Organisasjoner rundt om i verden fortsetter å lagre mer og mer av sin informasjon i skyen. Dette er i bunn og grunn en god ting, siden skyen nesten alltid er sikrere enn et lokalt kontor eller et bedrifts eget datasenter. Dessverre holder ikke sikkerheten alltid tritt med tilstrømningen av data til skyen. For eksempel krypterer ikke alle data i hvile, har full innsikt i hvilken data som faktisk finnes i bedriftens skyapplikasjoner eller bruker Data Loss Prevention (DLP)-funksjoner for å beskytte mot ulike typer datatap. Mange bedrifter tillater også tilgang til bedriftsgodkjente skytjenester fra personlige enheter, noe som kan føre til at sensitiv informasjon lastes ned fra skyen til en ukontrollert personlig enhet.
For alle som håndterer sensitiv informasjon – ikke minst personopplysninger og kundedata – er det utrolig viktig at alt er korrekt satt opp, at man har riktige sikkerhetsrutiner på plass (som også følges) og full åpenhet om hvor og hvordan data lagres og beskyttes.
Regelverket som styrer håndtering av personopplysninger har eksistert i flere år, og fram til nå har de store amerikanske cloud-tjenesteleverandørene basert seg på Privacy Shield-avtalen. Etter at Den europeiske domstol ugyldiggjorde Privacy Shield, er det imidlertid ikke lenger tillatt bare å vise til denne avtalen for å bevise EU-kompatibilitet. Det er nå opp til hvert enkelt selskap å vurdere om tilstrekkelig beskyttelse finnes for å oppfylle kravene i GDPR.
Kryptering av data kan gi en slik beskyttelse for organisasjonen, men det er viktig å ha i tankene at bevisbyrden i dette tilfellet ligger på det enkelte selskapet. Det er altså selskapet som må kunne garantere at ingen ekstern organisasjon (som amerikanske NSA) har knekt de nåværende krypteringsnivåene. Denne garantien er svært vanskelig, om ikke umulig, for individuelle organisasjoner å gi.
Alt i alt har vi en situasjon hvor risikoen for at sensitiv data havner i feil hender øker – noe som til slutt også kan få økonomiske konsekvenser for de bedriftene som håndterer dataen.
Nedenfor følger noen viktige ting som alle som håndterer personopplysninger (som kundedata) må sikre og vurdere.
Å få innsikt i skyen og beskytte sensitiv data er ikke så vanskelig som det kan virke. Men det handler selvsagt om å vite hvor man skal starte og hva man skal fokusere på. Og det handler om tekniske løsninger, policyer og rutiner, samt å øke bevisstheten blant alle medarbeidere.
Sørg for at du kjenner databeskyttelseslovene som gjelder i landet hvor din data vil lagres, slik som GDPR innen EU, og om det finnes andre lover som kan ha forrang for nasjonal lovgivning, som US CLOUD Act. Ikke glem at det er cloud-tjenesteleverandørens hjemland som avgjør hvilke regler som gjelder for data og applikasjoner, ikke den geografiske plasseringen til datasenteret.
Når du går over til skyen, eller bytter sky, må du sikre at plattformen og skyløsningene dine tilbyr muligheten til å kryptere data – både når data lagres i skyen og når data overføres eller deles med forretningspartnere. Hold deg også oppdatert på kryptering – krypteringsteknologier og prosesser utvikles raskt. Organisasjoner som ikke har gjennomgått og om nødvendig oppdatert sine krypteringsmetoder er ofte sårbare for angrep.
Lag en enhetskontrollstrategi for å identifisere og kontrollere bruken av alle enheter som kan lagre eller laste ned data. Dette reduserer ikke bare risikoen for at skadelige ting kommer inn i nettverket ditt – det kan også hjelpe til med å forhindre at sensitiv informasjon lekker ut, enten ved et uhell eller bevisst. Bruk applikasjonskontroll for å følge og begrense unødvendig eller risikofylt programvare.
Tenk også på å begrense tilgang til kundeinformasjon – ikke alle i en organisasjon trenger å kunne se kunders personlige informasjon. Jo færre personer som har et reelt behov for tilgang, desto færre muligheter har angripere til å finne et svakt punkt og stjele data.
Det kan også være en god idé å separere nettverkene dine. Dagens cyberkriminelle vil ha mer enn bare en brukers passord og noen filer – de vil ha tilgang til dine backend-databaser, ditt PoS-nettverk og ditt testnettverk. Vurder derfor å separere nettverkene dine med kraftige brannmurer som behandler dine interne avdelinger som potensielt fiendtlige mot hverandre, i stedet for å ha én stor "intern" beskyttelse mot den fryktede "utenfra".
Det finnes en rekke ting du alltid bør ha i din sikkerhetsverktøykasse – enten vi snakker om å beskytte personopplysninger i skyen eller andre steder. For eksempel, sørg for at du har effektiv endpoint-, nettverks- og e-postbeskyttelse som filtrerer bort det meste av spam, malware og filer. Lær dine medarbeidere å være mistenksomme mot e-post, spesielt de med vedlegg, og å alltid rapportere uvanlige e-poster eller vedlegg til IT-avdelingen. Dessverre finnes det fortsatt altfor mange bedriftsansatte som ved et uhell laster ned malware ved å klikke på lenker eller vedlegg i e-post.
I tillegg bør du selvsagt ha strenge passordpolicyer på plass, og ikke tillate barns navn, fødselsdager eller favorittlag som brukes til innlogging til cloud-plattformer der sensitiv data lagres. Om tilgjengelig bør du alltid implementere multifaktorautentisering – mange snakker faktisk nå om å helt eliminere passord og i stedet bruke biometriske løsninger.
Såkalt "shadow IT" er en situasjon som oppstår når medarbeidere bruker utallige cloud-tjenester uten din kunnskap. Prøv å få oversikt over hvilke tjenester som faktisk brukes i din organisasjon og hvordan de brukes. Informer dine medarbeidere om hvor upassende det er å flytte sensitiv bedriftsdata til en privat Dropbox eller lignende. Selv om det er "mer praktisk" akkurat nå kan det sterkt øke risikoen for at informasjonen havner i feil hender (spesielt hvis passordet til Dropbox-kontoen er svakt eller aldri har blitt endret).
Rask og kontinuerlig patching er enda en meget viktig del av sikkerhetsarbeidet ditt. Kjente, men ikke utbedrede sikkerhetshull er en av de vanligste angrepsvektorene som utnyttes av kriminelle. Dessverre prioriteres patching ofte lavt og forsømmes. Vurder derfor å kjøpe inn verktøy eller tjenester som håndterer patching for deg. Dette sikrer at operativsystemet og applikasjonene dine alltid er oppdatert med de siste sikkerhetsfiksene.
Å samle inn unødvendige kundedata er ikke bare bortkastet energi og ressurser, men gir også et større mål for angripere å fokusere på. Det kan også enkelt gjøre kunder bekymret og lure på hvorfor du trenger å samle så mye informasjon i utgangspunktet. Så samle inn og lagre bare det du virkelig trenger til forretningsformål. Du kan også gå et skritt videre og tilby kunder muligheten til å velge om de vil dele personlig informasjon med deg eller ikke.
I stedet for alltid å prøve å få ut så mye som mulig av kundedata (mange bedrifter abonnerer fortsatt automatisk kundene sine på utsendelser rett etter en transaksjon), bør du, når bedriften din er ferdig med kommunikasjonen med dem, vurdere å slette all data etter at du har brukt den. Denne typen sikkerhetstenkning styrker kundenes tillit til dine personverninnsats.
Databeskyttelse angår alle. Kundesikkerhet er altfor viktig til å håndteres av et fåtall utvalgte. Når du har omfattende sikkerhetsrutiner og policyer på plass, må du sørge for at alle i organisasjonen forstår dem og aller viktigst følger dem. For eksempel bør du legge ekstra vekt på å sikre at dine medarbeidere forstår de potensielle risikoene ved å bruke egne enheter eller nettverk utenfor kontoret.
Vi drives av å hjelpe våre kunder å oppnå større innovasjon og kostnadseffektiv IT. Vil du også ta del i det siste innen høyytelses skytjenester?
