Poufność

Triada CIA nazywa trzy właściwości, które program bezpieczeństwa chroni. Mogą one działać przeciwko sobie, dlatego projektowanie bezpieczeństwa jest zwykle balansem, a nie maksymalizacją jednej z nich. Poufność to właściwość, którą ludzie mają na myśli, mówiąc, że dane są „bezpieczne”, ale system może mieć idealną poufność i mimo to zawieść pod względem integralności lub dostępności.

Poufność jest częścią bezpieczeństwa danych. Zatrzymuje dotarcie informacji do niewłaściwej osoby, bez względu na powód.

Naruszenia poufności mają jeden wspólny skutek: informacja trafia do kogoś, kto nie jest upoważniony do jej posiadania. Skutki są zwykle takie same, niezależnie od przyczyny: ekspozycja regulacyjna, utrata zaufania, szkoda konkurencyjna po wycieku tajemnic handlowych i możliwe kary w branżach regulowanych.

Samo ujawnienie nie wymaga atakującego, dlatego nieumyślne ujawnienie ma osobne hasło. Typowe przyczyny to:

• Atak zewnętrzny: podmiot z zewnątrz włamuje się do systemu i kopiuje dane, wykorzystując skradzione dane uwierzytelniające, złośliwe oprogramowanie lub podatność.
• Ujawnienie przez insidera: pracownik lub współpracownik z uprawnionym dostępem przegląda, kopiuje lub udostępnia dane poza autoryzowanym celem, co obserwuje się w ramach ryzyka wewnętrznego.
• Przypadkowe ujawnienie: błędnie zaadresowany e-mail, źle skonfigurowany zasobnik w chmurze, dokument załączony do niewłaściwej wiadomości albo ekran widoczny dla nieupoważnionej osoby.
• Niewłaściwa utylizacja: wyrzucone papiery, dyski lub urządzenia, które nadal zawierają odczytywalne dane.

Kilka rodzajów kontroli działa razem. Żadna z nich nie wystarcza sama: reguły dostępu decydują, kto może otworzyć plik, szyfrowanie chroni kopie, a zapobieganie utracie danych pilnuje kanałów, którymi kopia mogłaby opuścić organizację.

Poufnej treści trudno rozpoznać samą nazwą pliku, dlatego konsola porównuje zawartość z gotowymi zestawami słów kluczowych. Lista systemowych tezaurusów obejmuje 35 zestawów, m.in. SSN, Credit Card i Financial, z liczbą słów w każdym. Zestawy działają w ramach Anexet DLP.

Etykiety poufności dają drugi sygnał. Reguła może wymagać etykiety Microsoft na danych wrażliwych, zanim dojdzie do dopasowania, a etykiety pomagają tylko wtedy, gdy ludzie stosują je konsekwentnie.

1 / 2

• 
• 

Dopasowanie nie zawsze oznacza blokadę. Reguła wybiera reakcję, a zdarzenie zostaje w dzienniku do późniejszego przeglądu, czyli w tym samym zapisie, na którym opiera się monitorowanie aktywności użytkowników.

1. 1

   Dopasowanie

   Treść lub etykieta spełnia warunek reguły, na przykład zestaw słów albo etykietę poufności.

2. 2

   Decyzja

   Reguła blokuje transfer, wstrzymuje go do przeglądu albo tylko go zapisuje, zależnie od klasyfikacji i wagi.

3. 3

   Zapis

   Zdarzenie zostaje zapisane z użytkownikiem, kanałem i obiektem, aby dało się odtworzyć przebieg działań.

4. 4

   Przegląd

   Analityk sprawdza istotne przypadki i koryguje regułę, gdy uruchamia się za często albo za rzadko.

Poufność i prywatność są powiązane, ale nie tożsame. Poufność to właściwość bezpieczeństwa, którą można zastosować do dowolnej informacji, jaką organizacja chce ograniczyć, na przykład tajemnic handlowych, prognoz finansowych czy kodu źródłowego, niezależnie od tego, czy dotyczy ona osoby.

Prywatność dotyczy prawa jednostki do kontrolowania informacji na swój temat i jest przedmiotem dedykowanych regulacji, takich jak RODO. Ochrona danych osobowych zawsze wymaga mechanizmów poufności, ale te mechanizmy obejmują też wiele informacji, które nie mają nic wspólnego z konkretną osobą.

Wiele programów zaczyna od jednej polityki obejmującej naraz każdy plik. Skutkiem jest zablokowana praca i szukanie sposobów obejścia narzędzia.

Trzy błędy wracają w wielu wdrożeniach:

• Etykietowanie bez egzekwowania: etykiety, których nikt nie sprawdza, nie chronią niczego.
• Ufanie jednemu kanałowi: polityka obejmująca tylko e-mail zostawia otwarte nośniki USB i wysyłkę do chmury.
• Traktowanie poufności jako zamkniętego projektu: dane się przemieszczają, więc reguły wymagają regularnego przeglądu.

Zacznij od danych, których wyciek zaszkodziłby najbardziej, a potem zmapuj kanały, którymi faktycznie się przemieszczają. Reguły zbudowane wokół tych dwóch pytań łatwiej wyjaśnić pracownikom i łatwiej je utrzymać.

Czytaj dalej: Bezpieczeństwo informacji: definicja, wymagania, modele i etapy.