¿Es el rechazo de la escritura a USB realmente una forma eficiente de evitar la fuga de datos?

Además de lo que ha dicho Iserni, las tarjetas de memoria en estos días pueden contener grandes cantidades de datos.

Cambiar 64GB de datos confidenciales a un proveedor en la nube puede llevar mucho tiempo y puede activar reglas de firewall configuradas para buscar cargas excesivas. En cualquier caso, las subidas serán registradas.

La descarga de 64 GB en una memoria USB3 será mucho más rápida y no se acercará a ningún firewall de la empresa. Cuando la tarjeta de memoria está llena, simplemente se puede deslizar en un bolsillo. La compañía ni siquiera sabrá qué se ha hecho hasta que los datos se usen contra ellos o sus clientes.

En muchos casos, esta política se combina con el uso de algún tipo de censor para bloquear el acceso a una lista conocida de proveedores de almacenamiento en la nube y sitios de correo web, junto con el bloqueo de los puertos para ftp (y la transferencia de archivos a través de IM).

Por supuesto, es lo suficientemente simple como para desarrollar su propia solución: tuve un servidor ftp ejecutándose en el puerto 80 en casa por unos días una vez; el webmail de mi proveedor de alojamiento no es ampliamente conocido; y estoy seguro de que hay soluciones disponibles para permitir la carga a través de http. Como usted dice, el uso corporativo de GitHub es una preocupación (aunque muchos empleadores lo desconfían, y puede ser desbloqueado por usuario solo para los desarrolladores, reduciendo la superficie de amenaza). No todas las fuentes de fuga de datos (incluso deliberadas) son muy sofisticadas, y las fuentes accidentales pueden ser las personas menos cualificadas con inicios de sesión.

Muchas organizaciones grandes tienen restricciones como esta. He podido omitir todos los que he probado.

La intención es que los usuarios no puedan extraer datos de forma masiva. Se entiende que las personas pueden intercambiar pequeñas cantidades de datos al fotografiar su pantalla, o incluso simplemente memorizarla. Pero hay una diferencia entre la exflitración de algunos detalles y el robo de una base de datos de datos personales de 10 GB. Creo que esta es una buena intención, pero nunca se puede hacer a la perfección.

Para hacer esto de manera segura, un buen comienzo es:

• Bloquee todos los medios extraíbles locales: USB, grabadores de CD, tarjetas de memoria, firewire, eSATA y tal vez más.
• Restringir la exflitración de la red: esto generalmente se hace bloqueando todos los servicios de correo electrónico y uso compartido de archivos en el proxy. También configura las computadoras portátiles para que cuando estén fuera de la organización, todo lo que harán sea VPN a la base.

Por lo general, puedo omitir la exfiltración de la red subiendo archivos a mi propio sitio web. No es conocido por el proxy como un sitio para compartir archivos, por lo que llega a través. Otra técnica es conectar la computadora portátil de una organización externa a la red de la oficina y copiar directamente desde la computadora de la empresa a la computadora portátil externa, sin pasar por el proxy. Además, el sistema de correo electrónico corporativo casi siempre permite una derivación, aunque el riesgo se reduce por los límites de tamaño de archivo y el registro. Si falla, obtenga los derechos de administrador en la computadora y desactive las restricciones.

Si la organización tiene un sistema de trabajo remoto estilo Citrix, cuando puede conectarse desde la computadora de su hogar, muy a menudo se puede usar para filtrar datos. Recuerdo una que bloqueaba las unidades locales, que era un buen comienzo, pero permitía el uso de USB remoto, por lo que podría conectar una memoria USB a la computadora de su casa y montarla en el servidor Citrix, lo que le permite robar datos de forma masiva. p>

Uno de los problemas con esta configuración es que las personas tienen necesidades legítimas de memorias USB, CD grabables, etc. El enfoque simple es tener un proceso donde las personas con una necesidad comercial se agreguen a una lista de excepciones. Un enfoque más avanzado es Data Loss Prevention (DLP), que es una tecnología muy interesante. Discutir que más es probablemente lo mejor para otra pregunta.

No descartemos el impacto de los vectores de amenaza que dependen de USB para la introducción a una red - (¿"StuxNet" a alguien?)   Dicho esto, ¿es "eficiente"? - En mi humilde opinión, sí, requiere poco esfuerzo para Stymie las masas que podrían esconder secretos en la puerta.   Pero, ¿es efectivo ? Sólo para las masas poco sofisticadas. Los administradores locales inteligentes todavía andarán por los secretos. El cifrado de datos confidenciales en la red es mucho más efectivo.