Dati I controlli di sicurezza - dummies

Le risorse sensibili, compresi i dati, devono essere protette in modo appropriato durante tutto il loro ciclo di vita. Come professionista della sicurezza, questo è il tuo lavoro. La gestione del ciclo di vita delle informazioni (ILM) copre i dati attraverso le seguenti cinque fasi:

Creazione. I dati vengono creati da un utente finale o da un'applicazione. I dati devono essere classificati in questo momento, in base alla criticità e alla sensibilità dei dati, e il proprietario dei dati (di solito, ma non sempre, il creatore) deve essere assegnato. I dati possono esistere in molte forme, come documenti, fogli di calcolo, e-mail e messaggi di testo, record di database, moduli, immagini, presentazioni (incluse videoconferenze) e documenti stampati.
Distribuzione ("dati in movimento"). I dati possono essere distribuiti (o recuperati) internamente all'interno di un'organizzazione o trasmessi a destinatari esterni. La distribuzione può essere manuale (come via corriere) o elettronica (tipicamente su una rete). I dati in transito sono vulnerabili ai compromessi, pertanto è necessario implementare misure di salvaguardia appropriate in base alla classificazione dei dati. Ad esempio, potrebbe essere richiesta la crittografia per inviare determinati dati sensibili su una rete pubblica. In tali casi, devono essere stabiliti appropriati standard di crittografia. Le tecnologie di prevenzione della perdita dei dati (DLP) possono anche essere utilizzate per impedire la distribuzione non autorizzata o accidentale di dati sensibili.
Usa ("dati in uso"). Questa fase si riferisce ai dati a cui un utente o un'applicazione ha avuto accesso e che vengono attivamente utilizzati (ad esempio, letti, analizzati, modificati, aggiornati o duplicati) da tale utente o applicazione. È necessario accedere ai dati in uso solo su sistemi autorizzati per il livello di classificazione dei dati e solo da utenti e applicazioni che dispongono di autorizzazioni appropriate (autorizzazione) e scopo (necessità di sapere).
Manutenzione ("dati a riposo"). In qualsiasi momento tra la creazione e la disposizione dei dati che non è "in movimento" o "in uso", i dati vengono mantenuti "a riposo". La manutenzione include lo spazio di archiviazione (su supporti quali disco rigido, chiavetta USB rimovibile, nastro magnetico di backup o carta) e archiviazione (ad esempio, in una directory e una struttura di file) di dati. È inoltre possibile eseguire il backup dei dati e trasferire il supporto di backup in una posizione esterna sicura (denominata "dati in transito"). Anche i livelli di classificazione dei dati dovrebbero essere regolarmente rivisti (tipicamente dal proprietario dei dati) per determinare se un livello di classificazione deve essere aggiornato (non comune) o può essere declassato. Devono essere implementate adeguate misure di salvaguardia e regolarmente verificate per garantire
- Riservatezza (e privacy). Ad esempio, utilizzando autorizzazioni di sistema, directory e file e crittografia.
- Integrità. Ad esempio, utilizzando le baseline, gli hash crittografici, i controlli di ridondanza ciclica (CRC) e il blocco dei file (per impedire o controllare la modifica dei dati da parte di più utenti simultanei).
- Disponibilità. Ad esempio, utilizzando il database e il clustering dei file (per eliminare singoli punti di errore), i backup e la replica in tempo reale (per evitare la perdita di dati).
Disposition. Infine, quando i dati non hanno più alcun valore o non sono più utili per l'organizzazione, devono essere adeguatamente distrutti in conformità con le politiche di conservazione e distruzione aziendale, nonché con tutte le leggi e i regolamenti applicabili. Alcuni dati sensibili possono richiedere una determinazione definitiva del proprietario dei dati e possono richiedere specifiche procedure di distruzione (come testimoni, registrazione e cancellazione magnetica seguita da distruzione fisica).

I dati che sono stati semplicemente eliminati NON sono stati distrutti correttamente. Si tratta semplicemente di "dati a riposo" in attesa di essere sovrascritti o scoperti in modo non appropriato da una terza parte non autorizzata e potenzialmente dannosa!

La rimanenza dei dati si riferisce ai dati che ancora esistono sul supporto di memorizzazione o in memoria dopo che i dati sono stati "cancellati".

Baseline

Stabilire una linea di base è un metodo aziendale standard utilizzato per confrontare un'organizzazione con un punto di partenza o uno standard minimo o per confrontare i progressi all'interno di un'organizzazione nel tempo. Con i controlli di sicurezza, questi metodi forniscono informazioni preziose:

Confronto con altre organizzazioni . Le organizzazioni possono confrontare i propri set di controllo con altre organizzazioni per vedere quali differenze esistono nei controlli.
Confronto dei controlli interni nel tempo . Un'organizzazione può basare il proprio insieme di controlli per vedere quali cambiamenti si verificano nel suo insieme di controlli su un periodo di anni.
Confronto dell'efficacia del controllo nel tempo . Un'organizzazione può confrontare il suo record di efficacia del controllo, vedere dove sono stati fatti i progressi e dove sono necessari maggiori sforzi per fare progressi.

Scoping e personalizzazione

Poiché diverse parti di un'organizzazione e i suoi sistemi IT sottostanti memorizzano ed elaborano diversi insiemi di dati, non ha senso che un'organizzazione stabilisca un singolo insieme di controlli e li imponga su tutti i sistemi. Come un programma di classificazione dei dati troppo semplificato e la conseguente sovraprotezione e underprotection dei dati, le organizzazioni spesso si dividono in zone logiche e quindi specificano quali controlli e gruppi di controlli vengono applicati in queste zone.

Un altro approccio è quello di adattare controlli e set di controlli a diversi sistemi IT e parti dell'organizzazione. Ad esempio, i controlli sulla forza della password possono avere categorie che vengono applicate a sistemi con vari livelli di sicurezza.

Sono validi entrambi gli approcci per applicare un complesso ambiente di controllo in un ambiente IT complesso: sono in realtà solo modi diversi per raggiungere lo stesso obiettivo: applicare il giusto livello di controllo a vari sistemi e ambienti, in base alle informazioni che memorizzano e processo o su altri criteri.

Selezione degli standard

Sono disponibili diversi quadri di controllo eccellenti per l'uso dei professionisti della sicurezza. In nessun caso è necessario ripartire da zero. Invece, l'approccio migliore è iniziare con uno dei diversi framework di controllo leader del settore e quindi aggiungere o rimuovere singoli controlli per soddisfare le esigenze dell'organizzazione.

Gli standard della struttura di controllo includono

ISO27002 , Codice di condotta per la gestione della sicurezza delle informazioni.
COBIT , Control Objectives for Information and Related Technology.
NIST 800-53 , Controlli di sicurezza raccomandati per i sistemi informativi e le organizzazioni federali.

Crittografia

Crypto svolge un ruolo cruciale nella protezione dei dati, sia che si tratti di dati in movimento attraverso una rete, sia che si trovino su un server o una workstation. La crittografia consiste nel nascondere i dati in bella vista, perché ci sono situazioni in cui le persone possono essere in grado di accedere ai dati sensibili; crypto nega alle persone che accedono a meno che non siano in possesso di una chiave di crittografia e del metodo per decodificarlo.