Užimtumo tarnybos duomenų pažeidimas: kai vienas laiškas atskleidžia 29 636 žmonių duomenis, o DLP tyli

2024 m. liepos 25 d. Užimtumo tarnybos Vilniaus klientų aptarnavimo specialistė siuntė įprastus laiškus — kvietimus į mokymus. Prie laiško liko prisegtas „Excel“ dokumentas su beveik 30 tūkst. tarnybos klientų asmens duomenimis. Laiškas išėjo iš organizacijos — vienas didžiausių žinomų atskleidimo incidentų Lietuvos viešajame sektoriuje tapo faktu.

Nėra programišiaus, kenkimo kodo ar išorinės atakos. Yra pavargęs arba skubantis žmogus, didelis duomenų rinkinys, el. paštas ir techninės priemonės, kurios popieriuje egzistavo, bet praktikoje nesuveikė.

Pagrindiniai skaičiai

• Duomenų valdytojas: Užimtumo tarnyba prie LR SADM.
• Atskleisti: vardas, pavardė, asmens kodas, kontaktai, registracijos, darbinės veiklos ir darbo užmokesčio duomenys.
• VDAI patvirtino, kad tarp jų buvo ir sveikatos duomenų.
• Pažeisti BDAR straipsniai: 5 str. 1 d. f p., 24 str. 1 d., 32 str. 1 d. b ir d p.
• Kontekstas: DLP su raktinių žodžių (asmens kodo) filtravimu buvo įdiegta, bet laiško nesustabdė.

Kodėl UT duomenys — ypač jautrūs

UT sistemose kaupiamas neįprastai išsamus žmogaus socialinės ir ekonominės padėties portretas: tapatybė, kontaktai, išsilavinimas, gebėjimai, ankstesnės darbovietės, atlyginimas, kartais — ir sveikatos informacija. Klientai — dažnai pažeidžiamoje situacijoje: netekę darbo, priklausomi nuo išmokų. Toks derinys yra ideali medžiaga tiksliniam sukčiavimui („Jums priklauso išmoka, patvirtinkite duomenis...“) ir tapatybės vagystės bandymams.

Visa incidento eiga

1. 2024-06-26 — pirmasis, mažesnis incidentas

Liepos įvykis nebuvo pirmas. Birželio 26 d. dėl darbuotojo klaidos 80 gavėjų buvo išsiųsti apie 950 klientų duomenys. Incidentas suvaldytas per vieną darbo dieną — VDAI tuomet įvertino veiksmus kaip tinkamus. Retrospektyviai tai buvo įspėjamasis signalas.

2. 2024-07-25 ~17.25 — pagrindinis incidentas

Specialistė, siųsdama kvietimus, nepatikrino, ar nėra perteklinių priedų. Prie laiško liko „Excel“ failas su 29 636 klientų duomenimis. DLP sistemos, kurios turėjo filtruoti raktinius žodžius, laiško nesustabdė.

3. 07-26 — gavėjų informavimas

Visi gavėjai informuoti, paprašyta ištrinti dokumentą. Prašymas ištrinti — teisingas žingsnis, bet techniškai negarantuoja, kad failas nebuvo išsaugotas, persiųstas ar nukopijuotas. Neužšifruoto priedo kontrolė prarasta negrįžtamai.

4. 07-30 — asmenų informavimas ir pranešimas VDAI

~29 tūkst. klientų pradėti siųsti informaciniai laiškai. DAP viešai atsiprašė, rizika buvo įvardyta kaip žema.

5. 2025-01-21 — VDAI sprendimas

• Neatliktas išsamesnis siunčiamų dokumentų rizikos vertinimas.
• Techninės ir organizacinės priemonės nepakankamos; DLP — nepakankamai išbandyta.
• Laišką išsiuntusi darbuotoja nebuvo įtraukta į testavimą ir tinkamai informuota apie procedūras.

Klaidos grandinė be programišiaus

• Darbuotoja turėjo prieigą prie viso ~30 tūkst. rinkinio.
• Duomenys egzistavo kaip „Excel“ eksportas, patogus prisegti.
• Failas prisegtas prie masinio laiško — „sprogimo spindulys“ maksimalus.
• DLP neatpažino jautraus turinio priede.
• Nebuvo nei masinių siuntimų patvirtinimo, nei priedų šifravimo, nei „keturių akių“ patikros.

Kodėl DLP „buvo“, bet nesuveikė

Incidento esmė telpa į vieną sakinį: tarnyba turėjo DLP su asmens kodų filtravimu, ir jos nesustabdė laiško su 29 636 asmens kodais. Tai dažniausia DLP diegimo klaida: netestuojama sistema — saugumo teatras, kuris ramina vadovybę ir auditorius, bet neapsaugo duomenų.

BDAR 32 str. 1 d. d p. reikalauja ne tik įgyvendinti priemones, bet ir turėti „reguliaraus veiksmingumo tikrinimo procesą“. Šio punkto pažeidimas — vienas iš baudos pagrindų. Atitiktis matuojama ne įsigytų sistemų sąrašu, o įrodymais, kad jos veikia.

Kontekstas dėl baudos

9 000 € beveik 30 tūkst. paveiktų asmenų kontekste gali atrodyti simbolinė — mažiau nei 31 centas už žmogų. Skambėjo ir kritika, kad biudžetinės įstaigos baudą sumoka mokesčių mokėtojai. Vis dėlto sprendimo reikšmė — ne suma, o precedentas: „žmogiškoji klaida“ nėra pasiteisinimas, jei organizacija neįrodė, kad priemonės realiai veikė.

Pamokos

1. Žmogiškoji klaida — projektavimo prielaida

Darbuotojas anksčiau ar vėliau suklys. Jei vienas paspaudimas gali išsiųsti 30 tūkst. duomenis, problema — ne paspaudime, o architektūroje.

2. DLP taisyklės — testuojamos realiomis sąlygomis

Neveikianti DLP blogiau nei jokios — kuria klaidingą saugumo jausmą. Testuoti su tikrais formatais priedų viduje, skirtingais failų tipais, ir su visais darbuotojais.

3. Priedų skenavimas — ne tik raktiniai žodžiai

DLP turi analizuoti priedų turinį (skaičiuokles), atpažinti struktūrinius identifikatorius (asmens kodus pagal formatą ir kontrolinę logiką), didelius įrašų kiekius kaip anomaliją, klasifikavimo žymas.

4. Masinis + jautru = privalomas stabdys

Įspėjimas ar blokavimas >N gavėjų; „keturių akių“ patvirtinimas; atidėtas išsiuntimas (5 min. atšaukimo langas).

5. Jautrūs dokumentai — ne atviri priedai

Privalomas priedų šifravimas su raktu kitu kanalu arba, geriau — nuoroda į saugią platformą su galimybe atšaukti prieigą po išsiuntimo.

6. Masinių eksportų kontrolė ir minimizavimas

Klausimas: kodėl klientų aptarnavimo specialisto darbo aplinkoje apskritai egzistavo 29 636 asmenų failas? Eksportų ribojimas, žurnalai, pseudonimizavimas, laikinų failų valymas.

7. Mokymai — būtini, bet nepakeičia techninių barjerų

Parašas mokymų žurnale neįrodo, kad rizika valdoma. Net idealiai apmokytas žmogus klysta — mokymai yra pirmasis, bet niekada ne vienintelis apsaugos sluoksnis.

8. Pasikartojantis incidentas — sisteminės problemos signalas

Birželio incidentas buvo tiksli liepos repeticija. Kiekvienas incidentas ir „near miss“ turi baigtis šaknies priežasties analize ir patikrinamu proceso pakeitimu.

Galutinis vertinimas

Chrestomatinis atsakymas į klausimą „bet juk kaltas darbuotojas, kuo čia dėta organizacija?“. Tiesioginį veiksmą atliko darbuotoja, tačiau sąlygas klaidai virsti 29 636 atskleidimu sukūrė organizacija — neįvertinusi rizikos, neišbandžiusi savo DLP ir tinkamai neparengusi žmonių.

BDAR atskaitomybės principas reikalauja ne turėti sąrašo, o gebėti įrodyti, kad priemonės veikia.