Datasikkerhedskontrol - dummies

Følsomme aktiver, herunder data, skal beskyttes hensigtsmæssigt gennem hele deres livscyklus. Som sikkerhedspersonale er det dit job. Information Lifecycle Management (ILM) dækker data gennem følgende fem faser:

• Creation. Data oprettes af en slutbruger eller en applikation. Data skal klassificeres på dette tidspunkt baseret på dataernes kritik og følsomhed, og en dataejer (normalt, men ikke altid skaberen) skal tildeles. Data kan eksistere i mange forskellige former, f.eks. I dokumenter, regneark, e-mail og tekstbeskeder, databaseposter, formularer, billeder, præsentationer (herunder videokonferencer) og trykte dokumenter.
• Distribution ("data i bevægelse"). Data kan distribueres (eller hentes) internt i en organisation eller sendes til eksterne modtagere. Distribution kan være manuelt (f.eks. Via kurer) eller elektronisk (typisk over et netværk). Data i transit er sårbare for kompromis, så passende sikkerhedsforanstaltninger skal implementeres ud fra klassificeringen af ​​dataene. For eksempel kan kryptering være påkrævet for at sende visse følsomme data over et offentligt netværk. I sådanne tilfælde skal der fastlægges passende krypteringsstandarder. Datatabsforebyggende (DLP) teknologier kan også bruges til at forhindre utilsigtet eller forsætlig uautoriseret distribution af følsomme data.
• Brug ("data i brug"). Denne fase refererer til data, der er blevet adgang til af en slutbruger eller en applikation, og bruges aktivt (f.eks. Læses, analyseres, ændres, opdateres eller duplikeres) af den bruger eller applikation. Data i brug skal kun få adgang til systemer, der er godkendt til klassifikationsniveauet af dataene og kun af brugere og applikationer, der har passende tilladelser (clearance) og formål (need-to-know).
• Vedligeholdelse ("data i hvile"). Ethvert tidspunkt mellem oprettelsen og dispositionen af ​​data, at den ikke er "i bevægelse" eller "i brug", opretholdes data "i ro". Vedligeholdelse omfatter opbevaring (på medier såsom harddisk, flytbart USB-drev, backup magnetbånd eller papir) og arkivering (f.eks. I en mappe og filstruktur) af data. Data kan også sikkerhedskopieres, og backupmediet transporteres til en sikker off-site-placering (benævnt "data i transit"). Klassificeringsniveauer af data skal også rutinemæssigt gennemgås (typisk af dataejeren) for at afgøre, om et klassifikationsniveau skal opgraderes (ikke almindeligt) eller kan nedgraderes. Passende sikkerhedsforanstaltninger skal implementeres og regelmæssigt revideres for at sikre
  • Fortrolighed (og privatlivets fred). Eksempelvis ved hjælp af system, mappe og filtilladelser og kryptering.
  • Integritet. For eksempel ved hjælp af baselinier, kryptografiske hash, cykliske redundans kontrol (CRC) og fillåsning (for at forhindre eller styre modifikation af data af flere samtidige brugere).
  • Tilgængelighed. For eksempel ved hjælp af database- og filklyngning (for at eliminere enkelte punkter for fejl), sikkerhedskopiering og realtidsreplikation (for at forhindre tab af data).
• Disposition. Endelig, når data ikke længere har nogen værdi eller ikke længere er nyttigt for organisationen, skal den destrueres korrekt i overensstemmelse med politikker for bevarelse og destruktion af virksomheder samt alle gældende love og bestemmelser. Visse følsomme data kan kræve endelige bestemmelsesbestemmelse fra dataejerne og kan kræve specifikke destrueringsprocedurer (såsom vidner, logning og en magnetisk aftørring efterfulgt af fysisk destruktion).

Data, der blot er slettet, er IKKE blevet ødelagt. Det er kun "data i ro", der venter på at være overskrevet - eller ubelejligt opdaget af en uautoriseret og potentielt skadelig tredjepart!

Datarelateret refererer til data, der stadig findes på lagermedier eller i hukommelsen, efter at dataene er blevet "slettet".

Baselines

Etablering af en basislinje er en standard forretningsmetode, der bruges til at sammenligne en organisation med et udgangspunkt eller en minimumsstandard eller for at sammenligne fremskridt inden for en organisation over tid. Med sikkerhedskontrol giver disse metoder værdifuld indsigt:

• Sammenligning med andre organisationer . Organisationer kan sammenligne deres kontrolsæt med andre organisationer for at se, hvilke forskelle der findes i kontroller.
• Sammenligning af interne kontroller over tid . En organisation kan baseline sit sæt af kontroller, for at se, hvilke ændringer der sker i dens kontrol sæt over en årrække.
• Sammenligning af kontrol effektivitet over tid . En organisation kan sammenligne sin rekord af kontrol effektivitet, for at se, hvor der gøres fremskridt, og hvor der skal gøres større indsats for at gøre fremskridt.

Scoping og skræddersyning

Fordi forskellige dele af en organisation og dens underliggende it-systemer gemmer og behandler forskellige datasæt, er det ikke fornuftigt for en organisation at etablere et enkelt sæt kontroller og pålægge dem alle systemer. Ligesom et oversimplificeret dataklassifikationsprogram og dets overbeskyttelse og underbeskyttelse af data opdeler organisationer sig ofte i logiske zoner og angiver derefter hvilke kontroller og sæt kontroller der anvendes i disse zoner.

En anden tilgang er at skræddersy kontroller og sæt af kontroller til forskellige it-systemer og dele af organisationen. For eksempel kan kontroller med adgangskode styrke have kategorier, der anvendes til systemer med forskellige sikkerhedsniveauer.

Begge tilgange til at anvende et komplekst kontrolmiljø i et komplekst IT-miljø er gyldige - de er virkelig bare forskellige måder at nå det samme mål på: Anvendelse af det rigtige niveau af kontrol til forskellige systemer og miljøer, baseret på de oplysninger, de gemmer og behandle eller på andre kriterier.

Valg af standarder

Flere fremragende kontrolrammer er tilgængelige for brugernes sikkerhed. Under ingen omstændigheder er det nødvendigt at starte fra bunden. I stedet er den bedste tilgang at starte med en af ​​flere brancheledende kontrolrammer, og derefter tilføje eller fjerne individuelle kontroller, der passer til organisationens behov.

Kontrolrammestandarder omfatter

• ISO27002 , Code of Practice til informationssikkerhedsstyring.
• COBIT , kontrolmål for information og beslægtet teknologi.
• NIST 800-53 , anbefalede sikkerhedskontrol for føderale informationssystemer og organisationer.

Kryptografi

Crypto spiller en afgørende rolle i databeskyttelse, uanset om vi taler om data i bevægelse via et netværk eller i ro på en server eller arbejdsstation. Kryptografi handler om at gemme data i almindelig synsvinkel, fordi der er situationer, hvor personer kan få adgang til følsomme data; krypto nægter folk, der har adgang, medmindre de er i besiddelse af en krypteringsnøgle og metoden til dekryptering af den.