Не копируйте файлы с конфиденциальной информацией

Обновлено: 06.07.2024

Никакая конфиденциальная информация не должна быть получена или предоставлена до тех пор, пока соглашение о конфиденциальности (неразглашении) не будет заключено и подписано Управлением спонсируемых программ. Это ограниченное право подписи. Преподаватель не имеет права подписывать соглашение о конфиденциальности.

Университет обязан обращаться с конфиденциальной информацией в соответствии с согласованными условиями соглашения о конфиденциальности. В большинстве случаев соглашение требует, чтобы мы относились к конфиденциальной информации с той же степенью осторожности, что и к своей собственной, но ни в коем случае не менее разумной осторожности.

Сотрудник, получающий или предоставляющий конфиденциальную информацию, должен всегда читать условия соглашения о конфиденциальности. Все соглашения о конфиденциальности являются предметом переговоров, поэтому условия могут отличаться. Если вы не соблюдаете эти условия, ваша информация не будет защищена, и другая сторона сможет использовать или раскрывать информацию любым способом по своему выбору. Ниже приведены общие рекомендации по обращению с конфиденциальной информацией.

Предоставление конфиденциальной информации

Заполните запрос на соглашение о конфиденциальности (PDF; открывается в новом окне). В нем будет указана цель и описание конфиденциальной информации, а также другая информация, необходимая для составления соответствующих условий. Определите, в течение какого периода времени информация должна быть защищена как «конфиденциальная». Обычно мы используем пятилетний период, но этот срок может меняться в зависимости от характера информации.

Получение конфиденциальной информации

Не принимайте никакую конфиденциальную информацию, пока не будет заключено соглашение о конфиденциальности. Вы не можете заключить соглашение о конфиденциальности.

В эпоху цифровых технологий бумажные файлы, даже те, которые содержат конфиденциальную информацию, обычно не представляют большой угрозы безопасности. Эксперты говорят, что это ошибка.

Изображение: Abscent84, Getty Images/iStockPhoto

Обязательно к прочтению статьи о безопасности

Много цифровых чернил было использовано, чтобы предупредить тех, кто сейчас работает из дома, о необходимости уделять пристальное внимание кибербезопасности, поскольку ИТ-отдел их работодателя не может помочь. Но некоторые считают, что забота о бумажных документах может быть не менее важна, чем о PDF-файлах.

"Если ваша компания регулярно обрабатывает конфиденциальные печатные данные в офисе, есть вероятность, что вашим сотрудникам, работающим дома, теперь придется продолжать работать с конфиденциальными данными за пределами безопасности вашего офиса", – говорят Андреа Мацеевски и Джошуа Джеймс из Bryan, Cave. , Лейтон и Пайснер в своем посте: Основы кибербезопасности при работе на дому: обработка конфиденциальных печатных данных. «Это создает много проблем, но при некоторой предусмотрительности многие компании, вероятно, обнаружат, что могут продолжать большинство операций без ущерба для безопасности».

Во время кризиса, вызванного коронавирусом, предусмотрительность немного запоздала, но соавторы говорят, что неплохо пересмотреть существующие меры безопасности, в частности те, которые касаются конфиденциальных бумажных файлов, поскольку их безопасность часто упускается из виду. в эпоху цифровых технологий.

Легко думать, что «рыскание по мусорным бакам» ушло в прошлое, а уничтожение конфиденциальных печатных копий осуществляется только для соблюдения нормативных требований. Но Роб Дуглас, пишущий редактор отдела по работе с потребителями, не согласен с этим, указав в своем недавнем отчете «Статистика кражи личных данных за 2020 год» погружение в мусорные баки и кражу почты в качестве активных методов кражи личных данных. Он сказал, что, поскольку сейчас большинство людей работают из дома, преступники, занимающиеся кражей личных данных, переносят свои операции из офиса в дома людей.

Как защитить ваши бумажные данные

Мацеевски и Джеймс предлагают следующие способы защиты бумажных копий от преступников.

Решите, что значит потерять файл

Решение этой проблемы может показаться очевидным — просто скопируйте файл; однако в некоторых случаях файлы не могут быть скопированы. «Хотя ваша компания и сотрудники предпримут шаги, чтобы избежать потери файла, реальность такова, что как только файл покидает офис, вероятность его потери, уничтожения или кражи возрастает», — сказали Мацеевски и Джеймс.«Ваша компания должна тщательно сбалансировать потребности бизнеса и риск ущерба, который может причинить потеря файла».

ПОСМОТРЕТЬ: Политика физической безопасности ИТ (TechRepublic Premium)

Определить, является ли информация в файле конфиденциальной

Если у вас есть процесс определения наличия в файле конфиденциальной информации, помогите сотрудникам научиться обращаться с конфиденциальными данными. Это становится похоже на мышечную память: как только вы выучите, это станет автоматическим.

Позаботьтесь о безопасности файла, если он будет удален из офиса

Необходимо уделять немало внимания тому, что файл находится за пределами физических границ компании. Авторы предлагают следующие примеры.

Общественный транспорт. Если сотрудник использует общественный транспорт для перевозки конфиденциальных файлов, Мацеевски и Джеймс предполагают, что компании может быть выгодно платить за такси или такси. «Кроме того, предупредите сотрудников, которые едут за рулем, чтобы они не останавливались по дороге домой с конфиденциальными файлами в своих автомобилях. Портфель или рюкзак могут украсть, если автомобиль сотрудника останется без присмотра на какое-то время».

Домашняя безопасность: сотрудники должны реалистично решать, насколько безопасно они могут хранить файлы дома:

Сотрудник живет с несколькими людьми?
Есть ли у сотрудника закрытое или иным образом защищенное место для хранения файлов, когда они не используются?

Обеспечить возможность уничтожения файлов

Один из способов избежать перевозки конфиденциальной печатной копии, которая была либо принесена домой, либо распечатана дома, – это физически уничтожить бумагу.

Купить домашние шредеры для каждого сотрудника. Это может быть хорошим вариантом, если сотрудники работают с относительно небольшими объемами бумажных файлов, содержащих конфиденциальные данные. Авторы также советуют ознакомиться с местными и федеральными нормами, чтобы узнать, как правильно уничтожать документы.
Заручитесь услугами сторонней компании, занимающейся уничтожением файлов. Компании, предлагающие услуги мобильного уничтожения, могут иметь смысл, если их достаточно. «Это может быть хорошим вариантом, если у вас есть сотрудники, которые регулярно обрабатывают большие объемы документов, содержащих личные данные или конфиденциальную информацию», — сказали они.
Сведите к минимуму обработку данных. Может быть хорошей идеей на какое-то время сократить обработку конфиденциальных данных. Некоторые задачи, требующие работы с большими объемами конфиденциальных данных, лучше всего отложить до тех пор, пока сотрудник не сможет работать из безопасного места.
Установите политику запрета печати. Рассмотрите возможность запрета сотрудникам печатать дома или брать бумажные документы домой.

< /p>

Информационный бюллетень Cybersecurity Insider

Укрепите защиту ИТ-безопасности своей организации, следя за последними новостями, решениями и рекомендациями в области кибербезопасности.

Меня попросили придумать способ хранения конфиденциальных бизнес-данных на нашем существующем сервере (Windows 2008 R2 с Active Directory), который позволит нам предоставить некоторым пользователям доступ только для чтения для просмотра, но не для копирования (т.е. по электронной почте или сохранить как) или распечатать документы. Полный доступ или право собственности (включая возможность копирования или печати) этих данных должны быть ограничены одним пользователем и недоступны для администраторов домена. Есть Word, Excel, PDF, AutoCAD и, возможно, другие типы файлов.

Я исследовал и видел другие подобные вопросы, которые были решены с помощью EFS, и еще один, в котором предлагалось использовать Sharepoint. И то, и другое, по моему мнению, решает некоторые из этих задач, но не все.

Я понимаю, что если оно отображается на экране, его можно сфотографировать, но это приемлемо. Надеюсь, что у кого-то еще был подобный проект, и он может направить меня в правильном направлении.

18 ответов

солдат последнего времени

Данные должны быть скопированы на компьютер пользователя, чтобы они могли их просмотреть. Разрешение на просмотр IS разрешение на копирование. Печать управляется приложением, используемым для просмотра файла. Мне удалось отобразить PDF-файлы в виде флэш-памяти с помощью pdf2swf. Эта просьба может показаться бессмысленной, но я думаю, вы должны будете точно объяснить, почему.

Подойдет ли вам Windows IRM?

Windows Identity Rights Management может заблокировать возможность пересылки, копирования или печати документов Office. В PDF-документах вы можете защитить PDF-файлы паролем и запретить печать/копирование файла.

Это не останавливает снимки экрана, если вы не отключите это в объекте групповой политики.

ITSlave

Если информация является конфиденциальной, экран печати может обойти любую защиту файлов. Чего они пытаются достичь?

Помните, что если они могут открыть документ, они могут выбрать текст и вставить его в другой файл без ограничений.

RoddyBer. Я смотрел на IRM, и он может работать с документами MS Office, но я не думаю, что он будет работать с другими типами файлов. Также не устраняет возможность доступа администратора к файлам.

ITSlave — это то, что придумал владелец для защиты своих данных. Я не обязательно согласен с тем, что это практично или необходимо, но я решил, что если возможно, я могу назвать ему цену и посмотреть, что произойдет.

ITSlave

Врач никогда не позволяет пациенту самому выписывать рецепт. Он понятия не имеет, как все это работает. Поэтому узнайте, какую проблему он пытается решить, а затем придумайте решение. Предложенное им решение можно легко обойти несколькими способами.

В конечном итоге решение может заключаться в том, чтобы вообще не предоставлять этим людям доступ.

Тогда есть проблема "нет доступа администратора". Это все равно, что запретить банковским служащим прикасаться к деньгам, потому что они могут их украсть. Как они будут выполнять свою работу? Решение этой проблемы состоит в том, чтобы следить за деньгами в кассе. Если ни один администратор не имеет доступа к файлам, как, например, они будут создавать резервные копии? Кто будет управлять доступом к файлам?

Решением этой проблемы является аудит файлов, создание отчетов и отслеживание того, кто просматривал файлы, а затем обновление вашего AUP, чтобы включить эту информацию и санкции за нарушение этой политики. Подобно камере слежения, она может быть сдерживающим фактором.

Ничто не мешает кассиру ограбить банк вслепую, кроме личной неприкосновенности и последствий того, что его поймают.

Пол3215

Согласитесь с ITSlave, возможно, вы, ребята, просто согласитесь, если все ваши сотрудники подпишут записку, в которой говорится, что любая информация о компании, к которой они получают доступ на месте или удаленно, не должна разглашаться и оставаться конфиденциальной. Мы проведем аудит файлов/доступа и т. д. в соответствии с этим примечанием.

Зак Литтл

Видел это в IBM давным-давно, рассылались электронные письма (по сути, увольняя людей), и они были настроены на блокировку печати, пересылки и т. д. — все эти хорошие вещи.Эти шаги были предприняты, чтобы у людей не было копии электронного письма в случае каких-либо юридических действий. Один из заинтересованных лиц обошел это, сделав снимок на свой телефон, качество которого позволяло использовать его во время судебного иска, который он предпринял. Видимо тоже пригодился, но не получил информации о том, что было сделано/сказано и т.д.

Джош_Ваш_ИТ_Парень

Независимо от того, насколько сильно вы это сделаете, пользователь всегда найдет способ обойти это.

ITSlave

Rod-IT пишет:

Вам нужно программное обеспечение, такое как McAfee DLP (предотвращение потери данных), оно не самое дешевое, но вы можете применять теги к конфиденциальной информации и запрещать копирование, электронную почту, просмотр печатать, писать, читать, копировать/вставлять и т. д. — вы также можете одобрять по требованию для заданных пользователей на основе периода времени, с полными журналами аудита, единственное, что не кажется очевидным — это фото

Один из наших федеральных контрактов использует это для своих ноутбуков. Итак, вы знаете, что это недешево.

Я посмотрел и увидел в Интернете пару чисел, которые начинались с 30 000 долларов США. Я не думаю, что это взлетит, но может быть забавно посмотреть на его лицо, когда я подкину ему эту цифру.

Я думал, что другим решением может быть установка терминального сервера вне домена с EFS и без доступа к Интернету или принтеров. Я могу отключить перенаправление буфера обмена, это может быть виртуальная машина и, возможно, добавить двухфакторную аутентификацию с аппаратными токенами, чтобы усложнить жизнь всем. Сделайте резервную копию всей виртуальной машины в виде образа. Я думаю, что это должно сработать, но мне это не очень нравится. Есть мысли?

Я свяжусь с McAfee и объясню, что вы хотите сделать, если вы укажете, что вам нужен только ограниченный набор инструментов, они могут предложить более ограниченную версию со скидкой. Если у вас есть какие-либо другие их продукты, вы сможете договориться о снижении цены.

Спасибо за обратную связь, мы связались с Mcafee и попытались получить расценки на их программное обеспечение DLP. Всем, кому нужна дополнительная информация, я нашел видео о Mcafee DLP по приведенной ниже ссылке очень информативным.

Как системному администратору вам НУЖЕН доступ администратора ко всему. Вот что значит администратор. Вам нужно поговорить с владельцами бизнеса и выяснить, какова ситуация и что происходит на самом деле.

Вы, как системный администратор, не можете администрировать, если у вас нет прав администратора на все.

Даже если вы попытаетесь, Windows (и все другие системы) не позволит удалить учетную запись администратора из каких-либо разрешений.

Риусаки писал:

Как системному администратору вам НУЖЕН доступ администратора ко всему. Вот что значит администратор. Вам нужно поговорить с владельцами бизнеса и выяснить, какова ситуация и что происходит на самом деле.

Вы, как системный администратор, не можете администрировать, если у вас нет административного доступа ко всему.

Даже если вы попытаетесь, Windows (и все другие системы) не позволит учетной записи администратора быть удалены из любых разрешений.

Windows позволит вам удалить администратора, а если кто-то другой создаст папку или файл, он будет владельцем, а не администратором, однако администратор может вернуть себе эти права и владение. Так что, хотя это и не запрещено, их можно удалить.

Обмен файлами сегодня необходим как никогда. Бизнес-процессы часто требуют от людей совместной работы и обмена важными файлами с членами своей рабочей группы, внешними партнерами и подрядчиками, даже с клиентами и потенциальными клиентами.

Поделиться этими файлами стало проще, чем когда-либо. Их можно отправить по электронной почте, поместить на флэш-накопитель, поместить в общедоступный сетевой каталог или разместить в облачной службе обмена файлами, такой как SharePoint, Dropbox или Box. Все это упрощает совместную работу.

К сожалению, это также упрощает утечку данных и непреднамеренное раскрытие информации.

Защита файлов, содержащих конфиденциальную информацию, при сохранении их доступности для совместного использования сегодня по-прежнему остается сложной задачей. Конечно, можно зашифровать файл или папку или даже весь диск, содержащий множество конфиденциальных файлов, но что происходит, когда владельцу файла нужно поделиться файлом, скажем, с клиентом или сторонним поставщиком? Если файл зашифрован, как получатель его расшифрует? Кроме того, как вы можете контролировать, что они могут сделать с файлом после его расшифровки? Предположим, что получатель помещает файл за пределы безопасного контейнера и делится им с другими пользователями, не уполномоченными владельцем файла?

Один из вариантов — поместить файл в корпоративную версию службы обмена файлами, например Dropbox или Box. Такие инструменты обычно поставляются с административными функциями, которые позволяют ограничивать использование файлов, совместное использование элементов управления и удаленное стирание файлов. Обычно есть журнал аудита и, конечно же, шифрование файлов для защиты файлов в этом контейнере. Однако если авторизованный пользователь получает доступ к файлу в приложении для совместной работы, он может передать незащищенный файл и делать с ним все, что захочет. Как только файл покинет контейнер приложения, он может быть утерян.

Компаниям нужен простой и гибкий способ обмена файлами, содержащими конфиденциальную и часто регулируемую информацию. Что еще более важно, защитные меры вокруг файлов должны быть постоянными, чтобы они следовали за файлами независимо от того, куда они идут или у кого они есть.

Это потребность, которую FinalCode стремится удовлетворить. FinalCode — американская компания, созданная год назад, но запатентованная технология, которую она использует для защиты файлов, была разработана несколько лет назад в Японии. Продукт успел созреть, и теперь компания делает все возможное, чтобы выйти на глобальный рынок. Определенно потребность, которую я описал, универсальна во всем мире.

FinalCode утверждает, что может решить дилемму безопасности файлов и утечки данных с помощью простого в использовании, но надежного решения для шифрования, которое дает пользователям широкий контроль над своими файлами. Инструмент FinalCode можно использовать в популярных приложениях, устройствах, системах управления контентом, облачных хранилищах и платформах для совместной работы. Компаниям, использующим FinalCode, не нужно ничего менять, обновлять или заменять, заявляет компания, поскольку ее решение работает с существующими системами. Оно может поставляться в виде виртуального устройства для локальной установки, в виде приложения SaaS или в виде гибрида двух вариантов.

Использование решения начинается с клиента FinalCode на рабочем столе. Когда работник создает файл, который он хочет защитить, он перетаскивает имя файла на значок FinalCode на рабочем столе. Это вызывает меню, в котором рабочий решает, как обращаться с этим файлом. Например, владелец файла решает, какие права доступа к файлу следует установить; кто может иметь доступ к файлу; сколько раз или в течение какого времени получатель может просмотреть или открыть файл; может ли получатель распечатать его; и так далее. После этого файл шифруется локально, а ключ и соответствующие метаданные разрешения передаются на сервер FinalCode.

Вместо того, чтобы назначать параметры защиты файлов вручную, их можно применять автоматически. Система FinalCode позволяет применять предварительно определенные корпоративные политики защиты файлов. Например, предположим, что компания использует SharePoint в качестве хранилища файлов. Администратор SharePoint может настроить определенную папку для рабочей группы, например, для финансового отдела. Затем он также устанавливает разрешения для FinalCode на основе интеграции с Active Directory.

Каждый раз, когда люди, имеющие доступ к этой папке SharePoint, сохраняют там файл, разрешения FinalCode применяются автоматически.Возможно, любому сотруднику финансового отдела разрешено читать, писать, копировать и распечатывать файл, но если этот файл покидает финансовую группу (на основе групп в Active Directory), он автоматически удаляется всякий раз, когда кто-то другой пытается открыть файл.

После того как файл зашифрован, владелец файла может отправить или поделиться им по своему усмотрению. Он может поместить его в папку Dropbox, а затем кто-то, с кем он сотрудничает, может получить файл в соответствии с назначенными ему разрешениями. Если получатель загружает файл из Dropbox, разрешения для файла остаются активными. Если получатель отправляет файл по электронной почте кому-то еще — скажем, кому-то, кому владелец файла не дал явного разрешения, — файл зашифровывается и не может быть прочитан или открыт. Его даже можно удалить, если владелец файла установил такую политику. Даже постфактум владелец файла может изменить права доступа к файлу, чтобы разрешить новому получателю доступ к файлу или удалить файл из владения нового получателя.

Для работы с файлом, защищенным с помощью этого решения, предполагаемый получатель должен иметь клиент FinalCode, который можно загрузить из Интернета, который прошел проверку подлинности и подключен к серверу глобального доступа FinalCode. Клиент, который может находиться в системе Windows или на смартфоне iOS или Android, связывается с сервером FinalCode и получает информацию о безопасности для файла. Файл локально расшифровывается, и к нему применяются предустановленные разрешения. Таким образом, файлы могут быть общими и храниться за пределами защищенных сред, таких как папка SharePoint или корпоративный Dropbox.

Функция удаления довольно уникальна. Некоторые решения для защиты файлов говорят, что они отключают файлы, но не удаляют их; он просто забирает ключ шифрования. FinalCode фактически удаляет файлы, поэтому попытки грубой силы не могут быть использованы для доступа к ним без ключа шифрования. Более того, FinalCode может вызывать правило удаления файла даже после его распространения.

FinalCode имеет административные функции, которые регистрируют действия по доступу, независимо от того, были они успешными или нет. Это помогает при аудите соответствия — узнать, кто имел доступ к определенным файлам, когда и что они делали с файлами.

Компания Pioneer Service Network (PSN) является давним пользователем FinalCode. Компания использует этот инструмент для защиты конфиденциальных файлов, которыми она делится с деловыми партнерами и клиентами. Компания заявляет, что может поддерживать и обеспечивать защиту и разрешения на использование независимо от того, куда попадают ее файлы. Он даже использует FinalCode для предотвращения захвата экрана и печати. ИТ-менеджер компании говорит, что FinalCode предоставляет PSN надежное шифрование и возможности управления использованием без необходимости менять управление корпоративным контентом, облачное хранилище или системы совместной работы. Что еще более важно, клиенты ценят меры, принимаемые PSN для обеспечения конфиденциальности их информации.

Присоединяйтесь к сообществам Network World на Facebook и LinkedIn, чтобы комментировать самые важные темы.

Линда Мусталер — главный аналитик компании Essential Solutions Corp., которая занимается исследованием практической ценности информационных технологий и способов повышения производительности отдельных сотрудников и целых организаций. Essential Solutions предлагает консультационные услуги компьютерной индустрии и корпоративным клиентам, чтобы помочь определить и реализовать потенциал ИТ.

Эта ситуация повторяется слишком часто. Сотрудник отправляет множество документов по электронной почте на личный адрес электронной почты, перетаскивает их в личную папку Dropbox или копирует на флешку.

Ваш первый порыв – предположить, что сотрудник занимается чем-то неблаговидным, уволить сотрудника и даже подать в суд за незаконное присвоение коммерческой тайны/конфиденциальной информации.

Но может ли быть что-то еще? Что, если вместо того, чтобы конкурировать с вами, сотрудник готовится выступить против вас в судебном иске о дискриминации?

Имеет ли сотрудник право копировать ваши документы для подготовки иска о дискриминации?

Неудивительно, что ответ зависит.

При рассмотрении вопроса суды уравновешивают законную и существенную заинтересованность работодателя в сохранении конфиденциальности своих кадровых документов и документов агентства с предполагаемой потребностью сотрудника в тайном копировании и распространении документов.

Уравновешивая эти два конкурирующих интереса, суды обычно применяют следующие шесть факторов, чтобы определить, квалифицируется ли тайное копирование как законная охраняемая деятельность или незаконное присвоение.

1. Как сотрудник получил документы?
  - Было ли это случайно или при исполнении служебных обязанностей?
  - Или они рылись в файлах или рыскали по офисам в поисках документов?

Не копируйте файлы с конфиденциальной информацией

Предоставление конфиденциальной информации

Получение конфиденциальной информации

Обязательно к прочтению статьи о безопасности

Как защитить ваши бумажные данные

Решите, что значит потерять файл

Определить, является ли информация в файле конфиденциальной

Позаботьтесь о безопасности файла, если он будет удален из офиса

Обеспечить возможность уничтожения файлов

Информационный бюллетень Cybersecurity Insider

Популярные темы в области общей ИТ-безопасности

18 ответов

Соответствующие видео

Пример использования: COVIDCheck, Колорадо

Статьи по теме