Η κρυπτογράφηση δεν αρκεί: 3 κρίσιμες αλήθειες για την ασφάλεια των δεδομένων

Χάρη στις νεκρές περιμέτρου, τους επίμονες αντίπαλες, το σύννεφο, την κινητικότητα και τη δική σας συσκευή (BYOD), η ασφάλεια των δεδομένων είναι επιτακτική. Η αρχή της ασφάλειας δεδομένων είναι απλή: εάν διακυβεύεται ένα δίκτυο ή όταν χαθεί ή κλαπεί μια κινητή συσκευή, προστατεύονται τα δεδομένα. Οι οργανισμοί αυτοί που αποδέχονται αυτήν την αλλαγή παραδείγματος συνειδητοποίησαν την ανάγκη να προστεθεί ο έλεγχος και η προβολή στην ασφάλεια των δεδομένων, εξετάζοντας πέρα ​​από τις παραδοσιακές λύσεις. Η υιοθέτηση αυτής της εξελισσόμενης άποψης για την ασφάλεια των δεδομένων επιτρέπει σε οργανισμούς όλων των επιπέδων να προστατεύουν ευαίσθητα δεδομένα, συνδέοντας ουσιαστικά τα δεδομένα αυτά ανεξάρτητα από τον τόπο κατοικίας τους.

Οι λύσεις ασφαλείας που βασίζονται σε δεδομένα έχουν παραδοσιακά αντιμετωπιστεί προς τα μέσα και έχουν επικεντρωθεί στην προστασία δεδομένων εντός του τομέα του οργανισμού καθώς συλλέγονται και αποθηκεύονται. Ωστόσο, τα δεδομένα απομακρύνονται από το κέντρο της οργάνωσης και όχι απέναντί ​​της και οι μεγάλες τάσεις όπως το σύννεφο και η κινητικότητα επιταχύνουν τη διαδικασία. Η αποτελεσματική ασφάλεια δεδομένων προστατεύει τα δεδομένα καθώς μετακινείται μακριά από το κέντρο της οργάνωσης για κοινή χρήση και κατανάλωση. Αυτό περιλαμβάνει ad-hoc σχέσεις πέρα ​​από το όριο του τομέα, επιτρέποντας ασφαλείς αλληλεπιδράσεις με πελάτες και συνεργάτες. (Πραγματοποιήστε κάποια ανάγνωση του υπόβαθρου για την ασφάλεια πληροφορικής. Δοκιμάστε τις 7 βασικές αρχές ασφάλειας IT.)

Οι 3 κρίσιμες αλήθειες της ασφάλειας δεδομένων

Μια εξελιγμένη άποψη της ασφάλειας δεδομένων βασίζεται σε τρεις κρίσιμες αλήθειες που δείχνουν το δρόμο για την εφαρμογή της ασφάλειας για να είναι αποτελεσματική:

• Τα δεδομένα θα μεταφερθούν σε μέρη που δεν γνωρίζετε, δεν μπορούν να ελέγξουν και δεν μπορούν να εμπιστεύονται όλο και περισσότερο. Αυτό συμβαίνει μέσα από την κανονική πορεία της επεξεργασίας, μέσω σφάλματος χρήστη ή εφησυχασμού ή μέσω κακόβουλων δραστηριοτήτων. Επειδή οι τοποθεσίες που μεταφέρουν τα δεδομένα σας ενδέχεται να μην είναι αξιόπιστες, δεν μπορείτε να βασιστείτε στην ασφάλεια του δικτύου, της συσκευής ή της εφαρμογής για την προστασία αυτών των δεδομένων.
• Η κρυπτογράφηση από μόνη της δεν επαρκεί για την προστασία των δεδομένων.

  Η κρυπτογράφηση πρέπει να συνδυάζεται με επίμονα, προσαρμόσιμα στοιχεία ελέγχου πρόσβασης που επιτρέπουν στον εντολέα να καθορίζει τους όρους υπό τους οποίους θα χορηγείται ένα κλειδί και να αλλάζει αυτά τα στοιχεία ελέγχου ανάλογα με τις περιστάσεις.

• Θα πρέπει να υπάρχει πλήρης και λεπτομερής προβολή σε ποιος προσπελάζει τα προστατευόμενα δεδομένα, πότε και πόσες φορές.

  Αυτή η λεπτομερής ορατότητα διασφαλίζει τη δυνατότητα ελέγχου των κανονιστικών απαιτήσεων και των αναλυτικών εξουσιών για ευρύτερη γνώση των προτύπων χρήσης και των πιθανών θεμάτων, γεγονός που βελτιώνει τον έλεγχο.

Δεδομένα: Ω, τα μέρη που θα πάει

Ξεκινώντας από την πρώτη αλήθεια, είμαστε σε θέση να συνάψουμε ένα σημαντικό, ρεαλιστικό λειτουργικό πρότυπο: Για να είναι αποτελεσματική η ασφάλεια δεδομένων, τα δεδομένα πρέπει να προστατεύονται στο σημείο προέλευσης. Αν τα δεδομένα είναι κρυπτογραφημένα ως το πρώτο βήμα της διαδικασίας, είναι ασφαλή, ανεξάρτητα από το πού πηγαίνει, σε ποιο δίκτυο ταξιδεύει και όπου τελικά κατοικεί. Κάνοντας κάτι διαφορετικό απαιτεί την εμπιστοσύνη κάθε υπολογιστή, κάθε σύνδεση δικτύου και κάθε άτομο από το σημείο που οι πληροφορίες αφήνουν τη φροντίδα του συντάκτη και για όσο χρονικό διάστημα υπάρχουν ή υπάρχουν αντίγραφα.

Η προστασία των δεδομένων στο σημείο προέλευσης αποτελεί μεγάλη υπόθεση: Η λύση ασφαλείας που εστιάζει σε δεδομένα πρέπει να είναι σε θέση να προστατεύει τα δεδομένα οπουδήποτε κι αν πάει. Όπως μας λέει η πρώτη αλήθεια, τα δεδομένα και τα πολλά αντίγραφα που δημιουργήθηκαν φυσικά θα πάνε σε πολλά μέρη, συμπεριλαμβανομένων των κινητών συσκευών, των προσωπικών συσκευών και του cloud. Μια αποτελεσματική λύση πρέπει να εξασφαλίζει δεδομένα ανεξάρτητα από τη συσκευή, την εφαρμογή ή το δίκτυο. Πρέπει να εξασφαλίζει αυτά τα δεδομένα, ανεξάρτητα από τη μορφή ή την τοποθεσία τους, και ανεξάρτητα από το αν βρίσκεται σε ηρεμία, κίνηση ή χρήση. Πρέπει να εκτείνεται εύκολα πέρα ​​από το όριο περιμέτρου και να μπορεί να προστατεύει διαλόγους ad-hoc.

Σε αυτό το σημείο είναι χρήσιμο να σταματήσουμε και να εξετάσουμε τις πολλές λύσεις ασφάλειας που βασίζονται σε συγκεκριμένα σημεία και λειτουργίες, διαθέσιμες στην αγορά. Από τη φύση τους, αυτές οι λύσεις δημιουργούν σιλό προστασίας, διότι -όπως υπαγορεύει η πρώτη κρίσιμη αλήθεια- τα δεδομένα θα βρίσκονται κάπου έξω από το εύρος λειτουργίας τους. Επειδή αυτές οι λύσεις δεν έχουν την απαραίτητη παντού προστασία, οι οργανισμοί και οι επιχειρήσεις υποχρεώνονται να ανεγείρουν πολλαπλά σιλό. Ωστόσο, παρά τις καλύτερες προσπάθειες αυτών των πολλαπλών σιλό, τα αποτελέσματα είναι προβλέψιμα: Τα δεδομένα θα εξακολουθούν να πέφτουν μεταξύ των κενών. Και αυτά τα κενά είναι ακριβώς εκεί που οι εξωτερικοί αντίπαλοι και οι κακόβουλοι εμπιστευτές βρίσκονται σε αναμονή να εκμεταλλευτούν τις ευπάθειες και να κλέψουν τα δεδομένα. Επιπλέον, κάθε σιλό αντιπροσωπεύει το πραγματικό κόστος απόκτησης, υλοποίησης και υποστήριξης της σχετικής λύσης και το λειτουργικό βάρος της διαχείρισης πολλαπλών λύσεων. (Περισσότερα τρόφιμα για σκέψη: Το χάσμα ασφάλειας δεδομένων πολλών εταιρειών παραβλέπει.)

Η κρυπτογράφηση δεδομένων δεν αρκεί

Η δεύτερη αλήθεια δηλώνει ότι η κρυπτογράφηση από μόνη της δεν αρκεί - πρέπει να συνδυαστεί με κοκκώδη και επίμονα στοιχεία ελέγχου. Η πράξη κατανομής περιεχομένου αποδίδει αποτελεσματικά τον έλεγχο, καθιστώντας κατ 'ουσίαν τον δικαιούχο συνιδιοκτήτη των δεδομένων. Οι έλεγχοι επιτρέπουν στον εντολέα να ορίζει τις προϋποθέσεις υπό τις οποίες ο παραλήπτης έχει ένα κλειδί για την πρόσβαση στο αρχείο και επιτρέπει την επιλογή να υπαγορεύει τι μπορεί να κάνει ο παραλήπτης από την πρόσβαση στα δεδομένα. Αυτό περιλαμβάνει την επιλογή παροχής δυνατότητας προβολής μόνο όταν ο παραλήπτης δεν μπορεί να αποθηκεύσει το αρχείο, να αντιγράψει / επικολλήσει περιεχόμενο ή να εκτυπώσει το αρχείο.

Ο όρος "επίμονος" είναι ένα κρίσιμο χαρακτηριστικό των ελέγχων πρόσβασης που απαιτούνται για την αποτελεσματική ασφάλεια δεδομένων. Τα δεδομένα παραμένουν σχεδόν προσδεδεμένα στον εντολέα, ο οποίος μπορεί να ανταποκριθεί στις μεταβαλλόμενες απαιτήσεις ή απειλές, ανακαλώντας την πρόσβαση ή αλλάζοντας τους όρους πρόσβασης ανά πάσα στιγμή. Αυτές οι αλλαγές πρέπει να εφαρμόζονται άμεσα σε όλα τα αντίγραφα των δεδομένων, ανεξάρτητα από την κατοικία τους. Θυμηθείτε ότι η πρώτη αλήθεια δηλώνει ότι τα δεδομένα μπορεί να βρίσκονται σε μέρη που ο δημιουργός δεν γνωρίζει ή πάνω από τον οποίο δεν μπορεί να ασκήσει έλεγχο. Συνεπώς, δεν είναι δυνατόν να ληφθεί υπόψη η προηγούμενη γνώση του τόπου όπου βρίσκονται τα δεδομένα και της φυσικής πρόσβασης στις σχετικές συσκευές. Ο μόνιμος έλεγχος έχει το πρόσθετο πλεονέκτημα της αντιμετώπισης της ανάκλησης δεδομένων για χαμένες ή κλεμμένες συσκευές που πιθανότατα δεν θα ξανασυνδέονται ξανά με το δίκτυο.

Η προσαρμοστικότητα είναι ένα κρίσιμο χαρακτηριστικό που διαφοροποιεί ταυτόχρονα τις ανταγωνιστικές λύσεις και υποστηρίζει την υπόθεση για μια ενιαία, πανταχού παρούσα προσέγγιση. Δεν δημιουργούνται ίσες λύσεις ασφάλειας για όλα τα δεδομένα, καθώς ορισμένες μέθοδοι κρυπτογράφησης χρησιμοποιούν πριν από την κινητικότητα, το σύννεφο και την ευρεία υιοθέτηση του Διαδικτύου. Με αυτές τις μεθόδους, οι έλεγχοι πρόσβασης ρυθμίζονται τη στιγμή που τα δεδομένα κρυπτογραφούνται, αλλά δεν έχουν τα οφέλη που έρχονται με επίμονο έλεγχο.

Ποιος, Πότε και πόσες φορές έχουν πρόσβαση δεδομένα;

Η τρίτη αλήθεια για την αποτελεσματική ασφάλεια δεδομένων είναι η απόλυτη ανάγκη για ολοκληρωμένη προβολή και ελεγκτική ικανότητα. Αυτό περιλαμβάνει την προβολή σε κάθε δραστηριότητα πρόσβασης για κάθε αντικείμενο δεδομένων, εξουσιοδοτημένη και μη εξουσιοδοτημένη. Περιλαμβάνει επίσης ορατότητα σε οποιοδήποτε τύπο δεδομένων, εντός και εκτός των ορίων της περιμέτρου. Τα περιεκτικά δεδομένα ελέγχου και η μη αναθεώρηση επιτρέπουν σε μια οργάνωση να γνωρίζει ποιος χρησιμοποιεί δεδομένα, πότε και πόσο συχνά. Η ορατότητα εξουσιοδοτεί τον έλεγχο, παρέχοντας στις οργανώσεις τις πληροφορίες για να κάνουν ταχείες και καλά ενημερωμένες απαντήσεις στις αδιάπτριες προσπάθειες εξολόθρευσης των πληροφοριών. Αυτή η προβολή θα πρέπει να επεκταθεί στο ευρύτερο οικοσύστημα ασφάλειας του οργανισμού, παρέχοντας τα δεδομένα στα εργαλεία διαχείρισης πληροφοριών και συμβάντων ασφάλειας (SIEM) και σε λειτουργικά αναλυτικά στοιχεία. Με τη σειρά του, η συσχέτιση και η ανάλυση μπορούν να αποδώσουν ιδέες όπως ο εντοπισμός πιθανών κακόβουλων στοιχείων.

Θα παραβιαστείτε. Κάθε στρώμα προστασίας της πληροφορικής μπορεί και θα παραβιαστεί. Οι οργανισμοί δεν μπορούν πλέον να βασίζονται στην ασφάλεια περιμέτρου για την εξασφάλιση ευαίσθητων δεδομένων και πνευματικής ιδιοκτησίας. Πρέπει να αναζητήσουν εναλλακτικές προσεγγίσεις για την προστασία ευαίσθητων πληροφοριών. Δεν είναι μόνο περιμετρικές αμυντικές δυνάμεις που αγωνίζονται, δεδομένου ότι πολλές λύσεις ασφάλειας που βασίζονται σε δεδομένα δημιουργήθηκαν πριν από την κινητικότητα, το BYOD, τις αλληλεπιδράσεις εκτός του πεδίου με το cloud και το Web. Οι οργανισμοί πρέπει να στραφούν σε λύσεις ασφάλειας που βασίζονται σε δεδομένα, οι οποίες λαμβάνουν μια εξελιγμένη άποψη, αντιμετωπίζοντας πλήρως τις σκληρές αλήθειες της προστασίας δεδομένων στο σημερινό ταχέως μεταβαλλόμενο και πολύ περίπλοκο περιβάλλον πληροφορικής.