Bezpieczeństwo danych

Każda kontrola bezpieczeństwa danych służy jednemu z trzech celów, określanych łącznie jako triada CIA.

Poufność oznacza, że dane mogą odczytać wyłącznie uprawnione osoby i systemy. Egzekwują to kontrola dostępu, szyfrowanie i monitorowanie nieautoryzowanego wglądu. Integralność oznacza, że dane nie zostały zmienione, uszkodzone ani zmanipulowane, czy to przez atakującego, błąd systemu, czy nieuważnego pracownika. Dostępność oznacza, że dane są obecne i możliwe do użycia, gdy potrzebuje ich uprawniony użytkownik. Dlatego kopie zapasowe, redundancja i planowanie odzyskiwania również należą do bezpieczeństwa danych.

Kontrola chroniąca jeden cel może osłabiać inny. Szyfrowanie wszystkiego na najwyższym poziomie może spowolnić uprawniony dostęp, którego wymaga dostępność. Dlatego dobre programy równoważą wszystkie trzy cele, zamiast maksymalizować tylko jeden.

Większość programów bezpieczeństwa danych opiera się na tym samym zestawie typów kontroli, ułożonych warstwowo tak, by pojedyncza awaria nie odsłaniała danych.

Bezpieczeństwo sieci i punktów końcowych dodaje kolejną warstwę. Zapory sieciowe, kontrola urządzeń i zarządzanie poprawkami ograniczają liczbę dróg, którymi atakujący może dotrzeć do danych. Anexet obejmuje warstwę urządzeń dzięki kontroli urządzeń końcowych.

Te trzy pojęcia są często używane zamiennie, co wprowadza zamieszanie w budżetach i nazwach stanowisk.

Bezpieczeństwo danych chroni dane przed nieautoryzowanym dostępem lub utratą. To funkcja techniczna i operacyjna. Prywatność danych dotyczy praw osób do ich danych osobowych oraz zasad, jakich organizacja przestrzega przy ich zbieraniu, wykorzystywaniu i udostępnianiu. To funkcja prawna i regulacyjna, wyrażona w przepisach takich jak RODO czy HIPAA.

Governance danych to szersze ramy własności, standardów jakości i uprawnień decyzyjnych wobec danych jako aktywa biznesowego. Bezpieczeństwo i prywatność są jego składnikami obok m.in. jakości danych i zarządzania metadanymi. W praktyce te obszary się przenikają. Silny program bezpieczeństwa danych sprawia, że większość zobowiązań dotyczących prywatności i governance da się realnie egzekwować.

Dane przechodzą przez te same etapy, od powstania do zniszczenia, a na każdym z nich działają kontrole. Wszystko zaczyna się od klasyfikacji danych.

1. 1

   Tworzenie i klasyfikacja

   Dane są oznaczane wrażliwością od chwili powstania lub otrzymania, tak aby kolejne kontrole wiedziały, jak ostro je traktować.

2. 2

   Przechowywanie

   Bazy danych, serwery plików i repozytoria chmurowe stosują szyfrowanie w spoczynku oraz ograniczenia dostępu zgodne z klasyfikacją.

3. 3

   Użycie i udostępnianie

   Pracownicy kopiują dane, wysyłają je e-mailem lub przesyłają do narzędzi współpracy. Tu dochodzi do większości wycieków, dlatego DLP i monitorowanie wykonują najwięcej pracy.

4. 4

   Archiwizacja

   Dane, których nie używa się już aktywnie, są przechowywane zgodnie z udokumentowaną polityką. Zmniejsza to powierzchnię ekspozycji bez niszczenia rekordów, które trzeba zachować.

5. 5

   Niszczenie

   Po upływie okresu retencji dane są usuwane albo nośnik jest sanityzowany, tak aby nie dało się ich odzyskać. Dzięki temu dane nie gromadzą się bez końca.

Reguła blokowania w Anexet DLP może dopasować dane po etykiecie poufności Microsoft albo po treści transferu sieciowego, korzystając z gotowych wzorców numerów kart płatniczych i adresów e-mail lub z własnego wyrażenia regularnego. Dwa poniższe ekrany pokazują oba rodzaje warunków.

1 / 2

• 
• 

Techniczne kontrole są dobrze znane. Większość realnych porażek wynika z tego, jak je stosujemy.

Klasyfikacja bywa pomijana lub stosowana niekonsekwentnie, więc reguły DLP i polityki dostępu chronią niewłaściwe rzeczy albo nic. Kontrole konfiguruje się raz, przy wdrożeniu, i nigdy ich nie weryfikuje, mimo że organizacja dodaje nowe usługi chmurowe, narzędzia do udostępniania plików i kanały pracy zdalnej, których nie uwzględniono w pierwotnym modelu zagrożeń.

Monitorowanie zawodzi, gdy nikt nie przegląda logów. Incydent wychodzi wtedy na jaw po tygodniach, zamiast w czasie rzeczywistym. Najczęstszą pojedynczą przyczyną incydentów pozostaje osoba wewnętrzna (insider): pracownik zabierający dane przy odejściu, podwykonawca źle obchodzący się z plikiem albo zwykły błąd. Dlatego widoczność tego, co ludzie faktycznie robią z danymi, zamyka luki, których sama obrona obwodowa nie pokryje. Ludzką stroną tego ryzyka zajmuje się wykrywanie zagrożeń wewnętrznych.

Logi pomagają tylko wtedy, gdy ktoś je przegląda. Ten widok pokazuje incydenty, których jeszcze nie otwarto, wraz z ich statusem i wykresem statystyk. Ich przegląd jest sednem badania incydentów bezpieczeństwa.

Zacznij od danych, których wyciek wyrządziłby największe szkody, a potem zmapuj kanały, którymi te dane faktycznie się przemieszczają. Polityka napisana od razu dla wszystkich plików zwykle blokuje zwykłą pracę i szybko zostaje wyłączona.

Przeglądaj kontrole według stałego harmonogramu. Program bezpieczeństwa danych jest wart tyle, ile jego ostatni przegląd.

Czytaj dalej: Bezpieczeństwo informacji w bazach danych; Czym jest techniczna ochrona informacji?.