Veilige deelpraktijken

Wat is Veilige deelpraktijken?

Elk bestand dat u verzendt, is een beslissing over wie het later kan bereiken. In deze oefening dwingt een auditdeadline u ertoe een vertrouwelijk financieel rapport te delen met volledige controle, 'Iedereen met de link'-zichtbaarheid, geen wachtwoord en geen vervaldatum. Drie weken later toont het auditlogboek 47 openingen uit 12 landen. Vervolgens deelt u het vervangingsrapport op de juiste manier opnieuw: alleen de naam van de ontvanger, alleen-lezen toegang, een geldigheidsduur van zeven dagen en een wachtwoord dat u telefonisch voorleest.

Wat je leert in Veilige deelpraktijken

• Herken hoe tolerante linkinstellingen (volledig beheer, "Iedereen met de link", geen vervaldatum, geen wachtwoord) een routinematig delen veranderen in een gegevensblootstelling
• Bestandsdeellinks configureren met juiste machtigingsinstellingen, waaronder alleen-lezen toegang, vervaldatums en wachtwoordbeveiliging
• Lees een auditlogboek voor delen om afwijkende toegang te ontdekken en inzicht te krijgen in de omvang van een blootstelling
• Stuur een deelwachtwoord via een apart kanaal van de link, zoals een telefoontje
• De identiteit en autorisatie van de ontvanger verifiëren voordat vertrouwelijke of beperkte gegevens worden gedeeld met externe partijen, waaronder leveranciers, partners en juridisch adviseurs

Veilige deelpraktijken — Trainingsstappen

1. Een drukke week bij Catalyst Ventures

   Vandaag is het bijzonder hectisch: de auditperiode voor het derde kwartaal sluit om 17.00 uur en de externe accountant heeft het financiële rapport nog steeds niet ontvangen.

2. Het dringende verzoek

   Alice ontvangt een dringend bericht van haar manager Marcus Chen op Telegram.

3. Toegang tot SecureShare

   Onder druk om de deadline van 17.00 uur te halen, opent Alice het Catalyst SecureShare-portaal om het rapport zo snel mogelijk te verzenden.

4. Het bestand selecteren

   Het SecureShare-portaal toont de bestanden van Alice. Ze moet het financiële rapport over het derde kwartaal selecteren om met de auditor te delen.

5. De ontvanger instellen

   Alice moet het e-mailadres van de auditor uit het bericht van Marcus invoeren.

6. Instellingen voor snel delen

   De configuratiepagina voor delen verschijnt. Alice heeft haast: ze kiest de meest toegestane opties zonder na te denken: toegang tot 'Volledig beheer', zichtbaarheid van 'Iedereen met de link', 'Nooit' voor vervaldatum, en klikt op 'Nu delen'.

7. Bevestiging

   Steve bevestigt dat hij het rapport heeft ontvangen. Deadline gehaald, crisis afgewend. Of dat denkt Alice.

8. Er is iets mis

   Drie weken later arriveert Alice op het werk en vindt ze een dringende e-mail van het IT-beveiligingsteam. Haar maag draait zich om als ze de onderwerpregel leest.

9. Het auditlogboek

   Alice klikt op de link naar het auditlogboek en is bang voor wat ze zal aantreffen.

10. Wat er mis ging

    Drie kritieke fouten zorgden ervoor dat het routinematig delen van bestanden leidde tot een catastrofale blootstelling aan gegevens: 1. Volledige controle. De auditor hoefde het rapport alleen maar te bekijken , maar Alice gaf Volledige controle , waardoor iedereen met de link het bestand kon downloaden, bewerken of opnieuw distribueren. 2. Geen toegangscontrole. 'Iedereen met de link' betekent dat iedereen die de URL verkrijgt toegang heeft tot het bestand - er is geen authenticatie vereist. De link werd doorgestuurd, gedeeld en uiteindelijk openbaar geplaatst. 3. Geen vervaldatum of wachtwoord. Een link die nooit verloopt en geen wachtwoord vereist, is een permanente, onbeschermde toegangspoort tot gevoelige gegevens. Als het eenmaal uit is, is er geen manier meer om het in bedwang te houden.