İçindekiler:
Video: AVM'lerde Güvenlik Denetimi 2024
Veriler de dahil olmak üzere hassas varlıkların, yaşam döngüsü boyunca uygun bir şekilde korunması gerekir. Bir güvenlik uzmanı olarak, işiniz bu. Bilgi yaşam döngüsü yönetimi (ILM) aşağıdaki beş aşamalı veriyi kapsar:
- Yaratılış. Veriler bir son kullanıcı veya uygulama tarafından oluşturulur. Verilerin, kritikliğe ve hassaslığa bağlı olarak şu anda sınıflandırılması gerekir ve bir veri sahibi (genellikle, ancak her zaman değil, yaratıcı) atanmalıdır. Veriler, belgeler, e-tablolar, e-posta ve kısa mesajlar, veritabanı kayıtları, formlar, resimler, sunumlar (video konferanslar dahil) ve basılı dokümanlar gibi birçok formda olabilir.
- Dağılım ("hareket halindeki veriler"). Veriler bir organizasyon içinde dahili olarak dağıtılıp alınabilir veya dış alıcılara iletilebilir. Dağıtım elle (kurye vasıtasıyla) veya elektronik (tipik olarak bir ağ üzerinden) olabilir. Geçiş esnasındaki veriler, uzlaşmaya açıktır, bu nedenle, verilerin sınıflandırılmasına dayalı olarak uygun önlemler uygulanmalıdır. Örneğin, kamuya açık bir ağ üzerinden belirli hassas verileri göndermek için şifreleme gerekebilir. Bu gibi durumlarda, uygun şifreleme standartları oluşturulmalıdır. Veri kaybını önleme (DLP) teknolojileri, hassas verilerin yanlışlıkla veya kasıtlı olarak yetkisiz olarak dağılmasını önlemek için de kullanılabilir.
- Kullanım ("kullanımdaki veriler"). Bu aşama, bir son kullanıcı veya uygulama tarafından erişilen ve bu kullanıcı veya uygulama tarafından aktif olarak (örneğin, okunur, analiz edilir, değiştirilir, yenilenir veya çoğaltılır) kullanılan verilere karşılık gelir. Kullanımdaki verilere, yalnızca verilerin sınıflandırma seviyesi için yetkilendirilmiş sistemlerde ve yalnızca uygun izinlere (temizleme) ve amaca (bilineceği) sahip kullanıcılar ve uygulamalar tarafından erişilmelidir.
- Bakım ("dinlenme verilerine"). Verilerin oluşturulması ve işlenmesi ile "hareket halinde" ya da "kullanımda" olmayan herhangi bir zaman, veriler "dinlenme esnasında" korunur. Bakım, saklama birimini (sabit disk, çıkarılabilir USB başparmak sürücüsü, yedek manyetik bant veya kağıt gibi ortamlarda) ve dosyaların (örneğin bir dizin ve dosya yapısında) dosyalanmasını içerir. Veriler de yedeklenebilir ve yedekleme ortamı, güvenli bir off-site konumuna taşınır ("transit olarak veri" olarak anılacaktır). Bir sınıflandırma düzeyinin yükseltilmesi gerekip gerekmediğini (yaygın değil mi) yoksa indirgenebileceğini belirlemek için verilerin sınıflandırma düzeyleri düzenli olarak gözden geçirilmelidir (genellikle veri sahibi tarafından).
- Gizlilik (ve gizlilik) sağlamak için uygun önlemler uygulanmalı ve düzenli olarak denetlenmelidir. Örneğin, sistem, dizin ve dosya izinlerini ve şifrelemeyi kullanma.
- Bütünlüğü. Örneğin, temel çizgileri, şifreleme karmaları, döngüsel artıklık denetimleri (CRC'ler) ve dosya kilitleme (aynı anda birden fazla kullanıcı tarafından verilerin değiştirilmesini önlemek veya kontrol etmek için).
- Kullanılabilirlik. Örneğin, veritabanı ve dosya kümeleme (başarısızlık tek noktaları ortadan kaldırmak için), yedekleme ve gerçek zamanlı çoğaltma (veri kaybını önlemek için) kullanarak.
- çıkarması. Son olarak, verilerin artık değeri olmadığı veya kuruluş için artık yararlı olmadığı durumlarda, şirketin saklama ve yok etme politikalarının yanı sıra yürürlükteki tüm kanun ve yönetmeliklere uygun olarak yok edilmesi gerekir. Bazı hassas veriler, veri sahibi tarafından nihai bir emarasyon belirlemesi gerektirebilir ve belirli hasar prosedürleri gerektirebilir (örneğin, tanıklar, kayıtlar ve fiziksel yıkımın ardından manyetik silme).
Sadece silinmiş veriler doğru biçimde yok edildi. Aşırı yazılmayı bekleyen sadece "dinlenme verilerine" bağlıdır - veya yetkisiz ve potansiyel olarak kötü amaçlı bir üçüncü taraf tarafından uygunsuz bir şekilde keşfedilmiştir!
Veri geriye kalanlığı, veriler "silindikten" sonra depolama ortamında veya bellekte hâlâ mevcut olan verilere karşılık gelir.
Baselines
Bir taban çizgisi oluşturmak, bir kuruluşu bir başlangıç noktası ya da en düşük standartla karşılaştırmak ya da bir organizasyon içindeki ilerlemeyi zaman içinde karşılaştırmak için kullanılan standart bir iş yöntemidir. Güvenlik denetimleri ile bu yöntemler değerli bilgiler sağlar:
- Diğer kuruluşlarla karşılaştırma . Kuruluşlar, denetimlerdeki farklılıkları görmek için denetim takımlarını diğer kuruluşlarla karşılaştırabilirler.
- İç kontrolleri zamanla karşılaştırma . Bir kuruluş, yıllar boyunca denetim setinde hangi değişikliklerin meydana geldiğini görmek için kontrol setini temel alarak çalışabilir.
- Kontrol etkinliğini zamanla karşılaştırma . Bir organizasyon kontrol etkinliği kayıtlarını, ilerlemenin nerede yapıldığını ve ilerleme kaydetmek için daha fazla çaba sarf edileceğini görebilir.
Kapsamlandırma ve terzilik
Bir kuruluşun farklı bölümleri ve altta yatan BT sistemleri farklı veri kümelerini sakladığı ve işlediği için, bir kuruluşun tek bir denetim seti kurması ve onları tüm sistemlere empoze etmesi mantıklı değildir. Aşırı basitleştirilmiş veri sınıflandırma programı ve bunun sonucunda elde edilen aşırı korunma ve verilerin yetersiz korunması gibi organizasyonlar sıklıkla kendilerini mantıksal bölgelere böler ve bu bölgelere hangi kontrollerin ve kontrol takımlarının uygulanacağını belirtirler.
Başka bir yaklaşım, kontrolleri ve kontrol takımlarını farklı BT sistemlerine ve kuruluşun bölümlerine uyarlamaktır. Örneğin, parola gücündeki kontroller, çeşitli güvenlik düzeylerine sahip sistemlere uygulanan kategorilere sahip olabilir.
Karmaşık bir BT ortamına karmaşık bir kontrol ortamı uygulamak için her iki yaklaşım da geçerli - bunlar gerçekten aynı amaca ulaşmak için sadece farklı yollar: depoladıkları bilgilere dayalı olarak çeşitli sistemlere ve çevrelere doğru doğru kontrol seviyesini uygulama ve süreç veya diğer ölçütlerde.
Standart seçimi
Güvenlik uzmanlarının kullanımı için birçok mükemmel kontrol çerçevesi mevcuttur. Hiçbir koşulda sıfırdan başlamak gerekli değildir. Bunun yerine, en iyi yaklaşım, endüstri lideri kontrol çerçevelerinden biriyle başlamak ve kuruluşun ihtiyaçlarına uyacak şekilde bireysel kontroller eklemek veya kaldırmaktır.
Kontrol çerçeve standartları şunlardır:
- ISO27002 , Bilgi güvenliği yönetimi için uygulama kodu.
- COBIT , Bilgi ve İlgili Teknoloji için Kontrol Hedefleri.
- NIST 800-53 , Federal Bilgi Sistemleri ve Kuruluşları için önerilen Güvenlik Kontrolleri.
Kriptografi
Kripto, bir ağ üzerinden harekete geçirilmiş verilerden, ister bir sunucuda veya iş istasyonunda dinlenme halindeyken olsun, veri korumada kritik bir rol oynamaktadır. Kriptografi, bilgilerin gizlenmesi ile ilgilidir, çünkü kişilerin hassas verilere erişebilecekleri durumlar vardır; kripto, bir şifreleme anahtarı ve şifre çözme yöntemi bulunmadıkça erişen kişileri reddeder.
