Kroky k solidní praxi ochrany osobních údajů

Kroky k solidní praxi ochrany osobních údajů

Vaše společnost přežila výluky proti Covid-19; administrativní pracovníci a zaměstnanci, kteří mohou pracovat z domova, si zvykli a hlavně opravdu nechtějí vrátit se do kanceláře. Spolu s tím vaše společnost viděla příležitost zmenšit kancelářské prostory a ušetřit tak peníze. Vaši IT pracovníci provedli rozsáhlou modernizaci a přestavbu IT infrastruktury, aby lépe podporovali práci na dálku, což pravděpodobně zahrnovalo přizpůsobení infrastruktury společnosti tak, aby používalo více cloudových zdrojů.

Společnost se nyní blíží k novému normálu a aby to lépe podpořila, rozhodla se, že potřebuje novou krev na úrovni představenstva, aby lépe řešila internetový marketing a prodej a potenciál problémy s ochranou osobních údajů to by mohlo vzniknout. Řešení těchto požadavků znamenalo najmout několik nevýkonných ředitelů (NED)-jednoho s odbornými znalostmi v oblasti využívání internetu a sociálních médií pro účely marketingu, prodeje a podpory produktů a druhého se zkušenostmi v oblasti zajišťování informací, zabezpečení informací, generálního ředitele Nařízení o ochraně údajů a analýza rizik IT.

Náborový marketing NED začal zahájením přezkoumání toho, co společnost v minulosti udělala, co šlo dobře a co ne. Souběžně s cvičením se začalo měřit, jak se produkty společnosti vyrovnávají konkurenci a jak konkurence uvádí na trh své produkty a jak provozuje reklamní kampaně. Tyto kontroly se vší pravděpodobností povedou k celopodnikovým změnám, které budou mít dopad na IT infrastrukturu.

Druhý NED, infosec NED, začal otázkou: „Existuje úplný a aktuální soupis všech údajů, které společnost uchovává nebo zpracovává?“ Odpovědi se obvykle pohybovaly od „ne“ do „záleží na jednotlivých odděleních“. Existuje jen velmi málo společností nebo organizací, kde by si vedoucí mohli položit ruku na srdce a odpovědět na tuto otázku „ano“.

Důvod, proč byla tato otázka položena a vlastně položena jako první, je ten, že pokud společnost nezná souhrn všech údajů, které má, jejich hodnotu a způsob jejich použití a ukládání, je to velmi obtížné, pokud ne nemožné, efektivně zabezpečit a kontrolovat tato data.

Příprava na vývoj nebo aktualizaci stávajícího inventáře

Bude třeba identifikovat různé datové typy, například údaje týkající se lidských zdrojů nebo financí, ale při identifikaci těchto různých typů dat je třeba upozornit, že příliš granulární přístup ztěžuje efektivní kontrolu v průběhu času, zatímco přístup, který je není dostatečně granulární, nebude správně řešit ochranu osobních údajů.

Každý datový typ musí mít pouze jednoho vlastníka dat a úkolem tohoto vlastníka údajů je podle zásad a postupů identifikovat, kdo a jaký proces může přistupovat k jejich údajům a za jakým účelem (vytváření, čtení pouze, čtení/zápis/kopírování, proces , archivovat nebo odstranit). Je pravděpodobné, že ve velké organizaci vlastník dat přenese každodenní kontrolu nad svými daty na konkrétní známé ostatní. V malých a středních podnicích (MSP) by tuto každodenní kontrolu jejich údajů pravděpodobně prováděli vlastníci údajů.

Inventář dat

Jakmile bude znám výsledek této otázky týkající se inventáře dat, je vysoce pravděpodobné, že bude zahájena úplná kontrola „vyčerpání“, která povede k vývoji nového nebo revidovaného inventáře dat, který by měl:

  • Buďte aktuální.
  • Buďte řádně identifikováni podle typu (finance, prodej, HR atd.).
  • Mějte pro každý datový typ příslušného vlastníka dat.
  • Identifikujte hodnotu datového typu, jako jsou veřejné, interní, soukromé, osobní a osobní citlivé společnosti atd.
  • Identifikujte data archivace a zničení dat.
  • Zjistěte, kdo nebo jaký proces může přistupovat a používat jednotlivé datové typy.
  • Identifikujte veškerá omezení přístupu, jako je například pouze interní přístup, omezení denní doby, zda je vyžadováno dvoufaktorové ověřování (2FA nebo MFA) atd.
  • Identifikujte všechna umístění, kde jsou uložena nebo uchovávána data každého datového typu, spolu se způsobem identifikace verze dat. To musí zahrnovat případy, kdy byla data stažena do jednotlivých počítačů, zkopírována na disky CD/DVD nebo paměťové karty USB a úložiště archivu.

K dispozici je revidovaný inventář dat – co dál?

Jakmile budeme mít tento aktuální datový inventář, jak nám to pomůže řešit a optimalizovat soukromí dat? Inventář sám o sobě je jedním z nástrojů, ale velmi nezbytným při vývoji plánu vedoucího k bezpečnější infrastruktuře.

Zásadním doplňkem inventáře dat jsou zásady související s vytvářením uživatelských pověření a průběžnou údržbou. Tyto zásady musí zahrnovat, když jsou prováděny kontroly, aby se zjistilo, zda by měl mít účet stále přístup k datům (a za jakým účelem) nebo zda se jedná o zastaralý účet a jak se se zastaralými účty zachází (smazáno nebo deaktivováno a období mezi deaktivací) a vymazání).

Mezi další vstupy k zabezpečení infrastruktury budou patřit budoucí plány a strategické směřování společnosti a jednotlivých oddělení. Tyto vstupy ve spojení s datovým inventářem umožní identifikaci požadavků na technické zabezpečení pro každý datový typ, například pomocí nastavení ověřování a autorizace řízeného službou Active Directory (nebo ekvivalentního), samostatného fyzického úložiště nebo vyhrazeného úložiště s bránou firewall.

Například data z různých divizí společnosti budou pravděpodobně muset být oddělena od údajů jiných oddělení a některá data, která budou považována za citlivá nebo tajná, budou muset být chráněna na vyšší úrovni než ostatní data.

Přístup k datům bude vyžadovat, aby uživatel nebo proces byl v konkrétní organizační jednotce a skupině a měl příslušnou úroveň oprávnění. Mohla by být také použita další omezení přístupu, jako je denní doba a to, zda se používá 2FA-například uživateli přistupujícímu k datům ze vzdáleného umístění může být poskytnut omezený pohled na data ve srovnání s přístupem v kanceláři, pokud není během pracovní doba a používá se 2FA. Tato rozhodnutí by závisela na posouzení rizik každého datového typu vůči různým IT architekturám a celkovému apetitu rizika společnosti.

Z hlediska infrastruktury by obecná data z oddělení mohla být obvykle oddělena omezením přístupu podle nastavení organizační jednotky a/nebo skupiny ve službě Active Directory (AD nebo ekvivalent), i když v některých případech může být nutné data oddělení uchovávat ve fyzicky oddělených úložištích dat. To, co lze udělat s jakýmikoli daty, lze řídit nastavením autorizační role ve službě AD.

Pokud jde o citlivá a tajná data, řízení přístupu bude podléhat stejným nastavením, ale navíc by byl přístup omezen na konkrétně oprávněné osoby nebo skupiny osob a potenciálně konkrétní IP adresy. Je také pravděpodobné, že bude vyžadováno oddělení dat od ostatních údajů fyzickými prostředky. Důvodem je to, že paměťové médium na konci životnosti nebo v režimu selhání musí být zničeno na vyšší úroveň než paměťová média používaná pro necitlivá data.

Klíčové odběry

  • Musíte vědět, kde jsou data ukládána a používána, protože pokud nevíte, nemůžete je ovládat.
  • Vlastník dat je klíčem k identifikaci a kontrole, kdo nebo jaký proces může k datům přistupovat a používat je.
  • Pochopení hodnoty dat a pochopení toho, jak mohou různé bezpečnostní techniky chránit data, je klíčové pro vypracování hodnocení rizik a nakonec i zvolené architektury zabezpečení.
  • Řízení přístupu uživatelů a procesů musí být založeno na přísném základě „potřeby vědět“. Jen proto, že je člověk vedoucím pracovníkem, neznamená to, že potřebuje přístup ke každému souboru nebo datové položce v rámci své společnosti, organizační jednotky nebo oddělení.
  • Řízení přístupu by v ideálním případě mělo vzít v úvahu počáteční bod uživatele nebo procesu a případně denní dobu. 2FA pro uživatele je cenný způsob, jak zlepšit zabezpečení sítě a soukromí dat výrazným zlepšením přístupu k infrastruktuře společnosti.
  • Citlivé a tajné informace musí být uchovávány odděleně od ostatních dat a ideálně v samostatném fyzickém obchodě. Přístup k tomuto typu dat musí být také omezen na známá místa původu, například autorizaci nejen na oddělení, ale na příslušně autorizované uživatele nebo skupinu uživatelů v rámci oddělení. Kromě toho může být vyžadováno autorizované místo původu, například známé IP adresy.

Nakonec nezapomeňte na základy:

  • Infrastruktura IT musí být plně zdokumentována, mimo jiné včetně veškerých externě zajišťovaných služeb, licencí, uspořádání budov (počítačové místnosti, skříně kabelů atd.).
  • Všechny externí přístupové body k infrastruktuře (prostřednictvím veřejného internetu a třetích stran) musí být přiměřeně chráněny firewallem s demilitarizovanými zónami se zařízeními proxy, které poskytují izolační vrstvu mezi interními firemními procesy a vnějším světem.

Budete také muset zajistit, aby:

  • Veškerý software (a firmware) je aktuální.
  • Bezpečnostní záplaty jsou aplikovány včas.
  • Nástroje pro prevenci vniknutí virů a malwaru jsou k dispozici, fungují a udržují se.
  • Existuje proces monitorování zabezpečení, který se využívá.
  • Existuje pravidelný program kontrol stavu zabezpečení IT a externího penetračního testování.
  • Pracovníci IT a bezpečnosti jsou součástí probíhajícího programu pokračujícího profesního rozvoje.
  • Že je zaveden a udržován celopodnikový program zvyšování povědomí o bezpečnosti.
Share

Leave a Reply

Your email address will not be published. Required fields are marked *