Շատ բիզնեսներ այժմ լիովին կախված են իրենց ցանցային սերվերներում, համակարգիչներում, նոութբուքերում, բջջային սարքերում և ամպային ծառայություններ մատուցող մատակարարներում պահվող տվյալներից: Այս տվյալների մի մասը, հավանաբար, պարունակելու է կա՛մ անձնական տեղեկություններ, կա՛մ գաղտնի ընկերության տեղեկություններ:.
Այստեղ մենք կանդրադառնանք մի քանի հարցերի, որոնք պետք է հաշվի առնել ձեր համակարգչային համակարգերի անվտանգությունը մուտքի վերահսկողության առումով վերանայելիս: Ընդհանուր տվյալների պաշտպանության կանոնակարգը (GDPR) սահմանում է անվտանգության սկզբունքը, որը սահմանում է, որ դուք պետք է ձեռնարկեք «համապատասխան տեխնիկական և կազմակերպչական միջոցներ» անձնական տվյալները անվտանգ մշակելիս: Սա նաև կրկնվում է որպես 2018 թվականի «Տվյալների պաշտպանության մասին» օրենքի (DPA) 6-րդ սկզբունք, որը կատարելագործում է GDPR-ը և նաև սահմանում է «անվտանգ եղանակով անձնական տվյալների մշակման պահանջ»:.
Այս պատճառով ձեր մշակած անձնական տվյալներին չարտոնված կամ պատահական մուտքի կանխումը կարևոր քայլ է համապատասխանության ուղղությամբ։.
Մուտքի անվտանգություն
Համակարգիչների և ցանցի լավ մուտքի վերահսկողությունը նվազագույնի է հասցնում տվյալների գողության կամ չարաշահման ռիսկը։.
Մուտքի վերահսկողությունը կարելի է բաժանել երկու հիմնական ոլորտի՝
- ֆիզիկական մուտք՝ տարածք մուտք գործելու և անձնական տվյալներին մուտք գործելու հնարավորություն ունեցող անձանց նկատմամբ վերահսկողություն
- տրամաբանական մուտք - վերահսկողություն՝ ապահովելու համար, որ աշխատակիցները մուտք ունենան միայն համապատասխան ծրագրային ապահովմանը, տվյալներին և սարքերին, որոնք անհրաժեշտ են իրենց կոնկրետ դերը կատարելու համար։.
Ֆիզիկական մուտք
Բացի ֆիզիկական մուտքի վերահսկողության, ինչպիսիք են կողպեքները, ահազանգերը, անվտանգության լուսավորությունը և տեսախցիկները, կան նաև այլ նկատառումներ, օրինակ՝ թե ինչպես է վերահսկվում տարածք մուտքը։.
Այցելուներին չպետք է թույլատրվի թափառել, եթե դրանք խիստ հսկողության տակ չեն։.
Համոզվեք, որ համակարգչի էկրանները դրսից տեսանելի չեն։.
Օգտագործեք ցանցային քաղաքականություններ՝ ապահովելու համար, որ աշխատակայանները և/կամ բջջային սարքերը կողպված լինեն, երբ դրանք աննկատ են կամ չեն օգտագործվում։.
Համոզվեք, որ բջջային սարքի կորստի դեպքում այն կարող է հեռակա կարգով անշարժացվել։.
Բջջային սարքերը փոքր լինելով՝ բարձր ռիսկային իրեր են, ուստի զգայուն տվյալները միշտ պետք է կոդավորված լինեն, իսկ ծառայությանը մուտքը պետք է վերահսկվի PIN կոդի կամ գաղտնաբառի միջոցով։.
Կարող է անհրաժեշտ լինել անջատել կամ սահմանափակել USB սարքերի և օպտիկական կարդացողների ու գրողների մուտքը։.
Հնարավոր է, որ անհրաժեշտ լինի արգելափակել ցանցային միացքները Radius սերվերների կամ այլ ցանցային սարքավորումների միջոցով՝ մալուխի միջոցով ցանցին չարտոնված սարքավորումների միացումը կանխելու համար։.
Վերջապես, թղթային տարբերակով պահվող տեղեկատվությունը պետք է անվտանգ կերպով ոչնչացվի։.
Տրամաբանական մուտք
Պետք է կիրառվեն տրամաբանական մուտքի տեխնիկաներ՝ ապահովելու համար, որ անձնակազմը չունենա ավելի շատ մուտք, քան անհրաժեշտ է իրենց դերը կատարելու համար։.
Զգայուն տվյալները պետք է կոդավորվեն, և այդ տվյալներին մուտքը պետք է վերահսկվի ցանցային անվտանգության, մուտքի վերահսկման ցուցակների և օգտատերերի պրոֆիլների միջոցով։.
Որոշակի ծրագրերի և որոշակի թղթապանակների մուտքը նույնպես կարող է սահմանափակվել օգտատերերի համար։.
Վերջապես, կարող է անհրաժեշտ լինել որոշակի սարքեր կողպել որոշակի մեքենաների վրա՝ կա՛մ Widnows-ի խմբային քաղաքականության, կա՛մ երրորդ կողմի կառավարման ծրագրի միջոցով։.
Գաղտնաբառեր
Լավ պրակտիկա է օգտատիրոջ անունից և գաղտնաբառից բաղկացած գաղտնաբառի քաղաքականությունը։.
Սրանք օգնում են ցանցում նույնականացնել օգտատիրոջը և հնարավորություն են տալիս շնորհել համապատասխան թույլտվություններ։.
Սակայն, որպեսզի գաղտնաբառերը արդյունավետ լինեն, դրանք պետք է.
- լինել համեմատաբար երկար (օրինակ՝ ութ կամ ավելի նիշ)
- պարունակում է տառերի, թվային և հատուկ նիշերի խառնուրդ (օրինակ՝ &^)
- պարբերաբար փոխվի գաղտնաբառի ավտոմատ վերականգնման տարբերակների միջոցով
- հեռացվի կամ փոխվի, երբ աշխատակիցը հեռանա
- կարող է օգտագործվել անհատական ֆայլերի վրա, ինչպիսիք են աղյուսակները կամ տեքստային խմբագրմամբ փաստաթղթերը, որոնք պարունակում են անձնական տեղեկություններ
- կոդավորվեք ձեր համակարգերում՝ օգտագործելով ուժեղ կոդավորման ալգորիթմ
և չպետք է
- լինել ընդհանուր գաղտնաբառ (այսինքն՝ նույնը բոլոր ծրագրերի կամ բոլոր օգտատերերի համար)
- գրված լինի «post it» թղթերի վրա, որոնք կպցված կլինեն ստեղնաշարին կամ էկրանին
- բաղկացած լինի տարածված բառերից կամ արտահայտություններից, կամ ընկերության անվանումից։.
- կարող է ուղարկվել էլեկտրոնային փոստով, եթե դա պարզապես ժամանակավոր գաղտնաբառ չէ (առանց որևէ լրացուցիչ տեղեկատվության, ինչպիսիք են՝ ինչի համար է այն նախատեսված և օգտատիրոջ անունը):
- չպահվի որպես պարզ տեքստ ձեր համակարգերում։.
Մուտքի աուդիտ
Չնայած GDPR-ի իրավական պահանջ չէ, տվյալների գրանցումը և մոնիթորինգը (և դրանցում կատարված փոփոխությունները) մեծապես կնպաստեն GDPR-ի 32-րդ հոդվածի պահպանմանը։.
Ձեր տվյալների մշակման աուդիտը թույլ կտա ձեզ վերանայել, զեկուցել և ապացուցել
- ո՞վ է մուտք գործել տվյալներին և երբ
- որքան հաճախ է տվյալները հասանելի դառնում և արդյոք հասանելիության այս չափը համարժեք է
- պատահական տվյալների կորստի դեպքում վերանայեք, թե ինչ փոփոխություններ են կատարվել և ում կողմից։.
Թեև ո՛չ GDPR-ը, ո՛չ էլ DPA 2018-ը չեն նշում ձեռնարկվելիք ճշգրիտ միջոցառումները, դուք պետք է դիտարկեք ձեր կարիքներին և ձեր մշակվող տվյալներին համապատասխանող տեխնիկական լուծում օգտագործելը։.
