La crittografia dei dati fornisce un ultimo, fondamentale supporto per la protezione delle informazioni che vengono compromesse. Tuttavia, le strategie implementate in modo errato possono effettivamente creare ulteriori vulnerabilità. Per garantire una protezione adeguata, si consiglia di seguire questi sette criteri per la crittografia dei dati:

1. Conosci le tue opzioni di crittografia

Le opzioni di base per la crittografia dei dati sono FTPS, SFTP e HTTPS. FTPS è il più veloce, tuttavia, è più complesso con entrambe le modalità implicite ed esplicite e requisiti elevati per la disponibilità della porta dati. D'altra parte, SFTP richiede solo una porta per la crittografia. HTTPS viene spesso utilizzato per proteggere trasferimenti interattivi e umani da interfacce Web. Mentre tutti e tre i metodi vengono distribuiti di routine per crittografare i dati e proteggerli dall'essere snippati mentre attraversa Internet, è importante scegliere il metodo più adatto alle tue esigenze specifiche.

2. Crittografa sempre i dati a riposo

La maggior parte delle persone si concentra sulla protezione dei dati durante un trasferimento, tuttavia è fondamentale che i dati a riposo vengano crittografati. I file di scambio di dati sono particolarmente vulnerabili in quanto sono memorizzati in un formato consumabile facilmente analizzabile. Inoltre, i server di trasferimento file basati su Web vengono attaccati più del loro dispositivo di sicurezza, su controparti premesse.

3. ... in particolare con dati a cui è possibile accedere o condivisi con terze parti

Quando una società condivide un file con un'altra società, in genere canalizza un fornitore di archiviazione che automaticamente lo crittografa e autentica il destinatario prima di concedere l'accesso. Tuttavia, ci saranno momenti in cui una parte non autenticata ha bisogno di un file. Le aziende hanno bisogno di una strategia per gestire queste "eccezioni" mentre i dati sono in movimento e a riposo.

4. Pretty Good Privacy (PGP) da solo non è abbastanza buono per gestire la sicurezza dei file

La maggior parte delle organizzazioni dispone di una politica PGP per garantire che i file caricati siano crittografati in modo tale che il destinatario non abbia bisogno di un grado avanzato per aprirlo. Al primo segno di difficoltà, queste persone tendono a condividere le loro informazioni di accesso per ottenere aiuto da un "amico" più esperto di tecnologia. C'è anche la possibilità che il sistema si rompa e lasci i file non crittografati ed esposti. Le politiche PGP sono un inizio, ma non una soluzione onnicomprensiva.

5. È meno sul tipo di crittografia e più su come viene eseguito

Indipendentemente dalla metodologia di crittografia, le aziende devono garantire che i protocolli di crittografia e sicurezza siano implementati senza problemi su tutta la linea. Se sono troppo difficili e lasciano troppe eccezioni, c'è una maggiore possibilità che un file non crittografato diventi in qualche modo disponibile in un dominio pubblico o meno sicuro. Flussi di lavoro chiaramente definiti e una gestione rigorosa delle chiavi, insieme agli strumenti per semplificare il processo, contribuiranno notevolmente a garantire che tutti i dipendenti, i clienti, i partner e i fornitori si adeguino quotidianamente.

6. Stabilire e proteggere l'integrità dei dati

La convalida di una catena di comando ininterrotta per tutti i trasferimenti proteggerà ulteriormente i dati importanti. Esistono numerosi metodi: checksum manuali, revisione della firma PGP, funzioni hash SHA-1 e strumenti per determinare se è possibile accedere ai dati o danneggiarli durante il processo. Mantenere log completi delle attività degli utenti aiuterà gli amministratori a controllare accuratamente i sistemi in caso di incertezza.

7. Fortifica il controllo degli accessi

Nella maggior parte delle implementazioni FTP, una volta che qualcuno supera il primo livello di sicurezza, ha accesso a tutti i file su quel server. Pertanto, gli amministratori devono andare oltre il controllo e l'autenticazione rudimentali per regolare chi può accedere a cosa. Convalidare che il processo di autenticazione stesso sia solido è il primo passo. Anche l'implementazione di una solida gestione delle password e dei protocolli di blocco è fondamentale.

L'adesione a queste raccomandazioni sulle migliori pratiche contribuirà a garantire che i dati riservati abbiano la possibilità di rimanere riservati anche se finiscono nelle mani sbagliate.

  • Aaron Kelly è VP of Product Management di Ipswitch. Randy Franklin Smith esegue Ultimate WindowsSecurity, un sito Web dedicato alla verifica e alla conformità IT.