5 важни въпроса при закупуване и внедряване на криптираща услуга
Последен ъпдейт на 28 юни 2018 в 13:48 ч.
Въвеждането на General Data Protection Regulation (GDPR) и нарастващият брой информационни пробиви са основните причини малкият и среден бизнес да внедрява технологии за защита на данни. За съжаление ограничените ресурси и наситеният пазар на решения за криптиране на информация прави избора на такава технология сравнително труден.
Ако бизнеса ви се затруднява в избора на криптиращ софтуер, опитайте да си дадете отговор на следните въпроси:
Кои компютри представляват най-голям риск?
Дали това са компютрите, които не мърдат от бюрото на служителите ви, или лаптопите, които пътуват с тях в командировки? Въпреки, че шансът една машина да бъде открадната извън офиса е значително по-голям, вашият бизнес може да е много по-застрашен от умишлена злоупотреба на работното място, отколкото от случаен инцидент на улицата. Отговорът на този въпрос е важна отправна точка, защото идентифицира устройствата, които се нуждаят от защита.
Отговаря ли криптиращата система на нуждите на вашия IT отдел за пълен дистанционен контрол върху криптирането на крайни устройства?
Всички сериозни продукти за криптиране предоставят възможността за дистанционно управление на криптирането, но не и без усложнения. Повечето подобни услуги се нуждаят от отворена приходяща връзка към демилитаризирана зона (DMZ) на вашия сървър или VPN връзка. Всички криптиращи системи разчитат на това администраторът да има добри IT умения, а за да функционират изправно, могат да изискват от потребителя да активира връзката. Това от своя страна повишава риска от вътрешен саботаж или злоупотреба в случай на изгубено устройство.
Прочетете повече: 4 стъпки за предотвратяване на изтичане на информация
Добрата криптираща услуга предоставя възможност за дистанционно управление на криптирането:
- Без да създава допълнителни рискове за сигурността
- Без да се нуждае от задълбочена техническа експертиза
- Без да оскъпява целия процес
Защо това е важно?
Възможност за бърза промяна в политиките за сигурност, мигновена подмяна на криптиращите ключове и дистанционно управление на криптирането на крайни устройства: всичко това ви прави по-защитени.
Допускат се изключения, само когато са нужни, и само ако могат лесно и бързо да се премахнат. Ако не прилагате подобна политика, ще ви се наложи да оставите ключа „под изтривалката“ за всеки случай, а това ще отвори дупки в сигурността, които не искате да имате.
Прочетете повече: 5 стъпки за предотвратяване на пробив в системата
Има ли опция за дистанционно заключване и изтриване на криптиращите ключове от крайните устройства?
Този въпрос е от изключителна важност когато работен компютър с изцяло криптиран твърд диск попадне в неправилните ръце, докато е в спящ режим или с включена операционна система. Подобна ситуация се превръща в истински кошмар, когато машината идва с парола за pre-boot, изписана върху стикер или скрита в чантата на лаптопа. Ако не е налична функция за дистанционно заключване и изтриване, системата се оказва или незащитена, или защитена само с паролата за влизане в операционната система. И в двата случая криптирането може да бъде заобиколено.
Осигурява ли криптиращото решение защита от външни носители без да се налага да са в списък с позволени устройства?
Видовете преносими твърди дискове, които служителите използват в ежедневието си, са толкова много, че е почти невъзможно за един системен администратор да верифицира всички, камо ли пък да установява политики за read, write to или access за всяко едно от тях.
Много по-лесно е да се въведе политика на ниво файлове. Този подход идентифицира конкретни файловете за криптиране и осигурява защитата им при движение между устройства, мрежи и носители.
С други думи:
- Ако включите лична флашка, програмата няма да ви принуди да криптирате личната си информация
Но:
- Ако прехвърлите данни от работния компютър на USB носител, те ще останат криптирани
- Ако нямате криптиращ ключ на флашката, данните ще останат недостъпни и съответно защитени
Излишно е да споменаваме, че това избягва изцяло процеса на whitelist на отделни устройства.
Прочетете повече: Рискът от външни устройства: флашката-саботьор
Мерките за информационна сигурност не са нови. Внедряването на едно или друго решение зависи от неговата гъвкавост и лекота.
Последният въпрос, на който трябва да си отговорите е следният:
Колко ще е лесно да се внедри и използва услугата?
Ако конфигурирането на криптиращото решение налага използването на допълнителни инструменти и отнема часове, или не дай си Боже, дни, тогава може би не си заслужава. Потърсете решение, което е лесно за внедряване, не изисква задълбочена техническа експертиза и щади както човешките, така и финансовите ресурси на компанията. Ако софтуерът е лесен за използване от потребителите и същото важи за системните администратори, тогава IT-тата няма да се затормозяват излишно с изгубени данни и прочие проблеми, вследствие на служителска грешка.