Chris Kranz

Actualmente estamos pasando por un proyecto bastante grande, internamente, y parte de esto es un "registro de riesgos" en contra de la empresa. Ahora bien, esto incluye información mucho más que simplemente los datos en el disco, sino también a las personas, la reputación y así sucesivamente. Para mí, ahora que he empezado este proyecto, que es una parte fundamental de protección de datos.

Es un tema interesante, y algo que me gustaría compartir con ustedes en esta primera etapa en mi propio proyecto, ya que te hace ver los aspectos de almacenamiento en una luz diferente.

Lo que afecta a una hoja de datos de la clase de riesgo?

1.   ¿Quién tiene acceso a ella?
2. ¿Cómo es confidencial?
3. ¿Tiene un valor tangible?
4. ¿Cómo portátil es?
5. Podría potencialmente dañar la reputación de negocios?
6. ¿Está protegida?
7.   ... Probablemente mucho más!

Algunas de estas son preguntas que ya han preguntado acerca de los conjuntos de datos que tenemos que definir de instantáneas, replicación y las políticas de cinta, pero la protección de datos va mucho más lejos que simplemente esto. Es interesante el plugin de Zemanta para mi blog ha vinculado "la protección de datos" con "Privacidad de la Información", que es un punto clave!

¿Quién tiene acceso a ella?

No sólo desde un front-end punto autorizado de vista, aunque usted no necesita saber esto. La nómina de pago, por ejemplo, en general, sólo sería de recursos humanos y de contabilidad que tienen acceso a esta, pero ¿existe un mecanismo para cualquier otra persona para tener acceso a ella? Si es así, ¿hay algún control de auditoría para comprobar que se ha concedido el acceso, o que ha tenido acceso? El control de auditoría es casi más importante que la seguridad en el primer lugar. De Seguridad puede y siempre se rompe, pero si usted puede probar que se había roto, entonces usted puede arreglar!

¿Cómo es confidencial?

La mayoría de nosotros tener una idea justa de lo que es confidencial y cuál no lo es. Datos de empleados, datos de clientes, nóminas, contabilidad, son candidatos obvios para información altamente confidencial. Pero otras cosas siguen siendo confidenciales, incluso si no están clasificadas como altamente confidenciales. Esquema externo IP, contraseñas de sistema de bajo nivel, aunque pueden ser libremente accesible por los equipos técnicos, no están a disposición de los secretarios por ejemplo, por lo que esto hace que su carácter confidencial de alguna manera. ¿Están marcados como confidenciales? Aparte de aplicar el sentido común, ¿alguna vez has dicho a nadie que no deben de correo electrónico una contraseña de administrador de dominio en torno a, por ejemplo?

¿Tiene un valor tangible?

Muy difícil de jugar y los analistas love this! Pero algunas cosas tienen un verdadero valor tangible inmediato, la orden de compra o un contrato firmado tal vez. Hay margen para la definición de un sistema de puntuación de los costos respecto a los datos, pero es muy difícil de calcular. Algo va a costar dinero de manera muy indirecta, por ejemplo, si algo que daña la reputación de la empresa, podría causar la pérdida de ingresos. Esto debería ser evaluada en otras áreas y no necesariamente pasar el tiempo de poner un valor tangible en cada pieza de datos (Quiero terminar mi proyecto de este año !!!).

¿Cómo portátil es?

Con la edad de equipos virtuales, la portabilidad es muy importante, y muy peligroso. Alguien puede, literalmente, sólo alejarse de un sistema de base de datos ahora en un disco duro portátil! ¿Cómo se protegen contra esto? Los sistemas de clave ¿Hay alguna forma de unir, o de la policía acceso primas a ellos? Tanto como la tecnología y las velocidades de WAN han progresado, aún es bastante razonable suponer que usted podría enviar todo un sistema. Sin embargo, es muy fácil de enviar las hojas de cálculo y documentos de alrededor. La prevención de que esto suceda puede ser restrictiva en el día a día del funcionamiento de una empresa, por lo que recurrir a la auditoría y la supervisión. Hay un montón de bases para cubrir, los medios de comunicación portátiles, correo electrónico, archivos compartidos, etc

Podría dañar la reputación de negocios?

Esta es una buena, y no algo que se podría pensar de inmediato. No sólo necesariamente "suciedad" en el negocio, pero tal vez la empresa tiene una tecnología clave o el sistema que significa que son únicos en el mercado. Si éste es filtrado a otra empresa, que podría dañar la reputación de otras personas, entonces podría comenzar a hacer lo mismo. ¿Podría la reputación comercial resultar dañados si los datos estaban ausentes? Si un sistema de clave estaba fuera de línea durante un período de tiempo, ¿cómo la reputación comercial que esté dañada (echar un vistazo a algunas empresas de nueva creación Cloud!). Una reputación dañada podría hundir una empresa. Naturalmente, la ética empresarial y prácticas de negocios son una buena manera de destruir una reputación. Tengo muchos amigos que todavía no van a comprar Nestlé!

¿Está protegida?

Y esta es una amalgama de todo lo anterior realmente. Las preguntas que les ayude a definir el valor de negocio en un activo de datos en particular. Así que si tiene un alto valor, como protegidas es? ¿Cómo debe ser protegida? ¿Cuánto tiempo puede sobrevivir el negocio mientras se está recuperado? ¿Cuál sería la pérdida de datos en realidad los costos de la empresa?

Dependiendo de la clase de riesgo y el valor de negocio afectará en gran medida a la protección y la auditoría de implementar a su alrededor.

Su puesta en acción

Me encantaría escuchar a la gente acerca de cómo poner lo de arriba en la acción. Usamos NetApp nosotros mismos (sin duda la práctica lo que predicamos), y esto me da un gran nivel de control sobre mis conjuntos de datos y la protección que empleamos. La protección va más allá de las instantáneas y respaldo en cinta sin embargo, tenemos que protegerla de algo más que la pérdida de datos. Mientras NetApp algunas excelentes herramientas para la protección contra la pérdida de datos, no es un requisito para ayudar con las otras áreas de protección de datos, y me encantaría ver a NetApp construir en este espacio.

Tengo algo de experiencia usando herramientas como Varonis, Acopia, Northern Storage Suite, NTP QFS, TekTools, para nombrar unos pocos, y estos han ayudado a nosotros en el pasado en el despliegue de una solución completa. He dicho en varias ocasiones, y es algo que realmente creen en lo diré de nuevo, una solución completa es una combinación de varias tecnologías diferentes que se complementan entre sí.

Me gustaría volver a examinar este tema de nuevo en unos meses cuando tengo mi proyecto más avanzado, pero me gustaría escuchar del campo para ver lo que otros están haciendo para obtener completa protección de datos.