Советы по предотвращению потери данных в цикле разработки программного обеспечения

Источник изображения

Несколько лет назад австралийский служащий случайно слил электронную таблицу, содержащую информацию о здоровье людей, подающих заявление на получение австралийской визы. Инцидент начался, когда опечатка в адресе электронной почты привела к тому, что электронная таблица попала в учетную запись неизвестного человека. В 2017 году злонамеренный сотрудник Bupa Global украл более 100 000 международных полисов медицинского страхования.

Согласно Отчет Verizon об инсайдерских угрозах за 2019 г., более половины утечек данных совершаются инсайдерами. Как бы шокирующе ни звучала эта статистика, не все случаи потери данных являются результатом злоумышленной атаки. Отчет за 2018 год показывает, что более 40% недавних утечек данных были вызваны случайным обменом.

Хотя это кажется зловещим для всех секторов, компании-разработчики программного обеспечения особенно уязвимы для утечки данных. Совместный и динамичный характер разработки увеличивает риск утечки или потери данных. Вот почему, по данным Gartner, директора по информационной безопасности считают безопасность данных главным приоритетом. Компании-разработчики программного обеспечения должны защищать свои рабочие данные от утечек данных. Компании должны защищать не только свои данные, но и данные своих клиентов, чтобы доверие клиентов было на их стороне.

Организации должны внедрить политики и структуру безопасности для обеспечения эффективной защиты данных. Компании-разработчики должны уделять особое внимание разрешениям на доступ, постоянно контролируя использование данных. Кроме того, компании, предоставляющие услуги по разработке программного обеспечения на аутсорсинге, должны гарантировать, что третьи лица соблюдают правила безопасности для предотвращения утечки данных. Узнайте больше, чтобы узнать, как компании-разработчики программного обеспечения могут предотвратить утечку данных.

Что такое предотвращение потери данных?

Предотвращение потери данных (DLP) — это общий термин, включающий набор инструментов и процессов, которые организация использует для предотвращения несанкционированного использования и доступа к данным. Решения DLP контролируют сеть и ресурсы на случай случайной или преднамеренной потери или утечки данных.

Стратегия предотвращения потери данных включает в себя больше, чем выбор правильных инструментов. Вы должны оценить свои данные, чтобы определить, какие из них являются наиболее важными. Критические данные — это данные, необходимые для обеспечения непрерывности бизнеса. Компании также должны классифицировать конфиденциальные данные, такие как личные данные клиентов или данные кредитных карт.

В последние годы такие правила, как Общий регламент по защите данных (GDPR), устанавливают правила сбора и управления личной информацией, требуя от компаний соблюдения требований по предотвращению потери данных.

Потерю данных не следует путать с утечкой данных. Термин утечка данных относится к преднамеренному или непреднамеренному раскрытию информации за пределами сети организации. Например, злоумышленник передает конфиденциальные файлы внешнему субъекту.

Потеря данных означает, что данные невозможно восстановить, поскольку они были удалены или повреждены без возможности восстановления. Некоторые события потери данных вызваны стихийными бедствиями или перебоями в подаче электроэнергии. В некоторых случаях потеря данных является результатом преднамеренной атаки.

Рекомендации для компаний-разработчиков программного обеспечения

Новые методы, такие как использование собственных устройств (BYOD) и аутсорсинг разработки программного обеспечения, повышают риск потери или утечки данных. Защита данных при разработке программного обеспечения на заказ требует учета следующих факторов:

Не все данные подходят для обмена
Организации следует определить, какими данными можно делиться с третьими сторонами, а также оценить защиту, необходимую для этого типа данных. Например, личные данные клиента или документация об интеллектуальной собственности. Компании, которые практикуют BYOD, должны применять политики безопасности, чтобы помочь сотрудникам защитить данные на своих устройствах.

У вас есть план восстановления?
Стратегия восстановления должна включать резервное копирование по расписанию и хранение конфиденциальных данных на корпоративных серверах. Защита данных путем репликации серверов — еще один эффективный подход.

Наличие соглашения об обработке данных (DPA)
Соглашение об обработке данных Adata устанавливает правила обработки, хранения, передачи и защиты данных между клиентом и поставщиком. Это полезно для компаний, занимающихся аутсорсингом разработки программного обеспечения, а также для компаний-разработчиков, работающих в качестве сторонних поставщиков. Соглашение должно учитывать местные и отраслевые нормы, такие как GDPR.

Советы по предотвращению потери данных при разработке программного обеспечения

Компании-разработчики программного обеспечения должны установить безопасные принципы работы, включая методы безопасного кодирования. Наличие документированной системы управления информационной безопасностью является обязательным условием для предотвращения потери данных клиентов.

А политика защиты от потери данных должны применяться на протяжении всего цикла разработки и эксплуатации программного обеспечения. Некоторые из пунктов, которые должна охватывать эта политика, включают:

• Защищенные сети— включает использование надежных паролей и двусторонней аутентификации.
• Мониторинг трафика— должен включать мониторинг входящего и исходящего трафика, а также обновленный брандмауэр.
• Обнаружения вторжений— включая спам, фишинг и мониторинг вирусов.

Разработчики программного обеспечения, использующие метод DevOps, сталкиваются с уникальными проблемами. Компания, применяющая DevOps, постоянно обменивается данными между локальными, облачными приложениями и сторонними организациями.

Среды DevOps требуют комплексного подхода к защите конфиденциальной информации. Некоторые передовые методы предотвращения утечки данных в средах DevOps включают:

• Используйте машинное обучение для классификации данных— с этой задачей может помочь контекстно-ориентированный классификатор.
• Шифруйте данные везде— вы можете использовать методы шифрования с сохранением формата, чтобы сохранить формат данных при их защите. Инструменты предотвращения потери данных помогают автоматизировать шифрование данных как в движении, так и в состоянии покоя.
• Следите за воздействием Интернета— при развертывании приложений в облаке следует проверить, открыт ли какой-либо из хостов для общедоступного облака. Решение для предотвращения потери данных может помочь.
• Установите базовый уровень нормального поведения— использование технологии User and Entity Behavior Analytics (UEBA) может помочь вам определить, что является нормальной активностью для вашей среды, и обнаружить аномалии.
• Разработать и установить политики безопасности— все инженеры и сторонние лица должны придерживаться установленных политик безопасности. Регулярное обучение персонала и обновление процедур безопасности помогут вам избежать потенциальных угроз.

Существуют различные типы инструментов DLP, которые часто различаются в зависимости от того, где установлена ​​система и какие типы данных защищены. Ниже вы найдете обзор основных типов решений по предотвращению потери данных.

Сетевое предотвращение потери данных (DLP)
Эти решения обычно устанавливаются по периметру сети для защиты передаваемых данных. Сетевые решения отслеживают входящий и исходящий трафик, чтобы определить, не передаются ли конфиденциальные данные за пределы сети. Они работают на основе предустановленных политик, выявляя нарушения в почтовом трафике, социальных сетях и мгновенных сообщениях.

Защита от потери данных на основе хранилища данных (DLP)
Эти решения защищают данные, пока они находятся в состоянии покоя в центре обработки данных организации. Хранилище данных DLP обнаруживает конфиденциальные данные и анализирует их хранилище, определяя, является ли оно безопасным.

Предотвращение потери данных конечных точек (DLP)
Вы должны отслеживать устройства в вашей сети, такие как ноутбуки, ПК и планшеты, на предмет любых действий, которые передают данные за пределы сети. Выделенные решения для мониторинга DLP конечных точек обычно ищут такие действия, как копирование файла на USB-накопитель, отправку электронной почты или печать файла. Затем система помечает это действие и оповещает подписчиков.

Нижняя линия

Gartner прогнозирует, что к 2020 г. треть утечек данных будет происходить из теневых ИТ. Каждая организация, разрабатывающая заказное программное обеспечение или предоставляющая услуги по разработке на аутсорсинге, должна внедрить методы и инструменты предотвращения потери данных. Вы никогда не знаете, когда в результате несчастного случая или злонамеренной атаки ваши данные будут удалены или украдены. Методы, упомянутые в этой статье, могут помочь вам свести к минимуму риск утечки ваших данных и данных вашего клиента.