Rewolucja technologiczna sprawiła, że częsta wymiana sprzętu komputerowego w każdej firmie stała się koniecznym standardem. Tymczasem właśnie podczas takiej operacji najczęściej dochodzi do wycieku strategicznych dla przedsiębiorstwa danych i informacji.
Nielegalne ich przejęcie jest jednym z najpoważniejszych tzw. przestępstw cybernetycznych. Niestety, jak wynika z badania firmy doradczej PwC (dawniej PricewaterhouseCoopers) dochodzi do niego coraz częściej. Blisko 40 proc. badanych niedawno przedsiębiorstw sygnalizuje związany z tego typu nielegalną działalnością wzrost zagrożenia (dwa lata temu cybernetycznego ataku obawiała się niespełna co trzecia osoba). W tym roku spodziewa się go ponad 30 proc.
„Delete” nie wystarczy
Cyberprzestępstwo może przybrać rozmaite formy. Właściciele firm najbardziej obawiają się wycieku istotnych danych i informacji (na tego typu zagrożenie wskazuje ponad połowa badanych). Co zaskakujące, dużo mniejsza jest niepewność związana ze stratą finansową czy spowodowaną atakiem cybernetycznym przerwą w świadczeniu usług. – Informacja staje się kluczowym dobrem każdej organizacji – tłumaczy Zuzanna Szymańska z firmy doradczej netAkademia. – To ona nierzadko decyduje o pozycji rynkowej, przewadze konkurencyjnej, jak również reputacji – dodaje.
Reklama
Niestety, w większości firm, jak dowodzą badania, właściciele nie przykładają należytej staranności do zabezpieczenia poufnych informacji. Pokutuje przekonanie, że wystarczy banalne użycie przycisku delete, aby usunąć niepotrzebne już, a strategiczne dla funkcjonowania firmy informacje. To jednak nie wystarczy. Najpopularniejsze systemy operacyjne (Windows, Linux) przechowują bowiem jedynie ścieżkę dotarcia do zapisanego w pamięci pliku. Sam plik natomiast pozostaje zapisany w pamięci. Można go w prosty sposób odzyskać poprzez sformatowanie dysku do poziomu BIOS-u. Możliwe jest także odzyskanie informacji nawet ze zniszczonego nośnika. – Z odpowiednią wiedzą nie ma z tym najmniejszego problemu – mówi Artur Wrzesień, szef firmy komputerowej Eeenter z podwarszawskiego Piaseczna. Dodaje, że specjaliście sam proces zajmuje zaledwie kilkanaście minut.
Soft nie rozwiąże problemu
Ale przed wyciekiem informacji można się obronić. Najprostszym sposobem na pozbycie się strategicznych informacji przed wymianą sprzętu jest zastosowanie specjalistycznych, przeznaczonych do kasowania danych programów komputerowych (można je ściągnąć na przykład ze strony e-program.pl). Ich największą zaletą jest to, że nic nie kosztują. Skuteczność tego typu rozwiązań jest jednak problematyczna. Programy zazwyczaj nie usuwają samych informacji, szyfrują tylko poprzez dopisywanie dodatkowych, komplikujących pierwotny zapis informacji tak aby ich odczytanie stało się trudne, chociaż wciąż możliwe.
Sam proces czyszczenia nie jest skomplikowany. Wystarczy zaznaczyć przeznaczony do wykasowania plik, zbiór informacji (folder) lub partycję dyskową (część nośnika pamięci). Aplikacja z poziomu programu operacyjnego sama usunie wszystkie dane, a cały proces kasowania informacji ze średniej wielkości dysku zajmie kilkanaście minut. – Osoby, które nie mają specjalistycznego przygotowania, nie będą w stanie odzyskać usuniętych w ten sposób danych – mówi Artur Wrzesień. – Jednak dla profesjonalistów ich odzyskanie nie będzie stanowiło problemu – tłumaczy. Nieco bardziej skuteczne, choć także niegwarantujące pełnego bezpieczeństwa, są programy płatne.
Metody demagnetyzacji
Lepszym, profesjonalnym sposobem usuwania danych jest całkowite rozmagnesowanie dysku. Można to wykonać, używając specjalistycznych urządzeń, tzw. demagnetyzerów, które powodują, że nieodwracalnie znikają wszelkie zapisane informacje. W przypadku czyszczenia pamięci jednego nośnika bardziej opłaca się zamówienie tego typu usługi w firmie zewnętrznej (koszt wynosi od kilkuset złotych w górę). Gdy natomiast w grę wchodzi wiele stanowisk, bardziej opłaca się kupno przeznaczonego specjalnie do użytku biurowego urządzenia. Za nowy demagnetyzer, w zależności od modelu, trzeba zapłacić od 10 do 15 tys. zł. Używane, choć trudno dostępne (na popularnym portalu aukcyjnym raczej nie uda się ich znaleźć), mogą być nawet o połowę tańsze.
Podłączane do gniazdka USB demagnetyzery można stosować zarówno na uszkodzonych, jak i całkowicie sprawnych nośnikach pamięci (nie tylko dyskach twardych, lecz także taśmach magnetycznych). Poszczególne modele, poza ceną, różnią się między sobą przede wszystkim szybkością kasowania informacji. Urządzenia poddające nośnik pamięci silnemu impulsowi magnetycznemu (na przykład Intimus 9000) są w stanie zlikwidować wszystkie zapisane na nim dane w ciągu zaledwie kilku sekund. Sam nośnik jednak na skutek takiej mechanicznej ingerencji z zewnątrz nie nadaje się potem do ponownego użycia.
Natomiast urządzenia pracujące tzw. metodą Secure Ertse (na przykład Intimus Hammer) kasują zawartość nośnika z prędkością 4 GB na minutę (wyczyszczenie średniej wielkości dysku o pojemności 500 GB zajmie około dwóch godzin). Dysk jednak w tym przypadku nie ulega zniszczeniu i będzie nadawał się do wykorzystania w przyszłości. Inną zaletą jest możliwość ingerencji w niedostępne z poziomu systemu operacyjnego obszary HPA (ang. Host Proteced Area) oraz DCO (ang. Device Configuration Overlay). – Ale tylko markowe urządzenia gwarantują, że proces kasowania informacji w żaden sposób nie uszkodzi nośnika pamięci – mówi Katarzyna Stępień z firmy komputerowej T&T. Jeżeli są niedostępne, lepiej czyszczenie zlecić specjalistycznej firmie.
Ryzyko nie popłaca
Mimo sporych kosztów warto zadbać o właściwy obieg strategicznych informacji. Ich utrata bowiem może nieść ze sobą ryzyko utraty najważniejszych klientów, pozycji rynkowej, zniszczenia reputacji marki. Firma, co nie mniej ważne, musi także pokryć koszty poinformowania zainteresowanych klientów i kontrahentów o zaistniałej, kłopotliwej sytuacji, a także zapłacić za prace związane z eliminacją tego typu zagrożeń w przyszłości. – Ryzyko utraty danych i informacji lepiej likwidować gdy nie niesie ono ze sobą konsekwencji. Mogą być one bowiem bardzo bolesne – mówi Artur Wrzesień.
Zgodnie z art. 51 ustawy o ochronie danych osobowych, administratorzy, którzy udostępnią dane lub umożliwią zapoznanie się z nimi osobom z nieupoważnionym, podlegają grzywnie, karze ograniczenia wolności lub nawet więzienia do lat dwóch. W wydawaniu wysokich wyroków sądy co prawda są stosunkowo wstrzemięźliwe (dotychczas za przekazywanie danych osobowych sądy ukarały zaledwie kilka osób), jednak ryzyko, chociaż w działalności biznesowej bywa czynnikiem korzystnym, w tym przypadku raczej nie popłaca.