В настоящее время многие компании полностью зависят от данных, хранящихся на их сетевых серверах, персональных компьютерах, ноутбуках, мобильных устройствах и у поставщиков облачных услуг. Часть этих данных, вероятно, содержит личную информацию и/или конфиденциальную информацию компании.
Здесь мы рассмотрим некоторые вопросы, которые следует учитывать при проверке безопасности ваших компьютерных систем в отношении контроля доступа. Общий регламент по защите данных (GDPR) устанавливает принцип безопасности, который гласит, что вы должны принимать «соответствующие технические и организационные меры» при безопасной обработке персональных данных. Это также повторяется в качестве 6-го принципа Закона о защите данных (DPA) 2018 года, который дополняет GDPR и также устанавливает «требование о том, чтобы персональные данные обрабатывались безопасным образом».
Поэтому предотвращение несанкционированного или случайного доступа к обрабатываемым вами персональным данным является важным шагом на пути к соблюдению нормативных требований.
Безопасность доступа
Надлежащий контроль доступа к компьютерам и сети сводит к минимуму риск кражи или неправомерного использования данных.
Системы контроля доступа можно разделить на две основные области:
- Физический доступ – контроль за тем, кто может войти в помещение и кто может получить доступ к персональным данным
- Логический доступ – средства контроля, обеспечивающие доступ сотрудников только к соответствующему программному обеспечению, данным и устройствам, необходимым для выполнения их конкретных обязанностей.
Физический доступ
Помимо физических средств контроля доступа, таких как замки, сигнализация, охранное освещение и видеонаблюдение, необходимо учитывать и другие факторы, например, как контролируется доступ в помещение.
Посетителям не следует разрешать свободно передвигаться по территории без строгого надзора.
Убедитесь, что экраны компьютеров не видны снаружи.
Используйте сетевые политики, чтобы гарантировать блокировку рабочих станций и/или мобильных устройств, когда они остаются без присмотра или не используются.
Убедитесь, что в случае утери мобильного устройства его можно будет дистанционно заблокировать.
Мобильные устройства, будучи небольшими по размеру, представляют собой предметы повышенного риска, поэтому конфиденциальные данные всегда должны быть зашифрованы, а доступ к сервису должен контролироваться с помощью PIN-кода или пароля.
Возможно, потребуется отключить или ограничить доступ к USB-устройствам, а также оптическим считывателям и записывающим устройствам.
Для предотвращения подключения несанкционированного оборудования к сети через кабель может потребоваться блокировка сетевых портов с помощью серверов Radius или другого сетевого оборудования.
Наконец, информацию в бумажном виде следует утилизировать надлежащим образом.
Логический доступ
Для обеспечения того, чтобы персонал не имел доступа к информации, превышающей необходимую для выполнения своих обязанностей, следует применять методы логического контроля доступа.
Конфиденциальные данные должны быть зашифрованы, а доступ к ним должен контролироваться с помощью сетевой безопасности, списков контроля доступа и профилей пользователей.
Возможно, потребуется ограничить доступ к определенным приложениям и папкам для каждого пользователя в отдельности.
Наконец, может потребоваться заблокировать определенные устройства на определенных компьютерах, либо с помощью групповой политики в Windows, либо с помощью стороннего приложения для управления.
Пароли
Хорошей практикой является политика паролей, состоящая из имени пользователя и пароля.
Эти функции помогают идентифицировать пользователя в сети и позволяют назначить ему соответствующие права доступа.
Однако для того, чтобы пароли были эффективными, они должны :
- быть относительно длинным (например, восемь символов или более)
- содержат сочетание букв, цифр и специальных символов (например, &^”)
- регулярно менять с помощью опции автоматического обновления пароля
- удаляется или изменяется при увольнении сотрудника
- может использоваться для обработки отдельных файлов, таких как электронные таблицы или текстовые документы, содержащие персональную информацию
- ваши системы должны быть зашифрованы с использованием надежного алгоритма шифрования
и НЕ следует
- Это может быть общий пароль (то есть, одинаковый для всех приложений или для всех пользователей)
- может быть написано на стикерах, приклеенных к клавиатуре или экрану
- Состоят из общеупотребительных слов или фраз, либо из названия компании.
- Пароль должен быть отправлен по электронной почте, за исключением случаев, когда это просто временный пароль (без какой-либо дополнительной информации, например, для чего он нужен и какое у него имя пользователя)
- не хранить в ваших системах в виде обычного текста.
Доступ к аудиту
Хотя это и не является юридическим требованием GDPR, ведение журналов и мониторинг данных (и вносимых в них изменений) в значительной степени будут способствовать соблюдению статьи 32 GDPR.
Аудит обработки данных позволит вам проанализировать, составить отчет и подтвердить следующее:
- кто и когда получил доступ к данным
- Как часто осуществляется доступ к данным и является ли такой уровень доступа приемлемым
- В случае случайной потери данных проверьте, какие изменения были внесены и кем.
Хотя ни GDPR, ни DPA 2018 не указывают точные меры, которые необходимо предпринять, следует рассмотреть возможность использования технического решения, соответствующего вашим потребностям и потребностям обрабатываемых вами данных.
