Šifrovanie nestačí: 3 zásadné pravdy o bezpečnosti údajov

Vďaka mŕtvych obvodom, pretrvávajúcim protivníkom, cloudu, mobilite a prineste si vlastné zariadenie (BYOD) je bezpečnosť zameraná na údaje nevyhnutná. Princíp zabezpečenia zameraného na údaje je jednoduchý: Ak dôjde k ohrozeniu siete alebo k strate alebo krádeži mobilného zariadenia, údaje sú chránené. Organizácie, ktoré akceptujú tento posun paradigmy, si uvedomili potrebu pridať kontrolu a zviditeľnenie bezpečnosti údajov tým, že sa pozrú nad rámec tradičných riešení. Prijatie tohto rozvinutého pohľadu na bezpečnosť zameranú na údaje umožňuje organizáciám na všetkých úrovniach chrániť citlivé údaje a tieto údaje prakticky priväzovať bez ohľadu na to, kde sa nachádzajú.

Riešenia zabezpečenia zamerané na údaje sa tradične orientujú smerom dovnútra a zameriavajú sa na ochranu údajov v doméne organizácie pri ich zhromažďovaní a ukladaní. Dáta sa však sťahujú z centra organizácie, nie smerom k nej, a mega trendy, ako je cloud a mobilita, proces len urýchľujú. Efektívne zabezpečenie zamerané na údaje chráni údaje pri pohybe mimo centra organizácie, ktoré sa zdieľajú a spotrebúvajú. Patria sem vzťahy ad hoc mimo hranice domény, čo umožňuje bezpečné interakcie so zákazníkmi a partnermi. (Urobte nejaké základné informácie o bezpečnosti IT. Vyskúšajte 7 základných zásad bezpečnosti IT.)

3 kritické pravdy bezpečnosti dátových centier

Vyvinutý pohľad na bezpečnosť zameranú na údaje je založený na troch kritických pravdách, ktoré poukazujú na to, ako sa musí bezpečnosť implementovať, aby bola účinná:

• Dáta pôjdu na miesta, ktoré nepoznáte, nemôžete kontrolovať a čoraz viac neveria. Deje sa tak prostredníctvom bežného priebehu spracovania, chybou alebo spokojnosťou používateľa alebo škodlivou činnosťou. Pretože miesta, na ktoré vaše dáta smerujú, môžu byť nedôveryhodné, na ochranu týchto údajov sa nemôžete spoliehať na bezpečnosť siete, zariadenia alebo aplikácie.
• Samotné šifrovanie nestačí na ochranu údajov.

  Šifrovanie sa musí kombinovať s trvalými, prispôsobiteľnými kontrolami prístupu, ktoré umožnia originátorovi definovať podmienky, za ktorých bude kľúč udelený, a zmeniť tieto kontroly podľa okolností.

• Kedy a koľkokrát by malo existovať komplexné a podrobné zobrazenie toho, kto má prístup k chráneným údajom.

  Táto podrobná viditeľnosť zaisťuje auditovateľnosť regulačných požiadaviek a analytiku právomocí pre širší prehľad o modeloch použitia a potenciálnych problémoch, čo zase zlepšuje kontrolu.

Dáta: Oh, miesta, kam to pôjde

Počnúc prvou pravdou sme schopní uzavrieť dôležitý pragmatický operačný štandard: Aby bola bezpečnosť zameraná na údaje účinná, údaje musia byť chránené v mieste pôvodu. Ak sú dáta šifrované ako prvý krok v procese, sú bezpečné bez ohľadu na to, kam idú, v akej sieti cestujú a kde sa nakoniec nachádzajú. Inak si vyžaduje dôveru každého počítača, každého sieťového pripojenia a každej osoby od okamihu, keď informácie nechajú pôvodcu starostlivosti, a pokiaľ budú existovať alebo akékoľvek kópie.

Ochrana údajov v mieste pôvodu je veľkým predpokladom: Vaše bezpečnostné riešenie zamerané na údaje musí byť schopné chrániť údaje kdekoľvek. Ako nám hovorí prvá pravda, dáta a ich veľa prirodzene vytvorených kópií pôjdu na mnoho miest, vrátane mobilných zariadení, osobných zariadení a cloudu. Účinné riešenie musí zabezpečovať údaje nezávislé od zariadenia, aplikácie alebo siete. Tieto údaje musí zabezpečiť bez ohľadu na ich formát alebo umiestnenie a bez ohľadu na to, či sú v pokoji, v pohybe alebo v používaní. Musí ľahko presahovať hranicu obvodu a musí byť schopný chrániť dialógy ad hoc.

Tu je užitočné zastaviť a zvážiť množstvo bezpečnostných riešení zameraných na konkrétne údaje a funkcie, ktoré sú na trhu k dispozícii. Tieto riešenia svojou podstatou vytvárajú silá ochrany, pretože - ako to vyžaduje prvá kritická pravda - údaje sa budú nachádzať niekde mimo rozsahu ich činnosti. Pretože týmto riešeniam chýba všadeprítomná ochrana, agentúry a podniky sú nútené postaviť viac síl. Napriek najlepšiemu úsiliu týchto viacerých síl sú výsledky predvídateľné: Údaje budú stále medzi medzerami klesať. A práve tieto medzery sú práve tam, kde zvonku protivníci a škodliví zasvätení čakajú na zneužitie zraniteľností a odcudzenie údajov. Každé silo ďalej predstavuje skutočné náklady na získanie, implementáciu a podporu pridruženého riešenia a prevádzkovú záťaž pri správe viacerých riešení. (Viac jedla na zamyslenie: Mnoho spoločností prehliada medzeru v zabezpečení údajov.)

Šifrovanie údajov jednoducho nestačí

Druhá pravda hovorí, že samotné šifrovanie nie je dostatočné - musí sa kombinovať s podrobnými a trvalými kontrolami. Akt zdieľania obsahu efektívne odovzdáva kontrolu nad ním, čo v podstate robí prijímateľa spoluvlastníkom údajov. Ovládacie prvky umožňujú pôvodcovi nastaviť podmienky, za ktorých je príjemcovi pridelený kľúč na prístup k súboru, a umožňujú voľbu diktovať, čo môže príjemca urobiť, keď sú údaje prístupné. Zahŕňa to možnosť poskytovania možnosti iba na prezeranie, ak príjemca nemôže súbor uložiť, kopírovať / vložiť obsah alebo vytlačiť súbor.

Pojem „perzistentný“ je kritickou charakteristikou kontroly prístupu potrebnej na účinnú bezpečnosť zameranú na údaje. Údaje zostávajú prakticky zviazané s originátorom, ktorý môže kedykoľvek reagovať na meniace sa požiadavky alebo hrozby zrušením prístupu alebo zmenou podmienok prístupu. Tieto zmeny sa musia okamžite uplatniť na všetky kópie údajov bez ohľadu na to, kde sa nachádzajú. Pamätajte, že prvá pravda hovorí, že údaje môžu byť na miestach, ktoré pôvodca nepozná alebo nad ktorými nemôže vykonávať kontrolu. Preto nie je možné predpokladať predchádzajúce znalosti o tom, kde sa údaje nachádzajú, a fyzický prístup k pridruženým zariadeniam. Trvalá kontrola má dodatočný bonus pri riešení zrušenia údajov na stratených alebo ukradnutých zariadeniach, ktoré pravdepodobne už nikdy nebudú v kontakte so sieťou.

Adaptabilita je kritická črta, ktorá súčasne rozlišuje konkurenčné riešenia a podporuje dôvod pre jednotný a všadeprítomný prístup. Nie všetky bezpečnostné riešenia zamerané na údaje sa nevytvárajú rovnocenné, pretože niektoré používajú šifrovacie metódy, ktoré boli vynájdené pred mobilitou, cloudom a širokým prijatím internetu. Pri týchto metódach sa riadenie prístupu nastavuje v okamihu, keď sú dáta šifrované, ale postrádajú výhody plynúce z pretrvávajúcej kontroly.

Kto, kedy a koľkokrát sú údaje prístupné?

Treťou pravdou efektívnej bezpečnosti zameranej na údaje je absolútna potreba komplexnej viditeľnosti a kontrolovateľnosti. To zahŕňa viditeľnosť všetkých prístupových aktivít pre každý dátový objekt, autorizovaný a neautorizovaný. Zahŕňa tiež viditeľnosť do akéhokoľvek typu údajov vo vnútri a za hranicami obvodu. Komplexné audítorské údaje a neodvolanie umožňuje organizácii vedieť, kto údaje používa, kedy a ako často. Viditeľnosť umožňuje kontrolu a poskytuje organizáciám informácie, aby mohli rýchlo a dobre informovať odpovede na neúprosné pokusy o exfiltráciu informácií. Táto viditeľnosť by sa mala rozšíriť na širší bezpečnostný ekosystém organizácie, poskytujúci údaje nástrojom na správu bezpečnostných informácií a udalostí (SIEM) a operačnú analýzu. Korelácia a analýza zase môžu priniesť informácie, ako je identifikácia možných škodlivých osôb zasvätených.

Budeš porušený. Každá vrstva ochrany IT môže byť a bude ohrozená. Organizácie sa už nemôžu spoliehať na zabezpečenie obvodu na zabezpečenie citlivých údajov a duševného vlastníctva. Musia hľadať alternatívne prístupy na ochranu citlivých informácií. Bojujú nielen obvodné obrany, pretože pred mobilitou, BYOD, cloudovou a webovou interakciou mimo domény bolo vybudovaných veľa bezpečnostných riešení zameraných na údaje. Organizácie sa musia obrátiť na bezpečnostné riešenia zamerané na údaje, ktoré majú rozvinutý pohľad a plne sa zaoberajú tvrdými pravdami ochrany údajov v dnešnom rýchlo sa meniacom a vysoko komplexnom výpočtovom prostredí.