Protegendo seus dados confidenciais em Datacenters, Networks e Endpoints EMC Forum PDF
Protegendo seus dados confidenciais em Datacenters, Networks e Endpoints EMC Forum 2009
Download "Protegendo seus dados confidenciais em Datacenters, Networks e Endpoints EMC Forum 2009"
Manoel Amaro Varejão
1 Protegendo seus dados confidenciais em Datacenters, Networks e Endpoints EMC Forum 2009 Nak Y. Kwak RSA System Engineer, Latin America & Caribbean
2 O que está acontecendo com os dados de clientes / funcionários registros relatados como perdidos desde Fonte: Privacy Rights Clearing House, banco de dados de perda de dados, pesquisa e análise da RSA
3 Custo das violações de dados Custo médio por violação Divisão dos custos das violações Custo médio por registro violado 3 Fonte: Estudo anual de 2008 do Ponemon Institute sobre o custo de uma violação de dados Impacto financeiro palpável Dano de longo prazo ao valor da marca O custo total por violação está aumentando 44 estados americanos têm leis de notificação Políticas de privacidade de dados da UE e Austrália
4 Por que proteger dados é tão difícil? Usuário final Rede/ Apl/BD Sist.arq./CMS Armazenamento LAN Funcionários internos WAN Aplicativos Banco corporativos de dados de produção Servidor de arquivos Disk arrays Fita de backup Funcionários remotos VPN Análises de negócios Réplic a Servidor de arquivos Sistema Disk arrays de backup Parceiros Dispositivos Transferência terc. Sistemas de colaboração e gerenc. conteúdo Disk arrays Disco de backup 4 Usuário final Rede/ Apl/BD Sist.arq./CMS Armazenamento
5 Estamos expostos em todos os pontos Usuário final Rede/ Apl/BD Sist.arq./CMS Armazenamento LAN Roubo/perda no Funcionários usuário final internos Vazamento de rede -IM-HTTP- FTP-etc. WAN Falha de Aplicativos usuário com Banco privilégios corporativos de dados de produção Servidor de arquivos Falha de usuário com privilégios Disk arrays Fitas extraviadas ou roubadas Fita de backup Vazamento por Funcionários impressão/cópia remotos VPN Vazamento de e- mails ou pacotes espionados em trânsito Réplic Análises Invasão de apl., BD ou chaves de a de negócios criptografia Servidor Invasão ao de servidor arquivos de arquivos/cms Sistema Disk arrays de backup PI enviado a usuário não confiável Parceiros Alteração do acesso à infraestrutura pública Dispositivos Distribuição Transferência terc. acidental Sistemas de colaboração (Semi) e Usuário confiável gerenc. conteúdo Uso indevido Disk arrays Disco descartado explorado Disco de backup 5 Usuário final Rede/ Apl/BD Sist.arq./CMS Armazenamento
6 Existem muitas soluções pontuais Usuário final Rede/ Apl/BD Sist.arq./CMS Armazenamento Criptografia de celulares Criptografia de s LAN Criptografia de aplicativos Criptografia de arquivos Funcionários internos Monitoração de portas WAN Monitoração de rede Aplicativos Banco corporativos de dados de produção Criptografia de bancos de dados Servidor de arquivos Controles de acesso a CMS/Sist.arq. Disk arrays Criptografia de fitas Fita de backup Funcionários Criptografia remotos de arquivos VPN Criptografia de rede Réplic Análises Monitoraçãoa de negócios de atividades Servidor de arquivos edrm Sistema Disk arrays de backup Criptografia de discos edrm Parceiros edrm Detecção Dispositivos de Transferência Apl/BD terc. Sistemas Detecção de colaboração de arquivos e gerenc. conteúdo Disk arrays Disco de backup 6 Usuário final Rede/ Apl/BD Sist.arq./CMS Armazenamento
7 Gerenciamento de risco às informações O processo Política Detecção e classificação Detecção de todas as fontes de informações confidenciais em toda a infraestrutura Definição de política Descrição de como as informações confidenciais são protegidas Aplicação de controles Estabelecimento de uma estrutura de controle e implementação de controles apropriados para impor a política Prevenção contra perda de dados Criptografia Relatório e auditoria Auditoria do ambiente para assegurar e documentar a conformidade com a política 7
8 Foco - Proteger Dados Prevenção contra perda ou furto de dados RSA Data Loss Prevention Encriptação e Gerenciamento de Chaves RSA Key Manager
9 O business case para DLP Reduzir riscos Minimizar custos Evitar interrupções Reduzir riscos 1. Quais dados você pode recuperar? Onde? 2. O que você pode fazer a esse respeito? 3. Tempo de implantação 9 1. Produto 2. Pessoas Minimizar custos a) Configuração/manutenção b) Investigações c) Correção 3. Infraestrutura Evitar interrupções 1. Considere "quem", não apenas "o que" 2. Torne os controles transparentes para os usuários 3. Envolva os proprietários dos dados
10 RSA Data Loss Prevention Suite Gerenciamento de políticas Administração de sistemas RSA DLP Enterprise Manager Relatórios e painel de controle Workflow de incidentes Políticas Incidentes DLP Datacenter DLP Network DLP Endpoint Detecte dados confidenciais de todos os locais Monitore todo o tráfego de dados confidenciais Detecte dados confidenciais e monitore ações de usuários Imponha controles sobre dados confidenciais Imponha controles sobre transmissões confidenciais Imponha controles sobre dados e ações de usuários Mov. Quarentena Excl. Audit. Quarentena Bloq. Audit. Quarentena Permit. 10 Controles de imposição de terceiros Criptografar edrm Microsoft RMS
11 Reduzindo suas fontes de risco: dados em repouso Detectar Analisar Corrigir Examinar novamente fontes para medir e gerenciar riscos Compart.arq., servidores, laptops > 300 tipos de arq. Bancos de dados e repositórios Correção Compart.arq.Windows Compart.arq.Unix Armazen. NAS/SAN Windows 2000, 2003 Windows XP, Vista 11 Arq. do Microsoft Office PDFs, PSTs Arq. ZIP Arq. CATIA SharePoint Documentum Microsoft Access Oracle, SQL Sist. ger.de conteúdo Exclusão segura Movim.manual/autom. Quarent.manual/autom. Notificações edrm
12 Protegendo dados na rede: dados em movimento Monitorar Analisar Impor Mensagens instantâneas Tráfego na Web Correção de SMTP Exchange, Lotus etc. Webmail Texto e anexos Yahoo IM MSN Messenger AOL Messenger FTP HTTP HTTPS TCP/IP Auditar Bloquear Criptografar Registrar 12
13 Protegendo dados no ponto final: dados em uso Monitorar Analisar Impor Imprimir e gravar USB Copiar e Salvar como Ações e controles Impressoras locais Impressoras em rede Gravar em CDs/DVDs 13 Discos rígidos externos Pen drives Mídia removível Cópia p/compart. de rede Cópia p/ drives externos Salvar como em drives externos Permitir Justificar Bloquear Auditoria e registro
14 Como a solução RSA DLP pode ajudar? Detectar Identificar e tratar fontes de risco Identificar processos de negócios interrompidos Impor Impor políticas de segurança de dados para fins de conformidade Aproveitar soluções de controle de terceiros Treinar Treinar os funcionários em política e risco Fornecer percepção sobre violações e políticas 14 Proteger Monitorar e proteger todos os pontos de saída Impedir que dados confidenciais vazem
15 Incorporado versus complementar Políticas comuns em toda a infraestrutura Microsoft, Cisco e EMC Aproveitamento da infraestrutura existente Microsoft: integração com Microsoft RMS; também integrarão o mecanismo e as políticas de classificação de dados do RSA DLP na infraestrutura Microsoft Cisco: integração com IronPort EMC: integração com Documentum, Celerra, SourceOne etc. 15
16 Estudo de caso: empresa de tecnologia Risco minimizado pela detecção de todos os dados HBI de usuários Indicador Situação Solução Resultados Proteger dados HBI (High Business Impact, alto impacto nos negócios) PCI, PII e propriedade intelectual 100 TB de dados em compartilhamentos de arquivos compart. de arquivos locais de SharePoint O DLP Datacenter com coordenadores locais em Redmond e na Índia Sistema em grade com 12 máquinas Selecionado para redimensionamento, desempenho e precisão Varreduras incrementais em ½ dia Gerenciado por 2 pessoas 16
17 Práticas recomendadas na implantação do DLP Comece pequeno: inicie com 1 a 3 políticas principais Avalie processos de negócios interrompidos Detecte riscos internos (pontos finais, pontos de compartilhamento, compartilhamentos de arquivos etc.) Monitore os riscos em pontos de saída (rede, usuários finais) Utilize o DLP para treinar os funcionários sobre políticas corporativas Inicie com Auditar, aumente para Notificar, então Justificar e eventualmente Impor (implementação gradual de imposição mais dura) Correção Envolva os proprietários dos dados fluxo de trabalho de incidentes Automatize a correção onde possível (criptografia, DRM) Emissão de relatórios de governança: ajuda a gerência a compreender o valor da solução na redução do risco
18 Foco - Proteger Dados Prevenção contra perda ou furto de dados RSA Data Loss Prevention Encriptação e Gerenciamento de Chaves RSA Key Manager
19 A importância do planejamento de implantações de criptografia Por que planejar? "Se a criptografia for implantada sem o planejamento adequado... o máximo benefício de segurança resultante pode ser o de que as organizações não estejam melhor preparadas do que estavam antes de aplicarem a criptografia" As organizações precisam considerar o ciclo de vida dos dados quando planejarem qualquer implantação criptográfica, de modo que as tecnologias empregadas sejam utilizáveis, benéficas e eficazes em todos os estágios Etapas para melhorar uma implantação Realizar uma avaliação de risco para determinar apropriadamente os recursos que estão mais em risco de exposição acidental ou direcionada Ferramentas de detecção de dados, como DLP (Data Loss Prevention, prevenção contra perda de dados) podem ser aproveitadas para identificar com mais eficácia o conteúdo confidencial Fonte: Gartner Research, Tactical Deployment Scenarios for Corporate Encryption, Dec 08
20 Considerações sobre implementações Onde implantar Como gerenciar chaves Complexidade Proteção
21 Por que o gerenciamento de chaves é tão importante Um Enterprise Key Management System (EKMS) oferece às organizações a capacidade de centralizar e automatizar a segurança, a recuperação e o gerenciamento baseado em políticas de chaves criptográficas As melhores organizações com relação às práticas de gerenciamento de chaves atualmente dão suporte à criptografia em uma escala muito maior... Em torno de 40% mais aplicativos Em torno de 11,5 vezes mais chaves de criptografia sob gerenciamento... e a um custo significativamente menor 36% menos em termos de custo médio/aplicativo com criptografia habilitada 92% menos em termos de custo médio/chave Benchmarks fornecidos por Aberdeen Research, Managing Encryption The Keys To Your Success, outubro de 2008
22 Desafios do gerenciamento de chaves Gerenciar chaves manualmente ou usando soluções nativas conduz a 3 problemas: 22
23 O que o gerenciamento de chaves deve fornecer? Dimensionamento corporativo Interoperabilidade com todos os fornecedores de criptografia Comunicação perfeita entre locais e dispositivos Capacidade de expansão para vários locais e milhares de clientes Gerenciamento aprimorado Controle completo e gerenciamento ativo da política de chaves a partir do dispositivo central Pesquisa e auditoria de GUI para reduzir TCO Implantação simplificada Fim da dor de cabeça no gerenciamento associado à criptografia
24 RSA Key Manager Gerenciamento de chaves em toda a empresa Apl/BD Sist.arq./CMS Armazenamento RSA Key Manager (RKM) Interface baseada em políticas 1. Geração de chaves 2. Distribuição de chaves com segurança 3. Compartimentalização de chaves 4. Expiração/troca de chaves 5. Monitoração + auditoria 24
25 RSA Key Manager Integração e implementação RSA Key Manager with Application Encryption Servidor RKM RSA Key Manager for Datacenter Aplicativo Cliente de criptografia Dados confidenciais criptografados dentro dos aplicativos no ponto de captura Application Encryption Clients - plataforma abrangente e suporte a linguagens C, Java,.NET, Cobol, CICS Linux, Mainframe, Unix, Windows Módulos de integração EMC e criptografia de terceiros Integra-se a host, switch de SAN e soluções de criptografia em fita nativa da RSA, da EMC e de terceiros As integrações atuais incluem PowerPath, Connectrix, Oracle e Native Tape
26 RSA Key Manager with Application Encryption Compartilhamento de dados criptografados Request encryption key RSA Key Manager Server Request Key Payment Processing TevpWURkQOyHTlJVlHeT2A== TevpWURkQOyHTlJVlHeT2A== Local Store Capture Request Request Encrypt Card encryption Data Info key if not cached Return unencrypted Credit Card locally in memory data Data to or user on disk Request CC# Returns 26 Datacenter Operations
27 EMC Connectrix Storage Media Encryption com RSA Key Manager for the Datacenter Criptografia de dados com base em SAN para fita e EMC Disk Libraries Requer lâmina/switch modular EMC Connectrix com criptografia habilitada Instalação sem interrupções Implementado via fabric service de maneira transparente O RKM fornece gerenciamento corporativo de *&^%$#&%$#$%*!^ Servidor de aplicativos *&^%$#&%$#$%*!^ Nome: XYZ SSN: Conta Status: *&^%$#&%$#$%*!^ RSA Key Manager for the Datacenter Criptografia Armazenamento EMC Fita EMC Disk Library