przechowywanie danych w nieautoryzowanych lokalizacjach

Przechowywanie danych w nieautoryzowanych lokalizacjach to naruszenie procedur bezpieczeństwa organizacji.

Nieautoryzowana lokalizacja jako problem kontroli nad plikiem

Przechowywanie danych w nieautoryzowanej lokalizacji oznacza zapisanie pliku poza miejscem wskazanym w procedurach organizacji. Takim miejscem może być prywatny komputer, lokalny pulpit, katalog „Pobrane”, nieszyfrowany pendrive, prywatna usługa chmurowa, niezatwierdzony udział sieciowy albo dysk zewnętrzny podłączony do laptopa. Sam fakt, że użytkownik może technicznie zapisać tam dokument, nie oznacza, że lokalizacja jest dopuszczona do przechowywania określonego rodzaju danych.

Ryzyko wynika przede wszystkim z utraty kontroli nad dostępem, kopią zapasową, okresem przechowywania i usuwaniem informacji. Plik zapisany na pulpicie może nie być objęty centralnym backupem, a dokument skopiowany na prywatny nośnik może pozostać na nim po zakończeniu pracy. Jeżeli komputer zostanie zgubiony, sprzedany albo zainfekowany złośliwym oprogramowaniem, dane zapisane poza zatwierdzonym obiegiem mogą zostać odczytane bez możliwości szybkiego ustalenia, kto miał do nich dostęp.

Nieautoryzowana lokalizacja może również powodować powstawanie wielu niespójnych kopii. Przykładowo, użytkownik edytuje dokument zapisany lokalnie, podczas gdy pozostali pracownicy korzystają z wersji znajdującej się na zatwierdzonym udziale sieciowym. Późniejsze połączenie tych wersji może prowadzić do utraty zmian, użycia nieaktualnych informacji albo wysłania niewłaściwego pliku do odbiorcy.

Jak system operacyjny ogranicza dostęp do zapisanych danych

Na komputerach z systemem Windows podstawowym mechanizmem kontroli dostępu do plików na woluminie NTFS są uprawnienia ACL. Określają one, którzy użytkownicy lub członkowie grup mogą plik odczytywać, modyfikować, usuwać albo uruchamiać. Skopiowanie danych do innego katalogu może zmienić dziedziczenie uprawnień, a przeniesienie pliku między woluminami może spowodować utworzenie nowego zestawu praw dostępu. Dlatego sama nazwa katalogu, na przykład „Bezpieczne dokumenty”, nie jest dowodem właściwej ochrony.

Istotne jest także szyfrowanie nośnika. BitLocker w systemie Windows może chronić dane zapisane na wewnętrznym dysku przed odczytem po fizycznym wyjęciu dysku lub uruchomieniu komputera z innego środowiska. W systemach Apple podobną funkcję dla dysku startowego zapewnia FileVault. Szyfrowanie nie zastępuje jednak prawidłowych uprawnień: zalogowany użytkownik albo złośliwy program działający w jego kontekście może nadal odczytać pliki, do których konto ma dostęp.

Przy lokalizacjach sieciowych trzeba rozróżnić sposób udostępniania plików od samego miejsca zapisu. Udział SMB może być zabezpieczony kontami użytkowników i uprawnieniami systemu plików, ale błędna konfiguracja udziału może pozwolić na dostęp szerszy niż przewidziano. Transfer przez zwykły, nieszyfrowany kanał może ujawnić zawartość lub dane uwierzytelniające. SFTP wykorzystuje SSH do zabezpieczenia przesyłanych plików, natomiast HTTPS chroni komunikację z usługą internetową za pomocą TLS. Zastosowanie konkretnego protokołu nie czyni jednak automatycznie lokalizacji autoryzowaną.

Ślady, kopie i skutki przeniesienia pliku poza zatwierdzony obieg

Ocena naruszenia wymaga sprawdzenia nie tylko bieżącej ścieżki pliku, lecz także jego kopii. Dane mogą znajdować się w koszu, katalogach tymczasowych, pamięci podręcznej aplikacji, historii synchronizacji, załącznikach poczty, kopiach na pendrive’ach oraz w punktach przywracania. Usunięcie ikony z pulpitu nie oznacza usunięcia wszystkich egzemplarzy. W przypadku dysku SSD dodatkową komplikacją jest działanie mechanizmu TRIM, przez który odzyskanie usuniętych danych może zależeć od kontrolera i sposobu wykonania operacji.

Ważnym źródłem informacji są logi systemowe i aplikacyjne. Windows może rejestrować zdarzenia dostępu do obiektów, jeżeli włączono odpowiednią politykę audytu oraz skonfigurowano audytowanie plików i katalogów. Usługi chmurowe mogą zapisywać informacje o logowaniu, pobraniu, udostępnieniu i zmianie dokumentu. Sam brak wpisu w logu nie dowodzi, że plik nie był kopiowany, ponieważ rejestrowanie mogło być wyłączone, zakres audytu mógł być zbyt wąski albo operacja mogła odbyć się poza monitorowanym systemem.

Praktycznym objawem nieprawidłowego obiegu jest sytuacja, w której plik występuje jednocześnie w katalogu lokalnym i na zatwierdzonym udziale, ma różne daty modyfikacji albo jest synchronizowany przez konto prywatne. Należy wtedy ustalić źródło każdej kopii, zakres osób mających dostęp, obecność szyfrowania, objęcie lokalizacji backupem oraz sposób bezpiecznego usunięcia nadmiarowych egzemplarzy. Nie powinno się samodzielnie kasować potencjalnego materiału dowodowego przed ustaleniem procedury postępowania.

Porządkowanie lokalizacji na laptopie i komputerze PC

Naprawa problemu zaczyna się od wskazania zatwierdzonych miejsc zapisu i porównania ich z rzeczywistymi ścieżkami używanymi przez aplikacje. W systemie Windows można sprawdzić właściwości pliku, właściciela oraz uprawnienia zakładki „Zabezpieczenia”, a także zweryfikować, czy dysk jest objęty BitLockerem. Warto przejrzeć katalogi użytkownika, podłączone nośniki, mapowane udziały sieciowe i ustawienia automatycznej synchronizacji. Należy również ustalić, czy programy biurowe domyślnie zapisują dokumenty w lokalnym profilu, czy w zatwierdzonym repozytorium.

Jeżeli dane trafiły do niedozwolonego miejsca, bezpieczne działania obejmują ograniczenie dostępu, odłączenie prywatnej synchronizacji, zabezpieczenie nośnika oraz przeniesienie plików do lokalizacji wskazanej przez administratora. Po potwierdzeniu poprawnej kopii można usunąć nadmiarowe egzemplarze zgodnie z procedurą, a następnie sprawdzić, czy aplikacja nie odtworzy ich ponownie. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego może pomóc w technicznej kontroli dysku, uprawnień systemowych, szyfrowania oraz konfiguracji lokalnego środowiska pracy.