Zgłosiłbym to.

Nie ukrywaj swojej tożsamości, nie ma sensu. Jeśli Twoja firma zapyta Slacka, Slack prawdopodobnie powie im, kto uzyskał dostęp do tego pliku. I tak wszystko jest w dziennikach. To tylko kwestia tego, czy ktoś je czyta. Osobiście nawet nie rozumiem twojej potrzeby ukrywania swojej tożsamości. Nie zrobiłeś nic złego.

W każdym razie lepiej być tym, który uzyskał dostęp do pliku i zgłosił naruszenie, niż ten, który uzyskał dostęp do pliku, ale niczego nie zgłosił.

W zależności od lokalizacji Twojej firmy istnieją pewne zasady i przepisy dotyczące prywatności, które mogą nakładać obowiązek ochrony danych osobowych.

Poza tym informacje takie jak te, które wymieniasz, mogą pomóc potencjalnemu konkurentowi w dostosowywaniu ofert ekonomicznych do zwabić pracowników do odejścia z firmy.

Myślę, że powinieneś zgłosić wyciek, a jeśli obawiasz się, że Twoje imię i nazwisko nie będzie się w tej historii, są na to sposoby (fałszywe konto e-mail, podpisana poczta papierowa itp.).

Powinieneś natychmiast zgłosić to każdemu w Twojej organizacji, który jest odpowiedzialny za ochronę danych.

Niestety, nie określasz swojej jurysdykcji, więc odpowiem w mojej jurysdykcji.

W mojej jurysdykcji każda firma powyżej pewnego rozmiaru musi mieć wyznaczonego inspektora ochrony danych. (Jeśli więcej niż 10 pracowników rutynowo przetwarza dane osobowe w formie elektronicznej). Ten inspektor ochrony danych musi mieć możliwość raportowania bezpośrednio do dyrektora generalnego, a jego niezależność musi być zagwarantowana. Na przykład. nie można ich zwolnić ani ukarać za poinformowanie władz o naruszeniach danych w firmie.

Powinieneś natychmiast zgłosić to swojemu IOD. Możesz to zrobić anonimowo (ponownie IOD jest chroniony przed naganą za nieujawnianie źródła).

Z kolei Twoja firma jest prawnie zobowiązana do zgłoszenia tego w ciągu 72 godzin swojemu IOD, zwykle urzędnikowi rządowemu lub organowi ścigania, w przeciwnym razie grozi im wysokie grzywny.

Dotyczy to tylko danych umożliwiających identyfikację, o których mówiłeś. Jeśli chodzi o dane finansowe, które wyciekły, mogą istnieć inne prawa i zasady, które również zostały naruszone.

Nic nie tracę, jeśli tego nie zgłaszam, i mogę coś stracić, jeśli to zrobię

Możesz mieć coś do stracenia, jeśli tego nie zgłosisz…

… ale później robi to ktoś inny. Jeśli po zgłoszeniu następuje audyt, Twoje imię i nazwisko może pojawić się na liście osób, które pobrały plik. W rezultacie mogą pojawić się pytania dotyczące tego, co zrobiłeś z plikiem podczas pobierania i dlaczego go nie zgłosiłeś.

Oczywiście nie jest to takie poważne, chyba że istnieje dowód, że masz używał danych z tego pliku i jeśli dotknąłeś go tylko raz, możesz wymyślić coś w rodzaju „Przypadkowo kliknąłem niewłaściwy plik i usunąłem go bez czytania, kiedy zdałem sobie sprawę z błędu”.

Ale dlaczego wymyślić kłamstwo, kiedy możesz zrobić coś, czego się od ciebie oczekuje, czyli zgłosić to od razu?

Osobiście zgłosiłbym to.

Pomyśl o tym w ten sposób.

Gdyby to były TWOJE dane, co byś chciał, gdyby ktoś wiedział, że wyciekły TWOJE dane.

Odkryłem, że pracownik, którego już z nami nie ma, przesłał do Slacka gigantyczny plik Excel zawierający informacje HR. Plik jest dostępny dla każdego w naszym Slacku i zawiera imiona i nazwiska wszystkich obecnych i byłych pracowników, ich dane kontaktowe, imiona i nazwiska, którzy mają opcje na akcje, uprawnienia do urlopu rocznego, historię kadrową i różne informacje na ich temat, ale nie szczegóły dotyczące wynagrodzenia. Plik jest w jakiś sposób tam i można go znaleźć podczas wyszukiwania, ale nie jest dołączony do żadnej wiadomości ani opublikowany na żadnym kanale (nie wiem, jak to działa).

Czy mam powiedzieć o tym naszemu dyrektorowi ds. Technologii?

Tak, powinieneś poinformować o tym CISO lub CTO na piśmie.

W branżach, w których pracowałem, opcje na akcje podlegają wynagrodzeniu kadry zarządzającej, a wynagrodzenie dyrektorów jest klasyfikowane jako dane o dużej wartości .

Klasyfikacja o wysokiej wartości obejmuje fuzje i przejęcia, toczące się postępowania sądowe, wynagrodzenie kadry kierowniczej, raporty z wyników firmy, takie jak niewydane dokumenty SEC itp.

Dane pracowników są zwykle klasyfikowane jako średnie lub niskie dane. Dane obejmują imię i nazwisko, numer telefonu, numer ubezpieczenia społecznego itp.

I aby dodać zwrot akcji, Slack może szyfrować dane w taki sposób, że tylko Twoja firma może je odszyfrować, więc może nie być zewnętrzny wyciek w ogóle. (Nie znam Slacka i nie przeprowadziłem oceny jego bezpieczeństwa, więc nie mogę powiedzieć, co robi).

Firmy bardzo dbają o to, czy dane o wysokiej wartości zostaną utracone lub wyciekną z powodu potencjalne szkody finansowe i reputacyjne dla firmy, zwłaszcza w środowiskach regulowanych, takich jak US Financial. W Stanach Zjednoczonych firmom nie zależy tak bardzo, jeśli wyciekną numery PESEL lub numery kont bankowych, ponieważ istnieje niewielkie ryzyko związane z ich utratą. Nawet utrata danych dotyczących opieki zdrowotnej to żart, ponieważ HIPPA sztucznie nakłada małe ograniczenia na działania regulacyjne.

Nie wiem, co dzieje się w Azji, UE lub innych krajach i regionach.

Pamiętaj, że w Stanach Zjednoczonych ryzyko jest demokratyzowane poprzez przenoszenie strat na posiadaczy akcji, a wynagrodzenie jest sprywatyzowane poprzez premie kierownicze. Większość utraty danych nie ma istotnego wpływu na firmę ani kierownictwo. Zepchnęli ryzyko na akcjonariuszy, subskrybentów i konsumentów, których dane zostały utracone.

Nie mam wiarygodnego wyjaśnienia, w jaki sposób znalazłem ten plik (tak, grzebałem naszego Slacka w weekend, aby zobaczyć, co uda mi się znaleźć)

To naprawdę nie ma znaczenia. Znalazłeś to [miejmy nadzieję] przed złym aktorem. Wątpię, czy ktokolwiek będzie cię za to winił.

Ponadto jesteśmy dość małą firmą (mniej niż 200 osób), więc nie mamy żadnych oficjalnych opublikowanych zasad w związku z którymkolwiek z nich.

Tak, jest to dość typowe dla małych firm i firm.

Jest to luka w zasadach i procedurach Twojej firmy, a dyrektorzy muszą zaadresuj to. Dopóki kierownictwo nie zdecyduje się temu zaradzić, najlepiej, jak możesz zgłosić incydent dyrektorowi ds. Bezpieczeństwa, dyrektorowi technicznemu lub innemu kierownictwu.

Jeśli jesteś zainteresowany, w US Financial pracowałem jako architekt bezpieczeństwa zagrożone. Byłem odpowiedzialny za ocenę systemów wewnętrznych i systemów dostawców (i propozycji dostawców).

Zrobiliśmy trzy lub cztery rzeczy:

1. Sklasyfikuj dane zgodnie z polityką i procedurami firmy
2. Przeprowadź ocenę bezpieczeństwa w systemie, upewniając się, że system może obsługiwać dane zgodnie z polityką i procedurami firmy.
3. Zaproponuj sugerowane zmiany, aby mieć pewność, że dane są obsługiwane zgodnie z polityką i procedurami firmy

Czasami sprzedawca odmawiał dostosowania systemu do zasad i procedur firmy. W tym przypadku kierownik sponsorujący inicjatywę mógłby powiedzieć „Nie obchodzi mnie to, i tak chcę” . Jeśli dyrektor tak powiedział, system i jego ocena bezpieczeństwa zostały przesłane do Komitetu Ryzyka w celu przeprowadzenia szczegółowej analizy kosztów i korzyści i ustalenia, czy firma powinna zmienić moją decyzję. Komisja ds. Ryzyka miała ostatnie słowo w tej sprawie.

Projekty, które sprawiły mi najwięcej trudności, to aplikacje „Board Pad” , jak je nazwałem. Każdy dyrektor chciał zrezygnować z papieru i umieścić na swoich iPadach firmowe interesy na zebrania zarządu. Oczywiście, ponieważ byli członkami zarządu, chcieli zajmować się fuzjami i przejęciami, toczącymi się postępowaniami sądowymi, wynagrodzeniami kadry kierowniczej, raportami z wyników firmy. Wszystko chronione 4-cyfrowym kodem PIN, ponieważ programista chociaż uwierzytelnienie Apple było wystarczające. Ech ...

Tak, i proszę zrób to anonimowo.

Innymi słowy, nic nie tracę, jeśli tego nie zgłaszam, i mogę coś stracić, jeśli to zrobię.

Zdecydowanie powinieneś rozważyć zgłoszenie się do zainteresowanych osób (CTO, HR) i zrobić to anonimowo. Na Slacku można usunąć wiadomość. Jeśli te informacje dotrą do właściwych osób, mogą poprosić autora o ich usunięcie. (Nie jestem pewien, czy administrator Slacka ma również uprawnienia do usuwania / maskowania wiadomości).

Wydaje się, że nie mamy metody anonimowego zgłaszania rzeczy.

W dzisiejszych czasach uzależnienia od urządzeń i usług cyfrowych całkowicie zapominamy o prostocie dawnych czasów. Po prostu pisz anonimowe ślimaki pocztowe do zainteresowanych osób :) Nie pisz tego ręcznie, pisz i drukuj, aby zamaskować jakąkolwiek próbę rozpoznania pisma ręcznego. Ma nawet tę zaletę, że wiadomość cyfrowa może zagubić się w hałasie, ale zwykła poczta jest pewnym sposobem na przyciągnięcie uwagi, ponieważ otrzymywanie takiej wiadomości jest coraz rzadsze.

Czy powinienem powiedzieć o tym naszemu dyrektorowi technicznemu?

Powinieneś powiedzieć komuś z kierownictwa, niezależnie od tego, czy jest to dyrektor techniczny, Twój bezpośredni przełożony czy ktoś inny.

Z drugiej strony nie mam wiarygodnego wyjaśnienia, w jaki sposób znalazłem ten plik (tak, szperałem w naszym Slacku w weekend, aby zobaczyć, co mogę znaleźć). Myślę też, że cokolwiek powiem w przyszłości, ludzie usłyszą to z myślą „och, ten facet miał dostęp do naszych danych o zatrudnieniu” z tyłu głowy.

To naprawdę nie ma znaczenia, w jaki sposób go znalazłeś i nie widzę sensu w ujawnianiu faktu, że znalazłeś go, kiedy „grzebałeś” w okolicy. Jeśli to było w Twojej firmie Slack, to nie było wystarczająco zabezpieczone ani monitorowane. Jeśli w Twojej firmie są inne rzeczy tego rodzaju i jeśli „natknąłeś się” na nie w Slacku, to wadą jest implementacja, a nie to, że je znalazłeś. Nie rozumiem, dlaczego myślisz, że ujawnienie tego miałoby dla Ciebie negatywne reperkusje.

Innymi słowy, nic nie tracę, jeśli tego nie zgłaszam, i mogę coś stracić, jeśli to zrobię . Wydaje się, że nie mamy metody anonimowego zgłaszania rzeczy.

Ponownie, nie rozumiem, dlaczego miałbyś się bać ujawnienia tego. Nie zrobiłeś nic złego. Odkryłeś informacje, których nie należy ujawniać. To nie twoja wina. Chyba że nie opowiesz nam całej historii. Jeśli faktycznie "zhakowałeś" swoją firmę Slack (zabezpieczony kanał przeznaczony dla HR lub coś w tym rodzaju), powinieneś obawiać się pewnych reperkusji.

Poza tym jesteśmy dość małą firmą (mniej niż 200 osób), więc nie mamy żadnych oficjalnych opublikowanych zasad dotyczących tego wszystkiego.

Nie ma znaczenia, jak duża lub mała jest Twoja firma, ani czy masz określone zasady dotyczące tego typu informacji. Jeśli te informacje podlegają jakimkolwiek przepisom dotyczącym prywatności, może to stanowić naruszenie tych przepisów.

Zgłoś to.

W świetle tych informacji, nikogo nie będzie obchodzić, że kręcisz się po Slacku; jeśli administratorzy systemów wykonują swoją pracę, grzebanie w tym miejscu nie byłoby powodem do niepokoju, ponieważ powinno się odmówić dostępu do czegokolwiek, czego nie było w Twojej domenie, że tak powiem.

Jeśli cokolwiek, to będzie wyglądać gorzej, jeśli tego nie zgłosisz, ponieważ stwarza to możliwość, że mogłeś próbować wykorzystać te informacje dla własnego zysku. Przynajmniej pojawi się pytanie, dlaczego uzyskiwałeś dostęp do tego pliku bez wywoływania alarmu. Innymi słowy, nie będziesz już wyglądać jak niewinny obserwator.

Kolejna kwestia do rozważenia, którą omówię z historią dotyczącą bardzo podobnej sytuacji, w której znalazłem się u poprzedniego pracodawcy.

Szukałem w naszej sieci czegoś (co nie miało nic zrobić z tym, co znalazłem), wyszukując w wierszu poleceń za pomocą wyrażenia regularnego. Nawet nie pamiętam, czego szukałem, ale znalazłem plik, który w jakiś sposób pasował do wyrażenia regularnego, który był arkuszem kalkulacyjnym zawierającym wszystkie stawki wynagrodzenia firmy, a także ich stawkę opłat (co firma naliczyła klientom za nasz czas) i inne dane, których ujawnienie jest mało prawdopodobne.

To były bardzo interesujące dane, ale czułem się winny, że znalazłem i przejrzałem plik. Problem polegał na tym, że po prostu nie było zbyt wielu osób w firmie, które mogłyby znaleźć plik (patrząc), ale to nie było tak, że był chroniony przez listy ACL lub cokolwiek innego, po prostu znajdował się w sieci współdzielonej dysk bez żadnej szczególnej ochrony (nawet nie tylko do odczytu lub chroniony hasłem).

Przez chwilę zadręczałem się, czy powiedzieć mojemu przełożonemu, ponieważ nie chciałem, aby myśleli, że węszę, ale w końcu mu o tym powiedziałem. Wyraz jego twarzy, kiedy pokazałem mu plik, był imponujący, najwyraźniej nie miał pojęcia, że ​​takie informacje są swobodnie dostępne dla każdego, kto ma dostęp do tego udziału (wszyscy w firmie). Poczułem się lepiej, mówiąc mu o tym (chociaż zwolniłby mnie kilka miesięcy później wraz z grupą innych ludzi, ale nie sądzę, że są spokrewnieni). Zaproponowałem, że pomogę naszemu działowi IT wypełnić lukę, którą znalazłem, ale nigdy nie otrzymałem od nich odpowiedzi.

Tak więc mijają kolejny miesiąc lub dwa i zdaję sobie sprawę, że znaleziony plik nie był w najmniejszym stopniu unikalny (wiedziałem, jaka jest jego nazwa, więc kiedy później zobaczyłem podobny plik, rozpoznał, co to było). Umieścili dokładnie ten sam plik w każdym katalogu zadań, były tam dosłownie tysiące kopii tego samego pliku. Moje cierpienie było całkowitą stratą czasu, nie tylko pliki były całkowicie niezabezpieczone, ale były wszędzie, czasami w wielu kopiach w tym samym katalogu zadań.

Chodzi o to, że ten gigantyczny arkusz kalkulacyjny, który został przesłany, mógł mieć wiele-wiele-wielu rodzeństwa, które nie są Ci znane i zgłoszenie tego może nie być warte Twojego czasu.

Nie zalecam, abyś go ignorował, ale pomyśl, że może być więcej do historii niż wiesz.

Jest wiele świetnych odpowiedzi, które już teraz sugerują zgłoszenie tego niewłaściwego ujawnienia danych i Całkowicie się zgadzam . Wydaje się, że martwisz się o właściwe bezpieczeństwo danych, co jest świetne, ponieważ każdy w firmie ma do odegrania rolę w zabezpieczaniu aktywów firmy. Nie jestem pewien Twojej roli w firmie lub jej kulturze , ale jeśli kierownictwo (np. CISO, CTO itp.) jest zainteresowane opiniami, moja odpowiedź na to pytanie powinna być pomocna.

Zaproponuj dokument firmowy, zatwierdź i poinformuj wszystkich użytkowników końcowych, którzy będą mieć dostęp do danych firmy , o zasadach ochrony takich danych. Aby złagodzić przyszłe scenariusze, takie jak ten, w którym się teraz znajdujesz, należy oczekiwać od pracowników metod zgłaszania incydentów bezpieczeństwa, a niewłaściwe ujawnienie z pewnością byłoby incydentem.

Ponadto nie wydaje się, aby uzyskać dostęp jest odpowiednio monitorowany. Rozumiem, że Twoja firma jest mała, ale zarządzanie dostępem będzie ważniejsze w miarę rozwoju firmy. Doskonałą praktyką do przyjęcia byłaby zasada najniższego uprzywilejowanego dostępu , tak aby pracownicy / dostawcy / stażyści, którzy potrzebują dostępu do wykonywania swojej pracy , mieli dostęp.

200 pracowników jest na tyle dużych, że jestem zszokowany, że nie istnieje żadna polityka. Moim ostatnim pracodawcą było około 50-cio osobowe stowarzyszenie non-profit i miałem podobną sytuację. Brak zasad, najlepszych praktyk, nic udokumentowanego, zero spójności. Każdy, kto chciał nas zaatakować, prawdopodobnie mógł to zrobić bez oporu.

Przejąłem to i zacząłem opracowywać zasady, którymi chciałbym podzielić się z moim szefem, który był wiceprezesem ds. IT. Technicznie rzecz biorąc, zostałem zatrudniony, aby skupić się na zarządzaniu stroną internetową firmy, ale ostatecznie zająłem się prawie wszystkim w dziale IT. Ludzie byli bardzo zszokowani wrażliwością naszych systemów i nigdy nie brali pod uwagę wielu zagrożeń. Nikt nigdy nie pytał, dlaczego tak dużo wiem na ten temat, ale mój szef zawsze chciał usłyszeć odpowiedzi. Nasz sysadmin wdrożył narzędzia monitorujące na naszym serwerze e-mail, aby wykryć i zablokować przesyłanie danych osobowych, co pozwoliło nam zaoszczędzić co najmniej jednego incydentu, w którym pracownik próbował wysłać do siebie wszystkie dane dotyczące płatności, aby mogła przetwarzać listy płac podczas pracy w domu.

Jest to okazja do przejęcia władzy i bycia liderem, jeśli chcesz to zrobić. Rozumiem twoje obawy; Byłem w firmach, które kierowały się odchyleniem od odpowiedzialności i obwinianiem innych, pomimo naszych „zwinnych” procesów. Wybrałem osobę, której zgłosiłem się bardzo ostrożnie i skończyłem ponad moim bezpośrednim przełożonym, ponieważ tak naprawdę zależało mu tylko na problemach, które w żaden sposób do niego nie wracały, a ja musiałbym spędzać godziny na szczegółowym wyjaśnianiu rzeczy, aby mógł spróbować samodzielnie zarządzać sobą bezpieczeństwo. Jeśli jesteś w środowisku, w którym obawiasz się, że możesz zostać ukarany za właściwe postępowanie i ulepszanie firmy, nie znajdujesz się w zdrowym miejscu pracy i powinieneś rozważyć wkrótce odejście.

w podręczniku pracownika, zawierającym wszelkie istotne informacje, przygotuj pisemne oświadczenie i dyskretnie przedstaw sprawę przełożonemu, któremu ufasz.