพนักงานสองคนถูกกล่าวหาว่าเข้าถึงเวชระเบียนของผู้ป่วย 3,000 รายอย่างไม่เหมาะสม การเข้าถึง PHI โดยไม่ได้รับอนุญาตของพวกเขาดำเนินต่อไปเป็นเวลา 19 เดือน จนกระทั่งถูกค้นพบในระหว่างการตรวจสอบบันทึกการเข้าถึงเป็นประจำ ซึ่งเป็นขั้นตอนมาตรฐานสำหรับองค์กรที่เตรียมพร้อมสำหรับการตรวจสอบ HIPAA

พนักงานเหล่านี้ทำงานเป็นผู้ขนส่งผู้ป่วย ซึ่งเป็นตำแหน่งที่ต้องมีเจ้าหน้าที่ให้บริการขนส่งฉุกเฉินและดูแลผู้ป่วยที่มีความเสี่ยงต่ำเป็นหลัก อย่างไรก็ตาม จากการตรวจสอบพบว่าพนักงานดูข้อมูลมากกว่าที่จำเป็นในการปฏิบัติหน้าที่ เช่น หมายเลขประกันสังคมของผู้ป่วย และหมายเลขเวชระเบียน ดังนั้น VUMC ควรถามตัวเองจริงๆ ว่าพนักงานเหล่านี้มีสิทธิ์ที่พวกเขาไม่ต้องการหรือไม่ และได้รับอนุญาตอย่างไร นอกจากนี้ VUMC ควรพิจารณาว่าเหตุใดจึงตรวจไม่พบการละเมิดข้อมูลภายในเป็นเวลานานกว่าหนึ่งปี

บทเรียนที่ได้รับ:

องค์กรควรบังคับใช้หลักการของสิทธิ์ขั้นต่ำอย่างเคร่งครัดเพื่อลดข้อมูลที่พนักงานสามารถเข้าถึงได้ และติดตามพฤติกรรมของผู้ใช้อย่างใกล้ชิดเพื่อตรวจจับการกระทำและรูปแบบที่น่าสงสัย

คีย์ Take-Away

การละเมิดทั้งหมดที่ระบุไว้ข้างต้นมีสิ่งหนึ่งที่เหมือนกัน นั่นคือ องค์กรต่างๆ มีความเข้าใจอย่างจำกัดเกี่ยวกับสิ่งที่เกิดขึ้นกับระบบและข้อมูลที่สำคัญของตน รายงานความเสี่ยงด้านไอทีของ Netwrix ประจำปี 2017 ชี้ให้เห็นว่าปัญหานี้เกิดขึ้นบ่อยเกินไป องค์กรจำเป็นต้องจำกฎง่ายๆ ข้อหนึ่ง: ปฏิบัติต่อบัญชีผู้ใช้ทุกบัญชีว่าเป็นภัยคุกคามต่อความสมบูรณ์ของข้อมูล ไม่ว่าจะเป็นของพนักงานทั่วไปหรือผู้ใช้ขั้นสูงที่มีสิทธิ์ทั้งการอ่านและเขียน เพื่อบรรเทาภัยคุกคามเหล่านี้ ผู้เชี่ยวชาญด้านไอทีต้องตรวจสอบให้แน่ใจว่าผู้ใช้มีสิทธิ์การเข้าถึงที่ต้องการเท่านั้น และดำเนินการตรวจสอบกิจกรรมของผู้ใช้ในระบบที่สำคัญทั้งหมด

เรียนรู้เพิ่มเติมเกี่ยวกับวิธีที่คุณสามารถลดความเสี่ยงของการโจรกรรมข้อมูลพนักงานในองค์กรของคุณ