Jak to často vypadá v praxi? Scénář je obvykle podobný tomuto. Data jsou ukládána z koncových stanic do sdílených adresářů a v těchto adresářích jsou taktéž z koncových stanic zpracovávána. Klient má obavu ze zneužití dat, ale přitom v organizaci neexistují prakticky žádná pravidla, jak s daty zacházet. Klient požaduje zajistit, aby data byla přístupná pouze osobám, které s nimi mají nakládat, ale bez nadechnutí dodává, že v žádném případě nesmí být omezována práce zaměstnanců a je nepřípustné měnit způsob jejich chování. Navíc největší obavu má přitom z vlastních IT pracovníků nebo servisní organizace, která má neomezený přístup k jeho síti.

Jedním z možných řešení uvedených požadavků je využití DLP softwaru. Jedná se o systémy, jejichž primárním úkolem je zabránit ztrátě dat, a to ať se už jedná o úmyslný čin ze strany zaměstnance, jeho nevědomé selhání nebo zákeřný útok zvenčí. Opravdu funkční DLP ale předpokládá přesnou specifikaci žádoucího či nežádoucího chování uživatele, důkladnou klasifikaci dat organizace a nastavení patřičné reakce systému na neshody s nastavením. Bohužel toto jsou přesně ta kritéria, která není schopna značná část společností definovat. Mezi hlavní důvody, proč tomu tak je, patří zejména nedostatečný závazek ze strany vedení společnosti, které se snaží zodpovědnost přenést na IT oddělení. Změna chování uvnitř společnosti není možná ze dne na den a je chybou si myslet, že bezpečnostní software řeší vše. Nejdůležitější je s budováním bezpečnosti začít. V tomto případě může být dobrým začátkem použití kryptografie pro zabezpečení dat na sdílených úložištích. Ale jak takový kryptografický software vybrat a co by měl umožňovat?

Kryptografický software musí zajistit přístup pouze osobám, které jsou oprávněny s daty nakládat. Pro tyto účely je nejvhodnější využití kryptografického nástroje s online symetrickým šifrováním ukládaných dat a možností navázání na existující strukturu organizace. V případě symetrického šifrování je pro zašifrování dat použit stejný klíč jako pro dešifrování. V praxi se přitom osvědčilo šifrování na úrovni jednotlivých složek. Jiné technologie šifrování dat (celodiskové šifrování, šifrování virtuálních disků) nejsou schopny na úrovni sdílených dat zajistit požadavek na zpřístupnění dat pouze oprávněným osobám.

Vhodně zvolené online symetrické šifrování by pro běžného uživatele nemělo představovat prakticky žádné omezení při zpracovávání uložených souborů. V případě, že uživatel vlastní klíč, jímž jsou data šifrována, je vše prováděno na pozadí, bez jakékoliv interakce s uživatelem. Uživatel navíc pracuje v naprosto standardním prostředí bez jakéhokoliv omezení. Soubory jsou pro něj viditelné ve stejném formátu jako doposud. Pokud je zapotřebí zajistit, aby ke stejným datům mělo přístup více uživatelů, je důležité vybrat takový systém, který umožňuje sdílení klíče (vytváření tzv. skupinových klíčů), který vlastní určitá skupina uživatelů. Kritériem pro přidělení klíče může být členství v určité bezpečnostní skupině nebo organizační jednotce. Zvolený systém by měl zaručovat automatickou distribuci klíčů po jejich přiřazení danému objektu a stejně tak jejich automatické odebrání v případě, že uživatel již není členem skupiny nebo již nemá mít k datům přístup.

Bez patřičného klíče jsou soubory pro uživatele nečitelné. Nečitelné jsou tedy i pro pracovníky IT oddělení, kteří zajišťují chod IT infrastruktury organizace. Díky využití kryptografie dochází k oddělení role správců systému od obsahu dat. Techničtí pracovníci přitom mohou provádět běžnou údržbu systému, aniž by měli přístup k citlivým informacím organizace.

Při vybírání vhodného řešení je důležité pamatovat na několik vlastností, které by zvolený systém měl obsahovat. Mezi ty nejdůležitější patří možnost bezpečného zálohování vydaných šifrovacích klíčů. Dále možnost snadného obnovení souborů při problémech s diskovým úložištěm pomocí recovery nástroje. Další důležitou vlastností systému by měla být možnost evidence vydaných šifrovacích klíčů a systém monitorování chování šifrovacího klienta. V rámci organizace je taktéž důležité oddělit roli klasických správců systému od bezpečnostního správce, který je zodpovědný za vydávání šifrovacích klíčů. Pouze tehdy dochází k přenesení zodpovědnosti za správu dat mimo IT organizace.

Co dodat na závěr? Při zavádění bezpečnostních opatření je nejdůležitější vytyčit si pevné cíle, kterých chceme dosáhnout. Stanovte si jeden, maximálně dva a těch se snažte dosáhnout. Je dobré si uvědomit, že cílem není 100% bezpečnost na úkor omezení činnosti vaší firmy nebo organizace, ale vhodné řešení největších hrozeb.

Jan Kozák Autor článku působí na pozici Senior Product Specialist ve společnosti SODAT software.