Kawalan Keselamatan data - dummies

Aset sensitif, termasuk data, mesti dilindungi dengan sewajarnya sepanjang siklus hidup mereka. Sebagai seorang profesional keselamatan, itulah tugas anda. Pengurusan kitaran hayat maklumat (ILM) merangkumi data melalui lima tahap berikut:

• Penciptaan. Data dicipta oleh pengguna akhir atau aplikasi. Data perlu diklasifikasikan pada masa ini, berdasarkan kritikal dan sensitiviti data, dan pemilik data (biasanya, tetapi tidak selalu, pencipta) perlu diberikan. Data mungkin wujud dalam pelbagai bentuk seperti dokumen, spreadsheet, e-mel dan mesej teks, rekod pangkalan data, borang, imej, persembahan (termasuk videoconference), dan dokumen cetak.
• Pengedaran ("data bergerak"). Data boleh diedarkan (atau diambil) secara dalaman dalam organisasi atau dihantar kepada penerima luaran. Pengedaran boleh menjadi manual (seperti melalui kurier) atau elektronik (biasanya melalui rangkaian). Data dalam transit adalah terdedah kepada kompromi, supaya perlindungan yang wajar harus dilaksanakan berdasarkan klasifikasi data. Sebagai contoh, penyulitan mungkin diperlukan untuk menghantar data sensitif tertentu ke atas rangkaian awam. Dalam kes sedemikian, piawaian penyulitan yang sesuai mestilah ditubuhkan. Teknologi pencegahan kehilangan data (DLP) juga boleh digunakan untuk mengelakkan pengedaran data sensitif yang tidak sengaja atau disengajakan.
• Gunakan ("data yang digunakan"). Peringkat ini merujuk kepada data yang telah diakses oleh pengguna akhir atau aplikasi dan sedang aktif digunakan (contohnya, membaca, dianalisis, diubahsuai, dikemas kini, atau diduplikasi) oleh pengguna atau aplikasi itu. Data yang digunakan mesti diakses hanya pada sistem yang diberi kuasa untuk tahap klasifikasi data dan hanya oleh pengguna dan aplikasi yang mempunyai kebenaran (clearance) dan tujuan yang sesuai (perlu diketahui).
• Penyelenggaraan ("data pada rehat"). Sebarang masa antara penciptaan dan pelupusan data yang tidak "bergerak" atau "digunakan", data dikekalkan "pada rehat". Penyelenggaraan termasuk storan (di media seperti cakera keras, pemacu ibu jari USB, pita magnetik, atau kertas) dan pemfailan (contohnya, dalam struktur direktori dan fail) data. Data juga boleh disandarkan, dan media sandaran diangkut ke lokasi luar tapak selamat (dirujuk sebagai "data dalam transit"). Tahap pengkelasan data juga perlu dikaji secara rutin (biasanya oleh pemilik data) untuk menentukan sama ada tahap klasifikasi perlu dinaik taraf (tidak umum) atau boleh diturunkan. Perlindungan yang sesuai mesti dilaksanakan dan sentiasa diaudit untuk memastikan
  • Kerahsiaan (dan privasi). Sebagai contoh, menggunakan sistem, keizinan direktori dan fail, dan penyulitan.
  • Integriti. Sebagai contoh, menggunakan garis asas, hash kriptografi, cek redundansi kitaran (CRCs), dan penguncian fail (untuk mengelakkan atau mengawal pengubahsuaian data oleh berbilang pengguna serentak).
  • Ketersediaan. Sebagai contoh, menggunakan pangkalan data dan clustering fail (untuk menghapuskan titik kegagalan tunggal), sandaran dan replikasi masa nyata (untuk mengelakkan kehilangan data).
• Pelupusan. Akhir sekali, apabila data tidak lagi mempunyai sebarang nilai atau tidak lagi berguna kepada organisasi, ia perlu dimusnahkan dengan betul mengikut dasar pengekalan dan pemusnahan korporat, serta undang-undang dan peraturan yang berkenaan. Data sensitif tertentu mungkin memerlukan penetapan penentuan akhir oleh pemilik data, dan mungkin memerlukan prosedur pemusnahan tertentu (seperti saksi, pembalakan, dan penghapusan magnet diikuti dengan pemusnahan fizikal).

Data yang telah dipadamkan hanya TIDAK dimusnahkan dengan betul. Ia hanya "data pada rehat" menunggu untuk ditulis dengan lebih tertulis - atau dengan mudah ditemui oleh pihak ketiga yang tidak dibenarkan dan berpotensi yang berniat jahat!

Data remanence merujuk kepada data yang masih wujud pada media storan atau di memori selepas data "telah dipadam".

Baselines

Mewujudkan garis dasar adalah kaedah perniagaan standard yang digunakan untuk membandingkan organisasi ke titik permulaan atau standard minimum, atau untuk membandingkan kemajuan dalam organisasi dari semasa ke semasa. Dengan kawalan keselamatan, kaedah ini memberikan wawasan yang berharga:

• Berbanding dengan organisasi lain . Organisasi boleh membandingkan set kawalan mereka dengan organisasi lain, untuk melihat apa perbezaan wujud dalam kawalan.
• Membandingkan kawalan dalaman dari semasa ke semasa . Sebuah organisasi boleh menetapkan set kawalannya, untuk melihat perubahan yang berlaku dalam kawalannya yang ditetapkan dalam tempoh beberapa tahun.
• Membandingkan keberkesanan kawalan dari masa ke semasa . Organisasi dapat membandingkan rekod keberkesanan kawalannya, untuk melihat kemajuan yang sedang dibuat, dan di mana lebih banyak usaha diperlukan untuk membuat kemajuan.

Pengarkiban dan jahitan

Oleh kerana bahagian-bahagian organisasi dan sistem IT yang mendasarinya menyimpan dan memproses set data yang berbeza, tidak masuk akal bagi sesebuah organisasi untuk menetapkan satu set kawalan dan mengenakannya ke atas semua sistem. Seperti program pengklasifikasian data yang terlalu banyak dan pencabulan data yang terlalu banyak dan kurangprayaman data, organisasi sering membahagikan diri mereka ke dalam zon logik, dan kemudian menentukan kawalan dan set kawalan yang digunakan untuk zon-zon tersebut.

Pendekatan lain adalah menyesuaikan kawalan dan set kawalan ke sistem IT yang berbeza dan bahagian organisasi. Sebagai contoh, kawalan pada kekuatan kata laluan boleh mempunyai kategori yang digunakan untuk sistem dengan tahap keselamatan yang berbeza-beza.

Kedua-dua pendekatan untuk memohon persekitaran kawalan yang rumit ke dalam persekitaran IT kompleks adalah sah - mereka benar-benar cara yang berbeza untuk mencapai objektif yang sama: memohon tahap kawalan yang betul ke pelbagai sistem dan persekitaran, berdasarkan maklumat yang mereka simpan dan proses atau kriteria lain.

Pemilihan standard

Beberapa rangka kawalan yang sangat baik tersedia untuk kegunaan profesional keselamatan. Dalam keadaan apa pun ia perlu bermula dari awal. Sebaliknya, pendekatan terbaik adalah untuk memulakan dengan salah satu daripada beberapa rangka kawalan utama industri, dan kemudian menambah atau mengalihkan kawalan individu untuk memenuhi keperluan organisasi.

Standard rangka kerja kawalan termasuk

• ISO27002 , Kod latihan untuk pengurusan keselamatan maklumat.
• COBIT , Objektif Kawalan untuk Maklumat dan Teknologi Berkaitan.
• NIST 800-53 , Kawalan Keselamatan yang Disyorkan untuk Sistem dan Organisasi Maklumat Persekutuan.

Kriptografi

Crypto memainkan peranan kritikal dalam perlindungan data, sama ada kita bercakap tentang data dalam gerakan melalui rangkaian, atau berehat di server atau stesen kerja. Kriptografi adalah mengenai menyembunyikan data dalam pandangan biasa, kerana terdapat situasi di mana orang mungkin dapat mengakses data sensitif; crypto menafikan orang yang mengakses kecuali mereka mempunyai kunci penyulitan dan kaedah untuk menyahsulitnya.