Προστασία Δεδομένων

Οι περισσότεροι ορισμοί της προστασίας δεδομένων βασίζονται σε τρεις σχετικούς, αλλά διακριτούς στόχους. Κάθε πυλώνας προστατεύει τα ίδια δεδομένα με διαφορετικό τρόπο, γι' αυτό ένα πρόγραμμα που καλύπτει μόνο έναν από αυτούς αφήνει κενά. Ο πίνακας δείχνει τι σημαίνει κάθε στόχος στην πράξη για τα ευαίσθητα δεδομένα:

Ο όρος προστασία δεδομένων χρησιμοποιείται συχνά χαλαρά, γι' αυτό αξίζει να τον διακρίνουμε από τρεις γειτονικούς όρους:

Η ασφάλεια δεδομένων είναι στενότερη έννοια. Αναφέρεται στους τεχνικούς ελέγχους, όπως η κρυπτογράφηση, ο έλεγχος πρόσβασης και τα firewalls, που διατηρούν τα δεδομένα εμπιστευτικά και ανέπαφα. Η προστασία δεδομένων είναι ευρύτερη και καλύπτει επίσης τα αντίγραφα ασφαλείας, την ανάκτηση, τη διατήρηση και την πολιτική κύκλου ζωής.

Η ιδιωτικότητα δεδομένων αφορά τα δικαιώματα των ατόμων επί των προσωπικών τους πληροφοριών: τι συλλέγεται, για ποιον λόγο και με ποιον μοιράζεται. Η προστασία δεδομένων είναι η λειτουργική πειθαρχία που καθιστά αυτές τις δεσμεύσεις ιδιωτικότητας εφαρμόσιμες στην πράξη.

Η διακυβέρνηση δεδομένων ορίζει τους κανόνες, την ιδιοκτησία και τη λογοδοσία για τη διαχείριση των δεδομένων σε έναν οργανισμό. Η προστασία δεδομένων υλοποιεί το υποσύνολο αυτών των κανόνων που διασφαλίζει την ασφάλεια των δεδομένων.

Οι κανονισμοί που επιβάλλουν την προστασία δεδομένων, όπως η απαίτηση του GDPR για «κατάλληλα τεχνικά και οργανωτικά μέτρα», δεν ορίζουν ένα ενιαίο σύνολο εργαλείων. Στην πράξη, όμως, τα περισσότερα προγράμματα συνδυάζουν τα ίδια βασικά στοιχεία:

• Κρυπτογράφηση δεδομένων σε αποθήκευση και κατά τη μετάδοση, ώστε τα υποκλαπέντα ή κλαπέντα δεδομένα να παραμένουν μη αναγνώσιμα χωρίς το κλειδί.
• Έλεγχος πρόσβασης και ταυτοποίηση, που περιορίζουν ποιος μπορεί να προβάλλει, να τροποποιεί ή να εξάγει δεδομένα, ανάλογα με τον ρόλο και την ανάγκη.
• Αντίγραφα ασφαλείας και ανάκτηση, ώστε μια βλάβη υλικού, ένα ransomware ή ένα ανθρώπινο λάθος να μην οδηγεί σε μόνιμη απώλεια.
• Πρόληψη απώλειας δεδομένων (DLP), με παρακολούθηση και αποκλεισμό των καναλιών από τα οποία ευαίσθητα δεδομένα θα μπορούσαν να διαρρεύσουν εκτός ελέγχου του οργανισμού, λόγω λάθους ή σκόπιμα.
• Κατηγοριοποίηση δεδομένων και εντοπισμός, ώστε οι έλεγχοι να εφαρμόζονται εκεί όπου βρίσκεται πραγματικά το ευαίσθητο περιεχόμενο, και όχι ομοιόμορφα ή καθόλου.
• Πολιτική διατήρησης και διάθεσης, ώστε τα δεδομένα να κρατιούνται μόνο όσο χρειάζεται και στη συνέχεια να απολυμαίνονται ή να καταστρέφονται σωστά.

Η προστασία αποτυγχάνει όταν κανείς δεν είναι υπεύθυνος για τις αποφάσεις. Οι εσωτερικές απειλές το επιδεινώνουν, επειδή εργαζόμενοι που έχουν ήδη νόμιμη πρόσβαση μπορούν επίσης να εκθέσουν δεδομένα.

Στην κονσόλα του Anexet, τα λεξικά λέξεων-κλειδιών ορίζουν ποια είδη ευαίσθητου περιεχομένου αναγνωρίζει το σύστημα, για παράδειγμα αριθμούς καρτών, αριθμούς κοινωνικής ασφάλισης ή οικονομικούς όρους. Ένας κανόνας αποκλεισμού αποφασίζει στη συνέχεια τι θα συμβεί όταν αυτό το περιεχόμενο εμφανιστεί σε μια μεταφορά. Και τα δύο ρυθμίζονται στο Anexet DLP, ενώ η λογική επιβολής περιγράφεται στο αποκλεισμό μεταφοράς δεδομένων.

1 / 2

• 
• 

Η προστασία δεδομένων είναι επίσης νομικός όρος. Πολλές χώρες έχουν θεσπίσει νόμους που μετατρέπουν ορισμένα από αυτά τα μέτρα από βέλτιστες πρακτικές σε δεσμευτικές υποχρεώσεις.

Ο Γενικός Κανονισμός Προστασίας Δεδομένων της ΕΕ (GDPR) είναι το πιο επιδραστικό παράδειγμα. Εφαρμόζεται σε κάθε οργανισμό που επεξεργάζεται προσωπικά δεδομένα κατοίκων της ΕΕ και απαιτεί τόσο τεχνικές διασφαλίσεις όσο και αποδεδειγμένη λογοδοσία.

Οι ΗΠΑ δεν έχουν έναν ενιαίο ομοσπονδιακό νόμο για την προστασία δεδομένων. Ισχύουν αντί γι' αυτόν κλαδικοί κανόνες, όπως ο HIPAA για τις πληροφορίες υγείας και ο GLBA για τα χρηματοοικονομικά δεδομένα, μαζί με πολιτειακούς νόμους, όπως ο CCPA/CPRA στην Καλιφόρνια.

Άλλες δικαιοδοσίες έχουν υιοθετήσει συγκρίσιμα πλαίσια, μεταξύ των οποίων ο βραζιλιάνικος νόμος LGPD και διάφοροι εθνικοί νόμοι για την προστασία δεδομένων, πολλοί από τους οποίους βασίζονται εν μέρει στη δομή του GDPR.

Οι νόμοι αυτοί διαφέρουν ως προς το πεδίο εφαρμογής και την επιβολή, έχουν όμως κοινή δομή. Ορίζουν τι θεωρείται προστατευόμενο δεδομένο, απαιτούν από τους οργανισμούς να εφαρμόζουν επαρκείς διασφαλίσεις και επιβάλλουν κυρώσεις, συχνά σημαντικά πρόστιμα, όταν τα δεδομένα εκτίθενται λόγω αμέλειας.

Η προστασία δεδομένων αντιμετωπίζεται συχνά ως μία εφάπαξ λίστα ελέγχου συμμόρφωσης. Ο υποκείμενος κίνδυνος, ωστόσο, είναι συνεχής: καθημερινά δημιουργούνται νέα δεδομένα, οι εργαζόμενοι αλλάζουν ρόλους και ανάγκες πρόσβασης, η αποθήκευση μεταφέρεται σε νέες υπηρεσίες cloud και οι επιτιθέμενοι αναπτύσσουν νέες τεχνικές διαρροής.

Τα αποτελεσματικά προγράμματα συνδυάζουν επομένως τρεις διαρκείς πρακτικές, αντί για έναν μεμονωμένο έλεγχο που γρήγορα παλιώνει:

1. 1

   Εντοπισμός

   Συνεχής εντοπισμός του πού βρίσκονται τα ευαίσθητα δεδομένα.

2. 2

   Παρακολούθηση

   Συνεχής παρακολούθηση του πώς μετακινούνται τα ευαίσθητα δεδομένα.

3. 3

   Επανεξέταση πρόσβασης

   Περιοδική επανεξέταση του ποιος εξακολουθεί να έχει πρόσβαση σε αυτά.

Ξεκινήστε από τα δεδομένα των οποίων η διαρροή θα έβλαπτε περισσότερο και στη συνέχεια χαρτογραφήστε τα κανάλια από τα οποία πράγματι κινούνται. Πολιτικές γραμμένες για όλα τα αρχεία ταυτόχρονα καταλήγουν να μπλοκάρουν τη συνηθισμένη δουλειά και να απενεργοποιούνται.

Περισσότερα: Πώς να διατηρήσω ασφαλή τα προσωπικά μου δεδομένα;; Χρήση του συστήματος Anexet Ultimate DLP για συμμόρφωση με τον GDPR.