Paano Pigilan ang Pag-aalis ng Data ng Puso sa Istadyum

Ang Kagawaran ng Hustisya ng Estados Unidos ay inihayag ngayon ang pag-aresto kay Albert Gonzalez, isang 28-taong gulang na lalaki ng Miami, sa pinakamalaking pagkakakilanlan ng pagnanakaw sa pagkakakilanlan sa rekord. Inakusahan si Gonzalez, kasama ang dalawang mga kasamang con-co-con-Russian na hindi pa pinangalanan, na nakompromiso ang higit sa 130 milyong credit at debit card accounts mula sa iba't ibang mga target kabilang ang Heartland Payment Systems at 7-Eleven.

Habang ang Kagawaran ng Katarungan ay dapat na pinuri dahil sa matagumpay na pagsisiyasat at pagsasakdal ni Gonzalez, ang pag-aresto ay hindi 'hindi pagkakaiba' na mga account na naka-kompromiso at magagamit sa itim na merkado. Sa isang perpektong mundo ang pag-aresto ay makahadlang sa pagnanakaw ng pagkakakilanlan sa hinaharap, ngunit ito ay malamang na hindi. Ito pa rin ang halos ganap na hindi kilalang krimen na may kakayahang makabuo ng malaking kita at magiging ID na mga magnanakaw ay mas malamang na isaalang-alang lamang ang kanilang sarili nang mas matalinong at mas mahusay kaysa kay Gonzalez. Siya ay gumawa ng mga pagkakamali, ngunit hindi sila nahuli.

Kaya, kudos sa Kagawaran ng Hustisya, ngunit kailangan mo pa ring panoorin ang iyong likod at pangalagaan ang iyong mga network at data mula sa mga katulad na pag-atake. Narito ang tatlong tip upang matulungan kang protektahan ang iyong data at siguraduhin na hindi ka maging susunod na Heartland Payment Systems.

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

1. Wireless security . Ang mga wireless network ay umiiral sa karamihan ng mga negosyo sa mga araw na ito. Ang bagay tungkol sa mga network ng wireless ay nagpapahintulot sa mga empleyado na maglibot at mananatiling nakakonekta sa network, ngunit nagbibigay din sila ng pagkakataon para sa mga hindi awtorisadong gumagamit na nasa loob ng hanay ng wireless access point upang makakuha ng access din. Ang mga pag-crash ng datos sa TJX at Lowes ay parehong naging posible sa pamamagitan ng mahina o hindi umiiral na seguridad ng wireless network.

Ang mga wireless network ay dapat na ihiwalay mula sa pangunahing network upang magbigay ng dagdag na layer ng proteksyon. Ang wireless na koneksyon ay dapat na secure sa WPA o WPA2 encryption sa pinakamaliit. Mas mabuti pa kung may iba pang paraan ng pagpapatunay na ginagamit upang ma-access ang wireless network. Dapat ding magkaroon ng patakaran laban sa pag-set up ng mga hindi awtorisadong wireless network at pag-scan ng panahon upang matiyak na ang mga maling network ay hindi umiiral.

2. Compliance . Sa pamamagitan ng pagtanggap, pagproseso, pagpapadala, o pag-iimbak ng data ng transaksyon ng credit card, ang mga organisasyon na nakompromiso sa mga pag-atake na ito ay nahulog sa ilalim ng mga kinakailangan sa Data Industry Security Standards Card (PCI DSS). Ang PCI DSS ay binuo ng industriya ng credit card upang magbigay ng mga kinakailangan sa seguridad sa baseline para sa mga negosyo na may hawak na sensitibong impormasyon ng credit card.

Marami sa mga kumpanya ay nahulog sa ilalim ng iba pang mga utos sa pagsunod tulad ng Sarbanes-Oxley (SOX), o ang Gramm-Leach -Bliley Act (GLBA). Mahalaga para sa mga kumpanya na igalang ang espiritu pati na rin ang sulat ng mga kinakailangan sa pagsunod. Tandaan na ang pagkumpleto ng isang checklist o pagpasa ng pag-audit ay hindi ang mga layunin ng pagsunod. Ang layunin ay upang protektahan ang sensitibong data at mga mapagkukunan ng network. Ang paggawa ng pinakamaliit na pag-scrape sa isang pagkakasunod-sunod ng pagsunod ay maaaring mag-iwan ng ilang mga kahinaan na maaaring humantong sa kompromiso ng datos na nagmamay-ari ng reputasyon ng kumpanya at kadalasan ay mas mahal kaysa sa pagtupad.

3. Pagsisikap . Ito ang malaking isa. Ang seguridad ay isang 24/7/365 full-time na trabaho. Ang pag-lock sa wireless network at pag-develop ng isang patakaran na nagbabawal sa mga pusong network ay mahusay, ngunit paano kung may lumalabag sa patakaran at nagpapadala ng isang pusong wireless na network sa susunod na linggo? Ang pagpasa ng isang pagpapatupad ng PCI DSS audit ay mahusay, ngunit ang mga empleyado ay dumarating at pumunta, ang mga computer system ay inilalaan at na-decommissioned, at ang mga bagong teknolohiya ay ipinakilala sa network. Sapagkat ang network ay sumusunod sa oras ng pag-audit ay hindi nangangahulugan na ito ay sumusunod pa sa isang buwan mamaya.

Ang mga atake ay patuloy na nagtatrabaho upang ilantad ang mga kahinaan sa mga panlaban sa network. Ang mga tagapangasiwa ng network at seguridad ay kailangang manatili tulad ng masigasig sa pagsunod sa mga diskarte sa pag-atake at countermeasures. Higit sa lahat, kailangan mong subaybayan ang aktibidad ng pag-detect ng intrusion at pag-iwas sa sistema, mga log ng firewall, at iba pang data upang manatiling alerto para sa mga palatandaan ng kompromiso o kahina-hinalang aktibidad. Ang mas maaga ay maaari mong kilalanin at itigil ang pag-atake, ang mas kaunting data ay makakompromiso at mas magiging isang bayani sa halip na isang zero.

Si Tony Bradley ay isang seguridad ng impormasyon at pinag-isang eksperto sa komunikasyon na may higit sa isang dekada ng karanasan sa enterprise IT. Nag-tweet siya bilang @PCSecurityNews at nagbibigay ng mga tip, payo at mga review sa seguridad ng impormasyon at pinag-isang teknolohiya ng komunikasyon sa kanyang site sa tonybradley.com.