Дigitизація просувається далі, і з нею зростає значення безпечної комунікації. Останнє судове рішення підкреслює важливість належних заходів безпеки при відправці електронних листів – особливо коли мова йде про фінансові операції. Що це означає для підприємств? І які методи шифрування справді є безпечними?
Судове рішення: Недостатня безпека може бути дуже дорогою
Підприємство було недавно звинувачене у суді через те, що розрахункову документацію змінив хакер. Клієнт відмовився сплатити за фальшиву розрахункову документацію та суд йому дав правоту! Причина: підприємство не прийняло належних заходів щодо безпеки при відправці розрахункової документації.
Вирок суду Шлезвіг-Гольштейна від 18 грудня 2024 року (Номер справи 12 U 9/24) чітко вказує: підприємства відповідають за дотримання політики конфіденційності, якщо вони не забезпечують належного захисту чутливих даних. Проста використання транспортної шифрування виявляється недостатнім, особливо коли мова йде про високі фінансові ризики. Рішення щодо апеляції було прийняте.
Інше суд вирішує навпаки, принайменні для органів влади: ВАГ Мюнстер На 20 лютого 2025 року ухвалено рішення (Нрц. 16 B 288/23), що органи влади не зобов'язані відправляти електронні листи з кінцевою шифруванням.
Вироки суду мають такі наслідки для безпеки електронної пошти:
Вагомість шифрування для безпеки електронної пошти
Безпека електронних листівок ґрунтується на шифруванні. Ця технологія призначена для захисту чутливих даних під час передачі та збереження їх від неправомірного доступу.
Станьте собі на місце: ваша електронна пошта — це такий же лист, який змінює руки декілька разів, перш ніж він досягне свого одержувача. Без шифрування вміст листа буде доступний для кожного, хто має його в руках. Шифрування забезпечує те, що зміст вашої електронної пошти може бути прочитаний тільки відправником та одержувачем.
Електронні листи можуть бути прочитані в інтернеті, тому кінцевий до кінцевого шифрування захищає чутливі дані. Гібридні методи шифрування поєднують методи безпеки спілкування. Цифрові підписи забезпечують цілісність електронних листів.
Є дві основні види шифрування: транспортне шифрування та кінцеве кінцеве шифрування. Електронні листи сьогодні звичайно шифруються під час транспортування, але вони не шифруються кінцево-кінцево.
Транспортна шифрування захищає ваші електронні листи під час їхнього транспортування між вашим програмним забезпеченням для електронних листів та сервером свого постачальника. Багато постачальників послуг з електронною поштою підтримують цю форму шифрування, щоб захистити дані вже на цьому шляху.
В кінці-на початку шифрування забезпечує ще вищу захищеність. Ця технологія шифрує ваші електронні листи так, щоб тільки відправник і одержувач могли розшифрувати їх. навіть Ваш постачальник послуг не зможе побачити зміст повідомлень.
Відносно рішення цього означає:
- Транспортна криптографія: захищає дані під час їхнього передавання з А до Б. Станьте собі уявлення, як закритий конверт, який захищений на шляху до пошти. Але цього не вистачить суду, оскільки транспортний виконавець офіційно не такий довірчий, як німецька пошта.
- Кінцевий захист даних: захищає дані так, щоб тільки відправник та одержувач могли їх прочитати. Відправник захищає дані, а лише одержувач може розшифрувати їх за допомогою ключа. Провайдер електронної пошти не має доступу до вмісту. Суд підкреслив, що при передачі рахунків із потенційно високими фінансовими ризиками кінцевий до кінцевого шифрування є відповідним захистом. Шифрування транспорту краще, ніж ніяка криптографія, але не забезпечує повного захисту від цілеспрямованих атак.
Для кінцевої шифрування необхідно, щоб відправник та одержувач окремо прийшли до згоди. Як правило, це відбувається шляхом обміну ключами або електронними сертифікатами.
Зв'язок між вами та одержувачем цілком безпечний за допомогою кінцево-кінцевої шифрування. Є різні плагіни для клієнтів електронної пошти, які дозволяють активувати цю форму шифрування. Використання кінцево-кінцевого шифрування особливо важливо тоді, коли ви обмінюєтеся чутливими інформаціями, як наприклад паролі, фінансові дані або особисті справи за допомогою електронної пошти.
Цифрові підписи: безпека через автентифікацію
Покрім шифрування, цифрова підписання надає ще один важливий механізм захисту для ваших електронних листів.
Дigitální підпис — це електронна підписка, яку ви можете приєднати до своїх листівок. Цей підпис підтверджує те, що повідомлення справді належить вам і не змінилося. Відправнику можна перевірити цей підпис, щоб переконатися, що лист справжній та не змінювався.
Дigitальні підписи особливо корисні для важливих бізнес-комунікацій або коли ви бажаєте забезпечити, щоб ваші повідомлення не змінювалися.
Правильний вибір: Шифрування проти цифрової підпису
Вищілення даних та цифрові підписи допомагають забезпечити безпеку ваших електронних листів, але виконують різні функції.
Кодування захищає вміст ваших електронних листів від незаконного доступу, тоді як цифрова підписання підтверджує справжність повідомлення. У багатьох випадках воно є розумним поєднанням обох технологій для забезпечення повного захисту вашої комунікації.
Безпека лежить на підприємстві
Важливим є також те, що підприємства повинні забезпечити доказ того, що вони прийняли всі необхідні заходи безпеки. Якщо дані були компромітовані через недостатню безпеку, підприємство повинно довести, що воно виконувало свої обов'язки щодо безпеки.
Що це означає для підприємств?
У порівнянні з владою підприємства фактично тепер мають більше домашніх завдань виконувати:
- Оцінка ризиків: при виборі методу шифрування необхідно враховувати конкретний ризик та можливий збиток.
- Кінцевий до кінцевий шифрування: Використовуйте кінцевий до кінцевий шифрування для чутливих даних, особливо рахунків та пропозицій щодо сплати.
- Документація: Докладіть усі заходи безпеки, щоб у разі виникнення аварії мати можливість довести, що ви виконували свої обов'язки з охорони здоров'я та безпеки.
- Виховання: Навчіть своїх працівників на роботу зі світловитратними даними та безпечними засобами спілкування.
Наступний діаграм показує наслідки наявних рішень щодо відправлення електронної пошти:
Таке ж діаграма було створено з допомогою штучного інтелекту (локальна штучний інтелект).
Результат
Є багато складностей у встановленні точних мотивів хакерського нападу та зв'язку між порушенням обов'язків відправника і завданим збитку.
Транспортна шифрування не забезпечує достатнього захисту при високому фінансовому ризику, кінцевий до кінцевого шифрування рекомендується. Кінцевий до кінцевого складає складність і повинен бути індивідуально узгоджений. Сумісність послуг шифрування змінюється залежно від програми електронної пошти або провайдера служби електронної пошти (наприклад, Gmail, Outlook, Yahoo).
Підприємства повинні враховувати конкретне ризик і потенційний збиток під час вибору методу шифрування. Шифрування запобігає тому, щоб зміст електронної пошти міг бути прочитаний без відповідного ключа. Це особливо важливо при обробці чутливих особистих даних.
Які дані є особистими та чутливими?
- Дані, з яких випливають расова або етнічна походження людини, політичні переконання, релігійні чи світоглядні вірування
- Представництво робітників
- Генетичні дані, біометричні дані, що обробляються виключно для однозначної ідентифікації природної особи
- Здоров'я дані
- Дані щодо сексуального життя чи сексуальної орієнтації людини
Європейська комісія ([1])
Відповідальність за дотримання вимог щодо захисту даних лежить на відповідачому.
Мандрівка багато інтернет-іншуренцій не включає в себе збитки від хакерських атак або пропонує обмежений захист іншурення.
Рекомендації
Виправте можливість використання кінцевої-до-кінцевої шифрування, особливо тоді коли періодично відбувається спілкування між різними відділами.
Нур тільки для необхідності повинна запитувати особу, яка була затронута, як власниця даних, чи вона згодна на передачу своїх даних зашифрованими шляхом транспортування. Але цим можуть бути викликані підозри щодо тих, хто спить.
Натомість від непотуженої електронної пошти можна вибрати Почтовий відправлення як безпечний метод передачі даних. Альтернативними є методи, такі як S/MIME або PGP. Також добре виглядають файли, захищені паролем. Але тоді пароль повинен бути надісланий за допомогою іншого засобу передачі даних, наприклад, за допомогою SMS. Він повинен змінюватися щонайменше регулярно, якщо відбувається частіша (збережена) комунікація.
Підприємства та фізичні особи повинні бути обережними при здійсненні переведень коштів і не виконувати платежі на невідомі або підозрілі рахунки.
Комісарієм із захисту даних слід повідомляти своїх клієнтів відповідно, щоб обмежити власну відповідальність.
My name is Klaus Meffert. I have a doctorate in computer science and have been working professionally and practically with information technology for over 30 years. I also work as an expert in IT & data protection. I achieve my results by looking at technology and law. This seems absolutely essential to me when it comes to digital data protection. My company, IT Logic GmbH, also offers consulting and development of optimized and secure AI solutions.
