2014年3月18日 星期二

在個資法中如何應用─Varonis

 自101年10月1日個資法正式上路,其源自於ISO/IEC  27001:2005(資訊安全管理)、BSI 10012:2009(個人資訊管理)及ISO 29100是現行針對在管理系統中,提供建置個資保護框架,並明確依據個資保護要求項目,讓您自個資的蒐集開始,到資料運用、保護保存、至最後銷毀過程,能根據個資生命週期 (Life Cycle) 的特性,使組織能達成適法適切地管理個資。

ISO-27001與個資法共通點


現今多數公司多以取得 ISO 27001的認證,如何取得與個資共通點:

  • 個資盤點之實作:如何確認與盤點所有組織內之個人資料(包含紙本及電子資料)。 

  • 背景審查之必要性:如何在資訊安全與個人資料保護兩者之間取得平衡。 

  • 儲存與備份管理:如何確保資料的生命周期已妥善定義與管理。 

  • 存取管理:資料之存取管理如:權限管理、USB管制。 
  • 資訊安全事故管理:如何整合事故通報與處置程序(存取個資記錄保存、風險管理)。 

個資資料實際處理方式:

  • 定義甚麼是公司須保護個資。
  • 盤點個資在結構化及非結構化資料放置位址。
  • 結構化資料須做遮罩處裡,委外與廠商定義權責。
  • 非結構化資料在端末用DLP阻斷資料外漏,並將在端末的個資資料存放File Server固定地方,在File Server需要好的工具如:Varonis。
  • File Server 需作權限管理,風險管理。
  • 並依最後存取時間依據作資料生命週期,分為一年未存取放置在一個區域,二年以上未存取放置另一個區域。
  • 存取過個資者的軌跡紀錄,保存五年以資備查。
  • 作出各式報表稽核改進達到PDCA方向。

Varonis 在 File Server 個資實作案例

  Varonis 只有在非結構化 File Server 上作權限管理、電腦紀錄稽核、個資資料盤點與紀錄

  • 權限管理





  • 個資清查



  • 風險管理



  • 軌跡紀錄


  • 資料生命週期

昱勝資訊是Varonis 代理商,聯絡人:黎恒昌 手機:0933-907328

2014年3月11日 星期二

企業為何要使用File Server,增加資料安全性

 不使用File Server 危險在哪裡


       在台灣一般企業都很少使用File Server 安全管控,甚至公家機關到金融機構都有如此現象,這是在資料保護及資料安全是非常重要的事,如果試想這些企業在做共同作業時,一份Word檔案或Excel檔是一份公司重要檔案,他們要讓參與作業的人如何傳遞及保護資料安全,第一種有可能透過E-Mail互相傳遞,公司有作E-Mail的資料及人員保護,還有沒有可能管理E-Mail的人把資料洩漏出去,第二種狀況是大家開啟網路芳鄰,請問這是多危險的事,是否只要在此網路的人都可以拿到此檔案。

File Server 好處有甚麼


  • 檔案集中管理,減少暴露外洩風險性
  • 可以依部門作不同權限管理,讓無權限的人不可閱讀及存取
  • 集中一處可以做好完善的防護,散在各處PC防護難度高

File Server 如何做好管理

     
      File Server雖有好處,但是需要一個好的工具幫助做好管理,一般市面上大多只有LOG紀錄而無權限管理,只有昱勝資訊代理的 Varonis 兩者功能兼顧,特別介紹幾項管理功能:

部門權限定期檢查



目錄權限管理




檢查有設"Every One"檔案



特定的人或特權人電腦紀錄



2014年3月4日 星期二

Varonis 針對防止資料遺失10大要點

自從公司資料的遺失與內部竊盜佔據頭版以來,你的職能力便被用來調查這些科技與途徑,以避免讓你的機構成為下一個受害者。在你的調查中,你發現了許多可能的解決方案,例如在數據的周圍設立規則,以避免數據被遺留在網路上或鎖定個人檔案。更棒的是,你甚至可以鎖定物理設備或記憶卡,即便資料被竊,至少於其上的資料無法被存取。


那麼,這些方案當中,何者才能將資料遺失的風險降至最低呢?可能這些都是,不過在不同的層面,因為該問題是多方面的。(如:包含電子郵件、印出或以USB隨身碟在內等許多方式,可能讓敏感數據從公司被帶走。)困難之處在於,要推出一項包含敏感數據與每項物理設備的廣度技術,需要一段時間才能實現。

那麼,當下有什麼我們能做的嗎?


大部分的非結構化數據聚集在檔案伺服器與數據中心。而數據正是經由該處通往使用者裝置。由源頭來保護數據,才是能明顯降低數據遺失與濫用的根源首步。本白皮書陳述了Varonis保護數據的方式。Varonis集中想法於數據管理上面,是以一種全面的方式來看待、管控與審核所有關於非結構化數據存取的方式。關於數據保護與全面的資料管控的「10大要點」,將在以下的討論中細述。防止資料遺失 10 大要點 Varonis Systems, Inc.

檔案伺服器,是數據保護的第一道防衛



設想一下,你大多數的數據,也就是80%~90%的數據都存放在檔案伺服器中。現在,再想想你是怎麼管控這些伺服器的存取。大部分的機構都會發現自己身在過度寬鬆的存取控管中。在機構中,雇員的來去是相當頻繁的,而職稱、所負的責任與計畫小組的更動亦相當快速。上述的現象都造成了授權存取的量多過於撤銷,因此幾乎不可能以手動控管來跟上這些改變。結果便是導致在檔案伺服器中的大多數資料夾,超過70%在存取上被過度訂閱。藉者修復管理檔案服務器的零碎存取,你可以顯著減少數據濫用出現在你的環境中的可能性。

任何能減少數據遺失與濫用的程式,都必須以正確且合理的存取控管。確保隨時都只有正確的人才能讀取正確的數據,不但能夠減少濫用的機會,還可以讓隨後的防禦機制與保護技術的損失更具成本效益且能佈署的更踏實。如果包含機密檔案的資料夾,能被「任何人」或眾多的個體開啟,那麼,(1)任何人便可存取並濫用該數據。(2) 必須針對每個存取的人進行監視與審核─但這點其實滯礙難行。

但換個方式,將存取限制於真正需要該數據的人,並報告他們的存取模式來確保數據存取授權不被濫用,則是較實際且可行的方式。


務實的數據保護方式:數據管控


基本上,數據檔案存取控管是有缺陷的。檔案伺服器的授權機制並沒有提供管理者能力,去讓他們能清楚決定哪位使用者可以存取哪個檔案、頻率有多頻繁、或為了哪項商業目的。這代表了,位於檔案伺服器中的文件、表格、簡報與其他的非建構數據,都暴露在過度寬鬆與無效的存取風險中。

在保護該數據上的首要與最基本的一步,便是一個能控管數據的計畫與系統。Data Governance (DG「數據控管」)是一個專業術語,代表了包含存取權力的人員、程序與授權的框架,用以確保數據的正確使用。所有的企業都需要一項策略及程序,以期能在適當且授權的方式下,控管商業數據的使用。本方式,能顯著減少數據濫用的風險。一個全面的數據控管基礎構造能提供:


  • 有效且可擴展的數據存取控管
  • 增加並統一數據保護
  • 減少成本開銷與數據控管的複雜度
  • 對數據使用的全面而細緻的審核

10大要點


當考量到使用何項技術來實現你的數據管理目標的時候,針對數據保護的10大要點來衡量該方案是相當重要的。該十大重點為:可視度、控管、審核、安全性、性能、可擴展性、易於安裝、易於使用、易於整合以及低成本。此外,任何能控管非結構性數據存取的系統,都必須持續且準確運作。關於該10大要點的詳細敘述如下:

可視度


任何關於非結構數據管理與控管的解決方案,都必須將數據存取設定清晰地表示出來,因為他們在現有的網路中已經被定義了。該可視方式必須以集合且可被搜索的方式顯現:

l 包含它們的群組成員在內的所有使用者、活動目錄屬性與數據授權
l 在檔案伺服器中的資料夾與子資料夾,對該資料夾所有身在該領域中的使者與使用群組,便如同微軟的NTFS權限一般
l 以使用者名稱、群組名稱或資料夾/資料名稱,來過濾允許懷疑的視圖
l 在活動目錄中(即使用者成員中)與檔案伺服器中(即新數據、被刪除之數據、重新命名之數據等)自動更新視圖以反應更動或新數據


控管


任何關於管理非結構性數據的解決方案,都必須包含所有能辨識、測試、制定與反向檔案及資料夾授權的機制。該系統需具體的提供:

l 能直接「推動」或提交存取權限更動給檔案伺服器。該機制應包含一選項─能以系統管理者干預或經由清單自動更動的方式來明確推動更改
l 具有預測能力,也就是所謂的sandbox防衛機制。以模擬的方式來實現資料夾的授權更動,以決定什麼、或有任何可能將會影響到存取。舉例來說,在sandbox中,系統應該能允許撤銷一整個群組的權限。系統應該清楚的指出何位合法的使用者將會受到負面影響,並在即時推動變更時考慮減輕該狀況 

審核


一項詳細的審核必須包含各方面的數據使用。資訊的展現必須輕易做到全面性與可搜尋性。具體的審核報告應如下所述:

l Active Directory目錄使用者給所有的檔案的指定動作(例如: 開啟、刪除、重新命名)
l 所有存取的存取類型(即開啟、刪除、重新命名)
l 資料夾的所有存取行動
l 敏感資料夾的所有存取細節
l 所有不活躍的使用者
l 所有不活躍的數據集
l 所有管理上的更動,包含管理者所做的安全配置改變
l 可以手動方式搜尋的審核報告,其保留時間不可短於12個月
l 上列的訊息清單應可以不同的方式製作成報告,並可被列印出
l 必須能自動排定欲遞交給用戶的報告傳送時間
l 審核訊息應支援複雜的布爾數值(Boolen)搜尋(如:「and」與「or」等)搜尋條件

安全性


一個適合非建構性數據的系統,需要提供自動化的方式來撤銷數據授權。具體的系統需求如下:

l 以存取指定數據集的使用者的名稱來辨識何人應該被撤銷
l 當活動目錄與檔案伺服器上出現更動時,重新估算撤銷者
l 在強制於伺服器上宣布建議撤銷之前,提供工具以進行測試
l 提供大於三個9(99.9%)之正確撤銷

性能


任何為非結構性數據管理所準備的解決方案,都不應該阻礙檔案伺服器、使用者存取體驗或業務流量的執行。具體而言,系統不應該要求Windows審核,以做到傳遞其核對數據管控之核心功能。

規模


因為大多數的機構,都會隨時間增加額外的檔案伺服器,使得非建構性數據快速增加。因此,系統必須提供成長的空間。數據管控的解決方案,必須能每12個月便要擴展容量,以容納倍增的非結構性數據。

易於安裝


一個實際的數據保護解決方案,不可打擾業務運轉或交易流量。該解決方案需要能迅速安裝(例:在五個工作天內),且不需特別的專業服務,且不需指派專們的IT人員。

易於使用


解決方案應該不需要特別的異地訓練才能執行。任何需要的訓練,應該都很簡單,且由販賣商便能現場教授。當然,用戶介面應該能做到操作者能憑直覺操作的程度。

易於整合


數據保護解決方案需要支援廣泛的檔案伺服器與儲存裝置,包括Windows Sever2003與來自帶領NAS廠商的網路附加儲存裝置(NAS)。

低成本


數據保護的解決方案,必須能證明在時間與資源節約上的量化優勢。請確定在下列區域中找到這些通常是需要高密度手動的自動化選項:

l 數據權限撤銷
l 數據審核報告生成
l 數據權限審查
l 辨識陳舊數據
l 辨識數據業務擁有者
l 數據遷移

結論


Varonis Systems是一間集中在數據管控方面的軟體公司。我們針對保護非結構性數據的的軟體解決方案,包含10大要點,可準確顯示出何人存取了數據、個體們如何使用他們的權限,且誰的存取應被撤銷。

此外,當目錄或檔案伺服器上出現更動時,Varonis會進行動態調整,好讓存取控管所分享的數據能永遠符合正當性且基於業務需求。隨著Varonis的裝載,便可供應數據遺失保護的基本程序:限制哪些數據可以連接筆電、印表機與USB隨身碟。依此,進一步保護數據的努力,便可通過過濾、加密等的方式被集中在那些有價值、敏感且被積極存取的項目上。

關於Varonis


今日,在全面、可操縱的數據控管解決方案上,Varonis代理商可說是最尖端的創新者與解決方案提供者。該公司的裝置橫跨全球金融服務、健康管理、能源、製造與科技產業的領導者。以專利申請中技術與高精確性的分析平台為基礎,Varonis軟體解決方案提供機構們遍及數據的完整的可視度與控管,並常保只有正確的使用者才能存取正確的數據。




2014年3月1日 星期六

客戶成功的事蹟:Juniper網路股份有限公司-Varonis case study

Varonis® DatAdvantage®提供我們可視度與建議,並藉由業務功能與需求以限制使用者對資料的存取。現今,我們工作小組可以為我們的責任遵循準則審核任何資料集或群組之使用。


客戶


Juniper網路股份有限公司在高效能網路連線業界中居領導地位。對於全球的伺服器商與企業體而言,Juniper的高效能網路基礎建設,是建立一個符合需求、負責且可信任環境基礎的供應者。它幫助服務業者設計、執行、管理並由核心到遠端,都替他們的下一世代網路(NGN)做到了一流、最佳的解決方案,同時提供企業體先進的園地、資料中心與分支架構,並替他們拓展架構以支持遠端與行動用戶。該公司的現有用戶中包含了全球前40大的服務供應商以及Fortune100大企業中的92間公司。

普遍被視為商業關鍵科技創新研發者的Juniper網路公司,在商業、市調上具有高度的協同文化,且其業務、行銷、科技開發小組更可自由地分享創意與資訊。作為這進程的一部分,Juniper networks公司理所當然地會產生並管轄大量的敏感訊息與業主資訊。這些都必須託付給JuniperIT小組,靠他們來確保訊息的持續自由流動,並將所有失誤的風險消弭或降至最低的程度。

挑戰


Juniper networks公司相信,對於每項工作效能而言,安全性都是不可或缺的。因此,許多在Juniper IT中的群組,皆分擔安全政策生成、承諾、警覺與訓練的責任。管理檔案伺服器上非結構性資料的挑戰,已經藉由不同的IT群組分享一安全憲章、但是不是管控該訊息的方式所達成。此外,因為在Juniper networks公司內,存取訊息與想法是推動革新的最大動力,善意的IT與服務平臺群組必須降低過度授權員工存取共用檔案之風險。
Juniper networks公司的資訊(IT)安全管理者James Nelson
「我們需要的是一個能對我們的Windows檔案分享集合查看與管理的機制。」「我的小組通常創立與傳佈關於管理存取檔案分享的安全政策。不同的群組在Active Directory與檔案伺服器當中,會辨識並執行那些安全政策。剛開始時,只有正確的人士可以存取分享的檔案。

隨著雇員的身分與許可權的改變,便可獲得更多存取許可權。雖然對於新訊息的存取許可權被同意了,但在沒有業務部門詳細的指示下,舊訊息是不可以被撤銷的。這樣的方式幾乎等同於無條件檔案分享,但以內部政策與遵循性觀點來看,卻是無法被接受的。」

評估參數


Juniper networks公司辨識了約10TB必須仔細監看與控管的非結構性資料。任何執行的系統都必須離線並離開資料路徑,如此一來,便不會對於儲存資料的備用檔案伺服器群組的性能造成影響。掌管控制資料的系統便需要監控資料存取的型態與取用的方式。它也必須包含直接向檔案伺服器傳佈存取許可權變更的機制。最後,既然監控與管理視窗(Windows)檔案系統存取許可權的責任已經跨越不同群組,該解決方案便必須支持一個角色區分的存取控管,才能讓有不同授權等級的資訊管理人員能依需求來使用該系統。
(例如:生成報表、刪除許可權、監督使用等等。)
尼爾森先生(Mr. Nelson)說:「當我們開始非結構性資料管理計畫時,我們所擁有的2TB的資料會快速的膨脹到10TB。當你正在處理高速率的資料成長與使用者的角色改變時,使用者對資料的變換(mapping)便無法以手動維持。」「你必須擁有自動的決斷機制去決定哪位元使用者需要存取哪些資料。這麼一來,公司便能確保資料授權是合理的且絕不會過時。在這樣的管控下,你便可以將焦點放在被授權的使用者身上,確保不會產生濫用許可權的問題。」


解決方案


為了管控存取與監控內部非結構性資料,Juniper網路公司採用了Varonis® DatAdvantage®
尼爾森先生(Mr. Nelson)說:「這些檔案伺服器內含各種可想像到的資料模式,從不甚重要的到需要嚴格控管的,甚至還包含了人力資源與研發資訊,但其許可權卻非能維持確切對稱於與業務重要性。」
Varonis DatAdvantage藉由業務功能與需求,提供我們可視度與建議以設限使用者對資料的存取。現在,我的小組可以為我們的規則遵循性計畫、審核任何資料組或群組的使用。若我們發現任何矛盾或危險信號,我們會將它們傳遞給檔案伺服器管理者,對方便可以撤銷許可權或一樣利用DatAdvantage來分類異常行為的因由。」
不斷對內部不同群組間之溝通,是Juniper安全部門瞭解IT人員的關鍵。Varonis DatAdvantage將資料許可權的可視度、存取控管合而為一,並審核管理區域的中心部位。尼爾森先生(Mr. Nelson)指出:「藉由使用Varonis工具,我們的IT團隊可以順暢地協調以確保資料的正當使用。一個監控群組可以辨識異常或過度活躍的存取;視窗(Windows)工程師可以輪流驗證使用的案例,並視需要撤銷其許可權,此外,我的群組具有我們需要的審核記錄,且所有皆透過DatAdvantage UI達成了。」

商業利益


業務驅動存取控管
Juniper的商業政策中要求:盡可能將敏感性資料的存取只被限制在少數的使用者中。藉由針對使用者行動與業務需求所進行之深度分析,Varonis DatAdvantage可自動推算哪些使用者應該已經存取何項資料。該分析與學習會不斷進行且持續更新,而其結論能讓DatAdvantage確認基於缺乏業務需求,何人的存取應被撤銷。
資料保護
Juniper的安全部門實踐監控使用者存取資料的任務,好讓濫用或不適當的行為可以訓續被辨識與處理。每次有檔案被接觸,Varonis代理商 DatAdvantage便可產生詳細的資料與可檢索的日誌,讓JuniperIT管理人員可以迅速便是出過度的檔案開啟、刪除或其它異常的行為。
審核與法規遵從
為了實踐Juniper的內部審核與遵循規定性,需要全力的記錄資料,方能控制與監控敏感與受控管的資訊。使用了Varonis DatAvantage, Juniper就能建立報表説明審核與合規性,而且可以用數據集和時間段的方法表現出來。在DatAdvantage的簡報功能下,要展示一個非結構化資料控管與正確存取的程式乃輕而易舉之事。