Ασφάλεια Δεδομένων

Κάθε έλεγχος ασφάλειας δεδομένων εξυπηρετεί έναν από τρεις στόχους, γνωστούς μαζί ως τριάδα CIA.

Η εμπιστευτικότητα σημαίνει ότι μόνο εξουσιοδοτημένα άτομα και συστήματα μπορούν να διαβάσουν τα δεδομένα. Την εξασφαλίζουν ο έλεγχος πρόσβασης, η κρυπτογράφηση και η παρακολούθηση μη εξουσιοδοτημένης προβολής. Η ακεραιότητα σημαίνει ότι τα δεδομένα δεν έχουν αλλοιωθεί, καταστραφεί ή παραποιηθεί, είτε από επιτιθέμενο, είτε από σφάλμα συστήματος, είτε από απρόσεκτο εργαζόμενο. Η διαθεσιμότητα σημαίνει ότι τα δεδομένα υπάρχουν και είναι χρησιμοποιήσιμα όταν τα χρειάζεται ένας νόμιμος χρήστης. Γι' αυτό τα αντίγραφα ασφαλείας, ο πλεονασμός και ο σχεδιασμός ανάκτησης αποτελούν επίσης μέρος της ασφάλειας δεδομένων.

Ένας έλεγχος που προστατεύει έναν στόχο μπορεί να αποδυναμώσει έναν άλλο. Η κρυπτογράφηση των πάντων στο αυστηρότερο επίπεδο μπορεί να επιβραδύνει τη νόμιμη πρόσβαση που απαιτεί η διαθεσιμότητα. Γι' αυτό τα πραγματικά προγράμματα ισορροπούν και τους τρεις στόχους, αντί να μεγιστοποιούν μόνο έναν.

Τα περισσότερα προγράμματα ασφάλειας δεδομένων βασίζονται στο ίδιο σύνολο τύπων ελέγχου, τοποθετημένων σε επίπεδα ώστε μια μεμονωμένη αστοχία να μην εκθέτει τα δεδομένα.

Η ασφάλεια δικτύου και τερματικών συσκευών προσθέτει ακόμη ένα επίπεδο. Τα τείχη προστασίας, ο έλεγχος συσκευών και η διαχείριση ενημερώσεων μειώνουν τους τρόπους με τους οποίους ένας επιτιθέμενος μπορεί να φτάσει στα δεδομένα. Το Anexet καλύπτει το επίπεδο συσκευών με τον έλεγχο συσκευών σε τερματικά.

Οι τρεις όροι χρησιμοποιούνται συχνά ως συνώνυμα, κάτι που δημιουργεί σύγχυση σε προϋπολογισμούς και τίτλους θέσεων.

Η ασφάλεια δεδομένων προστατεύει τα δεδομένα από μη εξουσιοδοτημένη πρόσβαση ή απώλεια. Είναι τεχνική και επιχειρησιακή λειτουργία. Η ιδιωτικότητα δεδομένων αφορά τα δικαιώματα των ατόμων στα προσωπικά τους δεδομένα και τους κανόνες που ακολουθεί ένας οργανισμός όταν τα συλλέγει, τα χρησιμοποιεί ή τα μοιράζεται. Είναι νομική και κανονιστική λειτουργία, που εκφράζεται σε κανονισμούς όπως ο GDPR ή ο HIPAA.

Η διακυβέρνηση δεδομένων είναι το ευρύτερο πλαίσιο ιδιοκτησίας, προτύπων ποιότητας και δικαιωμάτων λήψης αποφάσεων για τα δεδομένα ως επιχειρηματικό περιουσιακό στοιχείο. Η ασφάλεια και η ιδιωτικότητα είναι δύο από τα συστατικά της, μαζί με θέματα όπως η ποιότητα δεδομένων και η διαχείριση μεταδεδομένων. Στην πράξη, και τα τρία επικαλύπτονται. Ένα ισχυρό πρόγραμμα ασφάλειας δεδομένων είναι αυτό που κάνει τις περισσότερες δεσμεύσεις ιδιωτικότητας και διακυβέρνησης πραγματικά εφαρμόσιμες, και όχι απλώς επιθυμητές.

Τα δεδομένα περνούν από τα ίδια στάδια, από τη δημιουργία έως την καταστροφή, και σε κάθε στάδιο εφαρμόζονται έλεγχοι. Όλα ξεκινούν με την κατηγοριοποίηση δεδομένων.

1. 1

   Δημιουργία και ταξινόμηση

   Τα δεδομένα επισημαίνονται ως προς την ευαισθησία τους μόλις δημιουργηθούν ή ληφθούν, ώστε οι επόμενοι έλεγχοι να ξέρουν πόσο αυστηρά να τα χειριστούν.

2. 2

   Αποθήκευση

   Βάσεις δεδομένων, διακομιστές αρχείων και αποθετήρια cloud εφαρμόζουν κρυπτογράφηση σε ηρεμία και περιορισμούς πρόσβασης ανάλογους με την ταξινόμηση.

3. 3

   Χρήση και κοινή χρήση

   Οι εργαζόμενοι αντιγράφουν τα δεδομένα, τα στέλνουν με email ή τα ανεβάζουν σε εργαλεία συνεργασίας. Εκεί συμβαίνουν τα περισσότερα περιστατικά διαρροής, γι' αυτό το DLP και η παρακολούθηση κάνουν εκεί τη μεγαλύτερη δουλειά.

4. 4

   Αρχειοθέτηση

   Τα δεδομένα που δεν χρησιμοποιούνται πλέον ενεργά διατηρούνται σύμφωνα με τεκμηριωμένη πολιτική. Έτσι μειώνεται η εκτεθειμένη επιφάνεια χωρίς να καταστρέφονται αρχεία που πρέπει να κρατηθούν.

5. 5

   Καταστροφή

   Όταν λήξει η περίοδος διατήρησης, τα δεδομένα διαγράφονται ή το μέσο απολυμαίνεται, ώστε να μην μπορούν να ανακτηθούν. Έτσι τα δεδομένα δεν συσσωρεύονται επ' αόριστον.

Ένας κανόνας αποκλεισμού στο Anexet DLP μπορεί να αντιστοιχίσει δεδομένα είτε με την ετικέτα ευαισθησίας της Microsoft είτε με το περιεχόμενο μιας μεταφοράς μέσω web, χρησιμοποιώντας έτοιμα μοτίβα για αριθμούς τραπεζικών καρτών και email ή μια δική σας κανονική έκφραση. Τα δύο παρακάτω στιγμιότυπα δείχνουν και τα δύο είδη συνθήκης.

1 / 2

• 
• 

Οι τεχνικοί έλεγχοι είναι καλά γνωστοί. Οι περισσότερες πραγματικές αστοχίες προέρχονται από τον τρόπο εφαρμογής τους.

Η ταξινόμηση παραλείπεται ή εφαρμόζεται ασυνεπώς, με αποτέλεσμα οι κανόνες DLP και οι πολιτικές πρόσβασης να προστατεύουν τα λάθος πράγματα ή τίποτα. Οι έλεγχοι ρυθμίζονται μία φορά κατά την εγκατάσταση και ποτέ δεν επανεξετάζονται, παρότι ο οργανισμός προσθέτει νέες υπηρεσίες cloud, εργαλεία κοινής χρήσης αρχείων και κανάλια απομακρυσμένης εργασίας που δεν υπήρχαν στο αρχικό μοντέλο απειλών.

Η παρακολούθηση αποτυγχάνει και όταν κανείς δεν εξετάζει τα αρχεία καταγραφής. Ένα περιστατικό τότε ανακαλύπτεται εβδομάδες αργότερα, αντί σε πραγματικό χρόνο. Η μεγαλύτερη μεμονωμένη αιτία περιστατικών παραμένει ο εσωτερικός χρήστης (insider): ένας εργαζόμενος που παίρνει δεδομένα φεύγοντας, ένας συνεργάτης που χειρίζεται λανθασμένα ένα αρχείο ή ένα απλό ανθρώπινο λάθος. Γι' αυτό η ορατότητα στο τι πραγματικά κάνουν οι άνθρωποι με τα δεδομένα καλύπτει κενά που αφήνουν οι άμυνες περιμέτρου. Η ανθρώπινη πλευρά αυτού του κινδύνου καλύπτεται στην ανίχνευση εσωτερικής απειλής.

Τα αρχεία καταγραφής βοηθούν μόνο όταν κάποιος τα εξετάζει. Η προβολή αυτή δείχνει περιστατικά που δεν έχουν ακόμη ανοιχτεί, με την κατάστασή τους και ένα διάγραμμα στατιστικών. Η εξέτασή τους είναι η βάση της έρευνας περιστατικών ασφαλείας.

Ξεκινήστε από τα δεδομένα που θα προκαλούσαν τη μεγαλύτερη ζημιά αν έφευγαν από την εταιρεία και χαρτογραφήστε στη συνέχεια τα κανάλια που χρησιμοποιούν πραγματικά. Μια πολιτική γραμμένη για όλα τα αρχεία μαζί συνήθως μπλοκάρει την καθημερινή εργασία και απενεργοποιείται σύντομα.

Ελέγχετε τους μηχανισμούς σε σταθερό χρονοδιάγραμμα. Ένα πρόγραμμα ασφάλειας δεδομένων αξίζει όσο η τελευταία του επανεξέταση.

Περισσότερα: Ασφάλεια πληροφοριών βάσεων δεδομένων; Τι είναι η Τεχνική Προστασία Πληροφοριών;.