в шифровании критерия поиска (например, строки) с использованием того же метода, который использовался для шифрования данных в массиве, и осуществлении поиска совпадений с зашиф рованным критерием. В результате потребуется дешифрование лишь совпадающих данных, а это менее затратно (и рискованно). После этого можно обычным текстовым поиском отобрать из дешифрованных результатов точные совпадения.

4.7 Санитизация документов

Санитизация документов (document sanitization) — это процесс удаления из документов метадан ных (например, таких, как зафиксированная история изменений) перед предоставлением к ним общего доступа. Санитизация снижает риск случайной утечки конфиденциальной информации, которая может содержаться в записях метаданных. При заключении контрактов доступ контра гентов к подобной информации может негативно сказаться на ходе переговоров.

5. РЕКОМЕНДАЦИИ ПО ВНЕДРЕНИЮ

Внедрение практик обеспечения безопасности данных зависит от корпоративной культуры, при роды и характера рисков, степени чувствительности данных, которыми управляет компания, и типов используемых ею систем. При внедрении системных компонентов следует руководство ваться стратегическим планом обеспечения безопасности и учитывать базовую архитектуру.

5.1 Оценка готовности / Оценка рисков

Обеспечение безопасности данных неразрывно связано с корпоративной культурой. Часто орга низации лишь реагируют на критические события, вместо того чтобы предотвращать их за счет проактивного управления ответственностью и обеспечения возможности проверки. Поскольку достичь идеального уровня безопасности данных почти невозможно, наиболее подходящим спо собом избежать нарушений является выстраивание практики улучшения информированности и понимания требований, политик и процедур безопасности.

Организации могут повысить степень соответствия требованиям безопасности, прилагая усилия в следующих направлениях.

Обучение. Продвижение стандартов посредством обучения и разъяснения инициатив в об ласти безопасности на всех уровнях организации. Любые учебные программы должны допол няться механизмами оценки, включая, например, онлайновое тестирование, направленное на повышение осведомленности сотрудников. Подобные тренинги и тесты следует сделать обя зательными компонентами процесса оценки эффективности сотрудников.

Согласованные и последовательные политики. Определение политик безопасности и по литик обеспечения нормативно-правового соответствия для рабочих групп и функциональ ных подразделений, которые должны дополнять и быть согласованными с корпоративными

способствует более активному вовлечению в процессы обеспечения безопасности.

Измерение выгод от мер по обеспечению безопасности данных. Выгоды от мер по обеспе чению ИБ следует увязывать с корпоративными инициативами. Организации должны вклю чать объективные метрики для оценки деятельности в области безопасности в свои сбаланси рованные системы показателей (balanced scorecard) и системы оценки проектов.

Определение требований по безопасности данных для поставщиков. Требования по ИБ следует включать в соглашения об уровне обслуживания (Service Level Agreement, SLA) и аут сорсинговые контракты. Требования, включаемые в SLA, должны охватывать всю деятельность по обеспечению безопасности.

Формирование «чувства крайней необходимости». Следует постоянно акцентировать вни мание сотрудников на требованиях законодательства и регулирующих органов, а также договорных обязательствах в части безопасности данных. Это способствуют формированию «чувства крайней необходимости» (sense of urgency), а также внутренней рамочной структу ры управления безопасностью данных.

Непрерывные коммуникации. Необходима реализация непрерывной программы обучения, информирующей сотрудников о практиках безопасной работы с данными и актуальных угро зах. Постоянно действующая программа способствует выработке у руководителей понима ния важности процессов управления безопасностью данных и необходимости их поддержки.

5.2 Организационные и культурные изменения

Организации должны разрабатывать политики в области данных таким образом, чтобы они, с одной стороны, позволяли им успешно достигать поставленных целей, а с другой — обеспе чивали надежную защиту чувствительной и регламентированной информации от ненадлежа щего использования или несанкционированного доступа. При этом учет интересов всех заин тересованных сторон и минимизация рисков не должны существенно осложнять доступ к дан ным, необходимым для текущей работы. Часто техническая архитектура должна адаптироваться к архитектуре данных с целью обеспечения баланса всех потребностей и создания эффективной и безопасной электронной среды. В большинстве организаций для эффективной защиты данных требуется изменение поведения как руководителей, так и рядовых сотрудников.

Во многих крупных компаниях служба ИБ уже имеет политики, механизмы, инструменты обеспечения безопасности, системы контроля доступа, а также устройства и системы защиты информации. Важно четкое понимание того, в какой части эти элементы дополняют работу рас порядителей данных и администраторов БД. Распорядители данных обычно отвечают за класси фикацию данных в отношении безопасности. Команды по обеспечению безопасности оказывают помощь в принятии мер по поддержке соответствия требованиям и внедрению операционных

1 Имеется в виду широко распространенный принцип «Думай глобально, действуй локально» (Тhink global, act local). — Примеч. науч. ред.

процедур, основанных на политиках безопасности данных, а также классах конфиденциальности и категориях регламентирующих норм и правил.

Реализация мер по обеспечению безопасности данных без учета ожиданий клиентов и со трудников чревата всплеском недовольства среди тех и других, а это серьезный организационный риск. Для того чтобы стимулировать соблюдение требований по безопасности, необходимо при планировании соответствующих мер рассмотреть позиции всех, кто будет непосредственно ра ботать с данными и системами. Хорошо спланированный и всесторонний комплекс технических мер по обеспечению ИБ должен сделать защищенный доступ к данным максимально простым и удобным для всех заинтересованных лиц.

5.3 Доступность информации о наборах прав пользователей

Каждый набор прав (определяющий совокупность элементов данных, которые становятся до ступными для пользователя после его авторизации) должен тщательно проверяться на стадии внедрения системы на предмет наличия в нем прав доступа к какой-либо регламентируемой ин формации. Для того чтобы знать, кто и к каким данным имеет доступ, необходимо управление метаданными, описывающими классы и категории данных в части конфиденциальности и тре бований регулирующих норм и правил, а также управление правами доступа и авторизациями. Классификация данных по уровням конфиденциальности и категориям нормативно-правовых требований должна быть стандартной частью процесса определения данных.

5.4 Обеспечение безопасности данных в условиях аутсорсинга

На аутсорсинг может быть передано всё, за исключением ответственности за результаты деятель ности организации.

Аутсорсинг ИТ-услуг сопряжен с дополнительными проблемами и обязанностями в отноше нии безопасности данных. Привлечение сторонних организаций увеличивает количество людей, разделяющих ответственность за данные в рамках новых организационных и географических границ. В такой ситуации считавшиеся ранее неформальными роли и обязанности должны быть точно определены в виде контрактных обязательств. Договоры аутсорсинга должны содержать подробные описания обязанностей и ожиданий по каждой роли.

Любая форма аутсорсинга подвергает организацию дополнительному риску, в том числе

ивследствие частичной потери контроля над технической средой и людьми, работающими с данными организации. Меры и процессы обеспечения безопасности данных должны рассма тривать риск, исходящий от привлеченного поставщика услуг, одновременно и как внешний,

икак внутренний.

Сповышением уровня зрелости аутсорсинга в области ИТ всё больше организаций пересма тривают свое отношение к таким услугам. Выработалось достаточно устойчивое общее мнение относительно того, что вопросы архитектуры и владения ИТ, включая архитектуру безопасно сти данных, должны оставаться в ведении организации. Иными словами, организация владеет

и управляет корпоративной архитектурой и архитектурой безопасности. Ответственность за реализацию архитектуры может быть возложена на привлеченного партнера.

Передача оперативного управления, но не ответственности, требует более строгого управле ния рисками и механизмов контроля. К таким механизмам относятся, например:

cоглашения об уровнях обслуживания;

наличие в договорах аутсорсинга положений об ограничении ответственности;

наличие в договорах аутсорсинга положений о праве на проведение проверок;

четко определенные последствия нарушения договорных обязательств;

регулярные отчеты поставщика услуг о состоянии безопасности данных;

независимый мониторинг системной активности поставщика услуг;

регулярные тщательные аудиторские проверки безопасности данных;

непрерывные коммуникации с поставщиком услуг;

знание и учет различий в юридических трактовках договоров в разных странах в случае воз никновения споров с зарубежным поставщиком.

В среде, находящейся на аутсорсинге, критически важное значение обретает отслеживание про исхождения (lineage) данных (или потока данных), перемещающихся между системами и отдель ными людьми, в целях поддержки «цепочки поставок» (chain of custody), документирования це почки операций хранения, контроля, передачи, анализа и использования данных. Аутсорсинго вым организациям особенно полезно разрабатывать матрицы CRUD (операций создания, чтения, обновления и удаления), которые отражают распределение ответственности за данные в рамках бизнес-процессов, приложений, ролей и организаций, отслеживая преобразования, происхожде ние и «цепочку поставок» данных. Кроме того, матрица должна описывать распределение прав по принятию бизнес-решений или использованию функциональности приложений — например, права подтверждения счетов или заказов.

Еще одним полезным средством выработки более четкого понимания ролей, а также их сфер ответственности и распределения обязанностей, включая обязанности в области обеспечения безопасности, является матрица RACI1.

Матрицу RACI можно включать, например, в договоры с поставщиками, а также в политики безопасности данных. С помощью разработки матриц, подобных RACI, вносится ясность относи тельно подотчетности и владения, что позволяет точно определить обязанности сторон договора аутсорсинга и обеспечить согласованное внедрение и поддержку политик безопасности.

Аутсорсинг ИТ-услуг, однако, не снимает с организации конечной ответственности за сопровождение данных. Поэтому критически важно иметь соответствующие механизмы

1 RACI (сокр. от англ. Responsible/Accountable/Consulted/Informed) используются для назначения ответственного исполнителя (R), куратора (A), консультантов (C) и информируемых (I) в рамках проекта или направления работы. —

Примеч. пер.