Datasäkerhetskontroller - dummies

Känsliga tillgångar, inklusive data, måste skyddas på lämpligt sätt under hela livscykeln. Som säkerhetspersonal är det ditt jobb. Information Lifecycle Management (ILM) omfattar data genom följande fem steg:

• Skapande. Data skapas av en slutanvändare eller en applikation. Data måste klassificeras just nu, baserat på dataens kritik och känslighet, och en dataägare (vanligtvis men inte alltid skaparen) behöver tilldelas. Data kan förekomma i många former, t.ex. i dokument, kalkylblad, e-post och textmeddelanden, databasposter, formulär, bilder, presentationer (inklusive videokonferenser) och utskrivna dokument.
• Distribution ("data i rörelse"). Data kan distribueras (eller hämtas) internt inom en organisation eller skickas till externa mottagare. Distributionen kan vara manuellt (t.ex. via kurir) eller elektronisk (vanligtvis via ett nätverk). Data i transit är sårbar för kompromisser, så lämpliga skyddsåtgärder måste genomföras baserat på klassificeringen av uppgifterna. Kryptering kan till exempel krävas för att skicka viss känslig data över ett offentligt nätverk. I sådana fall måste lämpliga krypteringsstandarder fastställas. Dataöverföring (DLP) -teknologi kan också användas för att förhindra oavsiktlig eller avsiktlig otillåten distribution av känsliga data.
• Använd ("data i bruk"). Detta steg avser data som har nåts av en slutanvändare eller en applikation och används aktivt (till exempel läs, analyseras, modifieras, uppdateras eller dupliceras) av den användaren eller applikationen. Data som används måste endast nås på system som är godkända för dataens klassificeringsnivå och endast av användare och applikationer som har lämpliga behörigheter (clearing) och syfte (behov av att veta).
• Underhåll ("data i vila"). Varje tid mellan skapandet och dispositionen av data som den inte är "i rörelse" eller "i bruk", upprätthålls data "i vila". Underhåll omfattar lagring (på media som en hårddisk, flyttbar USB-tummin enhet, backup magnetband eller papper) och arkivering (till exempel i en katalog och filstruktur) av data. Data kan också säkerhetskopieras och backupmediet transporteras till en säker plats utanför platsen (kallad "data i transit"). Klassificeringsnivåerna av data bör också rutinmässigt granskas (typiskt av dataägaren) för att avgöra om en klassificeringsnivå behöver uppgraderas (inte vanlig) eller kan nedgraderas. Lämpliga skyddsåtgärder måste genomföras och regelbundet granskas för att säkerställa
  • Sekretess (och integritet). Till exempel, med hjälp av system, katalog och filbehörigheter och kryptering.
  • Integritet. Till exempel, med hjälp av baslinjer, kryptografiska hash, cykliska redundanskontroller (CRC) och fillåsning (för att förhindra eller styra modifiering av data av flera samtidiga användare).
  • Tillgänglighet. Till exempel, genom att använda databas och filkluster (för att eliminera enskilda punkter av fel), säkerhetskopiering och realtidsreplikation (för att förhindra förlust av data).
• Disposition. Slutligen, när data inte längre har något värde eller inte längre är användbart för organisationen, måste den destrueras på ett korrekt sätt i enlighet med bolagets behållnings- och destruktionspolitik samt alla tillämpliga lagar och förordningar. Vissa känsliga data kan kräva en slutgiltig bestämning av datainnehavaren, och kan kräva särskilda destruktionsprocedurer (såsom vittnen, loggningen och en magnetisk torkning följt av fysisk förstöring).

Data som bara har raderats har INTE blivit ordentligt förstört. Det är bara "data i vila" som väntar på att vara överskrivna - eller obekvämt upptäcks av en obehörig och potentiellt skadlig tredje part!

Dataåterhämtning avser data som fortfarande finns på lagringsmedia eller i minnet efter att data har "raderats".

Baselines

Att upprätta en baslinje är en standard affärsmetod som används för att jämföra en organisation till en startpunkt eller miniminivå eller för att jämföra framsteg inom en organisation över tiden. Med säkerhetskontroller ger dessa metoder värdefull insikt:

• Jämförande med andra organisationer . Organisationer kan jämföra sina kontrollsatser med andra organisationer för att se vilka skillnader som finns i kontrollerna.
• Jämförande interna kontroller över tiden . En organisation kan basera sin uppsättning kontroller, för att se vilka förändringar som uppstår i dess kontrollsats över en period av år.
• Jämförelse av kontrollens effektivitet över tiden . En organisation kan jämföra sin rekord av kontroll effektivitet, för att se var framsteg görs och där mer ansträngning behövs för att göra framsteg.

Omfattning och anpassning

Eftersom olika delar av en organisation och dess underliggande IT-system lagrar och behandlar olika datasatser, är det inte meningsfullt för en organisation att upprätta en enda uppsättning kontroller och införa dem på alla system. Som ett förenklat dataklassificeringsprogram och dess resulterande överskydd och underprotektion av data delar organisationer ofta sig i logiska zoner och anger sedan vilka kontroller och uppsättningar kontroller som tillämpas i dessa zoner.

Ett annat tillvägagångssätt är att skräddarsy kontroller och uppsättningar av kontroller till olika IT-system och delar av organisationen. Kontroller med lösenordsstyrka kan till exempel ha kategorier som tillämpas på system med olika säkerhetsnivåer.

Båda metoderna för att tillämpa en komplex kontrollmiljö i en komplex IT-miljö är giltiga - de är egentligen bara olika sätt att uppnå samma mål: tillämpa rätt nivå av kontroll till olika system och miljöer, baserat på den information de lagrar och bearbeta eller på andra kriterier.

Standardval

Flera utmärkta kontrollramar finns tillgängliga för säkerhetspersonalernas användning. Det är under inga omständigheter nödvändigt att börja från början. I stället är det bästa sättet att börja med en av flera branschledande kontrollramar, och sedan lägga till eller ta bort enskilda kontroller som passar organisationens behov.

Kontrollramverkets standarder inkluderar

• ISO27002 , Code of Practice för informationssäkerhetshantering.
• COBIT , Kontrollmål för information och relaterad teknik.
• NIST 800-53 , rekommenderade säkerhetsbestämmelser för federala informationssystem och organisationer.

Kryptografi

Crypto spelar en viktig roll i dataskydd, oavsett om vi pratar om data i rörelse via ett nätverk eller i vila på en server eller arbetsstation. Kryptografi handlar om att gömma data i vanlig syn, eftersom det finns situationer där personer kan få tillgång till känslig data. krypto förnekar personer som åtkomst om de inte har en krypteringsnyckel och metoden för att dekryptera den.