Digitalni odtis

Odtis ima dva dela. Aktivni nastane z namernim objavljanjem: profili in objave, strokovni prispevki, predstavitve, razpisi za delo, spletna stran, vpisi v javne registre. Pasivni nastane brez zavestnega dejanja: metapodatki v dokumentih in fotografijah, vključno s podatki o lokaciji, telemetrija naprav, sledilni piškotki in identifikatorji, zapisi o naslovih IP in obiskih, podatki, ki jih zbirajo in preprodajajo posredniki, ter poverilnice in osebni podatki, ki se pojavijo v razkritih zbirkah po vdorih.

Za organizacijo je vsota tega zunanja napadalna površina: domene in poddomene, izpostavljene storitve in upravljalni vmesniki, digitalna potrdila, napačno nastavljena shramba v oblaku, javna skladišča kode s pozabljenimi ključi in preizkusna okolja. Sem sodijo tudi profili zaposlenih, ki razkrivajo strukturo, uporabljene tehnologije, dobavitelje in odsotnosti. To je natanko tisti nabor podatkov, ki ga napadalec zbere najprej — za izbiro tarče in za verodostojno zgodbo pri socialnem inženiringu.

Pri posameznikih, zlasti pri vodilnih in izpostavljenih osebah, izpostavljenost ni le informacijska, temveč tudi fizična: naslov prebivališča, podatki o družinskih članih, ustaljene poti in urniki, vozilo, napovedana potovanja in objave v realnem času omogočajo ciljanje, nadlegovanje in izsiljevanje. Zmanjšuje se z omejevanjem objav, nastavitvami zasebnosti, čiščenjem metapodatkov, zahtevami za odstranitev oziroma izbris, kjer za to obstaja pravna podlaga, izpisom iz zbirk podatkovnih posrednikov ter ločevanjem poslovne in zasebne identitete.

Digitalnega odtisa se ne uredi enkrat, temveč se ga spremlja: redni pregled tega, kar je javno dosegljivo, spremljanje razkritih zbirk in omemb, jasna interna pravila o objavljanju — kaj sme biti v razpisih za delo, na predstavitvah in na fotografijah iz prostorov — ter postopek za zahteve po odstranitvi. Popolne odstranitve praviloma ni mogoče doseči; cilj je zmanjšati uporabnost odtisa za napadalca.