Στοιχεία ελέγχου ασφάλειας δεδομένων - ανδρεικέλα

Τα ευαίσθητα περιουσιακά στοιχεία, συμπεριλαμβανομένων των δεδομένων, πρέπει να προστατεύονται κατάλληλα καθ 'όλη τη διάρκεια ζωής τους. Ως επαγγελματίας ασφαλείας, αυτή είναι η δουλειά σας. Η διαχείριση κύκλου ζωής πληροφοριών (ILM) καλύπτει δεδομένα μέσω των ακόλουθων πέντε σταδίων:

• Δημιουργία. Τα δεδομένα δημιουργούνται από έναν τελικό χρήστη ή μια εφαρμογή. Τα δεδομένα πρέπει να ταξινομηθούν αυτή τη στιγμή, με βάση την κρισιμότητα και την ευαισθησία των δεδομένων, και ένας ιδιοκτήτης δεδομένων (συνήθως, αλλά όχι πάντα, ο δημιουργός) πρέπει να ανατεθεί. Τα δεδομένα ενδέχεται να υπάρχουν σε πολλές μορφές, όπως σε έγγραφα, υπολογιστικά φύλλα, μηνύματα ηλεκτρονικού ταχυδρομείου και κειμένου, αρχεία βάσεων δεδομένων, φόρμες, εικόνες, παρουσιάσεις (συμπεριλαμβανομένων των τηλεδιάσκεψης) και έντυπα έγγραφα.
• Διανομή ("δεδομένα σε κίνηση"). Τα δεδομένα μπορούν να διανεμηθούν (ή να ανακτηθούν) εσωτερικά μέσα σε έναν οργανισμό ή να μεταδοθούν σε εξωτερικούς παραλήπτες. Η διανομή μπορεί να είναι μη αυτόματη (όπως μέσω courier) ή ηλεκτρονική (συνήθως μέσω δικτύου). Τα δεδομένα υπό διαμετακόμιση είναι ευάλωτα σε συμβιβασμούς, επομένως πρέπει να εφαρμόζονται κατάλληλες διασφαλίσεις με βάση την ταξινόμηση των δεδομένων. Για παράδειγμα, μπορεί να απαιτείται κρυπτογράφηση για την αποστολή ορισμένων ευαίσθητων δεδομένων μέσω δημόσιου δικτύου. Σε τέτοιες περιπτώσεις, πρέπει να καθοριστούν τα κατάλληλα πρότυπα κρυπτογράφησης. Μπορούν επίσης να χρησιμοποιηθούν τεχνολογίες πρόληψης απώλειας δεδομένων (DLP) για την πρόληψη τυχαίας ή σκόπιμης μη εξουσιοδοτημένης διανομής ευαίσθητων δεδομένων.
• Χρήση ("δεδομένα σε χρήση"). Αυτό το στάδιο αναφέρεται σε δεδομένα στα οποία έχει πρόσβαση ένας τελικός χρήστης ή εφαρμογή και χρησιμοποιείται από αυτόν τον χρήστη ή την εφαρμογή (π.χ. διαβάζεται, αναλύεται, τροποποιείται, ενημερώνεται ή αντιγράφεται). Τα δεδομένα που χρησιμοποιούνται πρέπει να είναι προσπελάσιμα μόνο σε συστήματα που επιτρέπονται για το επίπεδο ταξινόμησης των δεδομένων και μόνο από χρήστες και εφαρμογές που διαθέτουν τα κατάλληλα δικαιώματα (clearance) και σκοπό (need-to-know).
• Συντήρηση ("δεδομένα σε ηρεμία"). Κάθε φορά μεταξύ της δημιουργίας και της διάθεσης δεδομένων που δεν είναι "σε κίνηση" ή "σε χρήση", τα δεδομένα διατηρούνται "σε ηρεμία". Η συντήρηση περιλαμβάνει την αποθήκευση (σε μέσα όπως σκληρό δίσκο, αποσπώμενη μονάδα δίσκου USB, εφεδρική μαγνητική ταινία ή χαρτί) και αρχειοθέτηση δεδομένων (για παράδειγμα, σε μια δομή καταλόγου και αρχείου). Τα δεδομένα μπορούν επίσης να δημιουργηθούν αντίγραφα ασφαλείας και τα μέσα αντιγράφων ασφαλείας να μεταφερθούν σε ασφαλή τοποθεσία εκτός του χώρου (που αναφέρεται ως "δεδομένα υπό διαμετακόμιση"). Τα επίπεδα ταξινόμησης των δεδομένων θα πρέπει επίσης να επανεξετάζονται τακτικά (συνήθως από τον κάτοχο δεδομένων) για να προσδιοριστεί εάν ένα επίπεδο ταξινόμησης πρέπει να αναβαθμιστεί (δεν είναι συνηθισμένο) ή μπορεί να υποβαθμιστεί. Πρέπει να εφαρμοστούν οι κατάλληλες διασφαλίσεις και να ελεγχθούν τακτικά ώστε να διασφαλιστεί η εμπιστευτικότητα (και η προστασία της ιδιωτικής ζωής).
  • Για παράδειγμα, χρησιμοποιώντας δικαιώματα συστήματος, αρχείου καταλόγου και αρχείων και κρυπτογράφηση. Ακεραιότητα.
  • Για παράδειγμα, η χρήση βασικών γραμμών, κρυπτογραφικών hashes, ελέγχων κυκλικού πλεονασμού (CRC) και κλειδώματος αρχείων (για την πρόληψη ή τον έλεγχο της τροποποίησης δεδομένων από πολλούς ταυτόχρονους χρήστες). Διαθεσιμότητα.
  • Για παράδειγμα, χρησιμοποιώντας την ομαδοποίηση βάσεων δεδομένων και αρχείων (για την εξάλειψη μεμονωμένων σημείων αποτυχίας), δημιουργία αντιγράφων ασφαλείας και αναπαραγωγή σε πραγματικό χρόνο (για την αποφυγή απώλειας δεδομένων).
  Διάθεση.
• Τέλος, όταν τα δεδομένα δεν έχουν πλέον αξία ή δεν είναι πλέον χρήσιμα για τον οργανισμό, πρέπει να καταστραφούν σωστά σύμφωνα με τις πολιτικές διατήρησης και καταστροφής των εταιρειών καθώς και με τους ισχύοντες νόμους και κανονισμούς. Ορισμένα ευαίσθητα δεδομένα ενδέχεται να απαιτούν οριστικό προσδιορισμό διάθεσης από τον κάτοχο δεδομένων και μπορεί να απαιτούν ειδικές διαδικασίες καταστροφής (όπως μάρτυρες, καταγραφή και μαγνητικό σκουπίστε, ακολουθούμενη από φυσική καταστροφή).

Δεδομένα που έχουν απλώς διαγραφεί ΔΕΝ έχουν καταστραφεί σωστά. Είναι απλώς "δεδομένα σε ηρεμία" που περιμένουν να είναι υπερβολικά γραμμένα - ή ανακαλύφθηκαν ενοχλητικά από ένα μη εξουσιοδοτημένο και ενδεχομένως κακόβουλο τρίτο μέρος!

Η επιστροφή δεδομένων αναφέρεται σε δεδομένα που εξακολουθούν να υπάρχουν στα μέσα αποθήκευσης ή στη μνήμη μετά την "διαγραφή" των δεδομένων.

Βασικές γραμμές

Η καθιέρωση μιας βασικής γραμμής είναι μια τυπική επιχειρηματική μέθοδος που χρησιμοποιείται για να συγκρίνει έναν οργανισμό με ένα σημείο εκκίνησης ή ένα ελάχιστο πρότυπο ή για να συγκρίνει την πρόοδο μέσα σε έναν οργανισμό με την πάροδο του χρόνου. Με τα στοιχεία ελέγχου ασφαλείας, αυτές οι μέθοδοι παρέχουν πολύτιμη γνώση:

Συγκρίνοντας με άλλους οργανισμούς

• . Οι οργανισμοί μπορούν να συγκρίνουν τα σύνολα ελέγχου τους με άλλους οργανισμούς, για να δουν ποιες διαφορές υπάρχουν στους ελέγχους. Συγκρίνοντας τους εσωτερικούς ελέγχους με την πάροδο του χρόνου
• . Ένας οργανισμός μπορεί να ξεκινήσει το σύνολο των ελέγχων του, για να δει τι αλλαγές συμβαίνουν στο σύνολο ελέγχου του για μια περίοδο ετών. Συγκρίνοντας την αποτελεσματικότητα του ελέγχου με την πάροδο του χρόνου
• . Ένας οργανισμός μπορεί να συγκρίνει τα αποτελέσματά του σχετικά με την αποτελεσματικότητα του ελέγχου, να δει πού σημειώνεται πρόοδος και πού χρειάζεται περισσότερη προσπάθεια για την επίτευξη προόδου. Ορισμός και προσαρμογή

Επειδή τα διάφορα τμήματα ενός οργανισμού και τα υποκείμενα του συστήματα πληροφορικής αποθηκεύουν και επεξεργάζονται διαφορετικά σύνολα δεδομένων, δεν έχει νόημα μια οργάνωση να δημιουργεί ένα ενιαίο σύνολο ελέγχων και να τα επιβάλλει σε όλα τα συστήματα. Όπως ένα υπερβολικά απλοποιημένο πρόγραμμα ταξινόμησης δεδομένων και η επακόλουθη υπερπροστασία και η υποπροστασία δεδομένων, οι οργανισμοί συχνά διαιρούνται σε λογικές ζώνες και στη συνέχεια καθορίζουν ποιοι έλεγχοι και σύνολα ελέγχων εφαρμόζονται σε αυτές τις ζώνες.

Μια άλλη προσέγγιση είναι να προσαρμοσθούν οι έλεγχοι και τα σύνολα ελέγχων σε διάφορα συστήματα ΤΠ και τμήματα του οργανισμού. Για παράδειγμα, οι έλεγχοι για την ισχύ του κωδικού πρόσβασης μπορούν να έχουν κατηγορίες που εφαρμόζονται σε συστήματα με διαφορετικά επίπεδα ασφαλείας.

Και οι δύο προσεγγίσεις για την εφαρμογή ενός πολύπλοκου περιβάλλοντος ελέγχου σε ένα πολύπλοκο περιβάλλον πληροφορικής είναι έγκυρες - είναι πραγματικά απλώς διαφορετικοί τρόποι επίτευξης του ίδιου στόχου: εφαρμογή του σωστού επιπέδου ελέγχου σε διάφορα συστήματα και περιβάλλοντα, με βάση τις πληροφορίες που αποθηκεύουν διαδικασία και με άλλα κριτήρια.

Επιλογή προτύπων

Υπάρχουν αρκετά άριστα πλαίσια ελέγχου για τη χρήση των επαγγελματιών ασφαλείας. Σε καμία περίπτωση δεν είναι απαραίτητο να ξεκινήσετε από το μηδέν. Αντ 'αυτού, η καλύτερη προσέγγιση είναι να ξεκινήσετε με ένα από τα πολλά κορυφαία πλαίσια ελέγχου της βιομηχανίας και, στη συνέχεια, να προσθέσετε ή να αφαιρέσετε μεμονωμένους ελέγχους που να ταιριάζουν στις ανάγκες του οργανισμού.

Τα πρότυπα πλαισίου ελέγχου περιλαμβάνουν το

ISO27002

• , κώδικα πρακτικής για τη διαχείριση της ασφάλειας των πληροφοριών. COBIT
• , στόχοι ελέγχου για πληροφορίες και σχετική τεχνολογία. NIST 800-53
• , συνιστώμενοι έλεγχοι ασφαλείας για τα Ομοσπονδιακά Πληροφοριακά Συστήματα και Οργανισμούς. Κρυπτογραφία

Το Crypto διαδραματίζει κρίσιμο ρόλο στην προστασία των δεδομένων, είτε μιλάμε για δεδομένα σε κίνηση μέσω δικτύου είτε σε κατάσταση ηρεμίας σε διακομιστή ή σταθμό εργασίας. Η κρυπτογραφία έχει να κάνει με την απόκρυψη δεδομένων, διότι υπάρχουν περιπτώσεις στις οποίες τα άτομα ενδέχεται να έχουν πρόσβαση σε ευαίσθητα δεδομένα. crypto αρνείται άτομα που έχουν πρόσβαση εκτός αν έχουν στην κατοχή τους ένα κλειδί κρυπτογράφησης και τη μέθοδο για την αποκρυπτογράφηση του.