1. Identifique e classifique ativos de dados confidenciais

2. Encontre dados confidenciais na empresa

3. Determine formas de proteger cada ativo

4. Como identificar a interação entre informações e processos de negócios

A segurança de dados é um esforço colaborativo que envolve TI, especialistas em gerenciamento de dados, auditoria interna e externa, departamentos jurídicos e outros.

A consistência organizacional deve ser garantida ao aplicar padrões e políticas de segurança de dados

Defina claramente funções e responsabilidades

A classificação e classificação de segurança de dados são uma parte importante da definição de dados

Minimize a proliferação de dados sensíveis e confidenciais, especialmente em ambientes que não sejam de produção

A probabilidade de ocorrência de uma ameaça e sua provável frequência

O tipo e a escala dos danos que cada incidente de ameaça pode causar, incluindo danos à reputação

Impacto da redução ao valor recuperável na receita ou nas operações comerciais

Custos de reparo após a ocorrência de danos

Custo de prevenção de ameaças, incluindo correção de vulnerabilidades

Possíveis objetivos ou intenções do atacante

principais dados de risco

Alto risco de dados

Dados de risco médio

AutorizaçãoAutorização

PermissãoEntitlement

AcessoAcesso

Verificar autenticação

AuditoriaAuditoria

Monitoramento ativo

monitoramento passivo

Cerquilha

Criptografia simétrica

criptografia assimétrica

A dessensibilização estática altera os dados de forma permanente e irreversível

Normalmente não usado em ambientes de produção, mas entre ambientes de produção e desenvolvimento (teste)

Dessensibilização sem pouso

dessensibilização de piso

Está alterando a aparência dos dados para o usuário final ou sistema sem alterar os dados subjacentes

Número 123456789, exibe ******789 ao ligar

substituir

embaralhar

variação espaçotemporal

variação numérica

Cancelar ou excluir

seleção aleatória

Tecnologia de criptografia

dessensibilização de expressão

Dessensibilização de valor-chave

Refere-se a uma entrada oculta ignorada em um sistema de computador ou aplicativo

Ele permite que usuários não autorizados obtenham acesso contornando restrições como senhas

Backdoors são geralmente criados por desenvolvedores com o propósito de manter o sistema, outros incluem backdoors criados por criadores de pacotes de software comerciais

Ao instalar qualquer sistema de software ou pacote web, a senha padrão permanece inalterada. Este é um backdoor. Os hackers descobrirão sua existência mais cedo ou mais tarde, portanto, qualquer backdoor é um risco à segurança.

Refere-se a uma estação de trabalho que foi controlada por hackers mal-intencionados usando cavalos de Tróia, vírus, phishing ou download de arquivos infectados.

Controle remotamente robôs para realizar tarefas maliciosas

É um pequeno arquivo de dados que um site instala no disco rígido do seu computador para identificar clientes regulares e analisar seus hobbies.

Às vezes explorado por spyware, causando problemas de privacidade

É um software/hardware que filtra o tráfego de rede para proteger um único computador ou uma rede inteira contra acesso não autorizado e tentativas de ataques ao sistema

As comunicações recebidas ou enviadas podem ser verificadas em busca de informações restritas ou regulamentadas, para evitar passagem não autorizada e para restringir o acesso a sites externos específicos

Refere-se à fronteira entre o ambiente organizacional e os sistemas externos

Firewall implantado entre interno e externo

Zona desmilitarizada refere-se à borda ou área periférica de uma organização

Tenha um firewall entre a DMZ e a organização

É uma conta com acesso de administrador do sistema ou superusuário, usada apenas em emergências

é um software de ataque que registra todas as teclas digitadas no teclado e as envia para a Internet

Hackers “white hat”, da própria organização ou contratados por empresas de segurança externas, tentam invadir o sistema de fora, como hackers mal-intencionados, tentando identificar vulnerabilidades do sistema.

As vulnerabilidades descobertas devem ser resolvidas antes do lançamento oficial do aplicativo

Realize testes de penetração em todos os softwares regularmente e instale patches de segurança

Uma VPN usa a Internet não segura para criar um caminho seguro, ou “túnel”, no ambiente de uma organização. O túnel é altamente criptografado.

As VPNs permitem a comunicação entre usuários e redes internas usando elementos de autenticação multifatorial para conectar-se ao firewall no perímetro do ambiente organizacional.

VPN criptografa todos os dados transmitidos

A segurança dos dados não se trata apenas de prevenir o acesso indevido, mas também do acesso legítimo aos dados

O acesso a dados confidenciais deve ser controlado através da concessão de permissões

Os usuários não têm permissão para visualizar dados ou realizar operações no sistema sem permissão

"Mínimo Privilégio" é um importante princípio de segurança

Permitir que um usuário, processo ou programa acesse apenas informações permitidas por sua finalidade legítima

A primeira linha de defesa contra atores maliciosos

Deve ter pelo menos um data center com capacidade de bloqueio e acesso limitado a funcionários autorizados

Política de acesso para usar conexões de dispositivos móveis

Armazene dados em dispositivos portáteis

Apagamento e descarte de dados do dispositivo de acordo com as políticas de gerenciamento de registros

Instalação de software antimalware e criptografia

Conscientização sobre vulnerabilidades de segurança

é usado ao atribuir acesso ao sistema a cada usuário

A maioria das credenciais é uma combinação de ID de usuário e senha

Sistema de gerenciamento de identidade

Padrão de ID de usuário para sistemas de e-mail

Padrões de senha

Identificação de múltiplos fatores

Métodos de comunicação inseguros podem ser lidos ou interceptados por terceiros

As redes sociais também são consideradas um meio de comunicação seguro, incluindo blogs, portais, WIKIs, fóruns ou outras mídias sociais e não devem conter informações confidenciais ou restritas.

fonte de solicitação

Só pode haver um nível de confidencialidade para qualquer conjunto de dados: o nível é baseado no item de dados mais sensível (nível mais alto de confidencialidade) do conjunto de dados.

dados confidenciais

fonte de solicitação

A regulamentação é um aditivo de classe: um único conjunto de dados pode restringir os dados de acordo com múltiplas categorias regulatórias

dados regulatórios

O princípio do menor privilégio deve ser usado ao conceder acesso aos dados

Execute usuários, processos e programas apenas para acessar informações permitidas por seus propósitos legítimos.

O risco é que, ao ter privilégios além dos exigidos para as responsabilidades do trabalho, um usuário possa abusar desses privilégios para fins maliciosos ou acidentalmente

Os usuários podem receber mais direitos de acesso do que deveriam

Falta de supervisão dos direitos do usuário, que é uma das razões pelas quais muitas regulamentações de dados especificam a segurança do gerenciamento de dados

Um usuário pode abusar dos privilégios de banco de dados legalmente concedidos a ele para fins não autorizados

Por exemplo: um médico com tendências criminosas tem o direito de visualizar os casos dos seus pacientes através de uma aplicação WEB designada

Os invasores podem explorar vulnerabilidades de software da plataforma de banco de dados para alterar os direitos de acesso de usuários comuns para direitos de administrador

O uso de contas de serviço ou contas compartilhadas aumenta o risco de violações de dados e complica a capacidade de rastrear a origem de uma vulnerabilidade

Em um ataque de injeção SQL, um invasor insere uma instrução de banco de dados não autorizada em uma instrução SQL vulnerável

Essas instruções SQL injetadas são passadas para o banco de dados onde normalmente são executadas como comandos legítimos

Ao usar injeção SQL, o invasor tem acesso irrestrito a todo o banco de dados

Limpar senhas padrão é uma etapa de segurança importante durante cada implementação

Comprometido em modificar o sistema, descobrir vulnerabilidades e corrigi-las

Danificar deliberadamente um sistema para causar danos

É um tipo de spyware baixado da Internet para um computador

Monitore o uso do computador, como quais sites são visitados, e também pode inserir objetos e barras de ferramentas no navegador

Não é uma violação, mas é usado para coletar perfis completos dos hábitos de navegação e compra dos usuários e vendê-los a empresas de marketing

Qualquer programa de software que se infiltre em um computador e rastreie atividades online sem consentimento

Diferentes formas de spyware rastreiam diferentes tipos de atividades

Alguns programas monitoram as visitas a sites, enquanto outros registram as teclas digitadas pelo usuário e roubam informações pessoais.

Refere-se a programas maliciosos que entram nos sistemas de computador disfarçando ou incorporando software legítimo.

Uma vez instalado, um Trojan excluirá arquivos, acessará informações pessoais, instalará malware, reconfigurará o computador, instalará keyloggers e até permitirá que hackers usem o computador como arma (bot ou zumbi) contra outros computadores na rede.

é um programa de computador que se anexa a um arquivo executável ou aplicativo vulnerável, causando resultados destrutivos

Um programa que pode ser copiado e espalhado pela rede

Computadores infectados por worms enviarão continuamente mensagens de infecção

Consome principalmente muita largura de banda, causando interrupções na rede

mensagem instantânea

rede social

Spam