El xifrat no és suficient: 3 veritats crítiques sobre seguretat de dades

Gràcies als perímetres morts, als adversaris persistents, al núvol, a la mobilitat i al vostre propi dispositiu (BYOD), és imprescindible la seguretat centrada en les dades. El principi de seguretat centrada en les dades és senzill: si una xarxa es veu compromesa o es perd o es roba un dispositiu mòbil, es protegeixen les dades. Aquelles organitzacions que accepten aquest canvi de paradigma s’han adonat de la necessitat d’afegir control i visibilitat a la seguretat de les dades buscant més enllà de les solucions tradicionals. L'aprofitament d'aquesta visió evolucionada de seguretat centrada en les dades permet a les organitzacions de tots els nivells protegir les dades sensibles, lligant pràcticament aquestes dades independentment del lloc on resideixin.

Les solucions de seguretat centrades en les dades tradicionalment han estat orientades cap a l’interior i s’han centrat a protegir les dades del domini de l’organització a mesura que es recopilen i emmagatzemen. Tot i això, les dades s’allunyen del centre de l’organització, no cap a ella, i mega tendències com el núvol i la mobilitat només acceleren el procés. Una seguretat efectiva centrada en les dades protegeix les dades a mesura que s’allunya del centre de l’organització per ser compartida i consumida. Inclou relacions ad-hoc més enllà del límit del domini, que permet interaccions segures amb clients i socis. (Feu una mica de lectura de fons sobre seguretat informàtica. Proveu els 7 Principis bàsics de la seguretat informàtica.)

Les 3 veritats crítiques de la seguretat centrada en les dades

Una visió evolucionada de la seguretat centrada en les dades es basa en tres veritats crítiques que assenyalen la manera d’implementar la seguretat per ser eficaç:

• Les dades aniran a llocs que no coneixeu, no es podran controlar i cada cop no es poden confiar. Això passa pel procés normal de processament, per error o complaença de l’usuari o per activitat maliciosa. Com que els llocs on es dirigeixen les vostres dades no poden ser de confiança, no podeu confiar en la seguretat de la xarxa, dispositiu o aplicació per protegir aquestes dades.
• El xifratge sol no és suficient per protegir les dades.

  El xifratge s’ha de combinar amb controls d’accés persistents i adaptables que permetin al causant definir les condicions en què s’atorgarà una clau i canviar aquests controls segons les circumstàncies.

• Hauria d’haver una visibilitat completa i detallada sobre qui accedeix a les dades protegides, quan i quantes vegades.

  Aquesta visibilitat detallada garanteix una audibilitat dels requisits normatius i les analítiques de potències per a una visió més àmplia dels patrons d’ús i problemes potencials, que a la vegada millora el control.

Dades: Oh, els llocs per on anirà

A partir de la primera veritat, podem concloure una important norma operativa pragmàtica: Perquè la seguretat centrada en les dades sigui efectiva, les dades s’han de protegir al punt d’origen. Si les dades es xifren com el primer pas del procés, és segur allà on van, a quina xarxa viatja i on resideixen. El fet de fer el contrari requereix la confiança de tots els ordinadors, de totes les connexions de xarxa i de cada persona des del punt en què la informació deixa cura de l’original i durant la seva existència o qualsevol còpia.

La protecció de les dades al punt d’origen suposa un gran supòsit: la vostra solució de seguretat centrada en les dades ha de ser capaç de protegir les dades allà on vagin. Tal com ens diu la primera veritat, les dades i les seves moltes còpies creades de manera natural aniran a molts llocs, inclosos els dispositius mòbils, els dispositius personals i el núvol. Una solució efectiva ha de protegir dades independents del dispositiu, aplicació o xarxa. Ha de protegir aquestes dades independentment del format o de la ubicació i independentment de si es troba en repòs, en moviment o en ús. Ha d'estar fàcilment al llarg del límit del perímetre i ser capaç de protegir els diàlegs ad-hoc.

És aquí on és útil aturar-se i tenir en compte les moltes solucions de seguretat centrades en dades específiques i puntuals disponibles en el mercat. Per la seva pròpia naturalesa, aquestes solucions creen sitges de protecció perquè, tal i com dicta la primera veritat crítica, les dades resideixen en algun lloc fora del seu període de funcionament. Com que aquestes solucions no tenen la protecció omnipresent necessària, les agències i les empreses es veuen obligades a erigir múltiples sitges. Malgrat els millors esforços d’aquestes múltiples sitges, els resultats són previsibles: les dades continuaran caient entre els buits. I és que aquestes llacunes són precisament on els adversaris externs i els privilegiats externs esperen explotar vulnerabilitats i robar dades. A més, cada sitja representa costos reals en l’adquisició, implementació i suport de la solució associada i la càrrega operativa de la gestió de múltiples solucions. (Més informació per pensar: la diferència en la seguretat de les dades passa a moltes empreses.)

Xifrat de les dades simplement no és suficient

La segona veritat afirma que el xifratge per si sol no és suficient: s’ha de combinar amb controls granulars i persistents. L'acte de compartir contingut rendeix efectivament el control sobre ell, fent que el destinatari sigui copropietari de les dades. Els controls permeten que l’original estableixi les condicions en què se li concedeix una clau per al destinatari per accedir al fitxer i permet l’opció de dictar què pot fer el destinatari un cop s’accedeix a les dades. Inclou l'opció de proporcionar una capacitat de només vista quan el destinatari no pot desar el fitxer, copiar / enganxar contingut o imprimir-lo.

El terme "persistent" és una característica crítica dels controls d'accés necessaris per a una seguretat efectiva centrada en les dades. Les dades es mantenen pràcticament relacionades amb l’original, que pot respondre a canvis de requeriments o amenaces revocant l’accés o alterant les condicions d’accés en qualsevol moment. Aquests canvis s’han d’aplicar de manera immediata a totes les còpies de les dades, allà on resideixin. Recordeu que la primera veritat estableix que les dades poden estar en llocs que l’originari desconeix o sobre els quals no pot exercir control. Per tant, no es pot suposar un coneixement previ d'on resideixen les dades i l'accés físic als dispositius associats. El control persistent té l’avantatge addicional d’adreçar la revocació de les dades dels dispositius perduts o robats que probablement no tornaran a entrar en contacte amb la xarxa.

L’adaptabilitat és una característica crítica que diferencia simultàniament solucions competitives i dóna suport al cas per a un enfocament unificat i omnipresent. No totes les solucions de seguretat centrades en les dades es creen iguals, ja que alguns utilitzen mètodes de xifratge inventats abans de la mobilitat, el núvol i l’adopció àmplia d’Internet. Amb aquests mètodes, els controls d’accés s’estableixen en el moment en què les dades es xifren, però no tenen els avantatges que comporten un control persistent.

Qui, quan i quantes vegades s’accedeix a les dades?

La tercera veritat de la seguretat efectiva centrada en les dades és la necessitat absoluta de visibilitat i auditabilitat exhaustives. Inclou visibilitat a tota l’activitat d’accés per a cada objecte de dades, autoritzada i no autoritzada. També inclou visibilitat en qualsevol tipus de dades, dins i fora dels límits del perímetre. Les dades completes d'auditoria i la no publicació permeten a una organització saber qui està utilitzant les dades, quan i amb quina freqüència. La visibilitat apodera el control, donant a les organitzacions la informació per fer respostes ràpides i ben informades davant dels intents implacables d’exfiltrar informació. Aquesta visibilitat s’hauria d’estendre a l’ecosistema de seguretat més ampli de l’organització, proporcionant les dades a eines d’informació de seguretat i gestió d’esdeveniments (SIEM) i analítica operativa. Al seu torn, la correlació i l’anàlisi poden produir dades d’informació, com ara la identificació de possibles privilegiats.

Seràs incomplert. Cada capa de defenses de seguretat de les TI pot i serà compromesa. Les organitzacions ja no poden confiar en la seguretat perimetral per garantir dades sensibles i propietat intel·lectual. Han de buscar enfocaments alternatius per protegir la informació sensible. No només s’estan lluitant defenses perimetrals, ja que es van crear moltes solucions de seguretat centrades en les dades abans de la mobilitat, BYOD, el núvol i les interaccions extra-domèstiques basades en la web. Les organitzacions han de recórrer a solucions de seguretat centrades en les dades que tinguin una visió evolucionada, abordant plenament les dures veritats de la protecció de dades en un entorn informàtic que canvia ràpidament i molt complex.