Nie można i nie trzeba chronić wszystkiego tak samo

Koncepcja cyfrowego miejsca pracy (digital workspace) jest jak koszmar ze snu CIO. Trzeba zapewnić bezpieczeństwo danym i użytkownikowi, który chce pracować bez ograniczeń i z dowolnego miejsca mieć dostęp do wszystkich zasobów i aplikacji, najchętniej bez konieczności logowania się.

Kiedyś dane znajdowały się w zamkniętej przestrzeni i określonej lokalizacji – na stacjonarnych komputerach i lokalnych serwerach. Ochrona obwodowa, której podstawą był firewall i antywirus, zabezpieczała zasoby przed atakiem z zewnątrz i wyciekiem danych. Obecnie biznes ma być przede wszystkim zwinny. A nowy styl pracy i cyfrowe środowisko, zapewniając wygodę, mają zwiększać wydajność.

Trzeba więc ludziom umożliwić pracę zdalną – w podróży służbowej czy z domu. Na dowolnym urządzeniu i o każdej porze. Weźmy pocztę elektroniczną – jest teraz dostępna na laptopie, smartfonie czy tablecie. W efekcie dane, których liczba kopii była kiedyś mocno ograniczona, są teraz ciągle powielane. Nie znajdują się tylko w budynku biura – mogą być wszędzie.

Jak zachować wysokie standardy bezpieczeństwa, gdy BYOD, praca mobilna, przetwarzanie w chmurze i oczekiwania przeniesione z rynku konsumenckiego wymuszają zmianę tradycyjnych sposobów obsługi pracowników? Żeby nie zwariować i nie doprowadzić do sytuacji, w której działy bezpieczeństwa i pracownicy stają się swoimi wrogami, potrzebne są dziś kompromisy, pragmatyzm i wiedza o tym, co trzeba chronić.  

1. Jeśli dane są wszędzie, kluczem staje się ich klasyfikacja.
2. Jest wiele rodzajów danych i mają one różną wartość.
3. Nie można i nie trzeba chronić wszystkiego tak samo.
4. Konieczne jest ustalenie ryzyka, ocena tego, jak groźny i kosztowny będzie nagły brak dostępu do tych konkretnie danych oraz incydent, w wyniku którego mogą one zostać skompromitowane.
5. Dopiero wtedy można tworzyć różne poziomy ochrony i podejmować rozsądne decyzje – jakie środki mają być zastosowane, ile trzeba wydać pieniędzy, jak wiele pracy i czasu trzeba poświęcić, by zapewnić bezpieczeństwo.

Artykuł powstał w ramach programu Security Excellence. Wszystkich CIO, CSO, CISO i szefów działów IT zainteresowanych tym cyklem spotkań zapraszamy tu: www.securityexcellence.pl