REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Jak chronić dane firmy na pendrive'ach (przenośnych pamięciach USB)?

Subskrybuj nas na Youtube

REKLAMA

Ochrona danych. Po 25 latach od premiery oficjalnej specyfikacji USB 1.0, USB pozostaje kamieniem węgielnym w kategorii interfejsu sprzętu komputerowego – poczynając od serwerów, a kończąc na smartfonach. Przenośne pamięci USB zyskały ogromną popularność dzięki prostocie rozwiązania typu plug-and-play. Ta wygoda wiąże się z pewnym kompromisem, jeśli chodzi o bezpieczeństwo danych. Zabezpieczenia mogą przybrać różne formy: od wykorzystania gotowych do użycia urządzeń szyfrowanych sprzętowo, po bardziej rozbudowane i dopasowane do konkretnej firmy rozwiązania. Jak skutecznie zapewnić ochronę?

Pamięci USB - ochrona danych

Wykorzystanie pamięci USB (popularnie zwanych pendrive-ami) ma szczególne znaczenie w branżach operujących danymi wrażliwymi lub o znaczeniu strategicznym, zaczynając od finansów, poprzez opiekę zdrowotną i produkcję, po zastosowania wojskowe, a także w pracy zdalnej, gdy dostęp do sieci jest niemożliwy, podatny na zagrożenia lub niepraktyczny. Wybierając sposoby ochrony, warto postawić na rozwiązania dopasowane do konkretnych potrzeb. Najlepsze efekty może przynieść kompleksowe podejście – oparte o zabezpieczenie samego sprzętu, a także wdrożenie i egzekwowanie odpowiedniej polityki bezpieczeństwa.

REKLAMA

Zarządzanie portami: oprogramowanie chroniące przed utratą danych w punktach końcowych

Korzystanie z programów, które automatycznie skanują pobierany plik i podłączane urządzanie oraz raportują i podejmują działania wobec podejrzanej zawartości, to już od dawna standardowa praktyka.
O krok dalej idzie oprogramowanie antywirusowe nowej generacji – NGAV. Zamiast polegać wyłącznie na stale aktualizowanej bazie sygnatur wirusów, dodaje funkcje uczenia maszynowego i wykrywania behawioralnego, które mogą rozpoznawać nieznane zagrożenia i przeciwdziałać im.
Organizacje chcące zapewnić jeszcze pełniejszą ochronę urządzeń peryferyjnych użytkownika, mogą wykorzystać oprogramowanie chroniące przed utratą danych w punktach końcowych (DLP), które pozwala na całkowite zablokowanie dostępu do portów USB i innych punktów dostępu. Choć w niektórych sytuacjach może być to konieczne, często jest niewygodne i niepraktyczne z punktu widzenia pracowników. Przyznanie uprawnień do otwarcia portów nie musi stanowić dużego zagrożenia, jeśli zostaną spełnione określone warunki. Podstawowym wymogiem jest pakiet aplikacji do zarządzania punktami końcowymi, który obejmuje skanowanie w poszukiwaniu zagrożeń w rozwiązaniach antywirusowych i chroniących przed złośliwym oprogramowaniem, a także scentralizowane monitorowanie i zarządzanie wszystkimi punktami końcowymi użytkownika.

Zaawansowane funkcje „białej listy”

Prostym, ale skutecznym podejściem, jest umieszczenie na „białej liście” urządzeń pamięci USB poprzez wykorzystanie wartości ich identyfikatorów dostawcy (VID) oraz identyfikatorów produktu (PID). Każdy producent urządzeń peryferyjnych USB ma unikalny identyfikator VID, natomiast PID zmienia się wraz z nowo wprowadzanym produktem. Wykorzystanie samego identyfikatora VID producenta nie byłoby więc skuteczne, ponieważ pozwoliłoby na podłączenie do urządzenia jego wszystkich kiedykolwiek wyprodukowanych urządzeń USB. Identyfikator PID oferuje większe możliwości i pozwala, aby tylko określony model miał dostęp do systemu hosta. 
- Niektórzy dostawcy oferują możliwość personalizacji zakupionego sprzętu, dzięki której możliwe jest stworzenie i zastosowanie specyficznych dla danej organizacji profili PID dla wielu szyfrowanych urządzeń pamięci flash USB. Firmy mogą dzięki temu nie tylko łatwiej korzystać z funkcji „białej listy”, ale także ze znacznie większej ochrony. Brak pasującego identyfikatora pozwala wykluczyć z dostępu nawet pozornie identyczne urządzenia zakupione samodzielnie przez pracowników. – mówi Robert Sepeta, Business Development Manager w Kingston Technology w Polsce. Bardziej zaawansowaną alternatywą jest użycie numerów seryjnych poszczególnych urządzeń. Każdy taki numer jest wówczas zarejestrowany w aplikacji do zarządzania punktami końcowymi. Wybór tej metody pozwala na stosowanie elastycznych zasad opartych na posiadaniu indywidualnego urządzenia pamięci oraz pozwala precyzyjnie śledzić pochodzenie konkretnych urządzeń.

Bezpieczne, zgodne z wymogami rozwiązania dla użytkowników zdalnych

Jeśli chodzi o bezpieczeństwo, urządzenia z „białej listy” stanowią tylko połowę rozwiązania. Dzięki jednoczesnemu zastosowaniu szyfrowania i ochrony hasłem, przenośna pamięć jest wyposażona w zabezpieczenia uniemożliwiające dostęp do poufnych danych w przypadku zgubienia, kradzieży lub pozostawienia urządzenia w potencjalnie podatnej na zagrożenia sytuacji. Nie jest to uniwersalne rozwiązanie, ponieważ techniki szyfrowania są różne, a najważniejsze różnice wychodzą na światło dzienne przy porównaniu rozwiązań oprogramowania i szyfrowania sprzętowego. Co jest zatem lepsze?
To zależy od potrzeb użytkownika, ale bardziej zasadne wydaje się pytanie: „Co jest bezpieczniejsze?”. Szyfrowanie programowe to zasadniczo rozwiązanie budżetowe, które może być zadowalające w niektórych sektorach, przy działalności na mniejszą skalę oraz w przypadku danych nieuznawanych za wrażliwe. W szyfrowaniu programowym konieczne są jednak aplikacje klienckie na komputerach, które wykonują zadania szyfrowania. Urządzenie jest bezpieczne w takim stopniu, w jakim bezpieczny jest obsługujący je komputer. Hakerzy mający dostęp do pamięci komputera, mogą odczytać klucze szyfrowania/deszyfrowania.

Szyfrowanie na chipie: odporne i szybkie rozwiązanie

Szyfrowana sprzętowo pamięć USB działa niezależnie od komputera, ponieważ zawiera dedykowany procesor wbudowany w samo urządzenie, który zarządza szyfrowaniem. Chroni w ten sposób stale również przed siłowymi atakami z wykorzystaniem hasła – zaszyfrowane dane nie są dostępne i nie można ich skopiować. Niektóre pamięci przenośne klasy korporacyjnej czy wojskowej wykorzystują 256-bitowe szyfrowanie AES w trybie XTS. Wykorzystując dwa oddzielne klucze na różnych etapach procesu szyfrowania/deszyfrowania, tryb XTS zapewnia podobny efekt jak dwukrotne szyfrowanie danych. Ponieważ uwierzytelnianie odbywa się w sprzętowej warstwie kryptograficznej urządzenia, klucze szyfrujące i inne krytyczne funkcje bezpieczeństwa są chronione przed typowymi zagrożeniami, takimi jak luka BadUSB, ataki oparte na zimnym rozruchu, użycie złośliwego kodu czy ataki siłowe. W przypadku szyfrowania sprzętowego wydajność pamięci jest znacznie lepsza niż pamięci szyfrowanej programowo, ponieważ nie występuje przenoszenie zadań szyfrowania na komputer pełniący funkcję hosta. Wszystko odbywa się w urządzeniu pamięci. Warto zwrócić uwagę, czy pamięć USB wyposażona jest dodatkowo w podpisane cyfrowo sterowniki oprogramowania sprzętowego, które uniemożliwiają jakąkolwiek manipulację przy oprogramowaniu sprzętowym w urządzeniu. Chronią one przed atakami przez lukę BadUSB, właściwą dla oprogramowania sprzętowego urządzeń USB.

Dalszy ciąg materiału pod wideo

Bezpieczna i zgodna z wymogami praca zdalna

W przypadku osób pracujących zdalnie przebywanie z dala od bezpiecznego środowiska pracy w organizacji wymaga zrewidowania strategii, a także nowego spojrzenia na priorytety. Blokowanie portów USB w laptopie pracownika, może nie być skuteczne w przypadku, gdy alternatywą jest połączenie przez Internet z serwerem w celu przesłania lub pobrania dokumentów. Zwłaszcza podczas podróży, jedyną dostępną alternatywą może być otwarte połączenie internetowe, zapewniane przez niezabezpieczony lub niezaufany punkt dostępowy Wi-Fi, co jest znacznie bardziej ryzykowne.
Połączenie sieciowe organizacji z Internetem to tylko kolejny punkt końcowy, który ze względu na nieuniknioną ekspozycję jest jednocześnie wyjątkowo wrażliwym i narażonym na ataki punktem wejściowym. Otwarcie go na zdalny dostęp, niesie ze sobą odrębne zagrożenia, zwłaszcza w przypadku danych wrażliwych. Zaopatrzenie pracowników zdalnych w urządzenia pamięci USB zabezpieczone hasłem i szyfrowane sprzętowo skutecznie eliminuje potencjalne luki sieciowe. Jednak wprowadzenie takiego rozwiązania wymaga dokładnego sprawdzenia dostępnych urządzeń pamięci USB i tego, jak spełniają one wymogi określonego środowiska pracy zdalnej. Nie sprowadza się to wyłącznie do wyboru pojemności pamięci lub tego, czy powinna ona mieć zarejestrowany numer seryjny. Istotna jest również fizyczna konstrukcja samego urządzenia.

Zabezpieczenie przed ingerencją: solidne rozwiązania

Poziom zabezpieczenia urządzeń określają odpowiednie standardy branżowe. Jednym z taki standardów jest FIPS 140-2, który ma kilka poziomów odpowiadających odporności fizycznej konstrukcji urządzenia pamięci bez uwzględniania metod kryptograficznych. Powiązany certyfikat FIPS-197 obejmuje wyłącznie atrybuty szyfrowania sprzętowego, co nie gwarantuje ochrony przed fizyczną ingerencją. W przypadku certyfikatu FIPS 140-2 Level 3 metody zastosowane w celu ujawnienia manipulacji przy urządzeniu są oceniane jako rozwiązania klasy militarnej.

W przypadku najbardziej zaawansowanej ochrony, stosowane są fizyczne rozwiązania, np. żywica epoksydowa, która po zastygnięciu tworzy wyjątkowo twardą powłokę. W najbardziej podstawowym zastosowaniu żywica epoksydowa zabezpiecza obudowę poprzez wyjątkowo wytrzymałe uszczelnienie, które ujawnia każdą próbę ingerencji. 
- Dla najbardziej wymagających klientów na rynku dostępne są rozwiązania, które łączą bezpieczeństwo fizyczne i kryptograficzne. Wśród naszych urządzeń można np. znaleźć takie, w których żywica epoksydowa użyta jest do pokrycia wszystkich obwodów odpowiedzialnych za zabezpieczenie, a także do sklejenia elementów wewnętrznych z obudową. Każda próba otwarcia metalowej obudowy byłaby niezwykle trudna i spowodowałaby pęknięcie wewnętrznych układów i innych komponentów, skutkując utratą funkcjonalności pamięci. Po nałożeniu twardej i nieprzezroczystej żywicy epoksydowej ingerencja w kluczowe komponenty staje się praktycznie niemożliwa. – mówi Robert Sepeta.

Co wybrać?

Chociaż na papierze specyfikacje mogą wydawać się imponujące, losowy wybór modelu bez żadnej weryfikacji niekoniecznie zapewni idealne dopasowanie nośnika w niektórych organizacjach o bardziej rygorystycznych wymaganiach. W takim przypadku, warto skorzystać z profesjonalnego doradztwa oraz personalizowanych rozwiązań, które zostaną dostosowane do specyficznych wymogów firmy. Dostosowany może być np. profil bezpieczeństwa aplikacji uruchamiającej, który umożliwia włączenie funkcji podpowiedzi do haseł, określenie  maksymalnej liczby prób wprowadzenia hasła czy jego zdalnego resetowania.

Zapisz się na newsletter
Chcesz uniknąć błędów? Być na czasie z najnowszymi zmianami w podatkach? Zapisz się na nasz newsletter i otrzymuj rzetelne informacje prosto na swoją skrzynkę.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

REKLAMA

Księgowość
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Pozwani przez PFR – jak program pomocy dla firm stał się przyczyną tysięcy pozwów? Sprawdź, jak się bronić

Ponad 16 tysięcy firm już otrzymało pozew z Polskiego Funduszu Rozwoju [i]. Kolejne są w drodze. Choć Tarcza Finansowa miała być tarczą – dla wielu stała się źródłem wieloletnich problemów prawnych.

Kawa z INFORLEX. Nowy plan wdrożenia KSeF

Spotkania odbywają się w formule „na żywo” o godzinie 9.00. Przy porannej kawie poruszamy najbardziej aktualne tematy, które stanowią także zasób kompleksowej bazy wiedzy INFORLEX. Rozmawiamy o podatkach, księgowości, rachunkowości, kadrach, płacach oraz HR. 15 maja br. tematem spotkania będzie nowy plan wdrożenia KSeF.

Zatrudnianie osób z niepełnosprawnościami w 2025 r. Jak i ile można zaoszczędzić na wpłatach do PFRON? Case study i obliczenia dla pracodawcy

Dlaczego 5 maja to ważna data w kontekście integracji i równości? Co powstrzymuje pracodawców przed zatrudnianiem osób z niepełnosprawnościami? Jakie są obowiązki pracodawcy wobec PFRON? Wyjaśniają eksperci z HRQ Ability Sp. z o.o. Sp. k. I pokazują na przykładzie ile może zaoszczędzić firma na zatrudnieniu osób z niepełnosprawnościami.

Koszty NKUP w księgach rachunkowych - klasyfikacja i księgowanie

– W praktyce rachunkowej i podatkowej przedsiębiorcy często napotykają na wydatki, które - mimo że wpływają na wynik finansowy jednostki - to jednak nie mogą zostać zaliczone do kosztów uzyskania przychodów (tzw. NKUP) – zauważa Beata Tęgowska, ekspertka ds. księgowości i płac z Systim.pl i wyjaśnia jak je prawidłowo klasyfikować i księgować?

REKLAMA

Zmiany w podatku od spadków darowizn w 2025 r. Likwidacja obowiązku uzyskiwania zaświadczenia z urzędu skarbowego i określenie wartości nieodpłatnej renty [projekt]

W dniu 28 kwietnia 2025 r. w Wykazie prac legislacyjnych i programowych Rady Ministrów opublikowano założenia nowelizacji ustawy o zmianie ustawy o podatku od spadków i darowizn. Ta nowelizacja ma dwa cele. Likwidację obowiązku uzyskiwania zaświadczenia naczelnika urzędu skarbowego potwierdzającego zwolnienie z podatku od spadków i darowizn

na celu ograniczenie formalności i zmniejszenie barier administracyjnych wynikających ze stosowania ustawy o podatku od spadków i darowizn, związanych z dokonywaniem obrotu majątkiem nabytym tytułem spadku lub inny nieodpłatny sposób objęty zakresem ustawy o podatku od spadków i darowizn, od osób z kręgu najbliższej rodziny, a także uproszczenie rozliczania podatku z tytułu nabycia nieodpłatnej renty.

Co zmieni unijne rozporządzenie w sprawie maszyn od 2027 roku. Nowe wymogi prawne cyberbezpieczeństwa przemysłu w UE

Szybko zachodząca cyfrowa transformacja, automatyzacja, integracja środowisk IT i OT oraz Przemysł 4.0 na nowo definiują krajobraz branży przemysłowej, przynosząc nowe wyzwania i możliwości. Odpowiedzią na ten fakt jest m.in. przygotowane przez Komisję Europejską Rozporządzenie 2023/1230 w sprawie maszyn. Firmy działające na terenie UE muszą dołożyć starań, aby sprostać nowym, wynikającym z tego dokumentu standardom przed 14 stycznia 2027 roku.

Skarbówka kontra przedsiębiorcy. Firmy odzyskują miliardy, walcząc z niesprawiedliwymi decyzjami

Tysiące polskich firm zostało oskarżonych o udział w karuzelach VAT - często niesłusznie. Ale coraz więcej z nich mówi "dość" i wygrywa w sądach. Tylko w ostatnich latach odzyskali aż 2,8 miliarda złotych! Sprawdź, dlaczego warto walczyć i jak nie dać się wciągnąć w urzędniczy absurd.

Krajowy System e-Faktur – czas na konkrety. Przygotowania nie powinny czekać. Firmy muszą dziś świadomie zarządzać dostępnością zasobów, priorytetami i ryzykiem "przeciążenia projektowego"

Wdrożenie Krajowego Systemu e-Faktur (KSeF) przeszło z etapu spekulacji do fazy przygotowań wymagających konkretnego działania. Ministerstwo Finansów ogłosiło nowy projekt ustawy, który wprowadza obowiązek korzystania z KSeF, a 25 kwietnia skończył się okres konsultacji publicznych. Dla wszystkich zainteresowanych oznacza to jedno: czas, w którym można było czekać na „ostateczny kształt przepisów”, dobiegł końca. Dziś wiemy już wystarczająco dużo, by prowadzić rzeczywiste przygotowania – bez odkładania na później. Ekspert komisji podatkowej BCC, radca prawny, doradca podatkowy Tomasz Groszyk o wdrożeniu Krajowego Systemu e-Faktur (KSeF).

REKLAMA

Wdrożenie KSeF i JPK_CIT to nie lada wyzwanie dla firm w 2025 r. [KOMENTARZ EKSPERCKI]

Rok 2025 będzie się przełomowy dla większości działów finansowych polskich firm. Wynika to z obowiązków podatkowych nałożonych na przedsiębiorców w zakresie konieczności wdrożenia obligatoryjnego e-fakturowania (KSeF) oraz raportowania danych księgowo- podatkowych w formie nowej schemy JPK_CIT.

Sprzedałeś 30 rzeczy w sieci przez rok? Twoje dane ma już urząd skarbowy. Co z nimi zrobi? MF i KAS walczą z szarą strefą w handlu internetowym i unikaniem płacenia podatków

Ministerstwo Finansów (MF) i Krajowa Administracja Skarbowa (KAS) wdrożyły unijną dyrektywę (DAC7), która nakłada na operatorów platform handlu internetowego obowiązki sprawozdawcze. Dyrektywa jest kolejnym elementem uszczelnienia systemów podatkowych państw członkowskich UE. Dyrektywa nie wprowadza nowych podatków. Do 31 stycznia 2025 r. operatorzy platform mieli obowiązek składać raporty do Szefa KAS za lata 2023 i 2024. 82 operatorów platform przekazało za ten okres informacje o ponad 177 tys. unikalnych osobach fizycznych oraz ponad 115 tys. unikalnych podmiotach.

REKLAMA