Ochrona danych

Większość definicji ochrony danych opiera się na trzech powiązanych, lecz odrębnych celach. Każdy filar chroni te same dane w inny sposób, więc program obejmujący tylko jeden z nich zostawia luki. Tabela pokazuje, co każdy cel oznacza w praktyce dla danych wrażliwych:

Pojęcie ochrony danych bywa używane dość swobodnie, dlatego warto odróżnić je od trzech pokrewnych terminów:

Bezpieczeństwo danych ma węższy zakres. Odnosi się do mechanizmów technicznych, takich jak szyfrowanie, kontrola dostępu i zapory sieciowe, które zachowują poufność i integralność danych. Ochrona danych jest szersza i obejmuje także kopie zapasowe, odzyskiwanie, retencję oraz politykę cyklu życia danych.

Prywatność danych dotyczy praw, jakie osoby mają do swoich danych osobowych: co jest gromadzone, po co i komu jest udostępniane. Ochrona danych to dyscyplina operacyjna, która sprawia, że te zobowiązania dotyczące prywatności da się egzekwować w praktyce.

Zarządzanie danymi (data governance) określa zasady, własność i odpowiedzialność za sposób zarządzania danymi w organizacji. Ochrona danych wdraża tę część zasad, która utrzymuje dane w bezpieczeństwie.

Przepisy nakazujące ochronę danych, takie jak wymóg RODO dotyczący „odpowiednich środków technicznych i organizacyjnych”, nie narzucają jednego zestawu narzędzi. W praktyce większość programów łączy jednak te same elementy:

• Szyfrowanie danych w spoczynku i w transmisji, dzięki czemu przechwycone lub skradzione dane pozostają nieczytelne bez klucza.
• Kontrola dostępu i uwierzytelnianie, ograniczające, kto może przeglądać, modyfikować lub eksportować dane, zgodnie z rolą i potrzebą.
• Kopie zapasowe i odzyskiwanie, dzięki którym awaria sprzętu, ransomware czy błąd ludzki nie oznaczają trwałej utraty danych.
• Zapobieganie utracie danych (DLP), czyli monitorowanie i blokowanie kanałów, którymi wrażliwe dane mogłyby opuścić kontrolę organizacji, przez pomyłkę lub celowo.
• Klasyfikacja danych i ich wykrywanie, dzięki którym mechanizmy ochronne trafiają tam, gdzie faktycznie znajdują się wrażliwe treści, a nie są stosowane jednolicie albo wcale.
• Polityka retencji i usuwania, zapewniająca przechowywanie danych tylko tak długo, jak to potrzebne, a następnie ich prawidłowe sanityzowanie lub zniszczenie.

Ochrona zawodzi, gdy nikt nie odpowiada za decyzje. Zagrożenia wewnętrzne pogłębiają ten problem, bo osoby z legalnym dostępem również mogą ujawnić dane.

W konsoli Anexet słowniki słów kluczowych określają, jakie rodzaje wrażliwych treści system rozpoznaje, na przykład numery kart, numery SSN lub terminy finansowe. Reguła blokowania decyduje następnie, co się stanie, gdy taka treść pojawi się w transferze. Obie rzeczy konfiguruje się w Anexet DLP, a logikę egzekwowania opisuje blokowanie transferu danych.

1 / 2

• 
• 

Ochrona danych to także pojęcie prawne. Wiele krajów uchwaliło ustawy, które zamieniają część tych środków z dobrych praktyk w wiążące obowiązki.

Ogólne rozporządzenie o ochronie danych Unii Europejskiej (RODO/GDPR) jest najbardziej wpływowym przykładem. Obejmuje każdą organizację przetwarzającą dane osobowe mieszkańców UE i wymaga zarówno zabezpieczeń technicznych, jak i wykazywalnej rozliczalności.

Stany Zjednoczone nie mają jednej federalnej ustawy o ochronie danych. Obowiązują natomiast przepisy sektorowe, takie jak HIPAA dla informacji o zdrowiu i GLBA dla danych finansowych, a obok nich prawo stanowe, na przykład CCPA/CPRA w Kalifornii.

Inne jurysdykcje przyjęły porównywalne ramy prawne, w tym brazylijską LGPD i różne krajowe ustawy o ochronie danych, w dużej mierze wzorowane na strukturze RODO.

Przepisy te różnią się zakresem i sposobem egzekwowania, ale mają wspólną strukturę. Określają, co uznaje się za dane chronione, wymagają od organizacji wdrożenia odpowiednich zabezpieczeń i nakładają kary, często wysokie grzywny, gdy dane zostaną ujawnione wskutek zaniedbania.

Ochrona danych bywa traktowana jak jednorazowa lista kontrolna zgodności. Ryzyko jest jednak ciągłe: każdego dnia powstają nowe dane, pracownicy zmieniają role i potrzeby dostępowe, przechowywanie przenosi się do nowych usług chmurowych, a atakujący rozwijają nowe techniki eksfiltracji.

Skuteczne programy łączą zatem trzy stałe praktyki, a nie jeden audyt, który szybko się dezaktualizuje:

1. 1

   Wykrywanie

   Na bieżąco ustalaj, gdzie znajdują się wrażliwe dane.

2. 2

   Monitorowanie

   Śledź, jak wrażliwe dane przemieszczają się między kanałami.

3. 3

   Przegląd dostępu

   Regularnie sprawdzaj, kto nadal ma do nich dostęp.

Zacznij od danych, których wyciek zaszkodziłby najbardziej, a potem zmapuj kanały, którymi faktycznie są przesyłane. Zasady pisane od razu dla wszystkich plików kończą się blokowaniem zwykłej pracy i wyłączeniem zabezpieczeń.

Czytaj dalej: Jak zadbać o bezpieczeństwo swoich danych osobowych?; System DLP Anexet Ultimate jako wsparcie w spełnianiu wymagań RODO.