Krypteringsdata gir et kritisk, siste stativ for å beskytte informasjon som blir kompromittert. Imidlertid kan feilaktige implementerte strategier faktisk skape ytterligere sårbarheter. For å sikre tilstrekkelig beskyttelse anbefaler vi at du følger disse sju kriteriene for kryptering av data:

1. Kjenn krypteringsalternativene dine

De grunnleggende alternativene for kryptering av data er FTPS, SFTP og HTTPS. FTPS er den raskeste, men det er mer komplekst med både implisitte og eksplisitte moduser og høye krav til dataporttilgjengelighet. På den annen side krever SFTP bare en port for kryptering. HTTPS brukes ofte til å sikre interaktive, menneskelige overføringer fra webgrensesnitt. Mens alle tre metodene er rutinemessig distribuert for å kryptere data og beskytte det mot å bli kuttet som det krysser på Internett, er det viktig å velge den metoden som best passer dine spesifikke behov.

2. Krypter alltid data i ro

De fleste fokuserer på å sikre data under en overføring, men det er viktig at data i hvile også krypteres. Datautvekslingsfiler er spesielt sårbare da de lagres i et enkeltparasjerbart, forbruksformat. Og webbaserte filoverføringsservere blir angrepet mer enn deres sikrere, på premisser.

3. ... spesielt med data som kan nås av eller deles med tredjepart

Når et selskap deler en fil med et annet selskap, kanaliserer de vanligvis en lagringsleverandør som automatisk krypterer den og godkjenner mottakeren før den gir tilgang. Det vil imidlertid være tidspunkter når et ikke-godkjent parti trenger en fil. Bedrifter trenger en strategi for å håndtere disse "unntakene" mens data er i bevegelse og i ro.

4. Ganske god personvern (PGP) alene er ikke god nok til å håndtere filsikkerhet

De fleste organisasjoner har en PGP-policy på plass for å sikre at opplastede filer krypteres på en slik måte at mottakeren ikke trenger en avansert grad for å åpne den. Ved første tegn på problemer, har disse personene en tendens til å dele sin påloggingsinformasjon for å få hjelp fra en mer teknisk kunnskapsrik "venn". Det er også muligheten for at systemet vil bryte og la filer være ukrypterte og eksponerte. PGP-politikk er en start, men ikke en allomfattende løsning.

5. Det er mindre om typen kryptering og mer om hvordan den utføres

Uavhengig av krypteringsmetodikk, må selskapene sikre at kryptering og sikkerhetsprotokoller sømløst implementeres over hele linjen. Hvis de er for vanskelige og forlater for mange unntak, er det større sjanse for at en ukryptert fil vil bli tilgjengelig i et offentlig eller mindre sikkert domene. Klart definerte arbeidsflyter og stramt nøkkelhåndtering - sammen med verktøy for å forenkle prosessen - vil bidra langt til å sikre at alle ansatte, kunder, partnere og leverandører overholder hverdagen.

6. Opprett og beskytt data integritet

Ved å validere en ubrutt kommandokode for alle overføringer vil det videre beskytte viktige data. Det finnes en rekke metoder - manuelle kontrollsummer, PGP signatur gjennomgang, SHA-1 hash funksjoner - og verktøy for å avgjøre om dataene har blitt åpnet eller ødelagt i prosessen. Vedlikehold av omfattende brukeraktivitetslogger vil hjelpe administratorer til å kontrollere systemene nøyaktig dersom det er usikkerhet.

7. Bekreft tilgangskontrollen

I de fleste FTP-implementeringer, når noen kommer forbi det første sikkerhetslaget, har de tilgang til alle filene på den serveren. Derfor må administratorer gå utover rudimentær tilgangskontroll og autentisering for å regulere hvem som får tilgang til hva. Å bekrefte at autentiseringsprosessen selv er robust er det første trinnet. Det er også viktig å implementere sterke passordhåndterings- og låsingsprotokoller.

Hvis du overholder disse anbefalingene, vil det bidra til at konfidensielle data gir en sjanse til å forbli konfidensiell, selv om den ender i feil hender.

  • Aaron Kelly er direktør for produktstyring på Ipswitch. Randy Franklin Smith kjører Ultimate WindowsSecurity, et nettsted dedikert til IT-revisjon og overholdelse.