Bezpieczeństwo danych chroni dane przed nieautoryzowanym dostępem, uszkodzeniem i kradzieżą. Obejmuje ono zarówno same dane, jak i systemy, które je przechowują, przetwarzają i przesyłają. Kontrola obejmuje szyfrowanie, zarządzanie dostępem, bezpieczeństwo sieci i monitorowanie. Celem jest zapewnienie poufności, integralności i dostępności. Dane powinny być czytelne wyłącznie dla osób upoważnionych, dokładne i dostępne w razie potrzeby.

Krajobraz zagrożeń jest szeroki. Zewnętrzni atakujący chcą ukraść lub zażądać okupu za dane. Osoby z wewnątrz mogą je ujawnić przypadkowo lub celowo. Źle skonfigurowane systemy ujawniają je. Dostawcy zewnętrzni je tracą. Klęski żywiołowe je niszczą. Żadna pojedyncza kontrola nie obejmuje wszystkich tych elementów. Głęboka obrona nakłada warstwy kontroli tak, aby awaria jednej z nich nie oznaczała całkowitego naruszenia bezpieczeństwa. Klasyfikacja danych określa, które kontrole mają zastosowanie. Dane publiczne wymagają mniejszej ochrony niż dane poufne. Dane regulowane, takie jak dokumentacja medyczna i karty płatnicze, mają określone wymagania. Kontrole powinny być dostosowane do poziomu wrażliwości. Nadmierna ochrona danych niskiego ryzyka marnuje zasoby. Niedostateczna ochrona danych wysokiego ryzyka stwarza ryzyko. Równowaga wymaga rozsądku. Bezpieczeństwo danych to nie produkt, który się instaluje. To praktyka, którą się utrzymuje. Zagrożenia ewoluują. Systemy się zmieniają. To, co było bezpieczne w zeszłym roku, może być podatne na ataki dzisiaj. Praca nigdy się nie kończy.

Kontrola bezpieczeństwa danych

• Szyfrowanie — chroń dane w stanie spoczynku i podczas przesyłu
• Zarządzanie dostępem — ogranicz, kto może widzieć lub modyfikować dane
• Bezpieczeństwo sieci — zapory sieciowe, segmentacja, monitorowanie
• Kopie zapasowe i odzyskiwanie — przywracanie po utracie lub uszkodzeniu
• Monitorowanie — wykrywanie incydentów i reagowanie na nie

Bezpieczeństwo danych chroni aktywa. Bez niego dane są obciążeniem, które tylko czeka, by się ujawnić.