Har du tänkt på hur du namnger dokument och filer? Finns det känslig information med i filnamnet? Läcker du information den vägen?

Man kan ju ställa sig frågan om det egentligen spelar någon roll vad filerna heter, vi vill ju tydligt berätta vad filen innehåller. MEN, hur tydliga ska vi vara?

Dagligen i mitt jobb med IT-säkerhet och support så stöter jag på situationer där just filnamn avslöjar massor med information, ibland övertydligt känslig information men också de där små pusselbitarna jag behöver för att kunna komma vidare med att hitta vägen in i ett företag när jag testar.

Här är ett exempel på situation där filnamnen avslöjar känslig information:

Häromdagen var jag på ett företag där man behöver en tagg för att komma åt utskrifterna i skrivaren/kopiatorn. Det är ju en bra funktion för att skydda mot obehörig insyn. Men vad händer när man oavsett vem som är inloggad kommer åt jobbhistoriken för ALLAS utskrifter? Här spelar det en avgörande roll vad du döpt filnamnet till.

Förutom att jag kan se vem som gjort utskriften (fullständigt namn) så kunde jag genom filnamnen avgöra information som: kontrakt namngivna med identifierande uppgifter om plats och person, information om anbud till specifik organisation/företag och det är bara ett axplock av information och det är användarna ovetande om.

Det är inte ovanligt att det finns personnamn, personnummer, kundnamn, nycklar eller annan information i filnamnen och exemplet med personnummer känns som problematiskt när det kommer till GDPR.

Jag hittar även den här informationen i loggfiler, felloggar eller andra listor som tyvärr också ibland finns tillgängliga för publik beskådan på internet, också där är användarna helt ovetandes och det kan leda till intrång och incidenter.

Mitt råd till dig är att alltid fundera en extra gång på vad för information du ger i från dig. I detta fallet genom hur du namnger filer men så klart alltid i allt du skriver, säger och gör för det är där det presenteras fantastiska möjligheter att få informationen som behövs för att göra ett intrång eller bedrägeri.

Stay safe out there och har du några frågor eller behöver hjälp så tveka inte att kontakta mig