Как обеспечить безопасность центра обработки конфиденциальных данных?

Защитите свои серверы и данные с помощью передовых методов обеспечения безопасности центров обработки данных от 7 экспертов в области ИТ и кибербезопасности.

Можете представить, что у вас есть масса золотых слитков, и вы несете ответственность за их защиту. Вы бы оставили их на открытом месте, где любой вор мог бы забрать их, или вы бы держали их под замком?

---

Та же аналогия применима к центру обработки данных - виртуальному хранению информации - однако многие компании предпочитают делать минимум, когда речь идет о безопасности центра обработки данных. Центр обработки данных - это объединенные в сеть компьютерные серверы и устройства, которые обрабатывают, распределяют и хранят ценные и конфиденциальные данные, что является важным компонентом цифровой инфраструктуры. Безопасность центра обработки данных - это сочетание политик, процессов, процедур и технологий, которые защищают его от кибератак и других виртуальных угроз.

Мы проконсультировались с несколькими экспертами в области ИТ и кибербезопасности, чтобы узнать их мнение и поделиться передовыми методами обеспечения безопасности центров обработки данных.

Важность безопасности центра обработки данных продолжает расти

Неудивительно, что безопасность данных имеет решающее значение для любого бизнеса. Это бесценная информация, которая может принести пользу бизнесу или же сломать его. Конфиденциальная информация, такая как интеллектуальная собственность и коммерческая тайна, а также личная и финансовая информация клиентов - все это примеры типов данных, которые могут быть найдены в центре обработки данных.

Преднамеренное или случайное раскрытие данных может привести к таким проблемам, как:

• Ущерб репутации. Если станет известно, что вы не предпринимаете необходимых шагов для защиты данных своих клиентов (или же своей интеллектуальной собственности), с чего вдруг вам должны доверять?

• Штрафы за несоблюдение отраслевых нормативов - существует несколько ключевых нормативных актов, которые содержат требования, связанные с безопасностью центра обработки данных, включая PCI DSS, HIPAA, GDPR, SAE 18 (ранее SAE 16) и ISO 27001: 2013.

• Финансовый ущерб — простой работы является серьезной проблемой для компаний и может привести к значительным потерям доходов.

Шейн Шерман, генеральный директор TechLoris, говорит, что важность безопасности центра обработки данных невозможно переоценить и что она должна быть главным приоритетом для каждого бизнеса.

«Потратьте время на то, чтобы убедиться, что здание безопасно, ваши сотрудники хорошо разбираются в азах кибербезопасности, а так же вы соблюдаете нормативные требования, так как это имеет большое значение защиты ваших активов от злоумышленников».

- Шейн Шерман, генеральный директор TechLoris

Итак, излишне говорить, что вы окажетесь в беде, если какая-либо информация попадет в чужие руки. Вот почему вам необходимо знать некоторые передовые методы обеспечения безопасности обработки данных, которые вы можете применить на практике.

Совет №1: внедрите меры физической безопасности центра обработки данных

Когда люди думают о типах мер безопасности, которые они используют для защиты данных своей организации, они невсегда принимают во внимание аспект физической безопасности. Зачем? Как правило, слишком часто увлекаются проблемами, связанными с рисками потери данных в результате кибератак и утечек данных.

Однако компании могут не осознавать, что угрозы физической безопасности могут быть одними из самых серьезных. Одним из таких примеров может быть кейс Энтони Левандовски, бывшего инженера Google, который признал себя виновным в краже коммерческих секретов компании.

Согласно статье в New Yorker, Левандовски напрямую подключился к серверам Google для кражи:

«По данным Google, за месяц до увольнения Левандовски подключил свой рабочий ноутбук к серверу Google и загрузил около четырнадцати тысяч файлов, включая схемы оборудования. Он перенес файлы на внешний диск, а затем убрал отпечатки пальцев на своём ноутбуке».

Существует несколько основных типов центров обработки данных, которые компания может иметь в зависимости от своих потребностей и доступных финансов:

• Центр обработки данных в облаке. Этот тип центра обработки данных находится вне помещения и размещается у поставщиков общедоступных облаков, таких как IBM Cloud, Amazon Web Services (AWS) и других технологических гигантов. В отрасли ведется много споров о том, насколько безопасны эти платформы, несмотря на растущее распространение, но всё-таки многие проблемы возникают на уровне клиента (например, неправильная конфигурация сервера), а не на уровне поставщика услуг.

• Частный управляемый хостинг-центр обработки данных - этот тип центра обработки данных, в котором вы делите сервера с другими компаниями и организациями. Это отлично подходит для компаний, которые имеют небольшой технический опыт или не могут позволить себе большие затраты. Однако это не самый безопасный вариант.

• Локальный центр обработки данных - это тип центра обработки данных, на котором данные хранятся на собственном предприятии. Наличие локального центра обработки данных обеспечивает высочайший уровень безопасности, но при этом требует более высоких расходов в эксплуатации, чем другие варианты хранения данных.

Поскольку каждый из них отличается, это означает, что потребности в безопасности каждого типа разные. Итак, что должно быть в первую очередь соображением безопасности центра обработки данных?

Расположение

Если, вы создаете свой собственный центр обработки данных и не полагаетесь на облачный или колокационный центр обработки данных, намеренное планирование физического пространства вашего центра обработки данных имеет важное значение.

Но, что еще нужно помнить при планировании расположения центра обработки данных с точки зрения безопасности? Будьте осторожны с опасностями, связанными с погодой. Также не забывайте о горячих геологических зонах, подверженных землетрясениям.

Если вы собираетесь строить в более густонаселенном районе, вы можете скрыть свой центр обработки данных на виду, заставив его гармонировать с окружающей средой.

Ключевые меры физической безопасности центра обработки данных

Но помимо местоположения, есть много других вопросов физической безопасности. Усиление защиты центра обработки данных может включать:

• Железобетонные стены и конструкции, способные защитить объект от внешних атак;

• Серверные шкафы и клетки, укрепленные и зафиксированные к полу;

• Средства контроля окружающей среды, которые контролируют и регулируют на изменения температуры и влажности.

Марк Сото, владелец компании Cybericus, занимающейся кибербезопасностью и ИТ-услугами, заявляет, что, хотя физические атаки не так распространены, как кибератаки, они по-прежнему представляют собой реальную угрозу безопасности ваших данных.

«Вам необходимо установить меры безопасности вокруг самого центра обработки данных, чтобы обеспечить его безопасность. Это может быть система с распознованием отпечатков пальцев, или распознование сетчатки глаза, главное чтобы определенные люди имели доступ к этим местам.

Вы должны быть полностью осведомлены о людях, которые проходят через объект. Как упоминалось выше, 30% утечек данных происходят по вине сотрудников. Вы, как компания, должны быть очень осторожны с тем, кто имеет доступ к центру обработки данных и к каким частям он имеет доступ. Это может включать в себя все, что угодно, начиная, с проверки данных сотрудников и сторонних подрядчиков, имеющих доступ к объектам вашего центра обработки данных».

- Марк Сото, владелец Cybericus

Бен Хартвиг, руководитель отдела веб-операций в InfoTracer, говорит, что вам необходимо учитывать физическую конструкцию вашего объекта, чтобы по-настоящему оценить безопасность вашего центра обработки данных.

«Когда речь идет о физической безопасности, главное беспокойство вызывает сам дизайн здания или объекта. Ключевые точки физической безопасности включают круглосуточное видеонаблюдение, металлоискатели и охрану на месте, а также многоуровневые меры безопасности, контрольно-пропускные пункты, настроенные для отражения чувствительности защищенных данных, ограниченные или одиночные точки входа и выхода, а также Больше."

- Бен Хартвиг, исполнительный директор по веб-операциям в InfoTracer

Некоторые типы центров обработки данных также имеют дополнительные физические требования, например, указанные Ассоциацией телекоммуникационной промышленности (TIA) в их стандартах данных ANSI / TIA-942 / TIA-942A.

Хартвиг, ​​также предлагает вывести традиционные меры безопасности на новый уровень. Некоторые методы включают использование множественных средств контроля доступа и применение специальных методов безопасности в каждой области и комнате.

«Каждая индивидуально охраняемая зона, должна использовать несколько методов аутентификации и проходить контроль, поскольку не все сотрудники должны иметь доступ ко всем частям центра обработки данных.

Используйте карты доступа и идентификационные значки или другие средства защиты, включая весы, взвешивающие посетителей при входе и выходе из помещения, постоянные проверки данных уполномоченного персонала и биометрические замки».

- Бен Хартвиг, исполнительный директор по веб-операциям в InfoTracer

Совет № 2: отслеживайте и ограничивайте не только физический, но и виртуальный доступ

Но для защиты ваших данных требуется больше, чем просто установка дверных замков и камер. Вам также необходимо контролировать цифровой доступ. Зачем? Из всех утечек данных, указанных в отчете IBM и Ponemon Institute о затратах на утечки данных за 2019 год, 49% были идентифицированы, как результат человеческих ошибок и сбоев системы, а не кибератак.

Говорится, что одна из наиболее очевидных передовых практик безопасности центра обработки данных - это проверка разрешений, установленных для всех пользователей, имеющих доступ к вашим серверам.

«Периодический аудит разрешений имеет решающее значение, чтобы гарантировать, что доступ делегируется только тем, кто в нем нуждается. Пользователи root могут быть очень опасными, поскольку они могут вносить любые изменения или выполнять любой код или процессы. Но необходимы root-пользователи. Назначение процессов, задач и т. Д. Правильному пользователю - это самый безопасный способ делегировать процессы. Когда персонал покидает организацию, должна быть проведена надлежащая оценка их статуса во всех системах, чтобы определить, есть ли у них доступ, даже если он не через входную дверь».

И если вы еще не беспокоились о фишинговых атаках и ненадежных паролях, вам стоит задуматься. Отчет Verizon о расследовании утечек данных за 2020 год (DBIR) показывает, что четыре из пяти нарушений, связанных со взломом, связаны с грубой силой или использованием утерянных или украденных учетных данных.

Итак, если вы не можете автоматически доверять своим пользователям тем, кем они себя называют, каково решение?

Примите подход нулевого доверия

Сами Уллах, менеджер по предварительным продажам в Kualitatem Inc., независимой компании по тестированию программного обеспечения и аудиту информационных систем, говорит, что организациям следует внедрить архитектуру нулевого доверия:

«Модель нулевого доверия рассматривает каждую транзакцию, перемещение или повторение данных, как подозрительные. Это один из новейших методов обнаружения вторжений. Система отслеживает поведение сети и потоки данных из командного центра в режиме реального времени. Он проверяет всех, кто извлекает данные из системы, и предупреждает персонал или отменяет права для учетных записей, если обнаружена аномалия».

- Сами Уллах, менеджер по предварительным продажам в Kualitatem Inc.

Совет № 3: используйте правильные инструменты для защиты ваших данных и сети

Надежная стратегия безопасности центра обработки данных - это стратегия, использующая инструменты безопасности на основе периметра для мониторинга и защиты вашей сети от внутренних и внешних угроз. Частью этого подхода является правильная настройка и защита ваших конечных точек, сетей и брандмауэров (это основа безопасности).

Владлен Шулепов, генеральный директор международной компании по разработке программного обеспечения Riseapps, выделяет несколько ключевых инструментов мониторинга и обнаружения, которые должны быть в вашем арсенале безопасности:

«Внешние угрозы обычно являются злейшим врагом центра обработки данных, поэтому необходимы защитные решения. Системы обнаружения вторжений, мониторинг IP-адресов и брандмауэры - одни из самых полезных инструментов для защиты вашего центра обработки данных от внешних вторжений и обеспечения его безопасности».

- Владлен Шулепов, генеральный директор Riseapps

Если вы хотите еще больше усилить киберзащиту вашего центра обработки данных, вы можете (и должны):

• Регулярно проводите аудит своих активов, процессов управления безопасностью и протоколов доступа.

• Используйте шифрование на уровне сети для защиты данных при их передаче между конечными точками и шифрование на уровне сервера для защиты данных, когда они находятся в состоянии покоя.

• Интегрируйте инструменты автоматизации и управления информацией и событиями безопасности (SIEM) (или используйте сторонние службы), чтобы постоянно отслеживать журналы и составлять отчеты о событиях и угрозах безопасности.

Совет № 4: Поддерживайте актуальность серверов и систем

Никто не любит тратить время на запуск скучных обновлений и внесение исправлений в свои системы. В конце концов, у вас есть дела поважнее, верно?

Мы почти уверены, что владельцы 230 000 компьютеров, пострадавших от атак программы-вымогателя WannaCry несколько лет назад, не согласятся с этим. В этих атаках группа хакеров использовала эксплойт EternalBlue Агентства национальной безопасности, который Microsoft исправила, но жертвы WannaCry не применили к своим машинам, в своих интересах, чтобы захватить компьютеры в организациях и предприятиях по всему миру, в том числе в Национальном здравоохранении Великобритании. Система (NHS).

Когда производители выпускают исправления, это их способ заполнить любые пробелы в безопасности, которые они обнаружили в своих продуктах. Это все равно, что залатать дыру в крыше, чтобы дождь не пролился или не просочился. Это их способ исправить уязвимость до того, как злоумышленник сможет воспользоваться ею и вызвать проблемы.

Проще говоря, внесение исправлений и обновление ваших систем может избавить вас от многих головных болей в долгосрочной перспективе:

«Убедитесь, что на ваших серверах установлены исправления и установлены последние версии программного обеспечения. Это самый простой способ защитить себя от известных уязвимостей. Не пострадайте из-за того, что уже исправлено».

- Джаянт Шукла, технический директор и соучредитель, K2 Cyber ​​Security

Совет № 5: Имейте резервные копии данных и инфраструктуру на месте

Независимо от того, сколько раз мы говорим о резервных копиях данных, этого никогда не бывает достаточно. В заголовках вы читали о том, как правительства крупных городов, больницы и предприятия парализованы атаками программ-вымогателей и другими кибератаками. Тем не менее, по какой-то причине компании предпочитают не принимать соответствующие меры предосторожности при создании резервных копий избыточных данных.

Это лень? Может быть, это мышление «со мной этого не случится». Независимо от оправданий, почему они не должны этого делать, правда в том, что наличие резервных копий - как данных, так и вторичной инфраструктуры - может сэкономить вам много времени, денег и головной боли. Когда дерьмо попадет в вентилятор - а оно неизбежно произойдет, - вы пожалеете, что не нашли времени на подготовку.

Я думаю, что Хартвиг ​​лучше всего резюмирует следующий момент:

«Безопасность данных и безопасность центра обработки данных неразделимы. Для эффективного хранения и защиты данных все данные должны быть строго закодированы во время передачи, а также постоянно отслеживаться и регулярно создаваться резервные копии».

- Бен Хартвиг, исполнительный директор по веб-операциям в InfoTracer

Конечно, есть и другие вещи, которые, по его словам, важны с точки зрения защиты и поддержания вашей инфраструктуры в рабочем состоянии (а также поддержания работоспособности):

• Держите ваше оборудование в охлажденном состоянии. Ваш центр обработки данных работает на различном оборудовании, которое выделяет огромное количество тепла. Высокие температуры, которые не контролируются, могут буквально вызвать поломку и расплавление машин или привести к пожарам, поэтому для каждого центра обработки данных важно использовать надежный контроль климата. Частично, это включает наличие вторичных систем охлаждения, которые могут сработать в случае отказа первичной системы.

• Защитите и установите свой источник питания. Отключение может происходить по разным причинам - от человеческой ошибки до проблем, связанных с погодой. Они также могут быть результатом потерь мощности или коротких скачков напряжения. Независимо от причины, это означает, что вам необходимо иметь резервные системы питания, которые могут включиться, когда что-то пойдет не так, чтобы ваше оборудование и серверы работали.

Последний важный момент, о котором стоит упомянуть, - это держать водопроводы отдельно от других ключевых систем. Мало что может испортить вам день, как прорыв водопровода. Поэтому убедитесь, что к вашему объекту подведены две линии в разных местах, но держите их подальше от источников питания и другой критически важной инфраструктуры.

Совет № 6. Используйте сегментацию сети центра обработки данных

Сегментация сети - это процесс, который, по сути, помогает разделить сеть передачи данных на отдельные компоненты на основе идентичности конечной точки. Разделяя сеть и изолируя каждый сегмент независимо, он создает дополнительные препятствия для прохождения хакерами и не позволяет хакерам свободно перемещаться по вашей сети.

Марк Сото, чья компания, занимающаяся кибербезопасностью и ИТ-услугами, помогает предприятиям, чьи центры обработки данных были взломаны, предлагает некоторые ключевые идеи о том, что вы можете сделать, чтобы предотвратить атаку и ограничить ущерб в случае успеха атаки:

«Использование сегментации сети может помочь предотвратить взлом всей вашей системы, если хакеры смогут получить доступ к одной из ваших сетей. Это также дает вам время отреагировать в худшем случае, когда другие сети также могут быть взломаны.

С помощью сегментации сети вы также можете указать, к каким сетевым ресурсам имеют доступ ваши пользователи. В мире, где злонамеренные внутренние пользователи составляют не менее 30% утечек данных, это может быть самым большим преимуществом сегментации сети».

- Марк Сото, владелец Cybericus

Заключительные мысли о безопасности ЦОД

Компании работают на данных, и ваша способность хранить эти данные в безопасности, может помочь или разрушить вашу организацию.

Ваш центр обработки данных - это место, где хранятся ваши сетевые компьютеры, серверы и другие важные компоненты. Это надежное убежище для ваших данных в разгар аварии.

Обеспечьте максимальную безопасность серверов, сети и другого связанного оборудования, используя следующие передовые методы обеспечения безопасности центров обработки данных:

• Примите меры физической безопасности, которые не позволят злоумышленникам получить физический доступ к вашей сети и оборудованию для хранения данных.

• Внедрите и обеспечьте соблюдение ограничений доступа, которые гарантируют, что только те, кому нужен доступ (как физический, так и виртуальный), будут иметь его.

• Используйте правильные инструменты безопасности, чтобы сообщать о многих угрозах цифровой безопасности и защищаться от них.

• Держите все в актуальном состоянии и исправляйте, чтобы устранить известные уязвимости.

• Имейте вторичные системы и резервные копии данных, на которые вы можете положиться, когда дела пойдут плохо.

Если вы изучаете идею использования облачного сервиса или поставщика услуг управляемого хостинга, у вас меньше контроля над применяемыми физическими мерами безопасности, чем с собственным центром обработки данных. Однако вы можете попросить поставщика услуг предоставить вам отчеты о соответствии мер защиты, которые помогут вам чувствовать себя более уверенно в их возможностях безопасности.

Мы уверены, что у вас есть дополнительные предложения по безопасности центров обработки данных, и мы будем рады их услышать. Обязательно поделитесь своими мыслями и предложениями в комментариях ниже.