Our S.O.S. line:
+49 89 262 025954
Our team of experts is ready to assist your organization in the event of a cyberattack.
details
Az adatbiztonság alapelvei nem változtak: a szervezetnek tudnia kell, milyen adatokat kezel, azok mennyire érzékenyek, kik férhetnek hozzájuk, és milyen szabályok vonatkoznak a használatukra. A kihívást inkább az jelenti, hogy ezeket az elveket egyre több technológiai környezetben kell következetesen érvényesíteni. Az adatok e-mailben, Teams-en, felhőszolgáltatásokban, végpontokon és egyre gyakrabban AI-megoldások használata során is megjelennek. GRC-szempontból ezért nemcsak az a kérdés, hogy rendelkezünk-e megfelelő adatkezelési és adatbiztonsági szabályokkal, hanem az is, hogy ezek a szabályok a gyakorlatban technikai kontrollokkal is érvényesülnek-e.
Ebben nyújt támogatást a Microsoft Purview Data Security. A megközelítés lényege, hogy az adatok azonosításától és besorolásától kezdve a hozzáférések és adatmozgások kontrollján keresztül egészen a kockázatos felhasználói tevékenységek felismeréséig egységesebb adatbiztonsági kontrollkörnyezet alakítható ki.
A Data Security megközelítésének logikája néhány alapvető kérdésre vezethető vissza:
Ezekre a kérdésekre pedig a Purview Data Security területei szolgálnak működő kontrollokkal:
Ezek együtt teszik lehetővé, hogy az adatbiztonság ne kizárólag szabályzatok szintjén létezzen, hanem a napi működésben is érvényesüljön.
Az első lépés az adatok rendszerezése és besorolása. Nem minden információ igényel ugyanolyan védelmet. Más követelmények vonatkoznak például:
Az Information Protection lehetővé teszi az adatok osztályozását, többek között érzékenységi címkék használatával.
A besorolás önmagában még nem védi meg adatainkat. A következő lépés, hogy a kategóriákhoz megfelelő szabályok és technikai védelmi intézkedések kapcsolódjanak. Például meghatározható, hogy egy „Bizalmas” dokumentum:
A cél az, hogy az adat abban a körben maradjon, amelyet a szervezet számára kijelölt.
A gyakorlatban az egyik legnagyobb kockázat az, amikor érzékeny adat elhagyja azt a környezetet, amit nem szabadna. Ennek megakadályozásában segít a Data Loss Prevention, vagyis a DLP.
A DLP-szabályok meghatározhatják, hogy bizonyos típusú vagy besorolású adatok esetén milyen műveletek legyenek engedélyezettek vagy tiltottak. Például:
ha egy Bizalmas címkével ellátott dokumentumot valaki egy nem engedélyezett felhőszolgáltatásba (például Dropboxba) próbál feltölteni, a rendszer figyelmeztetheti a felhasználót vagy megakadályozhatja a műveletet.
A DLP egyik legnagyobb GRC-előnye, hogy a szervezeti követelményeket és technológiai kontrollokat élő gyakorlattá alakítja. Ez különösen fontos, mert az adatvesztés nem mindig rosszindulatú tevékenység eredménye. Sok esetben egyszerű figyelmetlenség, hibás megosztás vagy nem megfelelő eszközhasználat áll mögötte.
Az adatbiztonsági incidensek forrása nem kizárólag külső támadó lehet. Kockázatot jelenthet például, ha egy munkatárs:
Az Insider Risk Management az ilyen potenciálisan kockázatos események felismerését és kivizsgálását támogatja, tehát nem egyszerű monitoringeszköz, hanem a szervezeti kockázatkezelési folyamat technikai támogatása.
Az egyedi kontrollok önmagukban nem adnak teljes képet a szervezet adatbiztonságáról. Lehetnek címkék, DLP-szabályok és riasztások, de ettől még nem feltétlenül tudjuk:
Ebben segít a Data Security Posture Management (DSPM).
A DSPM célja, hogy a különböző adatbiztonsági jelzéseket egységesebb kockázati nézetbe rendezze. Így a szervezet nem kizárólag egyedi eseményeket lát, hanem azt is, hol vannak rendszerszintű gyengeségek az adatbiztonsági működésben. Ez GRC-oldalról azért különösen értékes, mert támogatja:
A Purview önmagában nem dönti el, hogy egy adat bizalmas-e, mely rendszer használható vagy milyen kockázat elfogadható, ezek továbbra is szervezeti döntések.
A technológia abban segít, hogy ezek a döntések következetesen érvényesíthetők legyenek. Egy jól működő adatbiztonsági modellben ezért a folyamat a legjobban így írható le:
Ez azért fontos, mert egy érett szervezeti működésben nem elegendő azt bizonyítani, hogy létezik egy szabályzat. A szervezetnek azt is meg kell tudnia mutatni, hogy a szabályokat ténylegesen alkalmazza és technikai kontrollokkal támogatja.
A Data Security végső célja viszonylag egyszerűen megfogalmazható:
A megfelelő adat a megfelelő felhasználónál, a megfelelő környezetben és a megfelelő célból legyen elérhető.
Ehhez tudni kell, milyen adataink vannak, megfelelően kell azokat besorolni és védeni, meg kell akadályozni a nem kívánt adatvesztést, felismerni a belső kockázatokat, valamint ugyanezeket az elveket az AI-használatra is ki kell terjeszteni. A Purview Data Security értéke GRC-szempontból ezért elsősorban nem az egyes funkciókban rejlik, hanem abban, hogy összeköti a szervezeti adatkezelési elveket a technikailag érvényesíthető kontrollokkal.
Ha többet szeretne tudni a témáról, keresse GRC csapatunkat! Irányítási, kockázatkezelési és megfelelőségi szolgáltatások | White Hat IT Security
A múlt heti cikkünkben bemutattuk, hogy az AI Governance alapja az egyértelmű felelősségi és döntési rend. Ehhez azonban először pontos képet kell kapnunk a szervezet AI-használatáról. Ezt szolgálja az AI Inventory, amely nyilvántartja az alkalmazott AI-rendszereket és azok felhasználási eseteit. [...]
