Jak nie przesyłać tajnych danych, czyli brytyjska policja gubi kluczowe dowody. Znowu :)

Misja: musisz pilnie dostarczyć ekspertom nagrania z przesłuchań ofiar przemocy seksualnej. Jak to zrobisz? Wydział policji hrabstwa Greater Manchester wybrał list polecony. W efekcie niezaszyfrowane płyty DVD z zeznaniami zaginęły na poczcie, a funkcjonariusze już drugi raz zainkasowali 150 tys. funtów grzywny od brytyjskiego odpowiednika GIODO. Przypominamy jak właściwie dbać o bezpieczeństwo naszych zasobów.

Jest co najmniej kilka sposobów bezpiecznego transferu wrażliwych danych. Rozsądek podpowiada, że jeśli odległość nie jest zabójcza, tego rodzaju informacje powinno się dostarczać osobiście. Z kolei przesyłając je siecią warto skorzystać z dedykowanego protokołu VPN. W każdym jednak przypadku dane wysokiego ryzyka powinny być zaszyfrowane, co uchroni je przed niepowołanym dostępem nieuprawnionych osób. Manchesterska policja zlekceważyła te standardy przesyłając nośniki z niezaszyfrowanymi plikami... pocztą. Oddając sprawiedliwość Poczcie Królewskiej warto wspomnieć, że policjanci mogli skorzystać z przesyłki specjalnej, przy której każde przekazanie paczki z rąk do rąk wymaga podpisu osoby pobierającej przesyłkę. Nie zrobili nawet tego, wybierając po prostu jedną z najtańszych opcji.

Szokujące zaniedbanie wyszło na jaw, gdy nagrania nie dotarły do miejsca przeznaczenia: Sekcji Analizy Poważnych Przestępstw działającej w ramach Narodowej Agencji ds. Przestępczości. Wydział ten zajmuje się identyfikacją seryjnych morderców i gwałcicieli już na wczesnych etapach dochodzenia... oczywiście wtedy, gdy ma dowody na których może pracować. Kiedy ich zabrakło zaalarmowana instytucja ICO (brytyjski odpowiednik Generalnego Inspektora Ochrony Danych Osobowych) rozpoczęła śledztwo, którego ustalenia zjeżyły włos na głowie wielu brytyjskim obywatelom. Okazało się, że pechowy wydział przesyłał w ten sposób wrażliwe zeznania od 2009 roku, a po wycieku danych zgłoszonym w 2015 rzekomo "przestał" w tym celu korzystać z usług poczty. Pytanie brzmi: dlaczego właściwie poczta?

- Przyczyną może być kilka czynników, a najprawdopodobniej ich wybuchowa mieszanka. Przyzwyczajenie do starych metod, brak kompetencji do obsługi nowszych, zwykłe niedbalstwo lub też źle pojęta oszczędność. Tę ostatnią szczególnie trudno zrozumieć zważywszy na fakt, że za równowartość otrzymanych kar wspomniany wydział policji już dawno mógł mieć najnowocześniejsze systemy kontroli i ochrony danych.

Krystian Smętek

inżynier systemowy rozwiązań StorageCraft ShadowProtect SPX

Według raportu Big Brother Watch z 2016 w ciągu ostatnich 4 lat na koncie manchesterskiej policji odnotowano 100 wyłomów bezpieczeństwa. Niestety funkcjonariusze nie wyciągnęli żadnych wniosków ze swoich wcześniejszych potknięć, wskutek czego ponownie łamiąc regulacje obowiązującego na Wyspach rozporządzenia Data Protection Act policja po raz drugi zainkasowała grzywnę 150 tys. funtów. Po raz drugi, bo w 2012 analogiczną karę dostała za utratę pamięci USB z wrażliwymi danymi.

Na koniec warto przytoczyć słowa Sally Anne Poole, przedstawicielki ICO komentującej decyzję o grzywnie: "Gdy ludzie rozmawiają z policją mają prawo oczekiwać, że przekazywane funkcjonariuszom informacje zostaną potraktowane z najwyższą ostrożnością". Chociaż ta wypowiedź dotyczy konkretnej służby publicznej, to jej sens można rozciągnąć na całe zjawisko powierzania danych podmiotom zewnętrznym. Każdy klient i użytkownik sieci ma prawo oczekiwać, że jego informacje będą przechowywane i transportowane we właściwy sposób. Wydatnie pomogą w tym narzędzia szyfrujące, rozwiązania DLP chroniące przed wyciekiem wrażliwych danych i nowoczesne produkty do backupu. Bez tych ostatnich w przypadku dużej awarii może już nie być czego zabezpieczać. W przypadku mniejszej czyjeś dowody mogą nie dotrzeć przed oblicze sędziego. Obu przypadków warto się wystrzegać.