Šifrovanie cloudových dát: kompletný sprievodca ochranou vašich informácií

Informatec Digital » Zdroje » Šifrovanie cloudových dát: kompletný sprievodca ochranou vašich informácií

V dobe cloudových výpočtov sa informačná bezpečnosť stala kľúčovou pre každú firmu, vládnu agentúru alebo profesionála, ktorý ukladá dáta mimo vlastných serverov. Cloud ponúka flexibilitu, úsporu nákladov a škálovateľnosť, ale zároveň otvára dvere novým vektorom útokov a oveľa väčšiemu vystaveniu citlivým informáciám.

V tomto kontexte je šifrovanie cloudových dát kľúčovým prvkom, ktorý odlišuje jednoduché narušenie od katastrofy. Ak sú ukradnuté dáta správne zašifrované a kľúče zostanú v bezpečí, korisť je pre útočníka prakticky bezcenná. Preto dôkladné pochopenie fungovania šifrovania, rôznych dostupných typov, možností ponúkaných hlavnými poskytovateľmi a praktických výziev, ktoré predstavuje, už nie je len „technickou“ záležitosťou: je súčasťou obchodnej stratégie.

Prečo je šifrovanie cloudových dát také dôležité?

V tomto scenári funguje robustné šifrovanie ako posledná obranná línia : aj keď sa niekomu podarí získať prístup do cloudového prostredia, nemal by byť schopný čítať alebo používať informácie bez správnych kľúčov. V skutočnosti mnohé regulačné rámce a príručky osvedčených postupov považujú únik šifrovaných údajov s dobre chránenými kľúčmi za nevyhnutne klasifikovaný ako porušenie údajov na rovnakej úrovni ako únik otvoreného textu.

Šifrovanie prevádza informácie do nečitateľného formátu (šifrovaný text), ktorý je možné obnoviť iba pomocou správneho dešifrovacieho kľúča . To sa týka údajov o zákazníkoch (identifikátory, zdravotné záznamy, bankové informácie atď.), ako aj duševného vlastníctva, interných dokumentov, komunikácie a akýchkoľvek iných citlivých aktív hostovaných v cloudových službách.

Šifrovanie navyše uľahčuje dodržiavanie predpisov, ako sú GDPR, HIPAA a PCI DSS, ktoré nariaďujú implementáciu technických kontrol na obmedzenie prístupu k osobným alebo dôverným údajom . Mnohé regulačné orgány výslovne odporúčajú používanie šifrovania v pokoji aj počas prenosu ako prioritné opatrenie.

Stavy dát v cloude a ako sú chránené

Pre úplné pochopenie toho, kde použiť ochranu, je užitočné rozlíšiť tri hlavné stavy, v ktorých sa informácie nachádzajú v cloudovom prostredí, a ako do každého z nich zapadá šifrovanie.

Po prvé, máme dáta v pokoji , čo znamená dáta uložené na diskoch, v databázach, súborových systémoch alebo službách ukladania objektov. Patria sem šifrovanie celého zväzku, šifrovanie databázy, šifrovanie na úrovni súborov a šifrovacie systémy spravované dodávateľom.

Po druhé, máme dáta v tranzite , čo sú dáta putujúce cez verejné alebo súkromné ​​siete medzi rôznymi používateľmi, aplikáciami, dátovými centrami alebo cloudovými službami. V tomto bode je používanie bezpečných protokolov, ako je TLS (nástupca SSL) alebo IPsec, nevyhnutné na zabezpečenie ochrany každého dátového paketu počas jeho cesty.

Nakoniec sú tu používané dáta , teda tie, ktoré aplikácia spracováva v reálnom čase. Ochrana tohto stavu je oveľa zložitejšia: je možné použiť homomorfné šifrovanie alebo iné pokročilé techniky, ktoré umožňujú operácie so šifrovanými dátami bez ich úplného dešifrovania, ale v súčasnosti sú tieto techniky zvyčajne príliš neefektívne na široké použitie.

Ako funguje šifrovanie cloudových dát

V praxi sa cloudové šifrovanie veľmi nelíši od šifrovania používaného v iných prostrediach . Základný mechanizmus spočíva vo vygenerovaní jedného alebo viacerých kryptografických kľúčov, definovaní, kto k nim má prístup, a následnom zabezpečení toho, aby všetky zapísané alebo prenesené údaje boli kódované zvoleným algoritmom.

Systém zvyčajne pred uložením údajov na disk alebo do úložného priestoru automaticky zašifruje údaje príslušným kľúčom . Keď si autorizovaná aplikácia, používateľ alebo služba potrebuje tieto údaje prečítať, systém ich dešifruje za chodu, za predpokladu, že to umožňujú pravidlá prístupu.

V sieťovej prevádzke sa niečo podobné deje s HTTPS založeným na TLS. Keď klient nadviaže zabezpečené pripojenie s cloudovou službou , vyjednávajú sa kľúče relácie a každý dátový paket sa šifruje, takže ak niekto zachytí prevádzku, uvidí iba nezrozumiteľné informácie.

Mnohé obchodné služby tiež kombinujú vrstvy zabezpečenia: viacfaktorové overenie na overenie vašej totožnosti, šifrovanie na ochranu prenášaných alebo uložených údajov a podrobné kontroly prístupu na obmedzenie toho, čo môžete s týmito údajmi robiť.

Základné typy šifrovania: symetrické a asymetrické

Celý ekosystém cloudového šifrovania sa v podstate spolieha na dve hlavné rodiny algoritmov: symetrické šifrovanie a asymetrické šifrovanie . Každý z nich má svoje silné a slabé stránky a často sa kombinujú.

Symetrické šifrovanie používa rovnaký kľúč na šifrovanie aj dešifrovanie. Predstavte si veľmi jednoduchý príklad: posunutie každého písmena slova o niekoľko pozícií v abecede. Ak poznáte tento „kľúč“, je možné správu zakódovať a dekódovať. V reálnom svete sa algoritmy ako AES stali de facto štandardom, pretože ponúkajú veľmi vysokú bezpečnosť proti útokom hrubou silou a zároveň sú dostatočne rýchle na spracovanie veľkých objemov údajov.

Hlavným praktickým problémom symetrického šifrovania je však bezpečné rozdelenie kľúča . Ak sa musí odoslať cez internet alebo uložiť v zdieľanom prostredí, existuje riziko, že ho útočník môže zachytiť alebo k nemu získať prístup, čím ohrozí všetky údaje chránené týmto kľúčom.

Asymetrické šifrovanie sa snaží vyriešiť práve túto výzvu. Namiesto jedného kľúča používa dvojicu: matematicky prepojený, ale odlišný verejný kľúč a súkromný kľúč. Verejný kľúč sa dá bez obáv zdieľať, pretože sa používa iba na šifrovanie alebo overovanie; súkromný kľúč sa uchováva v tajnosti a používa sa na dešifrovanie alebo digitálne podpisovanie.

Pomocou tejto schémy môžem zverejniť svoj verejný kľúč, aby ktokoľvek mohol šifrovať správy adresované mne , ale iba ja s mojím súkromným kľúčom ich budem môcť prečítať. Algoritmy ako RSA, DSA alebo ECC sa používajú v protokoloch, ako je TLS, na bezpečnú výmenu symetrických kľúčov relácie aj na autentifikáciu serverov a podpisovanie obsahu.

Modely cloudového šifrovania: kto šifruje a kde

Okrem algoritmov existuje ďalšia kľúčová otázka: kde sa šifrovanie vykonáva a kto kontroluje kľúče . V cloudových prostrediach sa zvyčajne rozlišujú tri hlavné modely.

Prvým je šifrovanie na strane servera . V tomto prípade poskytovateľ cloudových služieb sám šifruje dáta pred ich uložením na svoje disky. Klient deleguje vykonávanie šifrovania a v mnohých prípadoch aj správu kľúčov na poskytovateľa, hoci klientovi sa často ponúkajú možnosti správy vlastných kľúčov (BYOK, Customer Managed Keys atď.).

Druhým modelom je šifrovanie na strane klienta . Pri tomto prístupe sú dáta šifrované v počítačoch alebo aplikáciách klienta pred nahraním do cloudu a zostávajú šifrované tak dlho, ako sú tam uložené. Poskytovateľ nikdy nevidí informácie v otvorenom texte, čo poskytuje výrazné zvýšenie dôvernosti, ale za cenu väčšej zložitosti správy a niekedy aj straty určitých pokročilých funkcií služby.

Tretím modelom je end-to-end šifrovanie . V tomto prípade sú dáta šifrované pri zdroji a dešifrované až v konečnom cieli, pričom zostávajú chránené aj v rámci vlastnej infraštruktúry poskytovateľa. Táto schéma ponúka najvyššiu úroveň súkromia, ale zvyčajne je najzložitejšia na návrh a integráciu s inými cloudovými službami.

Možnosti šifrovania v pokoji v cloudových prostrediach

Pokiaľ ide o uložené dáta, organizácie majú na výber niekoľko vrstiev ochrany, z ktorých často kombinujú viacero. Poskytovatelia verejného cloudu ako AWS, Azure, Google Cloud a úložné služby ako Dropbox už štandardne ponúkajú mechanizmy šifrovania v pokoji v mnohých svojich produktoch.

Bežnou možnosťou je použitie natívnych šifrovacích riešení dodávateľa , kde infraštruktúra automaticky šifruje disky, zväzky alebo kontajnery bez toho, aby sa od zákazníka vyžadoval akýkoľvek špeciálny zásah. V týchto prípadoch môže správu kľúčov vykonávať výlučne dodávateľ alebo zákazník môže mať k dispozícii určité možnosti prispôsobenia.

Ďalším rozšíreným variantom je model „ prineste si vlastný kľúč “ (BYOK). V tomto prípade šifrovanie zostáva u poskytovateľa, ale organizácia si ponecháva kontrolu nad kľúčmi, ktoré sú generované a spravované prostredníctvom vlastnej služby správy kľúčov alebo služby správy kľúčov tretej strany. To posilňuje suverenitu údajov a uľahčuje dodržiavanie predpisov vo vysoko regulovaných prostrediach.

Bežné je tiež implementovať šifrovanie špecifické pre databázu . Mnohé šifrovacie enginy ponúkajú transparentné šifrovanie na úrovni tabuľky alebo dátového súboru, takže aj keď niekto získa prístup k podkladovému disku, databáza zostane nečitateľná bez kľúčov, ktoré engine drží.

V základe toho sa mnoho riešení spolieha na šifrovanie celého disku (FDE) . Táto technika chráni všetko uložené na zväzku vrátane dočasných súborov, záloh a v prípade virtualizovaných prostredí aj kompletných obrazov virtuálnych počítačov.

V scenároch, kde spoločnosť nasadzuje vlastné virtuálne počítače, môže využiť šifrovacie možnosti zabudované v operačných systémoch , ako napríklad BitLocker alebo DM-Crypt, alebo ďalšie riešenia na centrálne šifrovanie diskov a oddielov týchto virtuálnych počítačov.

Nakoniec, mnoho architektúr volí šifrovanie na úrovni aplikácie . Tu si aplikácia sama rozhoduje, ktoré údaje sa majú šifrovať, s ktorými kľúčmi a kedy. Táto granularita umožňuje uplatňovať rôzne politiky v závislosti od typu informácií (napríklad špeciálne šifrovanie polí obsahujúcich údaje o kreditných kartách, zdravotné záznamy alebo obchodné tajomstvá).

Správa kľúčov: Achillova päta šifrovania

Silné šifrovanie je málo užitočné, ak je správa kľúčov katastrofálna. Skutočná bezpečnosť systému závisí vo veľkej miere od toho, ako sa kľúče , ktoré chránia dáta, vytvárajú, ukladajú, zdieľajú, rotujú a ničia.

Najlepšie postupy odporúčajú používať hardvérové ​​bezpečnostné moduly (HSM) alebo ekvivalentné cloudové služby na generovanie a ochranu hlavných kľúčov, minimalizáciu ich odhalenia a zabránenie ich nekontrolovanému exportu. Tieto HSM zvyčajne spĺňajú normy ako FIPS 140-2, ktoré osvedčujú, že modul spĺňa určité úrovne odolnosti voči fyzickým a logickým útokom.

Je tiež nevyhnutné zaviesť pravidlá pravidelnej rotácie kľúčov , aby aj v prípade kompromitácie kľúča bolo obdobie vystavenia čo najkratšie. To zahŕňa správu verzií kľúčov a zabezpečenie dostupnosti historických údajov bez straty ich sledovateľnosti.

Ďalším kritickým bodom je riadenie prístupu ku kľúčom . Nie každý správca musí byť schopný zobraziť, exportovať alebo používať šifrovacie kľúče. Oddelenie povinností, princíp najmenších privilégií a dôkladné zaznamenávanie všetkých operácií s kľúčmi sú nevyhnutné na zabránenie zneužitia alebo ľudskej chyby.

Služby ako Key Management Services od významných poskytovateľov alebo externé kľúčové riešenia (napríklad Cloud EKM) umožňujú organizáciám centralizovať správu kľúčov a rozhodovať o tom, kde sa kľúče fyzicky nachádzajú , kto ich môže používať a na aké účely, čím si udržiavajú väčšiu kontrolu nad reťazcom dôvery.

Čo ponúkajú hlavní poskytovatelia podnikového cloudu?

Hlavní poskytovatelia podnikových cloudových služieb začlenili šifrovanie ako základný bezpečnostný mechanizmus prakticky do všetkých svojich riešení, a to ako pri prenose, tak aj v pokoji, a zároveň dávajú zákazníkovi možnosť ísť ešte o krok ďalej s vlastnými kľúčmi alebo politikami.

V oblasti šifrovania v pokoji je bežné používať technológie ako BitLocker, DM-Crypt, šifrovanie transparentného úložiska alebo distribuovaní správcovia kľúčov , ktoré zabezpečujú, že údaje zákazníkov v e-mailoch, spolupráci, úložisku súborov alebo obchodných aplikačných službách zostanú chránené aj počas uchovávania v dátových centrách poskytovateľa.

V prípade prenášaných dát všetky pripojenia smerujúce ku klientovi štandardne vyjednávajú relácie TLS . To zahŕňa prístup cez prehliadač, desktopové aplikácie, mobilných klientov a synchronizačné služby, ako aj prevádzku medzi vlastnými dátovými centrami poskytovateľa.

Okrem tohto minimálneho základu mnohé z týchto prostredí umožňujú organizáciám povoliť dodatočné šifrovanie premávky medzi ich vlastnými virtuálnymi počítačmi a používateľmi , napríklad prostredníctvom virtuálnych súkromných sietí (VPN) s IPsec medzi podnikovou sieťou a cloudom alebo medzi virtuálnymi počítačmi v rámci tej istej virtuálnej siete.

Okrem toho často existujú pokročilé možnosti, ako napríklad použitie vlastných šifrovacích kľúčov uložených v úložiskách kľúčov poskytovateľa (kľúč zákazníka, kľúče spravované zákazníkom) pre e-maily, spoluprácu a úložné služby, aby si zákazník udržal väčšiu kontrolu nad prístupom k informáciám.

Cloudové šifrovanie vs. lokálne šifrovanie: kľúčové rozdiely

Pri plánovaní stratégie ochrany údajov si mnoho IT tímov kladie otázku, či je najlepšie centralizovať všetko v cloude, uchovávať to lokálne alebo prijať hybridný prístup . Z hľadiska šifrovania má každá možnosť svoje nuansy.

V cloudovom šifrovaní prevláda model zdieľanej zodpovednosti: poskytovateľ je zodpovedný za ochranu základnej infraštruktúry, hypervízorov, hardvéru a mnohých spravovaných služieb, zatiaľ čo zákazník je zodpovedný za svoje údaje, identity, konfigurácie a aplikácie. To znamená, že hoci je základné šifrovanie štandardne poskytované, spoločnosť musí pridať vlastné vrstvy a politiky, aby pokryla svoju zodpovednosť.

Naproti tomu pri lokálnom šifrovaní organizácia kontroluje absolútne všetko: hardvér, softvér, kľúče, procesy a ľudí. To umožňuje väčšiu mieru prispôsobenia a veľmi detailnú kontrolu, ale vyžaduje si to aj väčšie investície do vybavenia, licencií, údržby a špecializovaného personálu.

Pokiaľ ide o škálovateľnosť, cloud umožňuje rýchle prispôsobenie šifrovacej kapacity rastúcim objemom dát bez nutnosti nákupu a nasadzovania nového hardvéru. V lokálnych prostrediach si každé škálovanie vyžaduje plánovanie, obstarávanie a fyzické nasadenie.

Z hľadiska nákladov cloud zvyčajne funguje na modeloch platby za použitie alebo predplatného (OpEx), zatiaľ čo lokálne riešenia zahŕňajú veľké počiatočné výdavky na hardvér a softvér (CapEx) , okrem priebežných nákladov na údržbu.

Preto sa mnoho organizácií rozhodne pre hybridný model : najdôležitejšie alebo prísne regulované údaje uchovávajú v kontrolovaných infraštruktúrach a pre menej citlivé alebo dynamickejšie pracovné zaťaženia využívajú cloud, pričom v oboch svetoch uplatňujú vhodné šifrovanie a bezpečnostné kontroly.

Viac než len marketing: silné šifrovanie a synchronizácia súborov

Na trhu sa rozšírili cloudové úložné služby, ktoré sa pýšia extrémne robustným, dokonca postkvantovým šifrovaním ako svojou hlavnou predajnou výhodou. Hoci je silné šifrovanie servera nevyhnutné, je dôležité pochopiť skutočné slabiny vo väčšine nasadení.

Keď sa operačný model spolieha na virtuálne disky alebo priečinky synchronizované medzi cloudom a počítačmi používateľov ( cloud vs. USB disk ), súbory sa nakoniec ukladajú ako obyčajný text na viacerých lokálnych zariadeniach. Ak má osem ľudí v spoločnosti synchronizovaný zdieľaný priečinok, bude existovať najmenej deväť kópií týchto dokumentov: jedna veľmi dobre chránená v cloude a osem kópií na počítačoch používateľov bez tejto úrovne ochrany.

V tejto súvislosti, nech je cloudové šifrovanie akokoľvek pôsobivé, vniknutie, malware alebo krádež notebooku na ktoromkoľvek zo synchronizovaných zariadení môže odhaliť dáta bez prelomenia šifrovania poskytovateľa . Marketing sa zameriava na kryptografickú silu servera, ale v praxi je najslabším článkom zvyčajne koncový bod.

Na zmiernenie tohto problému niektoré alternatívne platformy navrhujú modely, ktoré sa nespoliehajú na nepretržitú synchronizáciu priečinkov . Namiesto replikácie všetkého obsahu disku na všetkých zariadeniach aplikácia umožňuje používateľom priamo otvárať a upravovať súbory uložené v cloude, pričom súbor v čase úpravy dešifruje a po dokončení odstráni lokálnu kópiu.

Týmto spôsobom je možné uchovávať obzvlášť citlivý priečinok (obsahujúci osobné údaje, finančné informácie alebo dôležité dokumenty) výlučne v šifrovanom cloude, pričom sa pri otvorení dešifruje iba samotný súbor, čím sa v počítači nezanechajú žiadne trvalé stopy . Synchronizácia, ak sa použije, sa stáva voliteľnou a obmedzuje sa na tie priečinky, kde skutočne prináša pridanú hodnotu.

Nástroje na šifrovanie na strane klienta pre cloudové služby

Ak radi používate populárne služby ako Dropbox, Google Drive, OneDrive alebo podobné , ale nechcete, aby sa tam určité dokumenty ukladali ako obyčajný text, praktickou alternatívou je pridať vlastnú vrstvu šifrovania na strane klienta.

Riešenia ako Boxcryptor alebo návody na šifrovanie súborov v cloude pomocou Cryptomatora fungujú ako akási „stredná vrstva“ medzi vaším systémom a cloudovým úložiskom. Myšlienka je jednoduchá: softvér vytvorí vo vašom počítači logický disk a transparentne zašifruje všetko, čo uložíte do určitých priečinkov, takže aj keď sú tieto súbory synchronizované s cloudom, to, čo sa dostane k poskytovateľovi, je už zašifrované.

Jednou z výhod týchto nástrojov je, že môžete naďalej zdieľať priečinky a súbory s ostatnými používateľmi, čím si zachováte ekosystém spolupráce, ale s pridanou ochranou, ktorá nie je závislá od poskytovateľa cloudu. V niektorých prípadoch existujú bezplatné limity (napríklad určitý počet šifrovaných gigabajtov), ​​ktoré vám umožňujú vyskúšať si riešenie bezplatne.

Iné alternatívy, ako napríklad Viivo, Cloudfogger a Crypsync , používajú podobné prístupy a poskytujú šifrovanie na strane klienta, ktoré dopĺňa zabezpečenie cloudového úložiska. Existujú aj riešenia ako Hippo, ktoré sú určené na šifrovanie lokálnych súborov a ochranu údajov zdieľaných prostredníctvom sociálnych sietí alebo cloudových služieb pomocou silných kľúčov a bez nutnosti zložitých inštalácií.

Vo všetkých týchto prípadoch je logika rovnaká: nespoliehajte sa výlučne na šifrovanie poskytovateľa a pridajte si vlastnú kontrolu nad tým, kto môže dešifrovať informácie, aby aj v prípade narušenia cloudovej služby ukradnuté údaje zostali nečitateľné.

Výhody šifrovania cloudových dát

Implementácia dobrej šifrovacej schémy v cloude poskytuje množstvo jasných výhod, ktoré idú nad rámec čisto technického zabezpečenia a priamo ovplyvňujú obchodné riziko.

Prvým je zníženie dopadu potenciálneho úniku údajov . Ak útočník získa prístup iba k šifrovaným informáciám a nemá žiadny rozumný spôsob, ako získať kľúče, skutočná hodnota týchto údajov sa blíži k nule. V mnohých prípadoch to môže ušetriť náklady, poškodenie reputácie a obmedziť právne oznamovacie povinnosti.

Po druhé, šifrovanie funguje ako dodatočný mechanizmus riadenia prístupu . Iba jednotlivci, aplikácie alebo služby so správnym kľúčom si môžu zobraziť údaje v obyčajnom texte. Toto funguje ako druhý filter okrem tradičných používateľských oprávnení alebo zoznamov riadenia prístupu.

Ďalšou dôležitou výhodou je ochrana integrity údajov . Mnohé šifrovacie algoritmy a prevádzkové režimy obsahujú mechanizmy na detekciu neoprávnených úprav, takže ak sa niekto pokúsi zmeniť zašifrovaný súbor, systém dokáže identifikovať, že s ním bolo manipulované.

Z hľadiska súladu s predpismi pomáha šifrovanie zosúladiť sa so zákonmi a bezpečnostnými normami , ktoré vyžadujú technické záruky na ochranu osobných, klinických alebo finančných údajov. Toto je obzvlášť dôležité v odvetviach, ako je zdravotníctvo, bankovníctvo, verejná správa a vzdelávanie.

Výzvy a riziká spojené s cloudovým šifrovaním

Napriek všetkým svojim výhodám nie je šifrovanie zázračným riešením. Jeho správna implementácia si vyžaduje riešenie určitých technických, prevádzkových a dizajnových problémov , ktoré by sa mali zvážiť od začiatku.

Jedným z nich je réžia výkonu . Šifrovanie a dešifrovanie spotrebúva procesor, pamäť a v niektorých prípadoch spôsobuje dodatočnú latenciu. Vo väčšine moderných scenárov je tento vplyv prijateľný, ale v aplikáciách citlivých na výkon alebo v aplikáciách s obrovskými objemami údajov môže byť potrebné optimalizovať architektúry a správne dimenzovať zdroje.

Ďalším kritickým problémom je spoliehanie sa na správu kľúčov . Ak sa kľúč stratí bez zálohy alebo ak je systém, v ktorom je uložený, poškodený, súvisiace šifrované údaje sa môžu stať natrvalo nedostupnými. To isté platí, ak sa kľúč dostane do rúk útočníka: všetko, čo je ním chránené, je ohrozené.

Treba zvážiť aj riziko závislosti od dodávateľa . Ak prijmete vysoko špecifické proprietárne šifrovacie riešenia od poskytovateľa cloudu, zmena platforiem, nastavenie multicloudového prostredia alebo integrácia služieb tretích strán sa môže stať oveľa zložitejšou.

Napokon, netreba prehliadať ani ľudské a organizačné faktory . Mnohé spoločnosti podceňujú svoju zodpovednosť v cloudovom modeli a mylne predpokladajú, že poskytovateľ je zodpovedný za všetku bezpečnosť. Nedostatok školení, zlé postupy udeľovania poverení alebo absencia jasných politík môžu ohroziť akúkoľvek kryptografickú schému, bez ohľadu na to, aká je robustná.

Najlepšie postupy pre rozumnú implementáciu cloudového šifrovania

Aby sa skutočne využil potenciál cloudového šifrovania a predišlo sa nepríjemným prekvapeniam, je vhodné dodržiavať súbor pokynov, ktoré pomôžu koherentne integrovať toto šifrovanie do stratégie kybernetickej bezpečnosti organizácie.

Prvým krokom je inventarizovať a klasifikovať údaje : aké informácie sú uložené alebo spracované v cloude, kde sa nachádzajú, kto ich používa a aká je ich úroveň citlivosti. Nie všetko si vyžaduje rovnakú úroveň ochrany a táto klasifikácia pomôže stanoviť priority.

Na základe toho je vhodné vybrať najvhodnejší šifrovací model pre každý prípad použitia : server, klient alebo end-to-end, ako aj špecifické technológie (FDE, šifrovanie na úrovni aplikácií, šifrovanie databáz atď.). Nemá zmysel nadmerne komplikovať prostredie, ak to riziká neodôvodňujú, ale ani sa neoplatí zlyhávať pri práci s obzvlášť citlivými údajmi.

Súbežne s tým musí byť navrhnutá a implementovaná robustná politika správy kľúčov , ktorá definuje, ako sa kľúče generujú, kto ich môže používať, ako sa ukladajú, kedy sa rotujú a ako sa ničia. V ideálnom prípade by to mali podporovať služby správy kľúčov alebo HSM s uznávanými certifikáciami.

Ďalším dôležitým postupom je pravidelné monitorovanie a auditovanie používania šifrovania a operácií s kľúčmi . To zahŕňa zaznamenávanie prístupov, zmien konfigurácie, neúspešných pokusov a akýchkoľvek iných relevantných udalostí, aby bolo možné odhaliť anomálie a preukázať súlad počas externých auditov.

Kľúčovú úlohu zohráva aj školenie. Je dôležité, aby technický personál a používatelia s prístupom k citlivým informáciám rozumeli, prečo sú určité údaje šifrované, ako s nimi nakladať a akým praktikám sa vyhnúť (napríklad zdieľaniu kľúčov alebo ich ukladaniu na nezabezpečených miestach).

Nakoniec, pri výbere poskytovateľa cloudových služieb alebo šifrovacích riešení je nevyhnutné skontrolovať ich bezpečnostné výsledky, certifikácie, transparentnosť a záväzok k otvoreným štandardom , aby ste neuviazli pri technológiách, ktoré bránia budúcemu vývoju architektúry.

Ak je cloud starostlivo navrhnutý a kombinuje robustné šifrovanie, dobrú správu kľúčov, kontrolu prístupu, nepretržité monitorovanie a riadne školenie, môže sa stať prostredím ešte bezpečnejším ako mnohé lokálne infraštruktúry a zároveň vám umožní využívať všetky jeho výhody flexibility, škálovateľnosti a znižovania nákladov bez toho, aby najcennejší majetok organizácie: jej dáta zostali nechránené.