Практики безпечного обміну файлами
Share files safely without creating security gaps.
Що таке Практики безпечного обміну файлами?
Обмін файлами та даними — це те, що Ви робите десятки разів на день, і кожен такий випадок є точкою прийняття рішення, де конфіденційна інформація або залишається захищеною, або стає відкритою. Ця вправа проведе Вас через типові сценарії обміну, що несуть більше ризиків, ніж усвідомлює більшість працівників. Вам потрібно надіслати контракт із фінансовими умовами зовнішній юридичній фірмі, поділитися таблицею з даними клієнтів з колегою в іншому офісі, спільно працювати над документом з постачальником, який використовує іншу платформу, та перенести великі файли, що перевищують ліміт вкладень електронної пошти. Для кожного сценарію Ви обираєте між доступними методами обміну, і симуляція розкриває наслідки кожного вибору для безпеки. Ви дізнаєтесь, чому надсилання незашифрованого вкладення електронною поштою відрізняється від використання захищеного паролем посилання з терміном дії. Вправа охоплює затверджені інструменти обміну файлами, налаштування дозволів посилань, основи шифрування для вкладень електронної пошти та ризики тіньового IT, коли працівники використовують несанкціоновані додатки, такі як особистий Dropbox або WeTransfer, тому що затверджені інструменти здаються незручними. Ви закінчуєте вправу з практичним чек-листом для рішень щодо обміну, який балансує безпеку та виконання роботи.
Що ви дізнаєтесь у Практики безпечного обміну файлами
- Обирати відповідний метод обміну для різних типів даних, оцінюючи рівень чутливості, отримувача та доступні затверджені інструменти
- Налаштовувати посилання на обмін файлами з належними параметрами дозволів, включаючи доступ лише для перегляду, строки дії та захист паролем
- Визначати, коли вкладення електронної пошти потребують шифрування, та застосовувати базові практики шифрування для конфіденційних документів
- Розпізнавати ризики тіньового IT, коли колеги використовують несанкціоновані інструменти обміну, та перенаправляти до затверджених альтернатив без порушення робочих процесів
- Верифікувати особу та авторизацію отримувача перед обміном конфіденційними або обмеженими даними із зовнішніми сторонами, включаючи постачальників, партнерів та юридичних консультантів
Практики безпечного обміну файлами — Кроки навчання
-
Насичений тиждень у Catalyst Ventures
Сьогодні особливо неспокійно — вікно аудиту третього кварталу закривається о 17:00, а зовнішній аудитор досі не отримав фінансовий звіт.
-
Терміновий запит
Аліса отримує термінове повідомлення від свого менеджера Маркуса Чена в Telegram.
-
Доступ до SecureShare
Під тиском вимоги вкластися в крайній термін до 17:00, Аліса відкриває портал Catalyst SecureShare, щоб надіслати звіт якомога швидше.
-
Вибір файлу
Портал SecureShare відображає файли Аліси. Їй потрібно вибрати фінансовий звіт за 3 квартал, щоб надати його аудитору.
-
Налаштування одержувача
Алісі потрібно ввести адресу електронної пошти аудитора з повідомлення Маркуса.
-
Налаштування швидкого доступу
З’явиться сторінка конфігурації спільного доступу. Аліса поспішає — вона не задумуючись вибирає найбільш дозволені варіанти: доступ «Повний контроль», видимість «Усі, хто має посилання», «Ніколи» для закінчення терміну дії та натискає «Поділитися».
-
Підтвердження
Стів підтверджує, що отримав звіт. Дедлайн дотримано, кризу запобігли. Принаймні так думає Аліса.
-
Щось не так
Через три тижні Аліса приходить на роботу, щоб знайти терміновий електронний лист від команди IT Security. Її живіт опускається, коли вона читає тему.
-
Журнал аудиту
Аліса натискає посилання на журнал аудиту, боячись, що вона знайде.
-
Що пішло не так
Три критичні збої перетворили звичайний спільний доступ до файлів у катастрофічний доступ до даних: 1. Повний доступ. Аудитору потрібно було лише переглянути звіт, але Аліса надала Повний доступ , дозволяючи будь-кому, хто має посилання, завантажувати, редагувати або поширювати файл. 2. Без контролю доступу. «Будь-хто, хто має посилання» означає, що будь-хто, хто отримає URL-адресу, може отримати доступ до файлу — автентифікація не потрібна. Посилання було переслано, поширене та зрештою опубліковано для всіх. 3. Немає терміну дії та пароля. Посилання, термін дії якого ніколи не закінчується та не вимагає пароля, є постійним незахищеним шлюзом до конфіденційних даних. Коли він вийшов, його неможливо стримати.