Szyfrowanie to po prostu za mało: 3 krytyczne prawdy o bezpieczeństwie danych

Dzięki martwym obwodom, wytrwałym przeciwnikom, chmurze, mobilności i przyniesieniu własnego urządzenia (BYOD) bezpieczeństwo skoncentrowane na danych jest niezbędne. Zasada bezpieczeństwa skoncentrowanego na danych jest prosta: w przypadku naruszenia sieci lub zgubienia lub kradzieży urządzenia mobilnego, dane są chronione. Te organizacje akceptujące zmianę paradygmatu zdały sobie sprawę z potrzeby zwiększenia kontroli i widoczności bezpieczeństwa danych, wychodząc poza tradycyjne rozwiązania. Uwzględnienie tego rozwiniętego widoku bezpieczeństwa skoncentrowanego na danych umożliwia organizacjom na wszystkich poziomach ochronę wrażliwych danych, wirtualnie tethering tych danych bez względu na to, gdzie się znajdują.

Rozwiązania bezpieczeństwa skoncentrowane na danych były tradycyjnie skierowane do wewnątrz i koncentrowały się na ochronie danych w domenie organizacji podczas ich gromadzenia i przechowywania. Jednak dane odchodzą od centrum organizacji, a nie w jej kierunku, a mega trendy, takie jak chmura i mobilność, tylko przyspieszają ten proces. Skuteczne bezpieczeństwo zorientowane na dane chroni dane, gdy odsuwają się od centrum organizacji, aby je udostępnić i wykorzystać. Obejmuje to relacje ad hoc poza granicami domeny, umożliwiające bezpieczne interakcje z klientami i partnerami. (Przeczytaj kilka podstawowych informacji na temat bezpieczeństwa IT. Wypróbuj 7 podstawowych zasad bezpieczeństwa IT).

3 krytyczne prawdy bezpieczeństwa skoncentrowanego na danych

Rozwinięte spojrzenie na bezpieczeństwo skoncentrowane na danych opiera się na trzech kluczowych prawdach, które wskazują drogę, w jaki sposób bezpieczeństwo musi być wdrożone, aby było skuteczne:

• Dane trafią do miejsc, których nie znasz, których nie możesz kontrolować i którym coraz bardziej nie możesz zaufać. Dzieje się tak przez normalny przebieg przetwarzania, przez błąd użytkownika lub samozadowolenie lub przez złośliwą aktywność. Ponieważ miejsca, do których trafiają Twoje dane, mogą być niezaufane, nie możesz polegać na bezpieczeństwie sieci, urządzenia lub aplikacji w celu ochrony tych danych.
• Samo szyfrowanie nie wystarcza do ochrony danych.

  Szyfrowanie musi być połączone z trwałymi, elastycznymi kontrolami dostępu, które umożliwiają inicjatorowi określenie warunków, na jakich klucz zostanie przyznany, i zmianę tych kontroli w zależności od okoliczności.

• Powinny istnieć wszechstronne, szczegółowe informacje o tym, kto uzyskuje dostęp do chronionych danych, kiedy i ile razy.

  Ta szczegółowa widoczność zapewnia możliwość audytu wymagań regulacyjnych i umożliwia analizę w celu uzyskania lepszego wglądu w wzorce użytkowania i potencjalne problemy, co z kolei poprawia kontrolę.

Dane: Och, miejsca, w które pójdą

Zaczynając od pierwszej prawdy, jesteśmy w stanie wyciągnąć ważny, pragmatyczny standard operacyjny: aby bezpieczeństwo skoncentrowane na danych było skuteczne, dane muszą być chronione w miejscu pochodzenia. Jeśli dane są szyfrowane jako pierwszy krok w tym procesie, są bezpieczne bez względu na to, dokąd się udają, w jakiej sieci podróżują i gdzie ostatecznie znajdują się. Postępowanie w inny sposób wymaga zaufania każdego komputera, każdego połączenia sieciowego i każdej osoby od momentu, w którym informacje opuszczają opiekę nadawcy i tak długo, jak długo istnieją kopie.

Ochrona danych w punkcie początkowym stanowi duże założenie: Twoje rozwiązanie bezpieczeństwa skoncentrowane na danych musi być w stanie chronić dane w dowolnym miejscu. Jak mówi pierwsza prawda, dane i ich wiele naturalnie utworzonych kopii trafią do wielu miejsc, w tym do urządzeń mobilnych, urządzeń osobistych i chmury. Skuteczne rozwiązanie musi zabezpieczyć dane niezależnie od urządzenia, aplikacji lub sieci. Musi zabezpieczyć te dane bez względu na ich format lub lokalizację oraz niezależnie od tego, czy są w spoczynku, w ruchu czy w użyciu. Musi łatwo przekraczać granicę obwodu i być w stanie chronić dialogi ad-hoc.

W tym miejscu warto zatrzymać się i rozważyć wiele rozwiązań bezpieczeństwa skoncentrowanych na danych i punktach dostępnych na rynku. Ze swej natury rozwiązania te tworzą silosy ochronne, ponieważ - jak wskazuje pierwsza krytyczna prawda - dane będą znajdować się gdzieś poza zakresem ich działania. Ponieważ w rozwiązaniach tych brakuje niezbędnej ochrony, agencje i firmy zmuszone są wznosić wiele silosów. Jednak pomimo najlepszych starań z tych wielu silosów, wyniki są przewidywalne: dane nadal będą spadać między lukami. Luki te znajdują się właśnie tam, gdzie czekają zewnętrzni przeciwnicy i złośliwi użytkownicy, aby wykorzystać luki i ukraść dane. Ponadto każdy silos reprezentuje rzeczywiste koszty pozyskania, wdrożenia i wsparcia powiązanego rozwiązania oraz obciążenie operacyjne związane z zarządzaniem wieloma rozwiązaniami. (Więcej do namysłu: luka w bezpieczeństwie danych, które wiele firm przeoczy.)

Szyfrowanie danych to po prostu za mało

Druga prawda mówi, że samo szyfrowanie nie jest wystarczające - musi być połączone z kontrolami szczegółowymi i trwałymi. Czynność dzielenia się treścią skutecznie zrzeka się nad nią, zasadniczo czyniąc odbiorcę współwłaścicielem danych. Kontrole umożliwiają autorowi ustawienie warunków, na jakich odbiorca otrzymuje klucz dostępu do pliku, oraz włączenie opcji dyktowania, co odbiorca może zrobić po uzyskaniu dostępu do danych. Obejmuje to opcję umożliwiającą wyświetlanie tylko wtedy, gdy odbiorca nie może zapisać pliku, skopiować / wkleić zawartości ani wydrukować pliku.

Termin „trwały” jest krytyczną cechą kontroli dostępu niezbędną do skutecznego bezpieczeństwa zorientowanego na dane. Dane pozostają praktycznie na uwięzi nadawcy, który może reagować na zmieniające się wymagania lub zagrożenia, cofając dostęp lub zmieniając warunki dostępu w dowolnym momencie. Zmiany te należy natychmiast zastosować do wszystkich kopii danych, niezależnie od tego, gdzie się znajdują. Pamiętaj, że pierwsza prawda mówi, że dane mogą znajdować się w miejscach, o których autor nie wie lub nad którymi nie może sprawować kontroli. Dlatego nie można zakładać wcześniejszej wiedzy o tym, gdzie znajdują się dane i fizycznego dostępu do powiązanych urządzeń. Stała kontrola ma dodatkową zaletę rozwiązania problemu wycofania danych z zagubionych lub skradzionych urządzeń, które prawdopodobnie już nigdy nie będą miały kontaktu z siecią.

Adaptowalność jest kluczową cechą, która jednocześnie różnicuje konkurencyjne rozwiązania i wspiera argument za jednolitym, wszechobecnym podejściem. Nie wszystkie rozwiązania bezpieczeństwa skoncentrowane na danych są sobie równe, ponieważ niektóre wykorzystują metody szyfrowania wymyślone przed mobilnością, chmurą i szerokim przyjęciem Internetu. Dzięki tym metodom kontrola dostępu jest ustawiana w momencie zaszyfrowania danych, ale brakuje im korzyści płynących z ciągłej kontroli.

Kto, kiedy i ile razy uzyskuje się dostęp do danych?

Trzecią prawdą skutecznego bezpieczeństwa skoncentrowanego na danych jest absolutna potrzeba pełnej widoczności i kontroli. Obejmuje to wgląd we wszystkie działania związane z dostępem dla każdego obiektu danych, autoryzowanego i nieautoryzowanego. Obejmuje także wgląd w dowolny typ danych, zarówno wewnątrz, jak i poza granicami obwodu. Kompleksowe dane z audytu i niezaprzeczalność pozwalają organizacji wiedzieć, kto korzysta z danych, kiedy i jak często. Widoczność umożliwia kontrolę, zapewniając organizacjom informacje umożliwiające szybkie i dobrze poinformowane reakcje na nieustające próby ekstrakcji informacji. Ta widoczność powinna obejmować szerszy ekosystem bezpieczeństwa organizacji, dostarczając dane do informacji o bezpieczeństwie i narzędzi zarządzania zdarzeniami (SIEM) oraz analiz operacyjnych. Z kolei korelacja i analiza mogą dostarczyć informacji, takich jak identyfikacja potencjalnych złośliwych osób z zewnątrz.

Zostaniesz złamany. Każda warstwa zabezpieczeń bezpieczeństwa IT może i będzie zagrożona. Organizacje nie mogą już polegać na bezpieczeństwie obwodowym w celu zabezpieczenia wrażliwych danych i własności intelektualnej. Muszą szukać alternatywnych metod ochrony wrażliwych informacji. Walczą nie tylko zabezpieczenia obwodowe, ponieważ wiele rozwiązań bezpieczeństwa skoncentrowanych na danych zbudowano przed mobilnością, BYOD, chmurą i internetowymi interakcjami poza domeną. Organizacje muszą zwrócić się do rozwiązań bezpieczeństwa skoncentrowanych na danych, które ewoluują, w pełni zajmując się trudnymi prawdami dotyczącymi ochrony danych w dzisiejszym szybko zmieniającym się i bardzo złożonym środowisku komputerowym.