Как защитить конфиденциальную информацию о пользователях

Проблема больше, чем кажется

На серверах компании скапливается очень много данных о пользователях, их имена, телефоны, адреса, реквизиты и прочая конфиденциальная информация. К этим данным разрешён доступ многим сотрудникам компании, менеджерам, бухгалтерам, аналитикам, компаниям на аутсорсе. Такая ситуация складывается практически у всех на рынке, как у крупных корпораций, так и у малого и среднего бизнеса. И в новостях мы постоянно слышим об утечках информации из той или иной компании, продажах баз клиентов, сливе в сеть миллионов аккаунтов пользователей.

Стандартная защита данных

Разграничение доступов на основе политик и правил не справляются в данном случае, так как при большом количестве пользователей вычленить действия злоумышленника из потока практически невозможно, и система предотвращения вторжений не справляется. Отслеживать каждую выгрузку и каждое обращение к данным не получится, потому что службе безопасности придётся вручную разбирать каждый случай, что попросту остановит деятельность всей компании. Поэтому, была разработана иная система для защиты больших объёмов данных, более гибкая и точечная.

Маскировка данных

Динамическое маскирование

В решении подобных задач показал весьма хорошую эффективность метод маскировки данных с сохранением структуры. Информация маскируется динамически, то есть данные остаются без изменений, а маскировка происходит в процессе. Специализированное программное обеспечение, установленное на сервере, перехватывает и обрабатывает запросы к данным. Таким образом динамическая маскировка позволяет скрывать данные в зависимости от уровня доступа пользователя и показывать только необходимую для его работы информацию, например, продавец не увидит лишних данных о клиенте, вместо них будут просто звёздочки, а начальник с более высоким уровнем доступа, сможет просмотреть необходимые данные клиента.

Статическое маскирование

Другой вариант, это статическая маскировка, которая подразумевает изменение отображаемой информации и производится при помощи специализированного программного обеспечения, обращающегося к базам данных. Подобные варианты обычно используют для создания тестовых без данных при разработке. Создавая продукт, разработчикам нужны базы данных для понимания как поведёт себя программа, где и какие выводить поля и так далее, но для них не важна подлинная конфиденциальная информация. Таким образом, при статической маскировке создаётся схожая с настоящей информация, но заменяющая собой подлинную. Такую фиктивную базу данных можно даже передать сторонней компании для тестирования, не опасаясь за сохранность клиентской информации.

Что и когда использовать

Для начала стоить выявить возможные дыры в безопасности и каналы утечки, тем самым определив наилучший подход. Для того, чтобы рядовые сотрудники не имели доступ к лишней информации, нужно применить динамическое маскирование. При необходимости передачи фиктивных данных, используется решение статического маскирования.

Доверьтесь специалистам

В любом случае, каждую значимую интеграцию средств безопасности стоит начинать с аудита, с привлечением сторонних специалистов, для того чтобы подобрать оптимальный продукт, из представленных на рынке. Как правило, решения крупных производителей отличаются более широким функционалом, позволяющим перекрыть все запросы компании.

Непосредственно саму интеграцию решения лучше доверить компании специализирующейся на внедрении таких систем. Это убережёт вас от ошибок, связанных с установкой и настройкой решения, так как интеграция производится непосредственно в самое ядро системы и будет обидно, если некомпетентные специалисты обрушат базу данных.