הגנה על נתונים

דף הבית > כללי > הגנה על נתונים

4 ספטמבר 2009

אנחנו עוברים פרויקט גדול למדי באופן פנימי, וחלק זה הוא " הקופה סיכון "נגד העסק. עכשיו זה כולל מידע הרבה יותר פשוט הנתונים בדיסק, אלא גם בני אדם, מוניטין וכו '. בשבילי, עכשיו התחלתי את הפרויקט הזה, כי היא חלק מרכזי של אבטחת מידע.

זה נושא מעניין, וזה משהו שאני רוצה לשתף אתכם בשלב מוקדם זה של הפרויקט שלי כפי שהוא עושה אתה מסתכל על היבטים אחסון באור שונה.

מה משפיע על פיסת בכיתה הסיכון של נתונים?

למי יש גישה אליו?
איך חסוי זה?
האם יש לו ערך ממשי?
איך נייד זה?
הוא עלול לפגוע במוניטין העסק?
האם הוא מוגן?
בטח ... הרבה יותר!

כמה כל אלו הן שאלות שאנחנו כבר שאלת על הנתונים קובע גם אנחנו צריכים להגדיר מדיניות, תמונת מצב שכפול קלטת, אבל הגנה על נתונים הולך הרבה יותר מאשר רק זה. מעניין לציין את התוסף Zemanta עבור הבלוג שלי מקושרים "להגנה על נתונים" עם "פרטיות המידע", שהיא נקודת המפתח!

למי יש גישה אליו?

לא רק מנקודת חזיתי מורשה של תצוגה, אם כי אתה צריך לדעת את זה. שכר למשל, בדרך כלל זה יהיה רק משאבי אנוש וחשבונאות, כי גישה זו, אבל האם יש מנגנון אחד אחר כדי לקבל גישה אליו? אם כן, האם יש שליטה הביקורת לבדוק מי קיבל גישה, או אשר קיבלו גישה? הביקורת ביקורת חשובה כמעט יותר ביטחון מלכתחילה. אבטחה יכולה ותמיד תהיה שבורה, אבל אם אתה יכול להוכיח את זה נשבר, אז אתה יכול לתקן את זה!

איך חסוי זה?

לרובנו יש תפיסה הוגנת על מה חסוי ומה לא. נתוני עובדים, נתוני לקוחות, שכר, הנהלת חשבונות, כל המועמדים הברורים של מידע חסוי ביותר. אבל השאר עדיין חסויים, גם אם הם לא מסווגים סודי ביותר. חיצונית ה-IP של סכימה, נמוכות מערכת סיסמאות ברמה, למרות שהם עשויים להיות נגישים באופן חופשי על ידי צוותים טכניים, הם אינם זמינים המזכירות למשל, אז זה הופך אותם חסויים בדרך כלשהי. האם הם מסומנים חסוי? מלבד הפעלת השכל הישר, האם אי פעם סיפרתי לאף אחד כי הם לא צריכים לשלוח סיסמת מנהל תחום סביב למשל?

האם יש לו ערך ממשי?

קשה מאוד לשחק האנליסטים תאהב את זה! אבל יש דברים בעלי ערך אמיתי ומוחשי מיידית, הזמנת רכש או חוזה חתום אולי. יש מרחב להגדרת מערכת הניקוד עלות מול הנתונים, אבל זה מאוד קשה לחשב. משהו יעלה כסף בדרכים עקיפות מאוד, למשל אם משהו פוגע בשמה הטוב של החברה, היא עלולה לגרום לאובדן הכנסות. זה באמת צריך להיות מוערך בתחומים אחרים ולאו דווקא להשקיע זמן לשים ערך מוחשי על כל פיסת מידע (אני רוצה לסיים את הפרויקט שלי השנה!).

איך נייד זה?

עם הגיל של מכונות וירטואליות, ניידות חשוב מאוד, מסוכן מאוד. מישהו ממש יכול פשוט ללכת משם עם מערכת מסד נתונים שלם עכשיו על כונן קשיח נייד! איך להגן מפני זה? האם יש דרך לקשור מערכות מפתח או לגשת למשטרה הגלם להם? ככל הטכנולוגיה במהירויות רשתות WAN הגיעו יחד, זה עדיין סביר למדי להניח אתה יכול דוא"ל המערכת כולה. עם זאת, קל מאוד לשלוח גיליונות אלקטרוניים ומסמכים מסביב. למניעת תופעה זו יכולה להיות מגבילה ביום יום, כדי ריצה של העסק, ולכן אנחנו להישען על ביקורת ובקרה. יש הרבה בסיסים כדי לכסות, מדיה ניידים, דוא"ל, שיתופי קבצים ועוד

האם זה יכול לפגוע במוניטין העסק?

זה טוב, ולא משהו שאתה יכול מיד להעלות על הדעת. לא רק בהכרח "לכלוך" על עסקים, אבל אולי העסק יש טכנולוגיית מפתח או מערכת זה אומר שהם ייחודי בשוק. אם זה דלף לחברה אחרת, זה יכול לגרום נזק מוניטין של אחרים יוכל להתחיל לעשות את אותו הדבר. יכול המוניטין העסקי להינזק אם הנתונים נעדרו? אם מפתח המערכת היה מנותק במשך פרק זמן מסוים, כיצד היה המוניטין העסקי להינזק (תסתכל על כמה חברות הזנק על ענן). המוניטין הפגוע יכול לשקוע החברה. מטבע הדברים האתיקה החברה ושיטות עסקיות הן דרך טובה להרוס את המוניטין. יש לי הרבה חברים שעדיין לא לקנות נסטלה!

האם הוא מוגן?

וזה מיזוג של כל האמור לעיל באמת. השאלות הנ"ל לעזור לך להגדיר את הערך העסקי על הנכסים נתונים בפרט. אז אם יש לו ערך גבוה, איך זה מוגן? איך הוא אמור להיות מוגן? כמה זמן העסק יכול לשרוד בזמן זה להיות התאושש? כמה אבדן המידע הזה בעצם יעלה את החברה?

בהתאם למחלקה סיכון וערך עסקי ישפיע מאוד על הגנה וביקורת תפרוס סביבו.

לשים את זה לפעולה

אני אשמח לשמוע מאנשים על איך אתה שם מעל לפעולה. אנו משתמשים NetApp עצמנו (בהחלט לתרגל את מה שאנחנו מטיפים), וזה נותן לי רמה גדולה של שליטה על קבוצות הנתונים שלי הגנה אנו מעסיקים. הגנה מרחיק לכת מאשר רק תמונות או קלטות גיבוי עם זאת, אנחנו צריכים להגן עליו מפני אובדן נתונים יותר פשוט. בעוד NetApp יש כמה כלים מצוינים להגנה מפני אובדן נתונים, יש צורך לעזור בתחומים אחרים של הגנת נתונים, ואני אשמח לראות NetApp לבנות על שטח זה.

יש לי קצת ניסיון שימוש בכלים כמו Varonis , Acopia , צפון אחסון Suite , NTP QFS , TekTools , עד כמה שם, ואלה סייעו לנו כל בעבר בפריסת פתרון מלא. אמרתי בכמה הזדמנויות, וזה משהו שאני באמת מאמין אז אני אגיד את זה שוב: פתרון מלא הוא שילוב של טכנולוגיות שונות המשלימים זה את זה.

הייתי רוצה לבקר שוב את הנושא הזה שוב בעוד כמה חודשים כשאני התקדמו הפרויקט שלי עוד יותר, אבל אני רוצה לשמוע מהשטח כדי לראות מה אנשים אחרים עושים כדי להשיג המלא להגנה על נתונים.