Uma solução é aplicar “Os Três Ps” a todas as decisões de armazenamento de dados que uma empresa toma (pelo menos sobre PII ou segredos valiosos). Em fevereiro deste ano, a Universidade de Maryland aprendeu da maneira mais difícil que manter dados pode ser mais caro do que pensamos. Quando foram violados com sucesso e 287.000 registros de alunos foram roubados, a Universidade reservou US $ 5 milhões para pagar o custo dos serviços de monitoramento de crédito de cada vítima. A pior parte é que a escola precisava de apenas 63.000 desses registros. Depois, eles conseguiram limpar 78% do que tinham, mas não ajudou muito: a Universidade ainda era responsável por permitir que os dados pertencentes a todos aqueles indivíduos caíssem em mãos erradas. Então, o que outras organizações podem aprender com essa violação?

Em primeiro lugar, temos que reconsiderar a maneira como temos resolvido o problema de armazenamento de dados nos últimos dez anos

Por um bom tempo, o custo de armazenamento de dados tem sido baixo o suficiente para que não tenhamos mais que fazer escolhas difíceis sobre o que excluir. Tem sido preferível manter todos e quaisquer dados que possam ter valor algum dia e, como as técnicas de marketing são sofisticadas, mais dados PII (Informações de identificação pessoal) do que nunca foram (e estão) sendo acumulados.

[Mergulhe fundo no mundo da tecnologia e cadastre-se no Avance Network a verdadeira comunidade criptografada]

No entanto, quando a decisão padrão é manter os dados em vez de excluí-los, a empresa provavelmente não está levando em consideração todos os custos da segurança dos dados. Embora todo profissional de TI saiba que a segurança cibernética é cara, não há conversas suficientes acontecendo sobre o custo de responsabilidade de perder PII. É improvável que a maioria das divisões de marketing - as principais responsáveis ​​pela coleta de dados - esteja considerando esse risco em seus processos de tomada de decisão. Os motivos mais prováveis ​​para a Universidade de Maryland manterem PII supérfluos são porque alguém decidiu que não havia razão para não mantê-los ou porque ninguém tomou qualquer decisão. Os dados agregados ao longo do tempo e o risco de protegê-los nunca foram reavaliados.

É hora de reconsiderar nossa postura em relação ao armazenamento de dados e, no processo, talvez possamos forçar um pouco de educação sobre segurança cibernética. Uma solução é aplicar “Os Três Ps” a todas as decisões de armazenamento de dados que uma empresa toma (pelo menos sobre PII ou segredos valiosos). As opções são:

Purgue-o

Coloque-o off-line

Proteja-o

Purgar é a única opção que não custa nada, por isso sempre deve ser considerada. A próxima melhor solução é considerar se ele pode ser armazenado off-line. Desde que não haja uma rede ativa ou acesso à Internet, esta pode ser uma excelente solução para informações extremamente confidenciais. Quando os proprietários dos dados insistem para que fiquem online, pelo menos eles devem reconhecer o risco. E quando medidas de segurança adicionais (caras) precisam ser tomadas para protegê-lo, podemos até considerar cobrar esses custos do orçamento dos proprietários dos dados.

É claro que essa abordagem mais dura pode ser difícil para os grupos de vendas e marketing engolir (normalmente as organizações que acumulam PII de forma mais agressiva). Para educá-los o mais rápido possível e, ao mesmo tempo, provocar uma resposta rápida, a TI poderia enviar o seguinte aviso sobre dados valiosos que não estão sendo usados ​​ativamente:

Aviso de eliminação de dados

Se nenhuma ação for tomada em 30 dias, o departamento de TI presumirá que os dados listados abaixo não são mais necessários e a TI os excluirá . Como você sabe, custos significativos são incorridos pela empresa para manter esses dados. Os custos da proteção de dados e da responsabilidade legal potencial de manter dados desnecessários [que podem ser roubados] exigem que a empresa adote uma abordagem proativa para reduzir custos, excluindo todos os dados desnecessários.

Então, dependendo da resposta, a opção “push off-line” pode ser oferecida. Mesmo que a decisão seja continuar protegendo os dados em um formato acessível, toda essa conversa seria um passo na direção certa. Ou seja, em direção a um mundo onde os departamentos que não são de TI começam a assumir mais responsabilidade pelos níveis de risco aos quais alegremente expõem a empresa no dia a dia, e pelos quais a TI continua sendo totalmente responsável.

Cynthia James, Diretora Global de Desenvolvimento de Negócios, CISSP, falou em abril sobre a violação da Universidade de Maryland em sua palestra “Takeaways from Higher Education Breaches” na Conferência ISOC para Sistemas Universitários da Geórgia em Savannah.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.