მთავარი დასკვნა
ერთ საკონტროლო გეგმაში განსაზღვრეთ დაშიფვრის სტანდარტი, გასაღებზე პასუხისმგებელი პირი, აღდგენის გზა და დაფარვა. დაშიფვრა წვდომის მართვას, სარეზერვო ასლებსა და ინციდენტებზე რეაგირებას არ ცვლის.
როგორ მუშაობს დაშიფვრა
ალგორითმი და გასაღები ღია ტექსტს შიფრტექსტად გარდაქმნის, რომელიც სწორი გასაღების გარეშე წაკითხვადი არ უნდა იყოს. ალგორითმი მონაცემებს იცავს, ხოლო გასაღები განსაზღვრავს, ვის შეუძლია მათი გაშიფვრა. ამიტომ გასაღების შენახვა, გამოყენება და გაუქმება ისეთივე მნიშვნელოვანია, როგორც ალგორითმის არჩევა. კონფიდენციალურობა დაშიფვრის მთავარი თვისებაა; მთლიანობასა და ავთენტიფიკაციას შესაბამისი ავთენტიფიცირებული კონსტრუქციები ან პროტოკოლები სჭირდება.
სიმეტრიული და ასიმეტრიული მეთოდები
სიმეტრიული დაშიფვრა დაშიფვრისა და გაშიფვრისთვის ერთსა და იმავე საიდუმლო გასაღებს იყენებს; ის მონაცემთა დიდი მოცულობისთვის ეფექტიანია, თუმცა გასაღები მიმღებს უსაფრთხოდ უნდა მიეწოდოს. ასიმეტრიული დაშიფვრა საჯარო და პირადი გასაღებების წყვილს იყენებს: საჯარო გასაღებით დაშიფრული მონაცემები შესაბამისი პირადი გასაღებით იხსნება. პრაქტიკულ სისტემებს ორივე მეთოდის გაერთიანება შეუძლია. საჯარო გასაღების ოჯახები შეიძლება დაშიფვრას, გასაღების შეთანხმებას ან ხელმოწერებს უჭერდეს მხარს; ECC‑ის ყველა ალგორითმი არ შიფრავს. ჰეშირება შექცევადი დაშიფვრა არ არის, ხოლო ციფრული ხელმოწერა უბრალოდ პირადი გასაღებით დაშიფვრას არ ნიშნავს.
დაიცავით შენახული და გადაცემადი მონაცემები
შენახვისას დაშიფვრა იცავს დისკებს, მონაცემთა ბაზებს, არქივებსა და ღრუბლოვან ობიექტებს. გადაცემისას დაშიფვრა იცავს კავშირებს მოწყობილობებს, სერვისებსა და აპლიკაციებს შორის. ერთი მეორეს ვერ ცვლის: დისკის დაშიფვრა ფაილის ღია ბმულით გაზიარებას არ უშლის ხელს, ხოლო დაცული კავშირი მიმღების უფლებამოსილებას არ ადასტურებს. ნებადართულ ბოლო წერტილებში ღია ტექსტი კვლავ ხელმისაწვდომია. ქვემოთ მოცემული შემოწმებები სხვადასხვა საზღვარს მოიცავს და სრული დაფარვის გარანტიას არ იძლევა.
| მონაცემების მდებარეობა | შესამოწმებელი დაცვა | დარჩენილი დაუცველობა |
|---|---|---|
| შენახული დისკი ან მონაცემთა ბაზა | დაშიფვრა და გასაღებზე წვდომა | შესულ მომხმარებლებსა და აპლიკაციებს შეიძლება ღია ტექსტის ნახვა შეეძლოთ |
| ქსელური კავშირი | TLS და მეორე მხარის გადამოწმება | ღია ტექსტი ბოლო წერტილებში |
| ექსპორტირებული ან გაზიარებული ასლი | ფაილის დაცვა და წვდომის კონტროლი | უფლებამოსილ მიმღებს ასლის შექმნა შეუძლია |
სტანდარტები და გასაღებების მართვა
AES ფართოდ გამოყენებული სიმეტრიული სტანდარტია 128-, 192- და 256-ბიტიანი გასაღებებით. RSA და ელიფსურ მრუდებზე დაფუძნებული კრიპტოგრაფია (ECC) საჯარო გასაღების ოჯახებია; TLS კავშირების დამცავი პროტოკოლია. სადაც მხარდაჭერილია, უპირატესობა TLS 1.3‑ს მიანიჭეთ; შეაფასეთ თავსებადობა და შენარჩუნებული TLS 1.2 მოქმედი მითითებების მიხედვით უსაფრთხოდ დააკონფიგურირეთ. ბოლოდან ბოლომდე დაშიფვრა ღია ტექსტის მხოლოდ ბოლო წერტილებში წასაკითხად არის შექმნილი; ცალკე გადაწყვიტეთ, ვინ ფლობს გასაღებებს სარეზერვო ასლებისა და ანგარიშის აღდგენისთვის. ამ მექანიზმებს სხვადასხვა მიზანი აქვს და SSL‑ად მონიშნული პროდუქტი ავტომატურად თანამედროვე არ არის. გამიჯნეთ გასაღებების შექმნის, გამოყენების, როტაციისა და გაუქმების როლები.
დანერგვამდე აღწერეთ მონაცემების განაწილება
აღწერეთ მგრძნობიარე მონაცემები მოწყობილობებში, მონაცემთა ბაზებში, SaaS აპლიკაციებსა და სარეზერვო ასლებში, მათ მომხმარებლებთან და საზღვრებთან ერთად. გადახედეთ მიმდინარე დაშიფვრასა და გასაღებების კონტროლს; გაითვალისწინეთ პირადი მონაცემების, გადახდის ჩანაწერებისა და ინტელექტუალური საკუთრების განსხვავებული რისკები და შენახვის საჭიროებები. დაშიფვრა, წვდომა და აღდგენა წარმომადგენლობით სამუშაო პროცესში შეამოწმეთ.
სირთულეები და დარჩენილი კონტროლი
დაკარგულმა გასაღებმა მონაცემები შეიძლება მიუწვდომელი გახადოს, ხოლო გასაღებზე ზედმეტად ფართო უფლებებმა — გაამჟღავნოს. განსაზღვრეთ წარმადობაზე, ძველ სისტემებთან თავსებადობაზე, დაფარვასა და სარეზერვო ასლებიდან აღდგენაზე პასუხისმგებელი პირები. მონაცემებისთვის, რომლებიც დიდხანს უნდა დარჩეს კონფიდენციალური, აღრიცხეთ კრიპტოგრაფიული დამოკიდებულებები და მიჰყევით პოსტკვანტურ მიგრაციაზე დამტკიცებულ მითითებებს. დაშიფვრას შეუთავსეთ იდენტობა, მინიმალური უფლებები, DLP, მონიტორინგი და ინციდენტებზე რეაგირება.