Databeskyttelse

Forside > Generelt > Databeskyttelse

September 4, 2009

Gå til kommentarer Efterlad en kommentar

Vi er i øjeblikket inde i en temmelig stort projekt internt, og en del af dette er en " risiko register "mod virksomheden. Nu er dette omfatter meget mere information end simpelthen data på disken, men også folk, omdømme og så videre. For mig, nu hvor jeg har startet dette projekt, som er en central del af databeskyttelse.

Det er et interessant emne, og noget, som jeg gerne vil dele med dig på dette tidlige tidspunkt i mit eget projekt, som det gør man ser på opbevaring aspekter i et andet lys.

Hvad påvirker et stykke data risiko klasse?

Hvem har adgang til det?
Hvor fortrolige er det?
Har det en håndgribelig værdi?
Hvordan bærbare er det?
Kunne det potentielt skade virksomheden ry?
Er det beskyttet?
... Sikkert en masse mere!

Nogle af disse er alle spørgsmål, som vi allerede har spurgt om de datasæt, som vi har brug for at definere snapshot, replikering og tape politikker, men databeskyttelsen går meget længere end bare dette. Interessant at Zemanta plugin til min blog har forbundet "databeskyttelse" med "Information Privacy", som er et centralt punkt!

Hvem har adgang til det?

Ikke bare fra en front-end autoriserede synspunkt, selvom du behøver at vide dette. Løn for eksempel, det generelt ville bare være HR og regnskab, som har adgang til denne, men er der en mekanisme for andre at få adgang til det? Hvis ja, er der nogen revision og kontrol for at kontrollere hvem der har fået adgang, eller som har fået adgang? Revisionen kontrol er næsten vigtigere end sikkerhed i første omgang. Sikkerhed kan og vil altid være brudt, men hvis du kan bevise det blev brudt, så kan du ordne det!

Hvor fortrolige er det?

De fleste af os har et rimeligt greb om, hvad der er fortrolige, og hvad der ikke. Medarbejder data, kundedata, Løn, regnskab, er alle oplagte kandidater til meget fortrolige data. Men andre ting er stadig fortrolige, selv om de ikke er klassificeret som strengt fortrolige. Eksterne IP-skema er, lavt niveau systemadgangskoder, selvom de kan være frit tilgængelige for tekniske hold, de ikke er tilgængelige til sekretærerne for eksempel, så det gør dem fortrolige eller anden måde. Er de markeret som fortrolige? Andet end at anvende sund fornuft, har du nogensinde fortalt nogen, at de ikke bør e-mail et domænenavn administratoradgangskode omkring for eksempel?

Har det en håndgribelig værdi?

Meget vanskelig at spille, og analytikerne vil elske dette! Men nogle ting har en reel umiddelbar håndgribelig værdi, købsordre eller en underskrevet kontrakt måske. Der er rig mulighed for at definere en pris pointsystem i forhold til data, men det er meget vanskeligt at beregne. Noget kommer til at koste penge på meget indirekte måder, for eksempel hvis noget skader virksomhedens omdømme, kan det medføre tab af indtægter. Dette bør virkelig blive vurderet på andre områder og ikke nødvendigvis bruge tid på at sætte en konkret værdi på hvert stykke data (Jeg vil gerne afslutte mit projekt i år !!!).

Hvordan bærbare er det?

Med en alder af virtuelle maskiner, er portabilitet meget vigtig, og meget farligt. Nogen kan bogstaveligt talt bare gå ud med en hel database system nu på en bærbar harddisk! Hvordan du beskytter mod dette? Er der nogen måde at binde centrale systemer, eller politiet rå adgang til dem? Så meget som teknologi-og WAN-hastigheder er kommet sammen, er det stadig temmelig urimeligt at antage, at du kan e-maile et helt system. Men det er meget nemt at e-mail-regneark og dokumenter rundt. At forhindre dette i at ske, kan være restriktiv på dag-til-dag drift af en virksomhed, så vi falder tilbage til revision og overvågning. Der er en masse af baser til at dække, bærbare medier, e-mail, fil aktier mv

Kan det skade virksomheden ry?

Dette er en god en, og ikke noget man måske umiddelbart tænke på. Ikke bare nødvendigvis "snavs" på forretningen, men måske virksomheden har en central teknologi eller system, som betyder, at de er unikke på markedet. Hvis dette er lækket til et andet selskab, kan det skade den anseelse, som andre så kunne begynde at gøre det samme. Kan forretning omdømme blive beskadiget, hvis dataene var fraværende? Hvis en nøgle system var offline i en periode, hvordan ville den forretning omdømme blive ødelagt (tag et kig på nogle start-up Cloud virksomheder!). En beskadiget ry kunne synke en virksomhed. Naturligvis selskab etik og forretningsmetoder er en god måde at ødelægge et omdømme. Jeg har mange venner, at der stadig vil ikke købe Nestle!

Er det beskyttet?

Og dette er en sammenlægning af alle de ovennævnte virkelig. Ovenstående spørgsmål hjælpe dig til at definere den forretningsmæssige værdi på en bestemt data aktiv. Så hvis det har en høj værdi, hvor beskyttet er det? Hvordan beskyttet skal det være? Hvor længe kan virksomheden overleve, mens den bliver tilbagebetalt? Hvor meget ville datatab faktisk koste virksomheden?

Afhængigt af risikoklasse og forretningsmæssig værdi i høj grad vil påvirke beskyttelsen og revision du installerer omkring det.

Skal udmøntes i handling

Jeg ville elske at høre fra folk om, hvordan du lægger ovenstående til handling. Vi bruger NetApp os selv (bestemt praksis, hvad vi prædiker), og det giver mig en stor grad af kontrol over min datasæt, og den beskyttelse, vi ansætter. Beskyttelse går videre end blot snapshots og tape backup dog, vi har brug for at beskytte det fra mere end blot tab af data. Mens NetApp har nogle gode værktøjer til beskyttelse mod tab af data, er der et krav om at hjælpe med de andre områder af databeskyttelse, og jeg ville elske at se NetApp bygge videre på denne plads.

Jeg har en vis erfaring med at bruge værktøjer som Varonis , Acopia , Northern Opbevaring Suite , NTP QFS , TekTools , for at nævne et par stykker, og disse har alle hjulpet os i fortiden i udbygningen af en komplet løsning. Jeg har sagt ved flere lejligheder, og det er noget, jeg virkelig tror på, så jeg vil sige det igen, en komplet løsning er en kombination af mange forskellige teknologier, der supplerer hinanden.

Jeg vil gerne vende tilbage til dette emne igen om et par måneder, når jeg har nået mit projekt yderligere, men jeg vil gerne høre fra marken for at se, hvad andre mennesker gør for at få fuld databeskyttelse.