جهاز التخزين المحمول

تُحدَّد هذه الفئة بقابلية الحمل والإزالة، لا بتقنية واحدة بعينها. لذلك تفقد السياسات المبنية حول نوع واحد من الأجهزة فعاليتها بسرعة.

التخزين المحمول هو الجزء من الوسائط القابلة للإزالة الذي ينقله الناس بين أجهزة الكمبيوتر، ومعظمه يتصل عبر USB.

يمكن لقرص رخيص واحد أن يحمل مجموعة سجلات منظمة كاملة، فتصبح عملية نقل واحدة خسارة كاملة. الحجم الصغير الذي يجعل الوسيط مريحًا يجعل فقدانه سهلًا أيضًا، وفقدان الوسيط غير المشفّر سبب شائع للحوادث الواجبة الإبلاغ.

لا تمر عملية النقل عبر بوابة شبكية، فلا يوجد سجل شبكي لاكتشافها أو التحقيق فيها لاحقًا. لذلك تشكّل الوسائط المحمولة طريقًا خفيًا لـتهريب البيانات. كما تعمل القناة دون اتصال وفي البيئات المعزولة. تنقل الأجهزة البيانات إلى الخارج وتُدخل الشيفرات إلى الداخل، فالملفات القادمة من وسائط شخصية أو مجهولة تتجاوز دفاعات المحيط. وبالنسبة إلى نظام التشغيل، يبدو قرص الموظف وقرص المتعاقد وقرص الزائر متطابقين.

بموجب اللائحة العامة لحماية البيانات (GDPR)، يُعد فقدان جهاز محمول يحتوي على بيانات شخصية خرقًا يجب تقييمه، ويجب الإبلاغ عنه للجهة الإشرافية خلال 72 ساعة إذا شكّل خطرًا على الأفراد. وتعامل إرشادات HIPAA الوسائط غير المشفّرة المفقودة أو المسروقة على أنها واجبة الإبلاغ افتراضيًا. ويتطلب معيار PCI DSS ضوابط على الوسائط التي تحتوي بيانات حاملي البطاقات، تشمل تقييد الوصول والتشفير.

غالبًا ما تحظر البيئات عالية الأمان التخزين المحمول الشخصي كليًا، ولا تسمح إلا بوسائط صادرة ومسجّلة ومشفّرة، إن وُجدت. وينسحب المنطق نفسه على المكاتب العادية عبر إجراءات إنهاء الخدمة، إذ إن نسخ البيانات إلى قرص فعل شائع في الختام لموظف مغادر، ولهذا تُصمَّم سياسة الوسائط وإجراءات إنهاء الخدمة معًا، ضمن أي برنامج للتصدي للتهديد الداخلي.

يتم التحكم على طبقات، من الإجراءات المادية إلى القواعد المبنية على المحتوى. وتعمل الطبقات البرمجية ضمن DLP على نقاط النهاية:

1. 1

   الإجراءات المادية

   أقفال على المنافذ ومنافذ USB مقيّدة في المناطق الآمنة، مع حظر الوسائط الشخصية على مستوى المنشأة.

2. 2

   قواعد المنفذ والفئة والجهاز

   يسمح البرنامج على نقطة النهاية بالوصول أو يمنعه أو يفرض القراءة فقط حسب فئة الجهاز. ولا يسمح إلا بالأجهزة المعتمدة، المحددة بالشركة المصنّعة والموديل والرقم التسلسلي.

3. 3

   فرض التشفير

   لا يُسمح بالكتابة إلا على وسائط ستُشفَّر، فيصبح القرص المفقود خسارة عتاد لا كشفًا للبيانات.

4. 4

   قواعد تعتمد على المحتوى

   يُحكَم على كل عملية كتابة بحسب محتوى الملف لا بحسب الجهاز وحده. تبقى القناة مفتوحة للعمل المشروع، بينما يُوقَف المحتوى الخاضع للتنظيم.

5. 5

   التسجيل والنسخ الظلية

   تُسجَّل كل عملية على الملفات، ويمكن الاحتفاظ بنسخة مما كُتب، وهو سجل لم تكن الشبكة لتملكه أبدًا.

تحدد سياسة التخزين المحمول فئات الأجهزة المسموح بها، ولمن، وبأي شروط: التسجيل والتشفير والموافقة. كما تحدد كيفية منح الاستثناءات وانتهاء صلاحيتها، وما يحدث عند مغادرة موظف، والبدائل المتاحة. وحيث يحتاج الموظفون إلى نقل ملفات كبيرة، يمنع مسار مُدار ومعتمد التحايل على السياسة. وعندما تُفرض القواعد عبر البرنامج، يطبّقها التحكم في USB والأجهزة الخارجية حسب فئة الجهاز.

للتقييد المفرط نمط فشل معروف. فعندما يكون المسار المعتمد بطيئًا، ينقل المستخدمون البيانات عبر حسابات سحابية شخصية، مستبدلين قناة قابلة للتحكم بأخرى غير مراقبة. تبدأ عمليات النشر الفعالة بوضع المراقبة، فتتعلم ما تفعله المؤسسة فعليًا بالوسائط المحمولة، ثم تشدّد القواعد نحو الفئات والمحتوى الذي يهم.

في واجهة Anexet DLP يُفعَّل تدقيق الأجهزة والتخزين لكل ملف تعريف للعميل، ويمكن لقاعدة حظر أن تستهدف التخزين الخارجي مباشرة.

1 / 2

• 
• 

ابدأ بحصر البيانات التي يُحدث خروجها أكبر ضرر بالمؤسسة، ثم تحقق من الأجهزة والقنوات التي يستخدمها الموظفون لنقلها. السياسة المبنية على هذه الإجابات تصمد أمام العمل اليومي، أما السياسة المكتوبة لكل الأجهزة دفعة واحدة فتميل إلى أن يُتحايل عليها.

للمزيد من القراءة: كيف تمنع الوصول غير المصرّح به إلى حاسوبك; أنظمة DLP: ما هي وكيف تعمل.