Безпечний обмін файлами

Що таке Безпечний обмін файлами?

Кожен файл, який ви надсилаєте, — це рішення про те, хто зможе дістатися до нього пізніше. У цій вправі через кінцевий термін аудиту ви ділитеся конфіденційним фінансовим звітом з рівнем доступу «Повний доступ», видимістю «Будь-хто, хто має посилання», без пароля й без строку дії. Через три тижні журнал аудиту показує 47 відкриттів із 12 країн. Потім ви повторно надаєте доступ до замінного звіту як слід: лише названому одержувачу, лише для перегляду, зі строком дії 7 днів і паролем, який диктуєте телефоном.

Що ви дізнаєтесь у Безпечний обмін файлами

• Розпізнавайте, як надто вільні налаштування посилання («Повний доступ», «Будь-хто, хто має посилання», без строку дії, без пароля) перетворюють звичайний обмін файлом на витік даних
• Налаштовуйте посилання для обміну файлами: доступ лише для перегляду, строк дії, захист паролем
• Читайте журнал аудиту обміну файлами, щоб помічати аномальні відкриття й оцінювати масштаб витоку
• Передавайте пароль окремим від посилання каналом, наприклад телефоном
• Перевіряйте особу й повноваження одержувача, перш ніж надавати конфіденційні або суворо конфіденційні дані зовнішнім сторонам, зокрема постачальникам, партнерам і юристам

Безпечний обмін файлами — Кроки навчання

1. Напружений тиждень у Catalyst Ventures

   Сьогодні особливо метушливо: о 17:00 закривається вікно аудиту за III квартал, а зовнішній аудитор досі не отримав фінансовий звіт.

2. Термінове прохання

   Аліса отримує в Telegram термінове повідомлення від свого керівника Маркуса Чена.

3. Вхід на портал SecureShare

   Аби встигнути до 17:00, Аліса відкриває портал Catalyst SecureShare і поспішає надіслати звіт.

4. Вибір файлу

   На порталі SecureShare відображаються файли Аліси. Їй потрібно вибрати фінансовий звіт за III квартал, щоб надати до нього доступ аудитору.

5. Указання одержувача

   Алісі потрібно ввести електронну адресу аудитора з повідомлення Маркуса.

6. Швидкі налаштування доступу

   З'являється сторінка налаштування доступу. Аліса поспішає, тому, не замислюючись, вибирає найвідкритіші варіанти: рівень доступу «Повний доступ», видимість «Будь-хто, хто має посилання», для строку дії — «Без обмеження» — і натискає «Поділитися зараз».

7. Підтвердження

   Стів підтверджує, що отримав звіт. Термін дотримано, кризи вдалося уникнути. Так, принаймні, думає Аліса.

8. Щось не так

   Через три тижні Аліса приходить на роботу й бачить терміновий лист від служби ІТ-безпеки. Щойно вона читає тему, у неї все обривається всередині.

9. Журнал аудиту

   Аліса переходить за посиланням на журнал аудиту й боїться того, що там побачить.

10. Що пішло не так

    Три критичні помилки перетворили звичайний обмін файлом на катастрофічний витік даних: 1. Рівень «Повний доступ». Аудитору потрібно було лише переглянути звіт, але Аліса надала рівень «Повний доступ» , і будь-хто за посиланням міг завантажити, змінити чи поширити файл. 2. Жодного контролю доступу. «Будь-хто, хто має посилання» означає, що файл відкриє будь-хто, хто отримає адресу, — входити в систему не потрібно. Посилання пересилали, передавали далі, і зрештою його опублікували у відкритому доступі. 3. Ні строку дії, ні пароля. Посилання, яке ніколи не спливає й не потребує пароля, — це постійний незахищений вхід до чутливих даних. Коли воно потрапило назовні, зупинити витік уже неможливо.