¿Sabes cómo viajan los datos entre tu definición de “extremo a extremo”? De lo contrario, ese será el primer paso para descubrir todas las rutas que toman los datos: cómo se producen, almacenan, acceden / consumen los datos.
Luego debe observar las diversas formas en que se accede o modifica los datos. Puede ser el acceso directo a la base de datos (Admin) oa través de la aplicación web, o a través de la API, a través de la aplicación móvil o de terceros y, en algunos casos, FTP. 🙂
Una vez que sepa que tiene un inventario de datos y operaciones relacionadas (lectura / escritura), varios métodos de acceso (SQL, API, aplicación web, FTP, terceros, etc.), puede superponer datos en reposo y seguridad de datos en tránsito. Para Data in Transit, utiliza TLS, ya sea HTTPS o conexión SQL a través de TLS, o creando un túnel privado / IP Sec o Secure FTP, lo que sea.
- ¿Cómo funciona el cifrado de correo electrónico de Ironport?
- Cómo eliminar este virus kl.dll
- Cómo iniciar sesión de forma remota en mi computadora en India desde EE. UU.
- ¿Cómo se autentican los nuevos refrigeradores inteligentes con el teléfono inteligente de un usuario?
- El rendimiento de mi computadora ha disminuido notablemente, pero los análisis antivirus no muestran ningún error. ¿Cual puede ser el problema?
Para los datos en reposo, debe observar los pros y los contras del rendimiento y el riesgo relacionados con los datos. Algunas aplicaciones se complacen en utilizar Data at Rest utilizando el cifrado de base de datos nativo o el cifrado de disco completo. Qué fácil y rentable de configurar. Pero para algunas aplicaciones, sus datos son importantes y, por lo tanto, debe cifrar los valores. Esto requerirá algún tipo de interceptor en la capa DB o una capa API.
Ahora realmente tienes que definir qué es “fin” aquí. Para que cualquier solución sea realmente de principio a fin, los datos deben cifrarse con una clave asociada con el usuario final. Esto está bien para los sistemas de mensajería uno a uno, pero cuando hay un productor y múltiples consumidores, es un poco difícil de lograr (pero es posible … similar al mensaje grupal).
Hagas lo que hagas, guarda las llaves. Sin una buena política de gestión de claves y automatización, esto puede ponerse feo.
El cifrado solo protege la información del acceso no autorizado. Pero cuando un usuario autorizado abusa de los datos, el cifrado no va a resolver esto. Por lo tanto, debe tener una buena auditoría para ver quién accedió o modificó los datos cuando.
