Upplýsingaleki er þegar trúnaðarupplýsingar komast í hendur óviðeigandi aðila. Slíkt getur gerst af ýmsum ástæðum, hvort heldur sem er viljandi eða óviljandi, af völdum innri eða ytri aðila og óháð því hvort upplýsingar séu á rafrænu formi eða ekki.
Trúnaðarupplýsingar geta verið af mörgu tagi, svo sem viðskiptaáætlanir eða persónuupplýsingar. Upplýsingaleki getur haft óæskilegar afleiðingar í för með sér, svo sem beint fjárhagslegt tjón, lögsóknir eða skaðað orðspor.
Hvernig er hægt að bregðast við þessum áhættum á skilvirkan og markvissan hátt? Þegar búið er að skilgreina hvaða upplýsingar séu trúnaðarmál þarf að huga að því hvar þær eru geymdar, hvernig þær eru fluttar á milli staða, hverjir og hvernig þær eru notaðar. Notkun upplýsinga er orðin fjölbreyttari með aukinni útbreiðslu fjarvinnu og stóraukinni notkun á spjaldtölvum og snjallsímum.
Byggt á áhættumati og eftir greiningu á geymslu, flutningi og notkun upplýsinga þarf að grípa til viðeigandi úrbóta til að bregðast við þeim áhættum sem taldar eru óásættanlegar. Slíkar úrbætur geta verið af ýmsu tagi og ekki allar tæknilegar.
Huga þarf að þætti þeirra einstaklinga sem koma að geymslu, notkun eða flutningi upplýsinga auk þess að þeir hafi þau úrræði sem nauðsynleg eru til að meðhöndla trúnaðarupplýsingar á öruggan hátt.
Að mörgu er að hyggja til að takmarka áhættu vegna upplýsingaleka. Velja þarf réttu úrræðin til að verja fjármunum á sem hagkvæmastan hátt. Nauðsynleg forsenda þess er greining á gagnaflæði trúnaðarupplýsinga og áhættumat til að forgangsraða aðgerðum. Varasamt getur verið að innleiða öryggisúrræði án slíks undirbúnings þar sem illa ígrunduð öryggisúrræði geta valdið því að notendur fari að leita nýrra og óöruggari leiða til að komast hjá þeim öryggisúrræðum sem eru til staðar.
Tryggvi R. Jónsson, CISA
Höfundur er liðsstjóri Áhættuþjónustu Deloitte á Íslandi
og sérfræðingur í upplýsingaöryggi.
