Φορητή Συσκευή Αποθήκευσης

Η κατηγορία ορίζεται από τη φορητότητα και τη δυνατότητα αφαίρεσης, όχι από μία συγκεκριμένη τεχνολογία. Γι' αυτό οι πολιτικές που βασίζονται σε έναν μόνο τύπο συσκευής γερνούν γρήγορα.

Η φορητή αποθήκευση είναι το τμήμα των αφαιρούμενων μέσων που μεταφέρουν οι άνθρωποι από υπολογιστή σε υπολογιστή, και τα περισσότερα συνδέονται μέσω USB.

Ένας φθηνός δίσκος μπορεί να χωρέσει ολόκληρο ρυθμιζόμενο σύνολο δεδομένων, οπότε μία μεταφορά μπορεί να σημαίνει ολική απώλεια. Το ίδιο μικρό μέγεθος που κάνει το μέσο βολικό, το κάνει και εύκολο να χαθεί. Η απώλεια μη κρυπτογραφημένου μέσου είναι συχνή αιτία περιστατικών που πρέπει να αναφέρονται.

Η μεταφορά δεν περνά ποτέ από πύλη δικτύου, οπότε δεν υπάρχει αρχείο καταγραφής δικτύου για να την εντοπίσει κανείς ή να τη διερευνήσει αργότερα. Γι' αυτό τα φορητά μέσα είναι ένας αθόρυβος δρόμος για την εξαγωγή δεδομένων. Το κανάλι λειτουργεί και εκτός σύνδεσης, σε απομονωμένα περιβάλλοντα. Οι συσκευές μεταφέρουν δεδομένα προς τα έξω και κώδικα προς τα μέσα, και αρχεία από προσωπικά ή άγνωστα μέσα παρακάμπτουν τις άμυνες περιμέτρου. Για το λειτουργικό σύστημα, ο δίσκος ενός υπαλλήλου, ενός συνεργάτη και ενός επισκέπτη φαίνονται πανομοιότυποι.

Σύμφωνα με τον ΓΚΠΔ, η απώλεια φορητής συσκευής με προσωπικά δεδομένα αποτελεί παραβίαση που πρέπει να αξιολογηθεί και, όταν ενέχει κίνδυνο για τα πρόσωπα, να αναφερθεί στην εποπτική αρχή εντός 72 ωρών. Οι οδηγίες HIPAA θεωρούν το χαμένο ή κλεμμένο μη κρυπτογραφημένο μέσο εν δυνάμει αναφερόμενο. Το PCI DSS απαιτεί έλεγχο των μέσων που περιέχουν δεδομένα κατόχων καρτών, συμπεριλαμβανομένων του περιορισμού πρόσβασης και της κρυπτογράφησης.

Τα περιβάλλοντα υψηλής ασφάλειας συχνά απαγορεύουν εντελώς την προσωπική φορητή αποθήκευση και επιτρέπουν μόνο εκδοθέντα, καταγεγραμμένα και κρυπτογραφημένα μέσα, αν επιτρέπεται κάτι. Η ίδια λογική φτάνει στα κοινά γραφεία μέσω της αποχώρησης προσωπικού. Η αντιγραφή δεδομένων σε δίσκο είναι συνηθισμένη τελευταία ενέργεια αποχωρούντος υπαλλήλου, γι' αυτό η πολιτική μέσων και η διαδικασία αποχώρησης σχεδιάζονται μαζί, ως μέρος κάθε προγράμματος για την εσωτερική απειλή.

Ο έλεγχος είναι σε επίπεδα, από τα φυσικά μέτρα έως τους κανόνες βάσει περιεχομένου. Τα επίπεδα λογισμικού εκτελούνται στο DLP στα endpoints:

1. 1

   Φυσικά μέτρα

   Κλειδαριές θυρών και περιορισμένες θύρες USB σε ασφαλείς χώρους, με απαγόρευση προσωπικών μέσων σε επίπεδο εγκατάστασης.

2. 2

   Κανόνες θυρών, κλάσεων και συσκευών

   Το λογισμικό στο endpoint επιτρέπει, μπλοκάρει ή επιβάλλει πρόσβαση μόνο για ανάγνωση ανά κλάση συσκευής. Επιτρέπει μόνο εγκεκριμένες συσκευές, που αναγνωρίζονται από κατασκευαστή, μοντέλο και σειριακό αριθμό.

3. 3

   Επιβολή κρυπτογράφησης

   Η εγγραφή επιτρέπεται μόνο σε μέσα που θα κρυπτογραφηθούν. Ένας χαμένος δίσκος είναι απώλεια υλικού και όχι έκθεση δεδομένων.

4. 4

   Κανόνες βάσει περιεχομένου

   Κάθε εγγραφή κρίνεται από το περιεχόμενο του αρχείου, όχι μόνο από τη συσκευή. Το κανάλι μένει ανοιχτό για νόμιμη εργασία, ενώ σταματά το ρυθμιζόμενο περιεχόμενο.

5. 5

   Καταγραφή και σκιώδη αντίγραφα

   Καταγράφεται κάθε λειτουργία αρχείου και μπορεί προαιρετικά να διατηρηθεί αντίγραφο του τι γράφτηκε, κάτι που το δίκτυο δεν θα είχε ποτέ.

Μια πολιτική φορητής αποθήκευσης ορίζει ποιες κατηγορίες συσκευών επιτρέπονται, για ποιον και υπό ποιες προϋποθέσεις: καταχώριση, κρυπτογράφηση, έγκριση. Καθορίζει επίσης πώς χορηγούνται οι εξαιρέσεις και πότε λήγουν, τι γίνεται όταν κάποιος αποχωρεί και ποιες είναι οι εναλλακτικές. Όπου οι υπάλληλοι χρειάζεται να μεταφέρουν μεγάλα αρχεία, μια εγκεκριμένη και διαχειριζόμενη διαδρομή εμποδίζει την παράκαμψη της πολιτικής. Όταν οι κανόνες επιβάλλονται από λογισμικό, ο έλεγχος USB και εξωτερικών δίσκων τους εφαρμόζει ανά κατηγορία συσκευής.

Η υπερβολική περιοριστικότητα έχει γνωστό μοτίβο αποτυχίας. Όταν η εγκεκριμένη διαδρομή είναι αργή, οι χρήστες μετακινούν δεδομένα μέσω προσωπικών λογαριασμών cloud, ανταλλάσσοντας ένα ελέγξιμο κανάλι με ένα μη παρακολουθούμενο. Οι αποτελεσματικές υλοποιήσεις ξεκινούν σε λειτουργία παρακολούθησης, μαθαίνουν τι κάνει πραγματικά η επιχείρηση με τα φορητά μέσα και σφίγγουν σταδιακά τους κανόνες προς τις κατηγορίες και το περιεχόμενο που έχουν σημασία.

Στην κονσόλα του Anexet DLP, ο έλεγχος συσκευών και αποθήκευσης ενεργοποιείται ανά προφίλ πράκτορα, και ένας κανόνας αποκλεισμού μπορεί να στοχεύει απευθείας την εξωτερική αποθήκευση.

1 / 2

• 
• 

Ξεκινήστε καταγράφοντας ποια δεδομένα θα προκαλούσαν τη μεγαλύτερη ζημιά αν έβγαιναν από την εταιρεία, και μετά ελέγξτε ποιες συσκευές και κανάλια χρησιμοποιεί το προσωπικό για να τα μεταφέρει. Μια πολιτική χτισμένη πάνω σε αυτές τις απαντήσεις αντέχει στην καθημερινή εργασία, ενώ μια πολιτική γραμμένη για όλες τις συσκευές μαζί τείνει να παρακάμπτεται.

Περισσότερα: Πώς να αποτρέψετε τη μη εξουσιοδοτημένη πρόσβαση στον υπολογιστή σας; Συστήματα DLP — τι είναι και πώς λειτουργούν.