Ett kundregister kan läcka genom ett intrång, men också genom att någon delar en fil med fel mottagare. Här ger vi praktiska råd om dataläckageskydd för er som använder ISO 27001. Referensen för ämnet är bilaga A, kontroll 8.12.

Vad är dataläckage?

Dataläckage innebär att information nås, överförs eller extraheras av obehöriga personer eller system - både interna och externa. Detta inkluderar:

Interna hot:

Medarbetare som kopierar kunddata till privata enheter
Anställda som skickar affärshemligheter till konkurrenter
Personal som tar med sig känslig information när de slutar
Oavsiktlig delning av konfidentiella dokument

Externa hot:

Cyberbrottslingar som stjäl data genom intrång
Hackare som utnyttjar sårbarheter för att komma åt information
Skadlig programvara som extraherar data automatiskt
Industrispionage från konkurrenter

Systemrelaterat läckage:

Felkonfigurerade databaser som exponerar information
Osäkra API:er som läcker data
Backup-system utan kryptering
Molntjänster med bristande åtkomstkontroll

Vad betyder kontroll 8.12 i praktiken?

Utgå från en känslig informationsmängd och följ hur den används. Ett kundregister kanske finns i affärssystemet, exporteras till Excel och skickas till en samarbetspartner. Skydd i affärssystemet hjälper inte fullt ut om exporten lämnas på en privat dator. Därför behöver ni undersöka hela vägen, även lagring och överföring utanför ursprungssystemet.

Prova därefter ett relevant felscenario med testdata. Kan en medarbetare råka dela filen med alla som har länken? Märker någon en oväntat stor export? Vem kan stoppa fortsatt spridning och utreda vad som hänt? Svaren hjälper er att välja en kombination av behörigheter, delningsinställningar, utbildning och tekniska skydd. Detta är exempel för er riskbedömning, inte en föreskriven produktlista eller en fullständig tolkning av kontrollen.

Tekniska skyddslager

Frågan som kommer upp ofta är “Hur skyddar vi oss?” och tankarna går då direkt till tekniska verktyg. Nedan har vi en lista på olika verktyg som finns för att göra det. Men - läs vidare - det är djupare än så.

Mimecast Incydr, Endpoint Protector, Teramind och Microsoft Purview är alla exempel på tekniska lösningar för att hantera interna hot.

Men du behöver även skydda dig mot externa hot och se till att ha kontroll över vad era system kan göra. Verktyg som Forcepoint, Zscaler, Netscope, Microsoft Defender, m.fl kommer då in i scopet.

Efter det börjar ni kanske även fundera över lösningar som Symantec Data Loss prevention eller IBM Guardium.

Kort sagt - listan över leverantörer som kan leverera tekniska lösningar är lång och exakt vad som passar er bör grunda sig i en risk-analys - inte att det är tekniskt häftigt.

Det ni bör göra innan ni börjar fundera över systemskydd

Dokumentation och styrning

Innan ni går på de tekniska lösningarna måste ni förstå vad det är ni ska lösa:

Policyer som definierar vad som är tillåtet och förbjudet
Rutiner för hantering av känslig information
Utbildning om både interna och externa hot
Incidenthantering när läckage upptäcks
Regelbunden riskbedömning av nya hot

Identifiera informationstillgångar

Kartlägg vilken känslig information ni hanterar:

Personuppgifter och GDPR-data
Affärshemligheter och immaterialrätt
Finansiell information och PCI-data
Teknisk dokumentation och källkod

Analysera hotbilden

Förstå varifrån hoten kommer:

Vilka medarbetare har tillgång till känslig data?
Vilka externa parter kan nå era system?
Vilka tekniska sårbarheter finns?
Hur ser era dataflöden ut? Tips: Med AmpliFlow kan ni enkelt dokumentera och följa upp alla dessa delar enligt ISO 27001s krav. Det är här ni genomför verksamhetsstyrning av de tekniska lösningarna.

Implementera skyddslager

Först nu är det dags att börja tänka på att bygga upp ett tekniskt försvar på flera nivåer:

Förebyggande åtgärder: Åtkomstkontroll och kryptering
Upptäckande åtgärder: Övervakning och loggning
Responsiva åtgärder: Automatisk blockering och incidenthantering Nu även klokt att säkerställ att skyddet fungerar, och att göra dessa saker till en återkommande del av hur ni arbetar med informationssäkerhet:
Genomför penetrationstester
Simulera interna hot-scenarion
Testa incidenthanteringsprocesser
Validera att legitim verksamhet inte påverkas

FAQ - Vanliga frågor

Måste vi köpa dyra tekniska lösningar för att klara kontroll 8.12?

Nej, inte nödvändigtvis. ISO 27001 kräver inte specifika tekniska produkter. Ni kan implementera dataläckageskydd genom en kombination av:

Policyer och rutiner som begränsar hur känslig data får hanteras
Utbildning som lär medarbetare att identifiera och undvika risker
Organisatoriska åtgärder som åtkomstkontroll och behörighetsstyrning
Befintliga verktyg som redan finns i era system Exempel: Istället för att köpa Google DLP kan ni skapa regler om att känslig data inte får lagras i Google Drive, eller bara tillåta specifika mappar med begränsad åtkomst.

Vi har inte budget för tekniska DLP-lösningar. Hur går vi vidare?

Börja med ett konkret läckagescenario och undersök vilka skydd ni redan har. Prova exempelvis om en känslig fil går att dela utanför organisationen. Dokumentera luckorna och diskutera möjliga åtgärder med den som äger risken. Budgetbrist visar inte att risken är acceptabel och säger inte hur en revision kommer att utfalla.

Räcker det med policyer och rutiner för dataläckageskydd?

Det beror på er riskprofil. Fråga er:

Vilken typ av känslig data hanterar ni?
Hur stor är den potentiella skadan vid läckage?
Vilka hot står ni inför (interna vs. externa)?
Finns det regulatoriska krav (GDPR, patientdatalagen)? För många mindre företag räcker välskrivna policyer kombinerat med utbildning och grundläggande tekniska åtgärder. Större organisationer med mycket känslig data behöver oftast mer avancerade tekniska lösningar.

Hur dokumenterar vi dataläckageskydd i AmpliFlow?

Nedan är icke uttömmande exempel (det finns såklart många sätt att göra det som passar just er) på hur du kan lösa det genom att bara dokumentera m.h.a sidor i AmpliFlow:

Informationsklassificeringspolicy:

Definiera vad som räknas som känslig data
Regler för hantering av olika informationstyper
Krav på märkning och skydd av dokument IT-säkerhetspolicy:
Regler för internetanvändning och e-post
Tillåtna kommunikationskanaler för känslig data
Krav på lösenord och åtkomstskydd Säkerhetsrutiner för IT-avdelningen:
Procedures för nätverksövervakning
Logggranskningsrutiner
Incidenthanteringsprocess Riskregister:
Identifierade dataläckagerisker
Valda åtgärder eller riskacceptans
Uppföljning och regelbunden omvärdering

Hur bedömer vi om kontroll 8.12 är relevant?

Utgå från var känslig information kan lämna er kontroll och vilka följderna blir. ISO 27001 avsnitt 6.1.3 kopplar valet av skydd till riskbehandlingen och tillämplighetsutlåtandet, SoA. Skriv varför ni behöver ett visst skydd, hur långt införandet kommit och varför en åtgärd från bilaga A eventuellt inte behövs hos er. Utan motiveringen går det inte att skilja ett genomtänkt val från en missad risk.

Riskacceptans betyder att riskägaren tar ställning till den risk som återstår efter den planerade behandlingen. Den är inte ett generellt undantag för sådant som kostar för mycket. Bedömningen måste också fungera med de krav som gäller för er information. Artikeln ger därför inget löfte om revisionsutfall.

Hur ofta bör vi se över vårt dataläckageskydd?

Regelbundet — de flesta organisationer gör det med planerade intervall, vanligtvis årligen. Kontrollera:

Nya hot och sårbarheter som kan påverka er
Förändringar i verksamheten som skapar nya risker
Uppdateringar av regelverk som påverkar kraven
Effektiviteten av befintliga åtgärder
Nya tekniska möjligheter som kan förbättra skyddet Dokumentera alla ändringar i ert ledningssystem och se till att medarbetarna får uppdaterad utbildning.

Vanliga misstag

Att bara fokusera på externa hot: Studier visar att majoriteten av dataläckage kommer från insiders
Att glömma tredjeparter: Leverantörer och partners kan också utgöra risker
Att inte övervaka privilegierade användare: IT-administratörer och chefer behöver extra övervakning
Att missa mobila enheter: Smartphones innehåller ofta lika känslig data som datorer

Nästa steg

Genomför en hotanalys - identifiera både interna och externa risker
Kartlägg informationsflöden - förstå hur data rör sig i organisationen
Prioritera skyddsåtgärder baserat på risk och påverkan
Dokumentera allt i ert ledningssystem enligt ISO 27001-krav
Välj tekniska lösningar som täcker alla identifierade hot Dataläckageskydd enligt ISO 27001 kräver en helhetssyn där ni skyddar er mot både välmenande medarbetare som gör fel och skadliga aktörer som aktivt försöker stjäla er information.

‍