Die globale Forschung der Verluste 2008

Das analytische Zentrum InfoWatch zieht das Fazit des vergangenen Jahres und stellt die nächste globale Forschung der Zwischenfälle der inneren informativen Sicherheit vor. Das Ziel des Projektes war, jeglichen Verlust von vertraulichen Informationen (einschließlich, der Personaldaten), die in den Massenmedien im Vorjahr erwähnt wurden, zu analysieren. Es wurden die Zwischenfälle weltweit und in allen Zweigen analysiert.

In 2004 hat das analytische Zentrum InfoWatch, die Bildung der Datenbasis für Zwischenfälle begonnen. Heute enthält diese Datenbasis einige tausend Aufzeichnungen. Gerade diese Masse der Zwischenfälle hat der Forschung zu ihrem Ergebnis verholfen.

Für 2008 gibt es 530 Aufzeichnungen, Das sind wesentlich mehr, als im vorigen Jahr. Unsere Gesellschaft setzt die Bemühungen nach der Datenerfassung fort und dehnt den Kreis der verwendeten Quellen aus. Doch wird beobachtet, das die Anzahl der Aufzeichnungen auch in anderen ähnlichen Basen zunimmt..

Deshalb lautet die erste Schlussfolgerung, die man machen kann: Es ist wichtig, in der Öffentlichkeit, die Aufmerksamkeit für den Verlust von vertraulichen Informationen (besonders der Personaldaten) zu wecken..

Woher die Informationen wegfließen

Auf der folgenden Zeichnung ist die Verteilung der Zwischenfälle nach dem Typ der Organisationen vorgestellt.

rot	Die staatlichen Organe	104	19.6 %
dunkelgrün	Die kommerziellen Unternehmen	296	55.8 %
hellgrün	Die öffentlichen Vereinigungen und die Bildungseinrichtungen	127	24.0 %
grau	(nicht bestimmt)	3	0.6 %

Im Vergleich zu 2007 blieb die Verteilung überraschend stabil. Die Prozente des vorigen Jahres unterscheiden sich vom diesjährigen nicht mehr als um 1-2 Punkte. Das heißt innerhalb des statistischen Fehlers. Im vorigen Jahr konnte man im Vergleich zum vorvorigem Jahr, den kleinen Rückgang der Verluste in den staatlichen Institutionen sehen. Diese erklären wir uns von dem Anstieg, nichtstaatlicher Unternehmen, die die Personaldaten bearbeiten. Im Vorjahr, nahm man an, dieses Wachstum hat aufgehört.

Wenn man die absichtlichen und zufälligen Verluste gesondert betrachtet, so kann man sie in Art und Umfang firmenspezifisch zuordnen. Die Unterschiede sind im Rahmen des statistischen Fehlers. In diesem Zusammenhang wurde die Schlussfolgerung über die Abwesenheit der Korrelation zwischen der Absicht und dem Typ der Firma gemacht. Die entsprechenden Einzelverteilungen werden nicht erbracht.

Absicht

Auf dem nächsten Diagramm ist die Teilung der absichtlichen und zufälligen Zwischenfälle aufgezeigt.

rot	absichtliche	241	(45.5 %)
blau	zufällige	223	(42.1 %)
grau	(nicht bestimmt)	66	(12.5 %)

Es wird ein Anstieg der beabsichtigten Verluste im Vergleich zu 2007 – von 29 bis zu 45 % beobachtet. Dabei ist zu bemerken, dass in 2007 die Kategorie „nicht bestimmt“, noch fehlte. Das heißt, das reale Wachstum kann noch grösser sein.

Die Gründe dieser Menge sind vollkommen offensichtlich.

Erstens, dringen vollständig oder teilweise die vollfunktionalen DLP-Systeme (die Systeme zum Schutz vor Verlust der vertraulichen Informationen) ein. Sie haben die hohe Effektivität für den Schutz vor den zufälligen und beabsichtigten Verlusten.

Zweitens, wächst, genau wie der Wert, auch die Liquidität der Personaldaten. Der Diebstahl der Persönlichkeit (identity theft) steht ganz oben. Dieses kriminelle Business, was durch technische Vereinfachung immer leichter wird, steigt ständig. Und der Kreis der potentiell Betroffenen wird zu Lasten der Einführung neuer Bedienungsformen auf den neuen Territorien die ganze Zeit ausgedehnt. Zum Beispiel: in Russland forderte man im Jahr 2000 den Pass bei der Bezahlung mit Bankkarte. Jetzt wird soetwas nur noch in der entlegenen Provinz gebraucht. Zum Erhalt eines Kredites muss man persönlich erscheinen und, den Personalausweis (oder zwei) vorlegen. Es werden aber auch hier schon die ersten scheuen Versuche der Banken bemerkt, die Kredite in Abwesenheit zu vergeben. Im Westen ist dies schon seit langem üblich. Mit einem Wort, immer mehr Länder und Zweige machen es den Gaunern einfacher! «identity theft». Deshalb werden Personaldaten immer wertvoller und entsprechend steigt die Versuchung. Die Arbeiter sind weiterhin sorglos, teilweise sogar weniger als früher. Darum ist es nötig, ihnen identity theft und die Forderungen der Gesetzgebung zu erklären.

Die Art der Verluste

Die Aufteilung der Verlust ist nach der Art der Informationen absteigend vorgestellt. Das Geschäftsgeheimnis und Know-How (das Produktionsgeheimnis) sind in einer Kategorie, da das in der Mehrheit der Länder ein und dasselbe ist.

blau	Die Personaldaten	517	97.5 %
grün	Das Geschäftsgeheimnis, Know-How	4	0.8 %
rot	Das staatliche Geheimnis	5	0.9 %
grau	(nicht bestimmt)	4	0.8 %

Die Mitteilungen der Massenmedien vom Verlust oder der Verbreitung der Personaldaten übertreffen alle Erwartungen. Der Mitteilungen vom Verlust des Staatsgeheimnisses ist im Berichtsjahr grösser als im vorigen Jahr (5 gegen 1). Allerdings ist es auf dem Diagramm, aufgrund der hohen Anzahl an Mitteilungen schwierig darzustellen.

Wie schon in den vorherigen Berichten bezeichnet wurde, sind die Personaldaten ein aktuelles Thema. Die Informationen über ähnliche Verluste rufen eine gewisse Resonanz herbei. Mit dem Geschäftsgeheimnis (das jahrhundertelang existiert) geschah dieses bereits früher schon. Die Presse schrieb nur über die grössten oder skandalsüchtigsten Verluste. Die Personaldaten wurden früher nicht beschützt. Die internationale Konvention für ihren Schutz ist in 1981 unterschrieben, und die praktischen Masnahme wurden sogar noch später eingeführt. Solche Erscheinung wie «der Diebstahl der Persönlichkeit» (identity theft) ist im Jahr 1990 erschienen, und hat die Popularität ins 21 Jahrhundert mitgenommen. Es ist nicht verwunderlich, dass alle besorgt sind und sich besonders für die Beachtung des neuesten, «die Rechte des Menschen» interessieren.

Andererseits ist die Zahl von Informationen in den Massenmedien, über die Verluste der Personaldaten sehr groß. In der Mehrheit der Vereinigten Staaten ist es vorgeschrieben, dass bei solch beliebigem Verlust (selbst wenn das Schicksal des verlorengehenden Trägers mit den Personaldaten nicht aufgeklärt ist) der Operator verpflichtet ist, alle Subjekte – der potentiellen Betroffenen mitzuteilen. Auch der Massenversand von Briefen, durch die Webseite kann praktisch nicht unerkannt bleiben und gerät in die lokalen Zeitungen, woher die Analytiker dann ihre Informationen sammeln. Die Information bedeutet, dass der Verlust immer öffentlicht ist.

Zur Zeit wird in Britannien ein ähnliches Gesetz vorbereitet. Infolgedessen erwarten wir einen Anstieg der Meldungen aus diesem Land. Aber, solange ist die USA nach der absoluten und relativen Zahl der Verluste führend.

Die Wege der Verluste

In dem gegebenen Abschnitt wird die Statistik der Datenträger besprochen, mittels derer die Verluste geschehen. Es ist wichtig diese Kanäle zu kennen und, sie abzusichern. Es ist unmöglich das Unermessliche zu begreifen. Die Ressourcen muss man dort verbrauchen, wo die Rückerstattung maximal ist. Welche Kanäle muß man in erster Linie beachten, und welche kann man auf später verschieben?

hellgrün	Notebook oder anderer mobile Computer	103	19.4 %
dunkelgrün	Anderer transportable Träger (CD, DVD, flash drive)	30	5.7 %
rot	Das Netz (außer der elektrischen Post)	112	21.1 %
hellfliederblau	Der Tischcomputer oder der Server	40	7.5 %
dunkelgelb	Die elektronische Post und das Fax	12	2.3 %
weiß	Das Papierdokument	28	5.3 %
braun	Der Archivträger	17	3.2 %
schwarz	Anderes	15	2.8 %
grau	(nicht bestimmt)	173	32.6 %

Eigenartigerweise, bleibt der spekulative Blick auf das Problem der Verluste bei der elektronischen Post gewöhnlich stehen. Man beginnt sie in erster Linie zu verdächtigen, man beginnt sie gewöhnlich zu prüfen. Wie aus dem Diagramm sichtbar ist, ist dieses Herangehen falsch. Auf die elektronische Post fällt nur ein geringerTeil der registrierten Verluste. Es ist zweckmässiger, mit dem Schutz der Notebooks und des korporativen Web-Servers zu beginnen, da auf diesen beiden Kanälen die meisten Zwischenfälle entstehen. Erstmal ist es nötig, den Raum und die Ausrüstung vor Diebstahl zu schützen. (die Tischcomputer und Server werden machmal zusammen mit den wertvollen Daten gestohlen). Später ist das flash drive nötig, dann die Drucker und außerdem das Backup zu schützen. Und nur dann, wenn das Geld übrig ist, kann man es für die Kontrolle der elektronischen Post ausgeben.

Die Verluste durch das Netz werden ungefähr in gleiche Teile zwischen den Fällen geteilt, wenn der Web-Server (absichtlich – mit dem Hacker oder zufällig – mit dem Virus) kompromittiert war und wenn der Arbeiter den allgemeinen Zugriff auf die vertraulichen Informationen zufällig geöffnet hat.

Das Prozent der Verluste durch die mobilen Datenträger und die Notebooks (diese zwei Kategorien kann man gemeinsam betrachten) ist mit– 25 % gegen 39 % im vorhergehenden Jahr wesentlich gesunken.

Der Anteil der Verluste durch das Netz ist auch gesunken, aber es ist unbedeutend – 21 % gegen 25 %.

Dafür ist die Kategorie „nicht bestimmt“ stark gewachsen ist, wo der Datenträger unbekannt ist – von 12% bis zu 32 %. Leider, verringert der Anstiegl der Informationen ihre Qualität unvermeidlich. Viele Berichte von den Zwischenfällen sind ohne interessante Einzelheiten geschrieben, es darf jedoch, nicht solche unvollständigen Daten zurückwerfen.

Andere Kategorien haben sich im Vergleich zum vorhergehenden Jahr schwach geändert.

Es wird interessant sein, auf den Unterschied zwischen den zufälligen und absichtlichen Verluste zu blicken. Wir werden für diese zwei Kategorien die ähnlichen Verteilungen aufbauen.

Die absichtlichen Verluste

hellgrün	Notebook oder anderer mobile Computer	37
dunkelgrün	Anderer transportable Träger (CD, DVD, flash drive)	5
rot	Das Netz (außer der elektrischen Post)	48
hellfliederblau	Der Tischcomputer oder der Server	16
dunkelgelb	Die elektronische Post und das Fax	0
weiß	Das Papierdokument	2
braun	Der Archivträger	0
schwarz	Anderes	12
grau	(nicht bestimmt)	121

Die zufälligen Verluste

hellgrün	Notebook oder anderer mobile Computer	40
dunkelgrün	Anderer transportable Träger (CD, DVD, flash drive)	21
rot	Das Netz (außer der elektrischen Post)	56
hellfliederblau	Der Tischcomputer oder der Server	17
dunkelgelb	Die elektronische Post und das Fax	11
weiß	Das Papierdokument	21
braun	Der Archivträger	11
schwarz	Anderes	3
grau	(nicht bestimmt)	43

Wollen Sie bitte zugeben, der Unterschied ist sehr wesentlich.

Erstens kann man im „zufälligen“ Diagramm die volle Abwesenheit von zwei Typen der Datenträger – der elektronischen Post und der Archivbande beobachten.

Wie leicht zu erraten ist, ist die elektronische Post leichter als andere Kanäle zu kontrollieren (sie hat das einfache Protokoll, die eigenen «Umschlagknoten» und die Unempfindlichkeit als Verzüge). Wobei, man die Perlustration sogar ohne spezialisierte Software veranstalten kann. Der Übeltäter sollte es berücksichtigen.

Das Fehlen böswilliger Taten mit Reserveträgern können wir nur so erklären, dass die Übeltäter in diesem Jahr kein Glück gehabt haben – alle Sicherungskopien sind gut verborgen, ja sind noch verschlüsselt. Oder im Gegenteil, sie haben Glück gehabt, und niemand hat den Zwischenfall erkannt.

Papierdokumente werden gemäß unseren Information eher selten absichtlich gestohlen.Diese werden öfter verloren oder unbeabsichtigt und sorglos in den Müll geworfen, woher der minuziöse Journalist oder der gesellschaftlich aktive Mensch sie später herauszieht.

Zweitens, die Kategorie „der Träger ist nicht bestimmt“ dies betrifft hauptsächlich die absichtlichen Verluste. Dort ist es nötig, diese Formulierung buchstäblich zu verstehen – der Untersuchung (bis jetzt) misslang es, festzustellen, welcher Weg hat den Verstoß begangen. Betreffend die zufälligen Verluste, bedeutet der graue Sektor auf dem Diagramm gewöhnlich, dass in der Mitteilung der Massenmedien die entsprechenden Einzelheiten gesenkt waren.

Auch wird die Kategorie „anderes“ hauptsächlich mit den absichtlichen Verluste kombiniert. Zu dieser Kategorie gehören die Fälle hauptsächlich, wenn der bevollmächtigte Arbeiter die vertraulichen Informationen im eigenen Kopf trägt.

Drittens, muss man bemerken, dass die mobilen Datenträger die Informationen als Flash-Speicher öfter zufällig verloren gehen, als dass sie böswillig gestohlen werden, Wenn in Ihrer Wirtschaft solche Speicher verwendet werden, muss man sich in erster Linie im Falle ihres absichtslosen Verlustes sichern.

Das Zwangverschlüsseln der mobilen Datenträger wird über beider Arten der Verluste schützen. Übrigens, wenn die Informationen auf dem verlorenen Datenträger verschlüsselt waren (und es ist "nicht einfach mit der Parole geschützt»), so wird dieser Fall nicht als Zwischenfall angenommen und hier auch nicht berücksichtigt.

Aus dem Vergleich zweier Diagramme wird gefolgert, dass der Schutz der elektronischen Post, des Druckers, der Reserve- und transportablen Datenträger hauptsächlich für die Verhinderung der zufälligen, das heißt, absichtslosen Handlung und Fehler des Personals vorbestimmt ist.

Geografie der Verluste

Die unten genannte Daten spiegeln nicht so viel die Verteilung der Verluste durch die Länder, wie die Öffentlichkeit wider. In den USA ist die Information über die Verluste der Personaldaten obligatorisch. Diesem Weg beabsichtigt auch Großbritannien zu gehen. Großbritannien, sowie das ideologisch nahe Kanada verhalten sich zum Schutz der Personaldaten bebend, deshalb ist die Stufe der Latenz in diesen Ländern wesentlich niedriger.

Die spezifische Zahl der Verluste in den USA und anderen Ländern vergleichend, kann man über die verborgenen Verluste, die dem breiten Auditorium ( es ist möglich, und dem Operator) unbekannt wurden, richten.

Land	Zahl der Verluste	Anteil	der Verluste auf Million der Bevölkerung
USA	423	79.81 %	1.444
Großbritannien	54	10.19 %	0.896
Irland	4	0.75 %	0.667
Kanada	10	1.89 %	0.308
Norwegen	1	0.19 %	0.208
Australien	3	0.57 %	0.151
Deutschland	7	1.32 %	0.085
Korea	4	0.75 %	0.082
Chile	1	0.19 %	0.064
Russland	6	1.13 %	0.042
Italien	2	0.38 %	0.034
Polen	1	0.19 %	0.026
Frankreich	1	0.19 %	0.017
China	3	0.57 %	0.002
Indien	2	0.38 %	0.002
(nicht bestimmt)	3	0.57 %

Man beachte die Fülle der Datenerfassung. Wenn wir in den vorhergehenden Berichten meistens ein Verlust pro Jahr auf eine Million der Bevölkerung registrierten, so haben wir heutzutage ein Verhältnis von 1,4 erreicht. Wir meinen, dass wir nach dem Betätigen der zusätzlichen Quellen die Fülle der Daten noch ein bißchen vergrössern können.

Es ist kein Geheimnis, dass der bedeutende Teil der Verluste der vertraulichen Informationen vom Publikum verborgen ist, besonders wenn in der Sache nur eine Organisation teilnimmt. Wenn einige Organisationen in der Sache teilnehmen, können sie wünschen, die Verantwortung aufeinander umzulegen, und als Folge solchen Streites können die Tatsachen bekannt gemacht werden.

Die größten Verluste

Die in 2008 bekanntgewordenen Verluste, wurden als niedriger beschrieben. (das heißt die grössten oder berührenden, wichtigsten Informationen). Nach der Zahl der Personaldaten können sie der allgemeinen Bevölkerung des Landes gegenübergestellt sein.

• Auf dem schwarzen Markt Deutschlands sind im Verkauf die Daten 21 Millionen Deutscher erschienen. Die Journalisten konnten die riesige Basis für 12 Millionen Euro kaufen. Die Basis enthielt die Namen, die Adressen, die Rufnummern, die Geburtsdaten, die Nummer der Bankkonten. Aller Wahrscheinlichkeit nach, waren die Daten aus dem Call-Zentrum einer Bank gestohlen.
• «Deutsche Telecom» verlor 17 Millionen Daten. Die gestohlene Datenbank der Kunden befand sich auf dem Archivträger und nahm die Namen, die Adressen, der Händynummer, die Geburtsdaten, sowie die Adresse elektronischer Post auf. Die Gesellschaft hat erklärt, dass in der Datenbank keine Finanzinformationen waren.
• In Britannien auf der Haltestelle haben „flash drive“ mit den geheimen Daten – die Namen und die Parolen für das Regierungs-Computersystem gefunden. Die verlorene Speicherkarte ermöglichte jedem, der sie findet, den Zugriff auf die persönlichen Informationen von 12 Millionen Menschen zu bekommen.
• Die Polizei Koreas hat vier Menschen verhaftet, diese Menschen wurden des Raubes der persönlichen Daten, von 11 Millionen Menschen aus der Gesellschaft „GS Caltex“ beschuldigt, Zwei der Verhafteten sind die Angestellten dieser Gesellschaft. Einer der Beschuldigten hatte den Zugriff auf die Datenbank in die dienstlichen Lager, mit seiner Hilfe haben die Übeltäter die Daten abgeschrieben, und später versuchten, sie zu verkaufen.
• Die italienische Regierung hat in «den Stoß der Verbesserung der Durchsichtigkeit» auf einer der staatlichen Webseiten die Namen, die Adressen, der Nachrichten über die Einkommen und den Steuerstatus aller Bürger Italiens veröffentlicht. Aber die Daten wurden 24 Stunden nach der Veröffentlichung, von der Webseite, wegen der Klagen der italienischen Organisation nach dem Schutz des Geheimnisses des Privatlebens doch entfernt.
• In Indien, ist der größte im Land bekannte Diebstahl der vertraulichen Daten über 8,5 Millionen Menschen festgelegt. Der Besitzer der Gesellschaft der Fremdvergabe der Geschäftsprozesse wird des Diebstahles der vertraulichen Informationen aus der Gesellschaft der USA, die er bediente, und des Verkaufs dieser Basis den konkurrierenden Gesellschaften beschuldigt.
• Die unbekannten Hacker haben den Server der Gesellschaft «Best Western Hotel group» aus USA aufgebrochen und haben die ausführlichen Personaldaten (einschließlich die Nachrichten über die Bankkarten) 8 Millionen Kunden der Hotels weggenommen. Die Massenmedien sind dabei, dieses Verbrechen als die gemeinsame Operation der indischen Hacker und der russischen Mafia zu erklären.
• Der Hacker konnte die Daten über 6 Millionen Bürger Chiles stehlen und hat sie im Internet veröffentlicht. Die Daten waren aus den Servern des Bildungsministeriums weggenommen. Sie enthielten die Identifizierungsnummern, die Rufnummern, die häuslichen und elektronischen Adressen und die Nachrichten über die Bildung der Bürger.
• Die Billinggesellschaft „CheckFree“ hat erzwungen, 5 Millionen Kunden über den Verlust zu benachrichtigen und, diesen Kunden das Finanzmonitoring zu bezahlen. Die Übeltäter, die die Daten DNS ausgewechselt hatten, konnten die Besucher auf die falsche Webseite umleiten und im Laufe von 9 Stunden bekamen sie Daten über die Bankkarten und die Transaktionen.
• Die Gesellschaft, die für die Bank „Bank of New York Mellon“ arbeitet, hat das magnetische Reserveband mit den Daten über die Nummern der Sozialversicherung und der Bankkonten 4,5 Millionen Kunden der Bank verloren.
• Wenn wir die Zahl der Aufzeichnungen der Personaldaten anzuschauen, so sind für das Berichtsjahr einige Dutzend millionenfache Verluste geschehen. Es wurden auch die kleinen Verluste, in 1, 2, 3 Aufzeichnungen berücksichtigt. Der mittlere Umfang des Ausfließens bildet 336 Tausende Aufzeichnungen.

Die Schlussfolgerungen

1. Die Aktualität des Themas über die Verluste der vertraulichen Informationen (insbesondere der Personaldaten) ist nach wie vor hoch. Sogar in jenen Ländern, wo der Diebstahl der Persönlichkeit erschwert ist (wie zum Beispiel in Russland). In diesem Zusammenhang dringen sich die DLP-Systeme ein, es wird die obligatorische Information der Betroffenen über die Verluste eingeführt, es werden andere Maßnahmen ergriffen.

2. Die Zahl der persönlichen Daten der Bürger der entwickelten Länder, die sich in Umlauf auf dem schwarzen Markt befinden, ist zur allgemeinen Einwohnerzahl in diesen Ländern vergleichbar. Die Wahrscheinlichkeit von solchem Ausfließen genügend wesentlich für einen beliebigen Bewohner zu leiden. Es ist unmöglich die Vertraulichkeit der Personaldaten zu garantieren. Doch gibt es die befriedigende Praxis des Kampfes mit den Folgen der Verluste, der Minimierung des Schadens von ihnen.

3. Die wichtigste Bresche im Schutz vor den Verluste ist die Abwesenheit des Verschlüsselns der mobilen Datenträger und der mobilen Computer. Dazu, diese Bresche zuzumachen ist als andere billiger, es ist genügend die Zwangsverschlüsseln der mobilen Datenträger einzuführen. Viele Organisationen, die Benutzer und die Produzenten der Ausrüstung haben sich nach diesem Weg schon bewogen, aber das Verschlüsseln wird die wesentliche Erfassung nicht bald erreichen.

4. Die staatliche Regulierung auf dem vorliegenden Gebiet geht nach den Wegen des Kampfes mit den Folgen der Verluste. Die Hauptweise – die Information der potentiellen Betroffenen und die Einleitung für sie des Finanzmonitorings.