Kiểm soát an ninh dữ liệu - xác người

Tài sản nhạy cảm, bao gồm dữ liệu, phải được bảo vệ thích hợp trong suốt vòng đời của chúng. Là một chuyên gia bảo mật, đó là công việc của bạn. Quản lý vòng đời thông tin (ILM) bao gồm dữ liệu thông qua 5 giai đoạn sau:

• Sáng tạo. Dữ liệu được tạo bởi người dùng cuối hoặc ứng dụng. Dữ liệu cần được phân loại vào thời điểm này, dựa trên độ nhạy và độ nhạy của dữ liệu và chủ sở hữu dữ liệu (thường là, nhưng không phải lúc nào cũng là người tạo ra) cần được chỉ định. Dữ liệu có thể tồn tại dưới nhiều hình thức như trong các tài liệu, bảng tính, email và tin nhắn văn bản, hồ sơ cơ sở dữ liệu, hình thức, hình ảnh, thuyết trình (kể cả hội nghị truyền hình) và các tài liệu in.
• Phân phối ("dữ liệu đang chuyển động"). Dữ liệu có thể được phân phối (hoặc được tải về) nội bộ trong một tổ chức hoặc được truyền tới người nhận bên ngoài. Phân phối có thể là hướng dẫn sử dụng (chẳng hạn như qua chuyển phát nhanh) hoặc điện tử (thường là qua mạng). Dữ liệu quá cảnh dễ bị tổn thương, vì vậy phải thực hiện các biện pháp bảo vệ thích hợp dựa trên việc phân loại dữ liệu. Ví dụ, mã hoá có thể được yêu cầu để gửi một số dữ liệu nhạy cảm nhất định qua mạng công cộng. Trong những trường hợp như vậy, các tiêu chuẩn mã hoá thích hợp phải được thiết lập. Công nghệ ngăn ngừa mất dữ liệu (DLP) cũng có thể được sử dụng để ngăn chặn việc phân phối trái phép các dữ liệu nhạy cảm vô tình hoặc cố ý.
• Sử dụng ("dữ liệu đang sử dụng"). Giai đoạn này đề cập đến dữ liệu đã được người dùng cuối hoặc ứng dụng truy cập và hiện đang được sử dụng chủ động (ví dụ, đọc, phân tích, sửa đổi, cập nhật hoặc nhân bản) bởi người dùng hoặc ứng dụng đó. Dữ liệu được sử dụng phải chỉ được truy cập vào các hệ thống được cấp phép cho cấp độ phân loại của dữ liệu và chỉ bởi người dùng và ứng dụng có quyền hạn thích hợp và mục đích (cần biết).
• Bảo trì ("dữ liệu khi nghỉ ngơi"). Bất kỳ lúc nào giữa việc tạo và sắp xếp dữ liệu không phải là "đang chuyển động" hoặc "khi sử dụng" dữ liệu được duy trì "nghỉ ngơi". Bảo trì bao gồm lưu trữ (trên các phương tiện như ổ cứng, ổ USB, ổ băng từ dự phòng, hoặc giấy) và việc lưu trữ dữ liệu (ví dụ trong một thư mục và tập tin). Dữ liệu cũng có thể được sao lưu, và phương tiện sao lưu được vận chuyển đến một vị trí an toàn ngoài trang web (được gọi là "dữ liệu đang chuyển tuyến"). Các cấp độ phân loại dữ liệu cũng phải được thường xuyên xem xét (thường là bởi chủ sở hữu dữ liệu) để xác định xem mức độ phân loại cần phải được nâng cấp (không phổ biến) hay có thể hạ cấp được. Các biện pháp bảo vệ thích hợp phải được thực hiện và thường xuyên kiểm toán để đảm bảo
  • Bảo mật (và riêng tư). Ví dụ: sử dụng hệ thống, quyền truy cập thư mục và tập tin, và mã hóa.
  • Tính toàn vẹn. Ví dụ: sử dụng các đường cơ sở, bảng băm mật mã, kiểm tra dự phòng chu kỳ (CRC) và khóa tệp (để ngăn hoặc kiểm soát sửa đổi dữ liệu của nhiều người dùng đồng thời).
  • Tính khả dụng. Ví dụ: sử dụng cơ sở dữ liệu và tập hợp các tệp tin (để loại trừ các điểm duy nhất của sự thất bại), sao lưu và nhân bản theo thời gian thực (để tránh mất dữ liệu).
• Sự bố trí. Cuối cùng, khi dữ liệu không còn giá trị hoặc không còn hữu ích cho tổ chức nữa, nó sẽ bị phá hủy phù hợp với chính sách duy trì và tiêu hủy của công ty, cũng như bất kỳ luật và quy định hiện hành nào. Một số dữ liệu nhạy cảm nhất định có thể yêu cầu một quyết định bố trí cuối cùng của chủ sở hữu dữ liệu và có thể yêu cầu các quy trình hủy diệt cụ thể (như các nhân chứng, khai thác gỗ, và một vết lõm từ tính, sau đó là sự phá hủy cơ thể).

Dữ liệu đã bị xóa đơn thuần ĐÃ KHÔNG bị hủy hoại đúng cách. Nó chỉ đơn thuần là "dữ liệu khi nghỉ ngơi" đang chờ đợi quá trình viết - hoặc được phát hiện không tiện lợi bởi một bên thứ ba trái phép và có nguy cơ tiềm ẩn!

Dồn dữ liệu đề cập đến dữ liệu vẫn còn tồn tại trên phương tiện lưu trữ hoặc trong bộ nhớ sau khi dữ liệu đã được "xóa".

Các đường cơ sở

Việc thiết lập đường cơ sở là một phương pháp kinh doanh tiêu chuẩn được sử dụng để so sánh tổ chức với điểm khởi đầu hoặc tiêu chuẩn tối thiểu, hoặc để so sánh sự tiến bộ trong tổ chức theo thời gian. Với các điều khiển bảo mật, các phương pháp này cung cấp cái nhìn sâu sắc có giá trị:

• So với các tổ chức khác . Các tổ chức có thể so sánh bộ kiểm soát của họ với các tổ chức khác để xem sự khác biệt có tồn tại trong các điều khiển.
• So sánh kiểm soát nội bộ theo thời gian . Một tổ chức có thể thiết lập cơ sở kiểm soát của mình, để xem những thay đổi nào xảy ra trong bộ kiểm soát của nó trong một năm.
• So sánh hiệu quả kiểm soát theo thời gian . Một tổ chức có thể so sánh hồ sơ hiệu quả kiểm soát của nó, để xem nơi tiến bộ đang được thực hiện, và nơi nào cần nhiều nỗ lực hơn để đạt được tiến bộ.

Scoping and tailoring

Bởi vì các bộ phận khác nhau của một tổ chức và các hệ thống CNTT của nó lưu giữ và xử lý các bộ dữ liệu khác nhau, nên không có ý nghĩa gì khi một tổ chức thiết lập một bộ điều khiển duy nhất và áp đặt chúng trên tất cả các hệ thống. Giống như một chương trình phân loại dữ liệu đơn giản hóa và sự bảo vệ quá mức và bảo vệ dữ liệu của mình, các tổ chức thường phân chia thành các vùng hợp lý, sau đó chỉ định các điều khiển và bộ điều khiển được áp dụng vào các khu vực này.

Cách tiếp cận khác là điều chỉnh các kiểm soát và bộ điều khiển đối với các hệ thống CNTT khác nhau và các bộ phận của tổ chức. Ví dụ, kiểm soát sức mạnh mật khẩu có thể có các loại được áp dụng cho các hệ thống với mức độ bảo mật khác nhau.

Cả hai cách tiếp cận để áp dụng môi trường kiểm soát phức tạp vào một môi trường CNTT phức tạp đều có giá trị - chúng thực sự chỉ là những cách khác nhau để đạt được mục tiêu tương tự: áp dụng mức độ kiểm soát phù hợp với các hệ thống và môi trường khác nhau dựa trên thông tin họ lưu trữ và quá trình hoặc theo các tiêu chí khác.

Tiêu chuẩn lựa chọn

Một số khung kiểm soát tuyệt vời có sẵn cho các chuyên gia an ninh sử dụng. Không có trường hợp nào là cần thiết để bắt đầu từ đầu. Thay vào đó, cách tiếp cận tốt nhất là bắt đầu với một trong những khuôn khổ kiểm soát hàng đầu trong ngành và sau đó thêm hoặc xóa các kiểm soát riêng lẻ cho phù hợp với nhu cầu của tổ chức.

Các tiêu chuẩn khung kiểm soát bao gồm

• ISO27002 , Quy tắc thực hành quản lý an ninh thông tin.
• COBIT , Mục tiêu kiểm soát thông tin và Công nghệ liên quan.
• NIST 800-53 , Các biện pháp kiểm soát an ninh được đề nghị cho các Hệ thống và Tổ chức Thông tin Liên bang.

Cryptography

Crypto đóng vai trò quan trọng trong việc bảo vệ dữ liệu, cho dù chúng ta đang nói về dữ liệu đang chuyển động qua mạng hay nghỉ ngơi trên máy chủ hoặc máy trạm. Mật mã là tất cả về ẩn dữ liệu trong tầm nhìn thông thường, bởi vì có những tình huống mà người có thể truy cập dữ liệu nhạy cảm; crypto phủ nhận những người mà truy cập trừ khi họ đang sở hữu một khóa mã hóa và phương pháp để giải mã nó.