हर कोई यह करता है: कर्मचारी कॉर्पोरेट सूचना सुरक्षा के लिए मुख्य खतरा क्यों हैं और इससे कैसे निपटें

केवल कुछ महीनों में, एक छोटे लेकिन बहुत डरावने कोविड-19 वायरस ने वैश्विक अर्थव्यवस्था को हिलाकर रख दिया है और व्यापार करने के लंबे समय से स्थापित नियमों को बदल दिया है। अब कार्यालय-कार्य के सबसे समर्पित अनुयायियों को भी कर्मचारियों को दूरस्थ कार्य में स्थानांतरित करना पड़ा है।

रूढ़िवादी नेताओं का दुःस्वप्न सच हो गया है: ऑडियो कॉन्फ्रेंस, लगातार संदेश और कोई नियंत्रण नहीं!

कोरोना वायरस ने कॉर्पोरेट सुरक्षा के लिए दो सबसे खतरनाक खतरों को भी सक्रिय कर दिया है। पहले हैकर्स हैं जो दूरस्थ कार्य के लिए आपातकालीन संक्रमण की स्थिति में कंपनियों की भेद्यता का लाभ उठाते हैं। दूसरे हमारे अपने कर्मचारी हैं। आइए यह पता लगाने का प्रयास करें कि कर्मचारी कैसे और क्यों डेटा चुरा सकते हैं, और सबसे महत्वपूर्ण बात यह है कि इससे कैसे निपटें।

कॉर्पोरेट लीक के लिए अचूक नुस्खा

रूस के शोधकर्ताओं के अनुसार 2019 में वाणिज्यिक और सरकारी संगठनों से वर्गीकृत जानकारी के पंजीकृत लीक की संख्या 2018 की तुलना में 40% बढ़ गई। साथ ही, हैकर्स 20% से भी कम मामलों में डेटा चुराते हैं, मुख्य उल्लंघनकर्ता कर्मचारी हैं - वे सभी लीक के लगभग 70% के लिए जिम्मेदार हैं।

कर्मचारी जानबूझकर ग्राहकों की कॉर्पोरेट जानकारी और व्यक्तिगत डेटा चुरा सकते हैं या सूचना सुरक्षा नियमों के उल्लंघन के कारण उनसे समझौता कर सकते हैं। पहले मामले में, डेटा सबसे अधिक संभावना में बेचा जाएगा: काले बाज़ार में या प्रतिस्पर्धियों को। उनकी लागत मूल्य के आधार पर कुछ सौ से लेकर सैकड़ों हजारों रूबल तक भिन्न हो सकती है। आने वाले संकट के संदर्भ में और छंटनी की लहर की आशंका में, यह परिदृश्य काफी वास्तविक हो जाता है: घबराहट, अज्ञात का डर और नौकरी छूटने के खिलाफ बीमा कराने की इच्छा, साथ ही सख्त कार्यालय प्रतिबंधों के बिना काम की जानकारी तक पहुंच। कॉर्पोरेट लीक के लिए तैयार नुस्खा।

बाज़ार में किस डेटा की है मांग? टेलीकॉम ऑपरेटरों के "उद्यमी" कर्मचारी मंचों पर "नंबर पंचिंग" सेवा प्रदान करते हैं: इस तरह आप मालिक का नाम, पंजीकरण पता और उसका पासपोर्ट डेटा प्राप्त कर सकते हैं। वित्तीय संस्थानों के कर्मचारी भी ग्राहक डेटा को "हॉट कमोडिटी" मानते हैं।

कॉर्पोरेट वातावरण में, कर्मचारी ग्राहक आधार, वित्तीय दस्तावेज़, अनुसंधान रिपोर्ट और परियोजनाओं को प्रतिस्पर्धियों को स्थानांतरित करते हैं। लगभग सभी कार्यालय कर्मचारियों ने कम से कम एक बार सूचना सुरक्षा नियमों का उल्लंघन किया है, भले ही उनके कार्यों में कोई दुर्भावनापूर्ण इरादा न हो। कोई प्रिंटर से अकाउंटिंग रिपोर्ट या रणनीतिक योजना लेना भूल गया, किसी ने दस्तावेजों तक पहुंच के निचले स्तर वाले सहकर्मी के साथ पासवर्ड साझा किया, तीसरे ने नवीनतम विकास की तस्वीरें दोस्तों को भेजीं जो अभी तक बाजार में नहीं आई हैं। कंपनी की बौद्धिक संपदा का एक हिस्सा, जो एक व्यापार रहस्य हो सकता है, छोड़ने वाले अधिकांश कर्मचारियों को अपने साथ ले जाता है।

लीक के स्रोत का पता कैसे लगाएं

किसी कंपनी से कई तरह से सूचनाएं लीक होती हैं। डेटा मुद्रित किया जाता है, बाहरी मीडिया में कॉपी किया जाता है, मेल द्वारा या त्वरित दूतों के माध्यम से भेजा जाता है, कंप्यूटर स्क्रीन या दस्तावेज़ों पर फोटो खींचा जाता है, और स्टेग्नोग्राफ़ी का उपयोग करके छवियों, ऑडियो या वीडियो फ़ाइलों में भी छिपाया जाता है। लेकिन यह उच्चतम स्तर है, इसलिए यह केवल बहुत उन्नत अपहरणकर्ताओं के लिए ही उपलब्ध है। औसत कार्यालय कर्मचारी द्वारा इस तकनीक का उपयोग करने की संभावना नहीं है।

दस्तावेज़ों के स्थानांतरण और प्रतिलिपि की निगरानी डीएलपी समाधान (डेटा रिसाव रोकथाम - डेटा रिसाव को रोकने के लिए समाधान) का उपयोग करके सुरक्षा सेवाओं द्वारा की जाती है, ऐसे सिस्टम फ़ाइलों की गति और उनकी सामग्री को नियंत्रित करते हैं। संदिग्ध गतिविधि के मामले में, सिस्टम प्रशासक को सूचित करता है और ई-मेल भेजने जैसे डेटा ट्रांसमिशन चैनलों को ब्लॉक कर देता है।

डीएलपी की प्रभावशीलता के बावजूद, जानकारी घुसपैठियों के हाथों में क्यों पड़ रही है? सबसे पहले, दूरस्थ कार्य वातावरण में, सभी संचार चैनलों को नियंत्रित करना मुश्किल होता है, खासकर यदि कार्य कार्य व्यक्तिगत उपकरणों पर किए जाते हैं। दूसरे, कर्मचारी जानते हैं कि ऐसी प्रणालियाँ कैसे काम करती हैं और स्मार्टफ़ोन का उपयोग करके उन्हें बायपास कर देते हैं - वे दस्तावेज़ों के स्क्रीनशॉट या प्रतियां ले लेते हैं। ऐसे में रिसाव को रोकना लगभग असंभव है। विशेषज्ञों के अनुसार, लगभग 20% लीक तस्वीरें हैं, और 90% मामलों में दस्तावेज़ों की विशेष रूप से मूल्यवान प्रतियां इसी तरह स्थानांतरित की जाती हैं। ऐसी स्थिति में मुख्य कार्य अंदरूनी सूत्र का पता लगाना और उसके आगे के अवैध कार्यों को रोकना है।

तस्वीरों के माध्यम से लीक होने की स्थिति में घुसपैठिए को ढूंढने का सबसे प्रभावी तरीका पूर्व-छिपे हुए दृश्य अंकन द्वारा डेटा की सुरक्षा के लिए एक प्रणाली का उपयोग करना है। उदाहरण के लिए, सेफकॉपी प्रणाली प्रत्येक उपयोगकर्ता के लिए गोपनीय दस्तावेज़ की एक अद्वितीय प्रति बनाती है। रिसाव की स्थिति में, पाए गए टुकड़े का उपयोग करके, आप दस्तावेज़ के मालिक का सटीक निर्धारण कर सकते हैं, जो संभवतः रिसाव का स्रोत बन गया।

ऐसी प्रणाली को न केवल दस्तावेज़ों को चिह्नित करना चाहिए, बल्कि रिसाव के स्रोत की पहचान करने के लिए निशानों को पहचानने के लिए भी तैयार रहना चाहिए। अनुसंधान संस्थान एसओकेबी के अनुभव के अनुसार, डेटा का स्रोत अक्सर दस्तावेजों की प्रतियों के टुकड़ों या खराब गुणवत्ता की प्रतियों द्वारा निर्धारित किया जाता है, जिस पर पाठ को समझना कभी-कभी मुश्किल होता है। ऐसी स्थिति में, सिस्टम की कार्यक्षमता सबसे पहले आती है, जो दस्तावेज़ की इलेक्ट्रॉनिक और हार्ड प्रतियों, या दस्तावेज़ के किसी पैराग्राफ की प्रतिलिपि द्वारा स्रोत निर्धारित करने की क्षमता प्रदान करती है। यह भी महत्वपूर्ण है कि क्या सिस्टम कम-रिज़ॉल्यूशन वाली तस्वीरों के साथ काम कर सकता है, उदाहरण के लिए, एक कोण पर।

दस्तावेजों की छिपी हुई अंकन प्रणाली, अपराधी को खोजने के अलावा, एक और समस्या का समाधान करती है - कर्मचारियों पर मनोवैज्ञानिक प्रभाव। यह जानते हुए कि दस्तावेज़ "चिह्नित" हैं, कर्मचारियों द्वारा उल्लंघन की संभावना कम है, क्योंकि दस्तावेज़ की एक प्रति स्वयं इसके रिसाव के स्रोत का संकेत देगी।

डेटा उल्लंघनों को कैसे दंडित किया जाता है?

अमेरिका और यूरोपीय देशों में, कंपनियों द्वारा वर्तमान या पूर्व कर्मचारियों के खिलाफ शुरू किए गए हाई-प्रोफाइल मुकदमे अब किसी को आश्चर्यचकित नहीं करते हैं। निगम सक्रिय रूप से अपनी बौद्धिक संपदा की रक्षा करते हैं, उल्लंघनकर्ताओं को प्रभावशाली जुर्माना और यहां तक ​​कि जेल की सजा भी मिलती है।

रूस में, लीक का कारण बनने वाले कर्मचारी को दंडित करने के लिए अभी तक बहुत सारे अवसर नहीं हैं, विशेष रूप से जानबूझकर किया गया, लेकिन प्रभावित कंपनी उल्लंघनकर्ता को न केवल प्रशासनिक, बल्कि आपराधिक दायित्व में भी लाने का प्रयास कर सकती है। रूसी संघ के आपराधिक संहिता के अनुच्छेद 137 के अनुसार "गोपनीयता का उल्लंघन» निजी जीवन के बारे में जानकारी के अवैध संग्रह या प्रसार के लिए, उदाहरण के लिए, ग्राहक डेटा, आधिकारिक पद का उपयोग करके किया गया, 100 हजार रूबल का जुर्माना लगाया जा सकता है। रूसी संघ के आपराधिक संहिता का अनुच्छेद 272 "कंप्यूटर जानकारी तक अवैध पहुंच» कंप्यूटर जानकारी की अवैध नकल के लिए 100 से 300 हजार रूबल तक जुर्माने का प्रावधान है। दोनों अपराधों के लिए अधिकतम सजा प्रतिबंध या चार साल तक की कैद हो सकती है।

रूसी न्यायिक व्यवहार में, डेटा चोरों के लिए गंभीर दंड के अभी भी कुछ उदाहरण मौजूद हैं। अधिकांश कंपनियाँ किसी कर्मचारी को बर्खास्त करने तक ही सीमित रहती हैं और उस पर कोई गंभीर प्रतिबंध नहीं लगाती हैं। दस्तावेज़ अंकन प्रणालियाँ डेटा चोरों को सज़ा देने में योगदान कर सकती हैं: उनकी मदद से की गई जाँच के परिणामों का उपयोग कानूनी कार्यवाही में किया जा सकता है। केवल लीक की जांच के प्रति कंपनियों का गंभीर रवैया और ऐसे अपराधों के लिए कड़ी सजा से स्थिति को मोड़ने और सूचना के चोरों और खरीदारों के उत्साह को शांत करने में मदद मिलेगी। आज, लीक हो रहे दस्तावेज़ों को बचाना स्वयं दस्तावेज़ मालिकों का काम है।

स्रोत: www.habr.com