Minden történet tanulságot hordoz, ám azt általában csak a végén tárja fel. A vállalati blogokkal szemben az emberek jóval kevésbé türelmesek, mint a kasszasikerekkel és bestsellerekkel, ezért inkább rögtön átadjuk a tanulságot: Ha elveszíti az ügyféladatok feletti ellenőrzést, az a hírnevére is kihat. Kérdezze csak meg a Commonwealth Bank of Australia-t.
Történet két mágnesszalagról
Az ausztrál bank, amelyet általában CommBank néven ismernek, nemrég megerősítette, hogy 12 millió felhasználói fiók pénzügyi nyilvántartását veszítette el (beleértve a neveket, címeket, számlaszámokat és tranzakciós adatokat) a 2000 és 2016 közötti időszakból. Mi is történt pontosan?
Az adatokat két mágnesszalagon tárolták, amelyeket a bank tervezett megsemmisítésre küldött, a beszállító azonban nem biztosított dokumentált igazolást a megsemmisítésről. A bank ezt követően a KPMG auditort bízta meg, amelynek törvényszéki vizsgálata arra utal, hogy az egységeket valóban megsemmisítették – ráadásul az érintett számlákon nem rögzítettek csalárd tevékenységet, mutat rá a bank –, azonban hiteles bizonyítékot utólag nem lehet szerezni. Végeredményben ez csak egyet jelent: felhasználói adatok millióinak biztonsága sérült.
Ahogyan az EU-ban május 25-én hatályba lép az általános adatvédelmi rendelet (GDPR), Ausztráliában az új évtől olyan szabályozás érvényes, amely legalábbis a felhasználói adatokat érintő biztonsági incidensek bejelentési kötelezettségében hasonló. Ha az egész incidens idén történt volna, valószínűleg másképp alakult volna. Mivel azonban a banknak nem volt ilyen kötelezettsége, úgy döntött, hogy nem tájékoztatja a nyilvánosságot, amíg nem muszáj – vagyis amíg az újságírók nem értesültek az incidensről. Ezután kirobbant a botrány.
A titkosítás értéke
A jogsértésről szóló eredeti jelentések arra utalnak, hogy az elveszett szalagokon lévő adatokat nem védte titkosítás. Ha védte volna, a bank valószínűleg részben elkerülhette volna a PR-katasztrófát az eredeti eltitkolás ellenére is – a titkosított adatok ugyanis nem lettek volna felhasználhatók, még akkor sem, ha valóban nem semmisítették meg őket, és illetéktelen kezekbe kerültek volna.
Olyan biztonsági mentési szoftverrel, mint az Acronis Backup, amely lehetővé teszi az adatok erős titkosítását szalagokon és számítógépeken, online átvitel során, valamint a felhőben tárolt adatok esetében, a CommBank teljes biztonságban lett volna. Gyakorlatilag feltörhetetlen AES-256 algoritmust használhatott volna az ügyféladatok titkosítására minden típusú adathordozón, és magán a védelmen túl ügyfelei bizalmát is elnyerhette volna, akik értékelik az érzékeny adataik védelméért tett proaktív, további lépéseket.
Záró gondolat
A Commonwealth Bank of Australia megpróbáltatásai jó emlékeztetőül szolgálnak számunkra is az Acronis-nál arra, hogy ügyelni kell az ügyféladatok kezelésének módjára és védelmére. Jó hír, hogy ehhez jó megoldásaink vannak, amelyek olyan eszközöket kínálnak, mint az AES-256 titkosítás, amely lehetővé teszi a vállalatok számára, hogy gyorsan, egyszerűen és egyúttal teljes körűen védjék a felhasználói és ügyféladatokat, így elkerülve nemcsak a szabályozások súlyos következményeit, hanem a nyilvánosság felháborodását is.
A cikk szerzője: ZEBR.ai szerkesztőség
