La crittografia non è sufficiente: 3 verità fondamentali sulla sicurezza dei dati

Grazie a perimetri morti, avversari persistenti, cloud, mobilità e porta il tuo dispositivo (BYOD), la sicurezza incentrata sui dati è fondamentale. Il principio della sicurezza incentrata sui dati è semplice: se una rete viene compromessa o un dispositivo mobile viene smarrito o rubato, i dati vengono protetti. Le organizzazioni che accettano questo cambiamento di paradigma hanno capito la necessità di aggiungere controllo e visibilità alla sicurezza dei dati guardando oltre le soluzioni tradizionali. Abbracciare questa visione evoluta della sicurezza incentrata sui dati consente alle organizzazioni a tutti i livelli di proteggere i dati sensibili, legando virtualmente quei dati indipendentemente da dove risiedano.

Le soluzioni di sicurezza incentrate sui dati sono state tradizionalmente rivolte verso l'interno e si sono concentrate sulla protezione dei dati all'interno del dominio dell'organizzazione mentre vengono raccolti e archiviati. Tuttavia, i dati si stanno allontanando dal centro dell'organizzazione, non verso di essa, e mega tendenze come il cloud e la mobilità stanno solo accelerando il processo. Un'efficace sicurezza incentrata sui dati protegge i dati mentre si allontanano dal centro dell'organizzazione per essere condivisi e consumati. Ciò include relazioni ad hoc oltre i confini del dominio, consentendo interazioni sicure con clienti e partner. (Fai qualche lettura di base sulla sicurezza IT. Prova i 7 principi di base della sicurezza IT.)

Le 3 verità fondamentali sulla sicurezza incentrata sui dati

Una visione evoluta della sicurezza incentrata sui dati si basa su tre verità fondamentali che indicano la strada per implementare la sicurezza per essere efficaci:

• I dati andranno in luoghi che non conosci, non puoi controllare e sempre più non puoi fidarti. Ciò avviene attraverso il normale corso di elaborazione, attraverso errori o compiacenze dell'utente o attraverso attività dannose. Poiché i luoghi in cui si trovano i tuoi dati potrebbero non essere attendibili, non puoi fare affidamento sulla sicurezza della rete, del dispositivo o dell'applicazione per proteggere tali dati.
• La crittografia da sola non è sufficiente per proteggere i dati.

  La crittografia deve essere combinata con controlli di accesso persistenti e adattabili che consentano al mittente di definire le condizioni in base alle quali verrà concessa una chiave e modificare tali controlli in base alle circostanze.

• Dovrebbe esserci una visibilità completa e dettagliata su chi accede ai dati protetti, quando e quante volte.

  Questa visibilità dettagliata garantisce la verificabilità dei requisiti normativi e potenzia l'analisi per una visione più ampia dei modelli di utilizzo e dei potenziali problemi, che a sua volta migliora il controllo.

Data: Oh, i luoghi che andranno

A partire dalla prima verità, siamo in grado di concludere un importante standard operativo pragmatico: affinché la sicurezza incentrata sui dati sia efficace, i dati devono essere protetti nel punto di origine. Se i dati vengono crittografati come il primo passo del processo, sono sicuri indipendentemente da dove vanno, su quale rete viaggiano e dove risiedono. Fare altrimenti richiede la fiducia di ogni computer, ogni connessione di rete e ogni persona dal punto in cui le informazioni lasciano la cura dell'originatore e fintanto che esistono o copie.

La protezione dei dati nel punto di origine è un presupposto importante: la soluzione di sicurezza incentrata sui dati deve essere in grado di proteggere i dati ovunque vadano. Come la prima verità ci dice, i dati e le sue numerose copie create naturalmente andranno in molti luoghi, inclusi dispositivi mobili, dispositivi personali e il cloud. Una soluzione efficace deve proteggere i dati indipendentemente dal dispositivo, dall'applicazione o dalla rete. Deve proteggere tali dati indipendentemente dal loro formato o posizione e indipendentemente dal fatto che siano a riposo, in movimento o in uso. Deve prontamente estendersi oltre il limite del perimetro ed essere in grado di proteggere i dialoghi ad hoc.

È qui che è utile arrestare e prendere in considerazione le numerose soluzioni di sicurezza incentrate sui dati specifiche per punti e funzioni disponibili sul mercato. Per loro stessa natura, queste soluzioni creano silos di protezione perché, come impone la prima verità critica, i dati risiederanno in un luogo al di fuori del loro raggio d'azione. Poiché queste soluzioni mancano dell'onnipresente protezione necessaria, le agenzie e le imprese sono costrette a erigere più silos. Tuttavia, nonostante i migliori sforzi di questi silos multipli, i risultati sono prevedibili: i dati cadranno comunque tra le lacune. E queste lacune sono precisamente dove avversari esterni e addetti ai lavori malevoli attendono di sfruttare le vulnerabilità e rubare i dati. Inoltre, ogni silo rappresenta costi reali per l'acquisizione, l'implementazione e il supporto della soluzione associata e l'onere operativo della gestione di più soluzioni. (Più spunti di riflessione: il divario nella sicurezza dei dati trascura molte aziende.)

La crittografia dei dati non è abbastanza

La seconda verità afferma che la crittografia da sola non è sufficiente: deve essere combinata con controlli granulari e persistenti. L'atto di condividere i contenuti in modo efficace cede il controllo su di essi, essenzialmente rendendo il destinatario comproprietario dei dati. I controlli consentono al mittente di impostare le condizioni in base alle quali al destinatario viene concessa una chiave per accedere al file e abilitare l'opzione per dettare ciò che il destinatario può fare dopo l'accesso ai dati. Ciò include l'opzione di fornire funzionalità di sola visualizzazione in cui il destinatario non può salvare il file, copiare / incollare il contenuto o stampare il file.

Il termine "persistente" è una caratteristica fondamentale dei controlli di accesso necessari per un'efficace sicurezza incentrata sui dati. I dati rimangono praticamente vincolati al mittente, che può rispondere ai mutevoli requisiti o minacce revocando l'accesso o alterando le condizioni di accesso in qualsiasi momento. Queste modifiche devono essere immediatamente applicate a tutte le copie dei dati, ovunque risiedano. Ricorda che la prima verità afferma che i dati potrebbero trovarsi in luoghi che l'originatore non conosce o sui quali non può esercitare il controllo. Pertanto, non è possibile ipotizzare una conoscenza preliminare della posizione dei dati e l'accesso fisico ai dispositivi associati. Il controllo persistente ha l'ulteriore vantaggio di affrontare la revoca dei dati su dispositivi smarriti o rubati che probabilmente non saranno mai più in contatto con la rete.

L'adattabilità è una caratteristica fondamentale che differenzia contemporaneamente soluzioni concorrenti e supporta il caso di un approccio unificato e onnipresente. Non tutte le soluzioni di sicurezza incentrate sui dati sono uguali, poiché alcuni utilizzano metodi di crittografia inventati prima della mobilità, del cloud e dell'ampia adozione di Internet. Con questi metodi, i controlli di accesso vengono impostati nel momento in cui i dati vengono crittografati, ma mancano dei vantaggi derivanti dal controllo persistente.

Chi, quando e quante volte sono accessibili i dati?

La terza verità di un'efficace sicurezza incentrata sui dati è la necessità assoluta di visibilità e auditability globali. Ciò include la visibilità di tutte le attività di accesso per ciascun oggetto dati, autorizzato e non autorizzato. Include anche la visibilità in qualsiasi tipo di dati, all'interno e all'esterno dei confini del perimetro. Dati completi di audit e non ripudio consentono a un'organizzazione di sapere chi sta utilizzando i dati, quando e con quale frequenza. La visibilità consente il controllo, fornendo alle organizzazioni le informazioni per fornire risposte rapide e ben informate ai tentativi incessanti di esfiltrare le informazioni. Questa visibilità dovrebbe estendersi al più ampio ecosistema di sicurezza dell'organizzazione, fornendo i dati a strumenti di sicurezza delle informazioni e di gestione degli eventi (SIEM) e analisi operative. A sua volta, la correlazione e l'analisi possono fornire approfondimenti come l'identificazione di possibili insider dannosi.

Verrai violato. Ogni livello di difesa della sicurezza IT può e sarà compromesso. Le organizzazioni non possono più fare affidamento sulla sicurezza perimetrale per proteggere i dati sensibili e la proprietà intellettuale. Devono cercare approcci alternativi per proteggere le informazioni sensibili. Non sono solo le difese perimetrali che stanno lottando, poiché molte soluzioni di sicurezza incentrate sui dati sono state costruite prima della mobilità, del BYOD, del cloud e delle interazioni extra-dominio basate sul Web. Le organizzazioni devono rivolgersi a soluzioni di sicurezza incentrate sui dati che adottino una visione evoluta, affrontando pienamente le dure verità della protezione dei dati nell'ambiente informatico in rapida evoluzione e altamente complesso di oggi.